Controle de aplicativo Essential Eight

Este artigo detalha os métodos para alcançar o Modelo de Maturidade Essencial dos Oito do ACSC (Australian Cyber Security Center) para Controle de Aplicativos, usando o Microsoft App Locker e o Controle de Aplicativos do Windows Defender.

Por que seguir as diretrizes de controle de aplicativos ACSC Essential Eight?

O controle de aplicativos é uma abordagem de segurança projetada para proteger contra códigos mal-intencionados em execução em sistemas. Quando essa abordagem de segurança é implementada, ela garante que apenas códigos aprovados, como executáveis, bibliotecas de software, scripts, instaladores e drivers, estejam autorizados a executar. Devido à sua eficácia, o controle de aplicativos é um dos oito essenciais das estratégias do ACSC para mitigar incidentes de segurança cibernética.

Controle da aplicação

O controle de aplicativos é uma abordagem de segurança projetada para proteger contra códigos mal-intencionados em execução em sistemas. Quando essa abordagem de segurança é implementada, ela garante que apenas códigos aprovados, como executáveis, bibliotecas de software, scripts, instaladores e drivers, estejam autorizados a executar.

Embora o controle de aplicativos tenha sido projetado principalmente para impedir a execução e a disseminação de códigos mal-intencionados em um sistema, ele também pode impedir a instalação e o uso de aplicativos não aprovados.

Atingir os requisitos de nível de maturidade organizacional

• Nível de maturidade 1 (ML1): pode ser obtido usando o Microsoft AppLocker
• Níveis de maturidade 2 e 3 (ML2 & ML3): podem ser obtidos usando o Controle de Aplicativos do Microsoft Windows Defender

Implementação do controle de aplicativos

A implementação do controle de aplicativos envolve as seguintes etapas de alto nível para uma organização:

• Identificando aplicativos aprovados
• Desenvolvimento de regras de controle de aplicativos para garantir que apenas aplicativos aprovados possam ser executados
• Manutenção das regras de controle de aplicação usando um processo de gerenciamento de mudanças
• Validando regras de controle de aplicativos com frequência

Ao determinar como impor a autorização do aplicativo em sua organização, o Australia Cyber Security Centre considera os seguintes métodos adequados quando implementados corretamente:

• Regras de hash criptográficas
• Regras de certificação de fornecedor
• Regras de caminho (quando as permissões do sistema de arquivos são configuradas para impedir a modificação não autorizada de permissões de pasta e arquivo, conteúdo da pasta e arquivos individuais)

O controle de aplicativo pode impedir a execução não autorizada de aplicativos não aprovados. O controle de aplicativos também pode contribuir para a identificação de tentativas de um agente de ameaça de executar código mal-intencionado em um sistema. Configurar o WDAC para gerar logs de eventos para execuções autorizadas e não autorizadas pode fornecer informações valiosas para o centro de operações de segurança de uma organização.

É importante observar que uma solução de controle de aplicativos não substitui o antivírus e outras soluções de software de segurança que já estão em vigor. O WDAC sempre trabalha em conjunto com soluções antivírus, como o Defender Antivírus. O uso conjunto de soluções de segurança da Microsoft contribui para uma abordagem de defesa aprofundada eficaz a fim de evitar o comprometimento de sistemas.

ML (Níveis de Maturidade) para controle de aplicativo

O Australia Cyber Security Center tem três níveis de maturidade para suas estratégias de mitigação que constituem os Oito Essenciais. Os níveis de maturidade são baseados na mitigação dos níveis crescentes de comércio usado por um agente de ameaça. No contexto do controle de aplicativos, o Australia Cyber Security Centre determina o que é necessário para atender aos ML 1, 2 e 3.

Controle de aplicativo para Windows

Qual solução usar?

A Microsoft recomenda que os clientes implementem o Windows Defender Application Control (WDAC) em vez do AppLocker. O Controle de Aplicativos do Windows Defender está passando por melhorias contínuas. Embora o AppLocker continue a receber correções de segurança, ele não recebe melhorias de recursos.

No entanto, o AppLocker também pode ser implantado como um complemento ao Controle de Aplicativos do Windows Defender para cenários como dispositivos compartilhados, em que é importante impedir que alguns usuários executem um aplicativo específico. A Microsoft recomenda que sua organização imponha o Controle de Aplicativos do Windows Defender como o nível mais restritivo possível para sua organização e use o AppLocker para ajustar ainda mais as restrições do modo de usuário, se necessário.

AppLocker

O AppLocker foi introduzido com o Windows 7 e permite que a organização controle quais processos de modo de usuário (aplicativos) podem ser executados em seus sistemas operacionais Windows. As políticas do AppLocker podem ser aplicadas a todos os usuários em um sistema ou a usuários individuais e grupos com regras que podem ser definidas com base em:

• Regras de hash criptográficas
• Regras de certificação de fornecedor
• Regras de caminho

As políticas do AppLocker podem ser criadas em qualquer versão e adições com suporte do Sistema Operacional Windows e podem ser implantadas usando a Política de Grupo, o PowerShell ou uma solução de Gerenciamento de Dispositivos Móveis.

