Configurar o controle de dispositivo no Microsoft Defender para Ponto de Extremidade

O controle de dispositivos no Microsoft Defender para Ponto de Extremidade ajuda as equipes de segurança a gerenciar o acesso a armazenamento removível, impressoras e outros dispositivos periféricos em dispositivos Windows. Este artigo descreve como habilitar e configurar o controle de dispositivos.

Configurar controle de dispositivo no Microsoft Intune

O Microsoft Intune é a ferramenta recomendada para configurar e distribuir os recursos do Defender para Ponto de Extremidade aos dispositivos. No entanto, o Intune é um produto separado que não faz parte do Defender para Endpoint e não está incluído em todas as assinaturas. Para usar o Intune, você precisa de uma assinatura que a inclua ou pode comprá-la separadamente como uma assinatura autônoma ou complemento. Se você não tiver o Intune, poderá usar qualquer um dos outros métodos neste artigo. Para obter mais informações, confira Licenciamento do Microsoft Intune.

Visualize grupos de controle de dispositivos no Intune

No Intune, os grupos de controle de dispositivos aparecem como configurações reutilizáveis.

1. Na página Segurança de ponto de extremidade | Visão geral no centro de administração do Microsoft Intune em https://intune.microsoft.com/#view/Microsoft_Intune_Workflows/SecurityManagementMenu/~/overview, vá para Gerenciar>Redução da superfície de ataque.
2. Na página de Segurança do Endpoint | Redução da superfície de ataque , selecione a aba de configurações Reutilizáveis .

Configure o controle de dispositivos no Intune usando políticas de segurança de endpoint

Para configurar o controle de dispositivos no Microsoft Intune, utilize uma política de redução de superfície de ataque de segurança em pontos de extremidade. Para instruções detalhadas, veja Criar políticas de segurança para endpoints ou Modificar políticas existentes (links abrem novas abas na documentação do Intune).

Ao criar a política, use estas configurações específicas:

• Tipo de política: Acesse Gerenciar>Redução da superfície de ataque na página Segurança do endpoint | Visão geral em https://intune.microsoft.com/#view/Microsoft_Intune_Workflows/SecurityManagementMenu/~/overview, e depois selecione Criar política.
• Plataforma: Selecione Windows. Atualmente, o perfil de Controle de Dispositivos não é compatível com dispositivos Windows Server gerenciados pelo Defender para gerenciamento de configurações de segurança de pontos de extremidade, embora a opção Esta política se aplique a exiba o Windows Server.
• Perfil: Selecione Controle de Dispositivos.

Ao criar ou modificar a política, use estas configurações específicas na aba Configurações de configuração :

• Seção Defender: Consulte as configurações de Permitir verificação completa de unidades removíveis.

• Seção de Controle de Dispositivos : Configure políticas personalizadas com configurações reutilizáveis. Cada linha desta seção representa uma política de controle de dispositivo. O nome da política aparece em notificações para usuários, busca avançada e relatórios.

  Selecione Adicionar para adicionar uma política. Defina as seguintes configurações:

  • Nome: introduza um nome exclusivo.
  • ID incluído: Selecione as configurações reutilizáveis às quais a política se aplica.
  • ID excluído: Selecione as configurações reutilizáveis que a política exclui.
  • Tipo, Opções e Máscara de Acesso: Configure a ação, notificação ao usuário e comportamento do evento, e permissões permitidas.

  

  Para informações sobre como adicionar grupos reutilizáveis de configurações a uma política, veja Adicionar grupos reutilizáveis a um perfil de Controle de Dispositivo. Para informações sobre regras de controle de dispositivos, veja Visão geral de controle de dispositivos: Regras.

  Adicione uma política de Permitir ou Negar quando adicionar uma política de auditoria para evitar resultados inesperados.

  Importante

  Se você configurar apenas políticas de auditoria, as permissões serão herdadas da configuração padrão de imposição.

  O Intune não preserva a ordem das políticas mostrada na interface do usuário para aplicação de políticas. Use políticas de Permitir e Negar que não se intersectam adicionando explicitamente dispositivos a serem excluídos. Você não pode alterar a configuração padrão de imposição na interface gráfica do Intune. Se você alterar a imposição padrão para Deny usando outro método e criar uma política Allow para dispositivos específicos, todos os outros dispositivos serão bloqueados.

• Restrições de instalação do dispositivo: consulte Configurações de instalação do dispositivo .

• Acesso ao armazenamento removível: consulte Configurações de acesso ao armazenamento removível .

• Proteção de dados: consulte Permitir configurações de acesso direto à memória .

