Controle de dispositivos no Microsoft Defender para Ponto de Extremidade

Os recursos de controle de dispositivos no Microsoft Defender para Endpoint permitem que sua equipe de segurança controle se os usuários podem instalar e usar dispositivos periféricos, como mídia removível (pen drives USB, CDs, disquetes etc.), impressoras, dispositivos Bluetooth ou outros dispositivos em seus computadores. Sua equipe de segurança pode configurar políticas de controle de dispositivo para configurar regras como estas:

• Impedir que os usuários instalem e usem certos dispositivos (como unidades USB)
• Impedir que os usuários instalem e usem quaisquer dispositivos externos, exceto em casos específicos
• Permitir que os usuários instalem e usem dispositivos específicos
• Permitir que os usuários instalem e usem apenas dispositivos criptografados pelo BitLocker com computadores Windows

Esta lista destina-se a fornecer alguns exemplos. Não é uma lista exaustiva; Existem outros exemplos a serem considerados.

O controle de dispositivos ajuda a proteger sua organização contra possíveis perdas de dados, malware ou outras ameaças cibernéticas, permitindo ou impedindo que determinados dispositivos sejam conectados aos computadores dos usuários. Com o controle de dispositivos, sua equipe de segurança pode determinar se e quais dispositivos periféricos os usuários podem instalar e usar em seus computadores.

Recursos de controle de dispositivos da Microsoft

Os recursos de controle de dispositivo da Microsoft podem ser organizados em três categorias principais: controle de dispositivo no Windows, controle de dispositivo no Defender para Ponto de Extremidade e Prevenção contra Perda de Dados de Ponto de Extremidade (DLP do Ponto de Extremidade).

• Controle de dispositivo no Windows. O sistema operacional Windows tem recursos internos de controle de dispositivos. Sua equipe de segurança pode definir as configurações de instalação do dispositivo para impedir (ou permitir) que os usuários instalem determinados dispositivos em seus computadores. As políticas são aplicadas no nível do dispositivo e usam várias propriedades do dispositivo para determinar se um usuário pode instalar/usar um dispositivo ou não.

  O controle de dispositivos no Windows funciona com modelos BitLocker e ADMX e pode ser gerenciado usando o Intune.

  BitLocker. O BitLocker é um recurso de segurança do Windows que fornece criptografia para volumes inteiros. A criptografia do BitLocker pode ser necessária para gravar em mídia removível. Junto com o Intune, as políticas podem ser configuradas para impor a criptografia em dispositivos usando o BitLocker para Windows. Para obter mais informações, consulte Configurações de política de criptografia de disco para segurança de ponto de extremidade no Intune.

  Instalação do dispositivo. O Windows oferece a capacidade de impedir a instalação de tipos específicos de dispositivos USB.

  Para obter mais informações sobre como configurar a instalação do dispositivo com o Intune, consulte Restringir dispositivos USB e permitir dispositivos USB específicos usando modelos ADMX no Intune.

  Para obter mais informações sobre como configurar a instalação do dispositivo com a Política de Grupo, consulte Gerenciar a instalação do dispositivo com a Política de Grupo.

• Controle de dispositivo no Microsoft Defender for Endpoint. O controle de dispositivo no Defender for Endpoint oferece funcionalidades mais avançadas e é multiplataforma.

  • Controle de acesso granular - crie políticas para controlar o acesso por dispositivo, tipo de dispositivo, operação (leitura, gravação, execução), grupo de usuários, local de rede ou tipo de arquivo.
  • Relatórios e busca avançada - visibilidade completa de atividades relacionadas a dispositivos adicionais.
  • O controle de dispositivos no Microsoft Defender pode ser gerenciado usando o Microsoft Intune, o portal do Microsoft Defender ou a Política de Grupo.

• Controle de dispositivos no Microsoft Defender e no Intune. O Intune fornece uma experiência avançada para gerenciar políticas complexas de controle de dispositivos para organizações. Você pode configurar e implantar configurações de restrições de dispositivo no Defender for Endpoint, por exemplo. Veja Configurar controle de dispositivo com Microsoft Intune.

• Prevenção contra perda de dados em dispositivos (Endpoint DLP). O DLP de ponto de extremidade monitora informações confidenciais em dispositivos integrados às soluções do Microsoft Purview. As políticas DLP podem impor ações de proteção em informações confidenciais e onde elas são armazenadas ou usadas. O DLP de endpoint pode coletar evidências de arquivos. Saiba mais sobre a DLP de endpoint.

Cenários comuns de controle de dispositivos

Nas seções a seguir, examine os cenários e identifique qual recurso da Microsoft usar.

• Controlar o acesso a dispositivos USB
• Controlar o acesso à mídia removível criptografada do BitLocker (Versão prévia)
• Controlar o acesso a impressoras
• Controlar o acesso a dispositivos Bluetooth

Controlar o acesso a dispositivos USB

Você pode controlar o acesso a dispositivos USB usando restrições de instalação de dispositivos, controle de dispositivos de mídia removível ou DLP de Endpoint.