Controle de Aplicativos do Windows Defender

O Windows Defender Application Control (WDAC) foi introduzido com o Windows 10. Ele permite que as organizações controlem quais processos do modo de usuário (aplicativos) e do modo kernel (drivers) podem ser executados em seus sistemas operacionais Windows. As políticas WDAC são aplicadas ao sistema gerenciado como um todo e afetam todos os usuários do dispositivo com regras que podem ser definidas com base em:

• Regras de hash criptográficas
• Regras de certificação de fornecedor
• Regras de Caminho
• Reputação do aplicativo, conforme determinado pelo Gráfico de Segurança Inteligente da Microsoft
• Identidade do processo que iniciou a instalação do aplicativo pelo instalador gerenciado

As políticas do WDAC podem ser criadas em qualquer edição de cliente com suporte do Windows 10, Windows 11 ou no Windows Server 2016 e superior. As políticas do WDAC podem ser implantadas usando a Política de Grupo, uma solução de Gerenciamento de Gerenciamento de Dispositivos Móveis, o Configuration Manager ou o PowerShell.

Devido ao Windows como Serviço da Microsoft permitir o desenvolvimento e a implantação de novos recursos para nossos clientes, alguns recursos do WDAC só estão disponíveis em versões específicas do Windows.

Para obter informações detalhadas sobre o Controle de Aplicativos do Windows Defender e o AppLocker, consulte Disponibilidade de recursos do Controle de Aplicativos do Windows Defender e do AppLocker.

Controle de aplicativo Essential Eight usando o AppLocker para ML1

Use o AppLocker para obter ML1

Quando o administrador está implantando uma política do AppLocker para controle de aplicativo baseado no usuário, as regras a seguir podem ser usadas como uma implementação baseada em caminho de exemplo. Isso inclui as regras, a imposição de regras e a inicialização automática do serviço de identidade do aplicativo.

A sugestão é bloquear (no mínimo) os seguintes caminhos:

• C:\Windows\Temp\*.*
• %USERPROFILE%\AppData\Local\*.*
  • Adicionar exceção para %USERPROFILE%\AppData\Local\Microsoft\WindowsApps
• %USERPROFILE%\AppData\Roaming\*.*

Para obter informações sobre o AppLocker no ML1, consulte os seguintes artigos:

• ACSC - Implementando o Controle de Aplicativos
• Visão geral do AppLocker

Criando a política do AppLocker para alcançar o ML1

As políticas do Microsoft AppLocker podem ser criadas usando vários métodos. A Microsoft recomenda usar o projeto de software livre AaronLocker da Microsoft para ajudar na criação de políticas do AppLocker. O AaronLocker permite a criação e a manutenção de um controle de aplicativos robusto e rigoroso para o AppLocker, da maneira mais fácil e prática possível de usar o serviço de scripts do PowerShell. O AaronLocker foi projetado para restringir a execução de programas e scripts por usuários não administrativos.

Para obter informações detalhadas sobre o Aaronlocker, consulte AaronLocker: controle de aplicativo robusto e prático para Windows.

Implantando a política do AppLocker para obter ML1

O Microsoft AppLocker pode ser implantado usando o Microsoft Intune, a Política de Grupo ou o PowerShell. O método de implantação dependeria da solução de gerenciamento atual da organização.

Para obter informações detalhadas sobre como implantar o App Locker, consulte os seguintes artigos:

• Guia de implantação do AppLocker
• CSP do AppLocker

Monitorando eventos de política do AppLocker

Os eventos relacionados ao Microsoft AppLocker são monitorados por uma solução de gerenciamento de eventos e informações de segurança, como o Microsoft Sentinel. Os eventos também serão monitorados usando as informações de busca avançadas do Microsoft Defender para Ponto de Extremidade.

Microsoft Defender para Ponto de Extremidade: referência do AppLocker

O Microsoft Defender para Ponto de Extremidade captura os seguintes eventos em relação ao Microsoft AppLocker.

Para obter informações detalhadas sobre o Visualizador de Eventos e a Busca avançada, consulte os seguintes artigos:

• Usando o Visualizador de Eventos com o AppLocker
• Consultando eventos do Controle de Aplicativos centralmente usando a busca avançada

Controle de aplicativo Essential Eight usando o WDAC para ML2

A Microsoft está delineando o processo de design, o gerenciamento do ciclo de vida, a implantação e a orientação operacional para atender ao ML2 e ML3 de controle de aplicativo Essential Eight usando o WDAC.

Os clientes com o requisito para Essential Eight Application Control ML1 podem ser obtidos usando o Microsoft AppLocker.

Os pré-requisitos para usar essas diretrizes são necessários:

• Windows 11 22H2 Enterprise
• Usando o Intune para solução de gerenciamento
• Defender para Ponto de Extremidade, para solução de segurança de ponto de extremidade
• Microsoft Sentinel para gerenciamento de eventos e informações de segurança; e
• Permissões apropriadas pelos administradores nas soluções usadas neste documento

O WDAC em Sistemas Operacionais Windows Server não está no escopo deste guia. Diretrizes para o Windows Server devem ser fornecidas em uma versão futura.