• Dma Guard: consulte as configurações de Política de Enumeração de Dispositivos.

• Armazenamento: Consulte as configurações de Negar acesso de gravação ao disco removível.

• Conectividade: Veja Permitir conexão USB e Permitir configurações Bluetooth .

• Bluetooth: Configure configurações relacionadas a conexões e serviços Bluetooth. Consulte a Política CSP – Bluetooth.

• Sistema: Consulte Permitir configurações do cartão de armazenamento .

Configure o controle de dispositivos no Intune usando perfis personalizados com OMA-URIs e CSPs

Embora políticas de segurança para endpoints sejam recomendadas, você também pode configurar o controle de dispositivos no Intune usando perfis personalizados que contenham configurações do Open Mobile Alliance Uniform Resource Identifier (OMA-URI) do provedor de serviço de configuração (CSP) do Defender.

Para instruções para criar e atribuir um perfil personalizado, veja Usar configurações personalizadas de dispositivo no Microsoft Intune. Para obter informações sobre os campos OMA-URI nos perfis personalizados do Windows, consulte Adicionar configurações personalizadas para dispositivos Windows no Microsoft Intune.

Ao criar a política, use estas configurações específicas:

• Plataforma: Selecione Windows 10 e posterior.
• Tipo de perfil: Selecione Templates e depois selecione Personalizado.

Ao criar ou modificar a política, adicione uma linha para cada configuração na aba de configurações de configuração . Use os seguintes valores de OMA-URI para as configurações de controle do dispositivo:

• Aplicação padrão do controle de dispositivos: Estabelece quais decisões são tomadas durante as verificações de acesso ao controle de dispositivos quando nenhuma das regras de política corresponde.
  • OMA-URI: ./Vendor/MSFT/Defender/Configuration/DefaultEnforcement
  • Tipo de dados: Inteiro
  • Valores:
    • DefaultEnforcementAllow = 1
    • DefaultEnforcementDeny = 2
• Tipos de dispositivos: Especifica os tipos de dispositivos, identificados por seus IDs primários, que têm a proteção de controle de dispositivo ativada. Separe vários IDs de famílias de produtos com uma barra vertical (|), sem espaços.
  • OMA-URI: ./Vendor/MSFT/Defender/Configuration/SecuredDevicesConfiguration
  • Tipo de dados: cadeia de caracteres
  • Valores:
    • RemovableMediaDevices
    • CdRomDevices
    • WpdDevices
    • PrinterDevices
• Habilitar o controle do dispositivo: Ativa ou desativa o controle do dispositivo no dispositivo.
  • OMA-URI: ./Vendor/MSFT/Defender/Configuration/DeviceControlEnabled
  • Tipo de dados: Inteiro
  • Valores:
    • Desabilitar = 0
    • Habilitar = 1

Crie políticas com OMA-URI

Ao criar políticas com OMA-URI no Intune, crie um arquivo XML para cada política. Como melhor prática, use o perfil de Controle de Dispositivo para criar políticas personalizadas.

No painel Adicionar Linha , especifique as seguintes configurações:

• No campo Nome , digite Allow Read Activity.
• No campo OMA-URI , digite ./Vendor/MSFT/Defender/Configuration/DeviceControl/PolicyRules/%7b[PolicyRule Id]%7d/RuleData. Use o comando New-Guid PowerShell para gerar o GUID que substitui [PolicyRule Id]. Use o mesmo GUID para o valor PolicyRule Id no arquivo XML da política.
• No campo Tipo de Dados , selecione Cadeia de Caracteres (arquivo XML) e use XML Personalizado.

Você pode usar parâmetros para definir condições para entradas específicas. Para um exemplo, veja o arquivo XML da política de Permitir Leitura para armazenamento removível.

Crie grupos com OMA-URI

Ao criar grupos com OMA-URI no Intune, crie um arquivo XML para cada grupo. Como prática recomendada, use configurações reutilizáveis para definir grupos.

No painel Adicionar Linha , especifique as seguintes configurações:

• No campo Nome , digite Any Removable Storage Group.
• No campo OMA-URI , digite ./Vendor/MSFT/Defender/Configuration/DeviceControl/PolicyGroups/%7b[GroupId]%7d/GroupData. Use o comando New-Guid PowerShell para gerar o GUID que substitui [GroupId]. Use o mesmo GUID para o valor Id do grupo no arquivo XML do grupo.
• No campo Tipo de Dados , selecione Cadeia de Caracteres (arquivo XML) e use XML Personalizado.