Requisitos de licenciamento

O serviço relacionado ao M365 pode ser localizado nas descrições de serviço do Microsoft 365 e do Office 365 para entender os serviços necessários, as propostas de valor e os requisitos de licenciamento:

Descrições de serviços do Microsoft 365 e do Office 365

Para obter informações sobre produtos associados ao WDAC, consulte os seguintes artigos:

• Controle de Aplicativos para Windows
• Microsoft Intune
• Microsoft Azure Sentinel

Introdução ao WDAC

Desenho de políticas

Quando uma organização começa a planejar o WDAC, a consideração das decisões de design molda como isso afeta a implantação da política e a manutenção da política de controle do aplicativo.

O WDAC deverá ser usado como parte das políticas de controle de aplicativo da sua organização se o seguinte for verdadeiro:

• Você implantou ou planeja implantar as versões com suporte do Windows em sua organização
• Você precisa de um controle aprimorado sobre o acesso aos aplicativos da sua organização e os dados de acesso do usuário
• Sua organização tem um processo bem definido para gerenciamento e implantação de aplicativos
• Você tem recursos para testar políticas em relação aos requisitos da organização
• Você tem recursos para envolver o Suporte Técnico ou para criar um processo de autoajuda para problemas de acesso de aplicativos do usuário final
• Os requisitos do grupo para produtividade, capacidade de gerenciamento e segurança podem ser controlados por políticas restritivas

O WDAC incorpora um conceito de 'círculo de confiança'. Cada organização tem uma definição diferente de "círculo de confiança" exclusiva para seus requisitos de negócios. A definição relacionada ao ACSC Essential 8 é o controle ISM 1657 - 'O controle de aplicativos restringe a execução de executáveis, bibliotecas de software, scripts, instaladores, aplicativos HTML compilados, aplicativos HTML e miniaplicativos do painel de controle a um conjunto aprovado pela organização.'

A Microsoft fornece várias políticas de exemplo no formato XML localizadas no Windows em %OSDrive%\Windows\schemas\CodeIntegrity\ExamplePolicies. As políticas de exemplo da Microsoft podem permitir que sua organização inicie com uma política básica existente e adicione ou remova regras para criar políticas personalizadas, se necessário.

Para obter mais informações sobre o design de políticas, consulte os seguintes artigos:

• Documentação do Microsoft Intune
• Exemplo de políticas base de Controle de Aplicativos do Windows Defender

Formatos da política

O WDAC dá suporte a dois formatos de política:

• Formato de política única: o formato de política original lançado com o Windows 10 RTM e o Windows Server 2016. O formato de política única suporta apenas uma única política ativa em um sistema a qualquer momento

• Formato de política múltipla (recomendado): esse formato de política tem suporte no Windows 10 1903+, no Windows 11 e no Windows Server 2022. Um formato de política múltipla permite mais flexibilidade para implantar o Windows Defender Application Control e dá suporte a até 32 políticas ativas em um dispositivo. Além disso, permite os seguintes cenários:

  • Impor e auditar lado a lado: para validar as alterações de política antes de implantar a aplicação. Os usuários podem implantar a política básica do modo de auditoria lado a lado com uma política baseada no modo de imposição existente
  • Várias políticas básicas: os usuários podem impor duas ou mais políticas básicas simultaneamente
  • Políticas complementares: os usuários podem implantar uma ou mais políticas complementares para expandir uma política básica. Você pode usar políticas complementares para diferentes personas em sua organização, por exemplo, RH e TI

A Microsoft recomenda o uso de vários formatos de política e usar apenas um único formato de política para cenários bem definidos ou em que vários formatos de política não são possíveis, como o Windows Server 2016 e o Windows Server 2019.

Para obter informações detalhadas sobre as políticas de controle do WDAC, consulte Usar várias políticas de controle de aplicativos do Windows Defender.

Regras de política e regras de arquivo

O WDAC contém dois conceitos que são:

• Regras de política do WDAC: as regras de política do WDAC especificam configurações como Modo de Auditoria, instalador gerenciado, Imposição de Script, Políticas de Suplemento (Formato de Política Múltipla), inteligência Reputation-Based (Autorização ISG/Controle Inteligente de Aplicativos) e talvez outras. As regras de política também determinam se o WDAC para binários no modo kernel e no modo de usuário
• Regras de arquivo WDAC: as regras de arquivo WDAC especificam a autorização e a reautorização para execução no Windows. As regras de arquivo dão suporte às regras de Hash, Nome do Arquivo, Caminho do Arquivo e Editor permitem que um cliente defina um conjunto de aplicativos permitidos aprovados pela organização. A regra primeiro processa todas as regras de negação explícitas que encontra e, em seguida, processa todas as regras de permissão explícitas. Se nenhuma regra de negação ou permissão existir, o WDAC verificará o instalador gerenciado. Por fim, se nenhum desses conjuntos existir, WDAC recorrerá à inteligência Reputation-Based