Configurar o controle de dispositivos no portal do Microsoft Defender

Se sua organização gerencia políticas de segurança de endpoints no portal Microsoft Defender, você pode configurar o controle de dispositivos com as mesmas políticas de segurança de endpoint que o Intune utiliza.

Para instruções detalhadas, veja Criar uma política de segurança para endpoints ou Editar uma política de segurança para endpoint (links abrem novas abas).

Ao criar a política na guia Windows policies da página Endpoint security policies no portal do Defender em https://security.microsoft.com/policy-inventory?osPlatform=Windows, use estas configurações específicas:

• Selecionar plataforma: Selecione Windows.
• Selecione o modelo: Selecione controle de dispositivo.

Ao criar ou modificar a política, use as mesmas configurações descritas em Configurar controle de dispositivo no Intune usando políticas de segurança de endpoint na aba Configurações de configuração.

Configurar controle de dispositivo na Estratégia de Grupo

Para configurar as configurações de controle de dispositivos na Estratégia de Grupo, siga estes passos:

1. Na Política de Grupo Centralizada, abra o Console de Gerenciamento de Política de Grupo (GPMC) no computador de gerenciamento da Política de Grupo.

2. Na árvore do console GPMC, expanda Objetos de Política de Grupo na floresta e no domínio onde está o Objeto de Política de Grupo (GPO) que você deseja editar.

3. Clique com o botão direito do rato no GPO e, em seguida, selecione Editar.

4. No Editor de Gerenciamento de Política de Grupo, acesse Configuração do Computador>Modelos Administrativos>Componentes do Windows>Microsoft Defender Antivírus.

5. As configurações de controle do dispositivo estão disponíveis nos seguintes locais:

   • Recursos:
     • Controle do Dispositivo
   • Controle do Dispositivo:
     • Selecionar Política Padrão de Imposição do Controle de Dispositivo
     • Ative o controle de dispositivos para tipos específicos de dispositivos
     • Defina grupos de políticas de controle de dispositivo
     • Defina regras de política de controle de dispositivo

   Para abrir e definir uma configuração, use qualquer um dos seguintes métodos:

   • Clique duas vezes na configuração.
   • Clique com o botão direito do mouse na configuração e selecione Editar.
   • Selecione a configuração e, em seguida, selecioneEditar Ação>.

Habilitar o controle de dispositivo na Estratégia de Grupo

Para habilitar o controle de acesso ao armazenamento removível, siga estes passos:

1. Na árvore de políticas do Antivírus Microsoft Defender, selecione Recursos.

2. No painel de detalhes de Recursos, abra a configuração de Controle de Dispositivo .

3. Na janela Controle de Dispositivos , selecione Habilitado.

Configurar a imposição padrão na Política de Grupo

Você pode definir o acesso padrão para Deny ou Allow para todos os recursos de controle de dispositivos, incluindo RemovableMediaDevices, CdRomDevices, WpdDevices, e PrinterDevices.

Por exemplo, você pode ter uma política Deny ou Allow para RemovableMediaDevices, mas não para CdRomDevices ou WpdDevices. Se você definir a imposição padrão como Deny, o acesso de leitura, gravação e execução a CdRomDevices e WpdDevices será bloqueado. Se quiser gerenciar apenas armazenamento, crie uma Allow política para impressoras. Caso contrário, a imposição padrão também nega acesso às impressoras.

Para definir a imposição padrão como negar, siga estas etapas:

1. Na árvore de políticas do Antivírus Microsoft Defender, selecione Controle de Dispositivo.

2. No painel de detalhes de Controle de Dispositivo, abra a configuração Selecionar Política Padrão de Aplicação do Controle de Dispositivo.

3. Na janela Select Device Control Default Enforcement Policy, configure as seguintes opções:

   1. Selecione Habilitado.
   2. Em Opções, selecione Negar por padrão.

Configurar tipos de dispositivos na Estratégia de Grupo

Para configurar os tipos de dispositivos aos quais uma política de controle de dispositivo se aplica, siga estes passos:

1. Na árvore de políticas do Antivírus Microsoft Defender, selecione Controle de Dispositivo.

2. No painel de detalhes do Controle de Dispositivos, abra a opção Ativar controle de dispositivo para a configuração de tipos específicos de dispositivos .

3. Na janela Ativar o controle de dispositivo para tipos específicos de dispositivo, configure as seguintes opções:

   1. Selecione Habilitado.
   2. Em Opções, na caixa Ativar o controle de dispositivo para tipos específicos de dispositivo, especifique os IDs da família de produtos, separados por uma barra vertical (|). Insira o valor como uma única cadeia sem espaços. Caso contrário, o motor de controle do dispositivo pode analisar o valor incorretamente. IDs de famílias de produtos incluem RemovableMediaDevices, CdRomDevices, WpdDevices, e PrinterDevices.

Defina grupos de controle de dispositivos na Estratégia de Grupo

Crie e implante um arquivo XML para cada grupo de armazenamento removível:

1. Use as propriedades do seu grupo de armazenamento removível para criar um arquivo XML. Certifique-se de que o nó raiz seja PolicyGroups. Por exemplo:

    <PolicyGroups>
        <Group Id="{d8819053-24f4-444a-a0fb-9ce5a9e97862}" Type="Device">
   
        </Group>
    </PolicyGroups>
   

2. Salve o arquivo XML no compartilhamento de rede.

3. Na árvore de políticas do Antivírus Microsoft Defender, selecione Controle de Dispositivo.

4. No painel de detalhes do Controle de Dispositivos, abra a configuração Definir grupos de políticas de controle de dispositivo .

5. Na janela Definir grupos de políticas de controle de dispositivos , configure as seguintes opções:

   1. Selecione Habilitado.
   2. Em Opções, na caixa Definir os grupos de políticas aqui, especifique o caminho do arquivo de compartilhamento de rede que contém os dados dos grupos XML.

Para um exemplo que define qualquer armazenamento removível, CD-ROM, dispositivos portáteis Windows e grupos de USBs aprovados, veja o arquivo XML do grupo de armazenamento removível.

Defina políticas de controle de dispositivo na Estratégia de Grupo

Crie e implante um arquivo XML para cada regra de política de acesso ao armazenamento removível:

1. Use as propriedades da regra da política de acesso ao armazenamento removível para criar um arquivo XML. Certifique-se de que o nó raiz seja PolicyRules. Por exemplo:

   <PolicyRules>
     <PolicyRule Id="{d8819053-24f4-444a-a0fb-9ce5a9e97862}">
         ...
      </PolicyRule>
   </PolicyRules>
   

2. Salve o arquivo XML em um compartilhamento de rede.

3. Na árvore de políticas do Antivírus Microsoft Defender, selecione Controle de Dispositivo.

4. No painel de detalhes do Controle de Dispositivos, abra a configuração Definir regras de política de controle de dispositivo .

5. Na janela Definir regras de política de controle de dispositivo , configure as seguintes opções:

   1. Selecione Habilitado.
   2. Em Opções, na caixa Definir as regras de política aqui, especifique o caminho do arquivo de compartilhamento de rede que contém os dados das regras XML.

Valide arquivos XML de controle de dispositivo com MpCmdRun

A utilidade de linha de comando MpCmdRun pode validar arquivos XML usados em implantações de Políticas de Grupo. A validação detecta erros de sintaxe que o mecanismo de controle de dispositivos pode encontrar ao analisar as configurações.

Para validar os arquivos XML, siga estes passos:

1. Numa Linha de Comandos elevada (uma janela da Linha de Comandos que abriu ao selecionar Executar como administrador), execute os seguintes comandos. Substitua os caminhos de arquivo XML de exemplo pelos caminhos para suas regras e grupos de arquivos XML.

   Dica

   O primeiro comando altera o diretório para a versão mais recente da versão< da >plataforma antimalware no %ProgramData%\Microsoft\Windows Defender\Platform\<antimalware platform version>. Se esse caminho não existir, ele vai para %ProgramFiles%\Windows Defender.

   (set "_done=" & if exist "%ProgramData%\Microsoft\Windows Defender\Platform\" (for /f "delims=" %d in ('dir "%ProgramData%\Microsoft\Windows Defender\Platform" /ad /b /o:-n 2^>nul') do if not defined _done (cd /d "%ProgramData%\Microsoft\Windows Defender\Platform\%d" & set _done=1)) else (cd /d "%ProgramFiles%\Windows Defender")) >nul 2>&1
   
   MpCmdRun.exe -DeviceControl -TestPolicyXml "C:\Policies\PolicyRules.xml" -Rules
   
   MpCmdRun.exe -DeviceControl -TestPolicyXml "C:\Policies\Groups.xml" -Groups
   

Se não houver erros, a seguinte saída será mostrada:

DC policy rules parsing succeeded
Verifying absolute rules data against the original data
Rules verified with success
DC policy groups parsing succeeded
Verifying absolute groups data against the original data
Groups verified with success
Has Group Dependency Loop: no

Conteúdo relacionado

• Controle de dispositivos no Defender for Endpoint
• Políticas e configurações de controle de dispositivo
• Controlo de Dispositivos para macOS