Para obter informações detalhadas sobre regras de política e regras de arquivo, consulte o seguinte artigo:

• Entender as regras de arquivos e políticas do Windows Defender WDAC (Controle de Aplicativos)

Criação de política

Há duas maneiras principais de criar uma Política WDAC usando o PowerShell ou o Assistente do WDAC:

• PowerShell: as políticas WDAC são criadas usando cmdlets de integridade de código configuráveis no PowerShell. O PowerShell permite que um profissional de TI automatize a verificação do sistema de políticas do WDAC, o que gera um XML de política. O PowerShell pode ser usado para mesclar XMLs de política, definir regras de política e adicionar outras regras de arquivo de política, se necessário Os Cmdlets de Integridade de Código Configuráveis também podem ser usados para modificar as políticas de exemplo do WDAC para atender aos requisitos da sua organização.
• Assistente de Controle de Aplicativos do Windows Defender (recomendado): o assistente de política do WDAC é um aplicativo da área de trabalho do Windows de software livre escrito em C# e empacotado como um pacote MSIX. Ele foi criado para fornecer segurança aos arquitetos de segurança e aos administradores de sistema um meio mais amigável de criar, editar e mesclar políticas de controle de aplicativos. Essa ferramenta usa os cmdlets Config CI do PowerShell no back-end, portanto, a política de saída da ferramenta e dos cmdlets do PowerShell é idêntica

Para obter informações detalhadas sobre a criação de políticas, consulte os seguintes artigos:

• Criar uma política WDAC usando um computador de referência
• Assistente de Controle de Aplicativos do Windows Defender
• ConfigCI
• Assistente de Política do WDAC

A Microsoft recomenda o uso do Assistente de Controle de Aplicativos do Windows Defender para implementar o Essential Eight para Controle de Aplicativos. Como alternativa, o PowerShell pode ser usado por organizações com requisitos avançados em um modelo operacional de DevOps usando as políticas de exemplo como base ou que desejam criar uma política para cenários bem definidos a partir de um sistema de referência.

Ciclo de vida da política

Antes de uma organização começar a implementar uma solução de controle de aplicativos, você deve considerar como suas políticas são gerenciadas e mantidas ao longo do tempo. A maioria das políticas do WDAC evolui ao longo do tempo e continua por um conjunto de fases identificáveis durante sua vida útil. Essas fases incluem:

1. Defina a política e crie uma versão de modo de auditoria do XML da política. No modo de auditoria, os eventos de bloqueio são gerados, mas os arquivos não são impedidos de executar
2. Implantar a política de modo de auditoria para os sistemas pretendidos
3. Monitore eventos de bloqueio de auditoria dos sistemas pretendidos e refine as regras conforme necessário para resolver bloqueios inesperados/indesejados
4. Repita essas etapas até que os eventos de bloqueio restantes atendam às suas expectativas enquanto estiverem dentro da auditoria
5. Gere a versão do modo de imposição da política. No modo de imposição, os arquivos que não são definidos como permitidos pela política são impedidos de serem executados e os eventos de bloco correspondentes são gerados
6. Implante a política do modo impor nos sistemas pretendidos
7. Repita todas essas etapas continuamente para corrigir quaisquer ações de bloqueio inesperadas/indesejadas

Para gerenciar efetivamente as políticas do WDAC, você deve armazenar e manter seus documentos XML de política em um repositório central. A Microsoft recomenda uma solução de controle do código-fonte, como o GitHub, ou uma solução de gerenciamento de documentos, como o SharePoint, que fornece controle de versão.

• Planejar o gerenciamento da política de ciclo de vida do Controle de Aplicativos do Windows Defender

Pré-requisitos do WDAC para o instalador gerenciado

Esta seção destina-se a fornecer orientação ao cliente sobre os requisitos de configuração do instalador gerenciado do WDAC usando o PowerShell e o Microsoft Intune.

• Examinar automaticamente a proteção contra ameaças do Windows Permitir aplicativos implantados por um instalador gerenciado com o Windows Defender Application Control (/windows/security/threat-protection/windows-defender-application-control/configure-authorized-apps-deployed-with-a-managed-installer)

• Crie um script do PowerShell que conclua o seguinte:
  • Armazenar o XML do AppLocker
  • Exportar o XML do AppLocker
  • Definir política do AppLocker
  • Iniciar o serviço AppLocker

Veja a seguir um exemplo de script que pode ser implantado usando a extensão de gerenciamento do Intune - scripts do PowerShell:

$ScriptDir = Split-Path $script:MyInvocation.MyCommand.Path

$AppLockerMIPolicy = 
@"
<AppLockerPolicy Version="1">
<RuleCollection Type="ManagedInstaller" EnforcementMode="Enabled">
  <FilePublisherRule Id="55932f09-04b8-44ec-8e2d-3fc736500c56" Name="MICROSOFT.MANAGEMENT.SERVICES.INTUNEWINDOWSAGENT.EXE version 1.39.200.2 or greater in MICROSOFT® INTUNE™ from O=MICROSOFT CORPORATION, L=REDMOND, S=WASHINGTON, C=US" Description="" UserOrGroupSid="S-1-1-0" Action="Allow">
    <Conditions>
        <FilePublisherCondition PublisherName="O=MICROSOFT CORPORATION, L=REDMOND, S=WASHINGTON, C=US" ProductName="*" BinaryName="MICROSOFT.MANAGEMENT.SERVICES.INTUNEWINDOWSAGENT.EXE">
          <BinaryVersionRange LowSection="1.39.200.2" HighSection="*" />
        </FilePublisherCondition>
  </Conditions>
  </FilePublisherRule>
  <FilePublisherRule Id="6ead5a35-5bac-4fe4-a0a4-be8885012f87" Name="CMM - CCMEXEC.EXE, 5.0.0.0+, Microsoft signed" Description="" UserOrGroupSid="S-1-1-0" Action="Allow">
    <Conditions>
      <FilePublisherCondition PublisherName="O=MICROSOFT CORPORATION, L=REDMOND, S=WASHINGTON, C=US" ProductName="*" BinaryName="CCMEXEC.EXE">
        <BinaryVersionRange LowSection="5.0.0.0" HighSection="*" />
      </FilePublisherCondition>
    </Conditions>
  </FilePublisherRule>
  <FilePublisherRule Id="8e23170d-e0b7-4711-b6d0-d208c960f30e" Name="CCM - CCMSETUP.EXE, 5.0.0.0+, Microsoft signed" Description="" UserOrGroupSid="S-1-1-0" Action="Allow">
    <Conditions>
      <FilePublisherCondition PublisherName="O=MICROSOFT CORPORATION, L=REDMOND, S=WASHINGTON, C=US" ProductName="*" BinaryName="CCMSETUP.EXE">
        <BinaryVersionRange LowSection="5.0.0.0" HighSection="*" />
        </FilePublisherCondition>
      </Conditions>
    </FilePublisherRule>
  </RuleCollection> 
</AppLockerPolicy>
"@

$AppLockerMIPolicy | Out-File -FilePath $ScriptDir\AppLockerMIPolixy.xml
Set-AppLockerPolicy -XmlPolicy $ScriptDir\AppLockerMIPolixy.xml -Merge -ErrorAction SilentlyContinue
Start-Process -FilePath "$env:windir\System32\appidtel.exe" -ArgumentList "start -mionly" | Wait-Process
Remove-Item -Path $ScriptDir\AppLockerMIPolixy.xml

Instalador gerenciado do WDAC

Visão Geral

O recurso do WDAC chamado de instalador gerenciado permite que uma organização equilibre a segurança e a capacidade de gerenciamento ao impor políticas de controle de aplicativos. Isso permite que os aplicativos sejam instalados por uma solução de distribuição de software, como o Microsoft Configuration Manager ou o Intune.

Um equívoco comum é configurar a regra do "instalador gerenciado" dentro da política do WDAC é a única etapa necessária. Isso está incorreto e outra configuração do AppLocker é necessária para que esse recurso funcione.

O instalador gerenciado usa uma coleção de regras no AppLocker para designar binários que sua organização confia para a instalação do aplicativo. O Windows monitora o processo do binário configurado e todos os processos filho que ele inicia enquanto monitora os arquivos associados que estão sendo gravados no disco. Esses arquivos são marcados como originários de um instalador gerenciado, portanto, podem ser executados.

Implantação do instalador gerenciado

A criação de política do AppLocker na edição do GPO e os cmdlets do PowerShell do AppLocker não podem ser usados diretamente para criar regras para a coleção de instaladores gerenciados. Você precisa usar o VS Code ou outra ferramenta de edição para criar uma coleção de regras do instalador gerenciado.

O Provedor de Serviços de Configuração do AppLocker (CSP) atualmente não dá suporte ao tipo de coleção de regras do instalador gerenciado, portanto, a política do AppLocker deve ser inserida usando o PowerShell para Microsoft Intune.

Como o recurso "Script Enforcement" do Windows Defender Application Control é necessário para atender ao ISM-1657, a imposição de script é necessária para controlar o PowerShell, VBscript, cscript, cscript, HSMTA e MSXML. O script do PowerShell para configurar o 'instalador gerenciado' precisa estar dentro da regra de política de arquivo WDAC usando Hash ou Publisher.

A Microsoft recomenda a configuração do instalador gerenciado para o Microsoft Intune. O Intune permite o gerenciamento robusto de aplicativos empacotados usando o Microsoft Intune sem a necessidade de atualizar frequentemente uma política de controle de aplicativos do Windows Defender.

Implantação do script do PowerShell para o instalador gerenciado

A implantação desse script de configuração para o instalador gerenciado pode ser obtida de duas maneiras usando o Microsoft Intune, dependendo do cenário:

• Hash: o hash do script precisaria ser conhecido na Política de Arquivo do WDAC, empacotado e implantado usando a Ferramenta de Preparação de Conteúdo do Microsoft Win32 ou o recurso de Script do PowerShell no Microsoft Intune.
• Assinado por código (Editor): o script do PowerShell foi assinado por uma autoridade confiável e conhecido com a política de arquivo do WDAC, empacotado e implantado usando a ferramenta de preparação de conteúdo do Microsoft Win32 ou o recurso de script do PowerShell no Microsoft Intune.

Para obter informações detalhadas sobre a implantação de scripts do PowerShell, consulte os seguintes artigos:

• Permitir automaticamente aplicativos implantados por um instalador gerenciado com o Controle de Aplicativos do Windows Defender
• CSP do AppLocker
• Imposição de script com Controle de Aplicativos do Windows Defender (WDAC)
• Gerenciamento de aplicativos Win32 no Microsoft Intune
• Use scripts do PowerShell em dispositivos Windows 10/11 no Intune

Criação de política de auditoria do WDAC

Criar uma política de auditoria

Com as opções compreendidas e as decisões de design tomadas, a organização é capaz de criar a primeira política de auditoria usando o Assistente de Controle de Aplicativos do Windows Defender:

1. Abra o Assistente de Controle de Aplicativos do Windows Defender e selecione "Criador de Políticas".

2. No Criador de Políticas, selecione Formato de Política Múltipla e Política Base e, em seguida, selecione Avançar.

3. Dentro do Modelo de Política, você verá três opções:

   • O modo padrão do Windows inclui o sistema operacional Windows, aplicativos da Store, Microsoft 365 Apps para empresas (Office 365 Pro Plus) e drivers de kernel assinados com WHQL.
   • Permitir que o Modo Microsoft inclui todas as seções do Modo Padrão do Windows e Todos os aplicativos assinados pela Microsoft.
   • O Modo Assinado e Confiável inclui todas as seções anteriores e inteligência Reputation-Based.

4. Selecione o modo padrão do Windows ou Permitir o modo Microsoft , dependendo dos requisitos da sua organização. Para este documento, a Microsoft está usando Permitir o Modo Microsoft.
5. Modifique o Nome e o Local da Política para o Nome da Política desejado e o Local do Arquivo de Política para armazenar o arquivo e selecione Avançar.

• A Imposição de Script Desabilitada definida como "Desabilitada" é necessária para o ISM 1657 e 1658 para controlar Scripts, Aplicativos HTML e HTML Compatíveis.
• O Gráfico de Segurança Inteligente definido como "Desabilitado" é necessário para o ISM 1657, 1658 e 1582.
• Recomenda-se que o instalador gerenciado seja "Habilitado" para auxiliar uma organização com o ciclo de vida da política do WDAC.
• A integridade do código do modo de usuário é necessária para que as políticas do WDAC se apliquem a binários do modo kernel e do modo de usuário.
• Permitir políticas suplementares é necessário para usar o formato de várias políticas para ajudar uma organização com o ciclo de vida da política do WDAC.

6. Nas Regras de Assinatura, o administrador pode ver todos os certificados da Microsoft que foram adicionados como Regras de Permissão do Editor. Abordaremos Adicionar Regra Personalizada mais adiante neste artigo.
7. Selecione Avançar.

O Assistente de Controle de Aplicativos do Windows Defender gera:

• XML da política
• {GUID}. CIP

Informações detalhadas sobre o WDAC – Regras de Política podem ser encontradas aqui.

A política do WDAC foi criada com êxito.

XML da política

Como a organização criou a política do WDAC usando o Assistente do WDAC, a organização pode exibir o contexto desse arquivo em um editor de texto. O XML é dividido em várias seções diferentes, para o contexto do Essential Eight, anote o PolicyID e o BasePolicyID.

Implantação de política de auditoria do WDAC

Implantar a política de auditoria do WDAC por meio do Intune

Agora que a organização criou uma política de auditoria, é hora de implantá-la usando o gerenciamento de dispositivos do Intune.

1. Entre no centro de administração do Intune.
2. No Centro de administração do Intune, acesse Dispositivos e, em seguida, Perfis de configuração.
3. Em seguida, crie uma plataforma de perfil>– Windows 10 ou posterior, modelos de tipo de perfil e personalizados.
4. Crie um nome para a política (por exemplo, 'Controle de Aplicativos – Permitir da Microsoft — Auditoria') e selecione Avançar.
5. Em Configurações do OMA-URI, selecione Adicionar.

6. Quando o Assistente de Controle de Aplicativos do Windows Defender gerou o XML de política, ele também criou um (GUID). arquivo CIP. O arquivo CIP precisa ser copiado e renomeado para . BIN, por exemplo, {CB46B243-C19C-4870-B098-A2080923755C}.bin.
7. Carregue o BIN em Base64 (Arquivo).
8. Selecione Salvar.
9. Siga as instruções para criar o perfil de configuração.
10. Implante a política que você criou, por exemplo, 'Controle de Aplicativos - Microsoft Permitir - Auditoria', perfil de configuração no sistema pretendido.

WDAC – monitoramento de políticas de auditoria

Seguindo o ciclo de vida da política do WDAC, a organização precisa examinar os eventos gerados pela política "Permitir Auditoria da Microsoft". O monitoramento de políticas de auditoria do WDAC pode ser obtido com dois métodos:

• IDs de evento de controle de aplicativo: Controle de aplicativo As IDs de evento são o método tradicional de revisar eventos auditados em um sistema operacional Windows. Essas IDs de eventos podem ser encaminhadas para um local centralizado usando o Encaminhamento de Log de Eventos do Windows ou informações de segurança de terceiros e gerenciamento de eventos.

Para obter informações sobre IDs de eventos, consulte Noções básicas sobre IDs de eventos do Controle de Aplicativos - Segurança do Windows.

• Microsoft Defender para Ponto de Extremidade (recomendado): os eventos relacionados ao Windows Defender para Ponto de Extremidade e AppLocker são capturados na Busca Avançada para o Microsoft Defender para Ponto de Extremidade. As informações incluídas nos eventos são Device, FileName, FolderPath, InitiatingProcessFileName, File Hashes e muito mais. Confira: Consultar eventos de Controle de Aplicativos com a Busca Avançada (Windows) – Segurança do Windows

A Microsoft recomenda usar a integração do Microsoft Defender XDR (MDPE) ao Microsoft Sentinel. O MDPE e o Sentinel permitem que os dados de telemetria de Busca Avançada sejam armazenados por mais de 30 dias, em comparação com o Microsoft Defender para Ponto de Extremidade.

Para obter informações detalhadas sobre conexões e monitoramento, consulte os seguintes artigos:

• Conectar dados do Microsoft Defender XDR ao Microsoft Sentinel
• Agente do Azure Monitor em dispositivos cliente Windows
• Coletar eventos e contadores de desempenho de máquinas virtuais com o Agente do Azure Monitor

Monitorando o WDAC com o Microsoft Defender para Ponto de Extremidade

O exemplo a seguir demonstra que um usuário tem vários aplicativos usados para as tarefas diárias de uma organização. O exemplo contém aplicativos da Microsoft e vários aplicativos de código aberto.

Como o exemplo está no modo de auditoria de imposição, pode ser visto pelo administrador (mas não afeta o usuário) que os eventos foram disparados para WinSCP, VLC, Putty e FileZilla, uma vez que esses aplicativos não fazem parte da política de auditoria inicial.

Agora, usando o portal do Microsoft Defender, insira Busca Avançada para restringir os eventos de auditoria e entender quais bloqueios inesperados/indesejados ocorreriam se o modo de auditoria fosse desabilitado e, portanto, transformado no modo impor neste exemplo.

Usando o esquema de referência da página anterior, procure todos os eventos de Auditoria de Política disparados pelo WDAC nos últimos sete dias e apresente informações relevantes usando o exemplo de consulta KQL (Linguagem de Consulta de Teclado):

DeviceEvents 
| where ActionType startswith "AppControlCodeIntegrityPolicyAudited"
| where Timestamp > ago(7d)
| project DeviceId,                                  // The device ID where the audit block happened
    FileName,                                        // The audit blocked app's filename
    FolderPath,                                      // The audit blocked app's system path without the FileName
    InitiatingProcessFileName,                       // The file name of the parent process loading the executable
    InitiatingProcessVersionInfoCompanyName,         // The company name of the parent process loading the executable
    InitiatingProcessVersionInfoOriginalFileName,    // The original file name of the parent process loading the executable
    InitiatingProcessVersionInfoProductName,         // The product name of the parent process loading the executable
    InitiatingProcessSHA256,                         // The SHA256 flat hash of the parent process loading the executable
    Timestamp,                                       // The event creation timestamp
    ReportId,                                        // The report ID - randomly generated by MDE AH
    InitiatingProcessVersionInfoProductVersion,      // The product version of the parent process loading the executable
    InitiatingProcessVersionInfoFileDescription,     // The file description of the parent process loading the executable
    AdditionalFields                                 // Additional fields contains FQBN for signed binaries.  These contain the CN of the leaf certificate, product name, original filename and version of the audited binary

Aqui está um exemplo de uma saída usando a consulta KQL anterior.

Nos registros, há um relatório detalhado de informações, como a Árvore de Processos, o Caminho do Arquivo, as Informações SHA, as Informações do Signatário e as Informações do Emissor.

O próximo passo é restringir os resultados.

Usando a mesma consulta KQL, adicione outro campo em que o Nome do arquivo de processo inicial seja Windows Explorer. A consulta KQL exibe os aplicativos executados pelos usuários na GUI.

 DeviceEvents 
| where ActionType startswith "AppControlCodeIntegrityPolicyAudited"
| where Timestamp > ago(7d)
| where InitiatingProcessFileName startswith "explorer.exe" // Users starting an Application via File Explorer / GUI
| project DeviceId,                                  // The device ID where the audit block happened
    FileName,                                        // The audit blocked app's filename
    FolderPath,                                      // The audit blocked app's system path without the FileName
    InitiatingProcessFileName,                       // The file name of the parent process loading the executable
    InitiatingProcessVersionInfoCompanyName,         // The company name of the parent process loading the executable
    InitiatingProcessVersionInfoOriginalFileName,    // The original file name of the parent process loading the executable
    InitiatingProcessVersionInfoProductName,         // The product name of the parent process loading the executable
    InitiatingProcessSHA256,                         // The SHA256 flat hash of the parent process loading the executable
    Timestamp,                                       // The event creation timestamp
    ReportId,                                        // The report ID - randomly generated by MDE AH
    InitiatingProcessVersionInfoProductVersion,      // The product version of the parent process loading the executable
    InitiatingProcessVersionInfoFileDescription,     // The file description of the parent process loading the executable
    AdditionalFields                                 // Additional fields contains FQBN for signed binaries.  These contain the CN of the leaf certificate, product name, original filename and version of the audited binary

Aqui está um exemplo de uma saída usando a consulta KQL anterior.

A ação de consulta KQL agora restringiu as informações a um conjunto de dados mais gerenciado. O que pode ser visto são os aplicativos que estão sendo usados pelos sistemas pretendidos. Esses aplicativos precisam ser adicionados à política da organização ou considerados como adicionados por meio do controle de alterações organizacionais.

WDAC – atualizar política de auditoria

Atualizar a política de auditoria usando o Microsoft Defender para Ponto de Extremidade e o assistente do WDAC

Com uma redução de nossos resultados de pesquisa usando KQL, a próxima etapa é atualizar a política básica do WDAC ou usar uma política de suplemento. O próximo exemplo usa políticas de suplemento.

1. Abra o Assistente de Controle de Aplicativos do Windows Defender e selecione Criador de Políticas.

2. Em Criador de Política, selecione Formato de Política Múltipla e Política Suplementar, navegue até sua política base, atualize o local para salvar sua Política Complementar e selecione Avançar.

3. Selecione Avançar dentro das Regras de Política.

4. Em Regras de assinatura de política , selecione Regra personalizada.

5. Nas Condições de Regra Personalizada, muitas opções estão disponíveis:

   • Escopo da Regra Modo de Usuário Regra / Regra do Modo Kernel
   • Ação de regra: permitir/negar
   • Tipo de Regra
     • Publisher (recomendado)
     • Arquivo
     • File Attribute
     • Aplicativo empacotado
     • Hash
   • Arquivo de referência

Usando o Microsoft Defender para Ponto de Extremidade

1. Pesquisar nome do arquivo em Pesquisar e navegue até as informações do arquivo e baixe o arquivo.
2. Inspecione o registro diretamente da Busca Avançada e baixe o arquivo que, em seguida, baixa os binários necessários.
3. Com os binários necessários, continue criando outra política para os aplicativos ISV da sua organização.
4. No Assistente de Controle de Aplicativos do Windows Defender, selecione o Tipo de Regra desejado e navegue até os binários de referência da etapa anterior. O exemplo a seguir demonstra que o VLC atende às informações necessárias do editor.

5. Pressione Avançar e Criar.
6. Implante esta Política de Suplemento usando as etapas descritas anteriormente na seção "Implantar a Política de Auditoria do Controle de Aplicativos do Windows Defender por meio do Microsoft Intune".

WDAC – Alternar para impor política

Para alternar para impor a política:

1. Abra o Assistente de Controle de Aplicativos do Windows Defender e selecione Editor de Políticas.

2. Navegue até o XML de Política que deve ser alterado para imposto.

3. Desabilite a opção Modo de Auditoria nas Regras de Política.

4. Selecione Avançar dentro das Regras de Política.

5. Uma Política de Atualização é criada com um número de versão alterado e um novo arquivo CIP foi criado.

6. No Centro de Administração do Microsoft Endpoint Manager, acesse Dispositivos e, em seguida, Perfis de configuração.

7. Em seguida, crie um Perfil, Plataforma – Windows 10 ou posterior, Modelos de tipo de perfil e Personalizado.

8. Crie um nome para a política, por exemplo, Controle de Aplicativo – Impor Política e selecione Avançar.

9. Em Configurações do OMA-URI, selecione Adicionar.

   Observação

   Essas informações dependem da ID da Política gerada a partir do Assistente de Controle de Aplicativos do Windows Defender para o XML de política criado a partir da seção de criação de auditoria acima.
   
   - Nome = Permitir Impor da Microsoft
   - OMA-URL = ./Vendor/MSFT/ApplicationControl/Policies/CB46B243-C19C-4870-B098-A2080923755C/Policy
   - Tipo de dados = base64 (arquivo)

10. Quando o Assistente de Controle de Aplicativos do Windows Defender gerou o XML de política, ele também criou um (GUID). Arquivo CIP. A próxima etapa é copiar esse arquivo CIP e renomear a extensão de arquivo para . BIN, por exemplo, {CB46B243-C19C-4870-B098-A2080923755C}.bin.

11. Carregue o BIN em Base64 (Arquivo).

12. Selecione Salvar.

13. Siga as instruções para criar o perfil de configuração.

14. Implantar Controle de Aplicativos – Impor Perfil de Configuração de Política ao sistema pretendido.

    Observação

    O administrador precisa excluir o Aplicativo – Política de Auditoria criado anteriormente do sistema pretendido que está sendo alternado para impor