Configurar restrições de instalação do dispositivo

As restrições de instalação de dispositivo disponíveis no Windows permitem ou negam a instalação de drivers com base na ID do dispositivo, na ID da instância do dispositivo ou na classe de configuração. Isso pode bloquear qualquer dispositivo no gerenciador de dispositivos, incluindo todos os dispositivos removíveis. Quando as restrições de instalação do dispositivo são aplicadas, o dispositivo é bloqueado no gerenciador de dispositivos, conforme mostrado na captura de tela a seguir:

Há mais detalhes disponíveis clicando no dispositivo.

Há também um registro em Advanced Hunting. Para exibi-lo, use a seguinte consulta:

DeviceEvents
| extend parsed=parse_json(AdditionalFields)
| extend MediaClass = tostring(parsed.ClassName)
| extend MediaDeviceId = tostring(parsed.DeviceId)
| extend MediaDescription = tostring(parsed.DeviceDescription)
| extend MediaSerialNumber = tostring(parsed.SerialNumber)
| extend DeviceInstanceId = tostring(parsed.DeviceInstanceId)
| extend DriverName = tostring(parsed.DriverName)
| extend ClassGUID = tostring(parsed.ClassGuid)
| where ActionType contains "PnPDeviceBlocked"
| project Timestamp, ActionType, DeviceInstanceId, DriverName, ClassGUID
| order by Timestamp desc

Quando as restrições de instalação de um dispositivo são configuradas e um dispositivo é instalado, um evento com ActionType de PnPDeviceAllowed é criado.

Saiba mais::

• Gerenciar a Instalação de Dispositivos com a Política de Grupo - Gerenciamento do Windows Client

• Restrinja dispositivos USB e permita dispositivos USB específicos usando modelos ADMX no Intune.

Controlar o acesso à mídia removível usando o controle de dispositivo

O controle de dispositivos do Microsoft Defender para Endpoint oferece um controle de acesso mais granular a um subconjunto de dispositivos USB. O controle de dispositivos só pode restringir o acesso a Dispositivos Portáteis do Windows, Mídia Removível, CD/DVDs e Impressoras.

DeviceEvents
| extend parsed=parse_json(AdditionalFields)
| extend MediaClass = tostring(parsed.ClassName)
| extend MediaDeviceId = tostring(parsed.DeviceId)
| extend MediaDescription = tostring(parsed.DeviceDescription)
| extend SerialNumberId = tostring(parsed.SerialNumber)
| extend RemovableStoragePolicy = tostring(parsed.RemovableStoragePolicy)
| extend RemovableStorageAccess =tostring(parsed.RemovableStorageAccess)
| extend RemovableStoragePolicyVerdict = tostring(parsed.RemovableStoragePolicyVerdict)
| extend PID = tostring(parsed.ProductId)
| extend VID = tostring(parsed.VendorId)
| extend VID_PID = strcat(VID,"_",PID)
| extend InstancePathId = tostring(parsed.DeviceInstanceId)
| where ActionType == "RemovableStoragePolicyTriggered"
| project Timestamp, RemovableStoragePolicy, RemovableStorageAccess,RemovableStoragePolicyVerdict, SerialNumberId,VID, PID, VID_PID, InstancePathId
| order by Timestamp desc

Essa consulta retorna o nome da política, o acesso solicitado e o veredicto (permitir, negar), conforme mostrado na captura de tela a seguir:

Use a DLP de Endpoint para impedir a cópia de arquivos para uma unidade USB

Para impedir a cópia de arquivos para dispositivos USB com base na sensibilidade do arquivo, use o DLP de Endpoint.

Controlar o acesso à mídia removível criptografada do BitLocker (Versão prévia)

Você usa o BitLocker para controlar o acesso à mídia removível ou para garantir que os dispositivos sejam criptografados.

Usar o BitLocker para negar o acesso à mídia removível

O Windows oferece a capacidade de negar a gravação em todas as mídias removíveis ou negar o acesso de gravação, a menos que um dispositivo seja criptografado pelo BitLocker. Para obter mais informações, consulte Configurar o BitLocker - Segurança do Windows.

Configurar políticas de controle de dispositivo para o BitLocker (versão prévia)

O controle de dispositivo do Microsoft Defender para Ponto de Extremidade controla o acesso a um dispositivo com base no estado de criptografia dele no BitLocker (criptografado ou não criptografado). Isso permite que exceções sejam criadas para permitir e auditar o acesso a dispositivos criptografados não BitLocker.

Controlar o acesso a impressoras

Você pode controlar o acesso a impressoras usando restrições de instalação de impressora, políticas de controle de dispositivo para impressão ou DLP de ponto de extremidade.

Configurar restrições de instalação da impressora

As restrições de instalação de dispositivo do Windows podem ser aplicadas a impressoras.

Configurar políticas de controle de dispositivo para impressão

O Controle de Dispositivo do Microsoft Defender para Endpoint controla o acesso à impressora com base nas propriedades da impressora (VID/PID) e no tipo de impressora (Rede, USB, Corporativo etc.).

O controle de dispositivos também pode restringir os tipos de arquivos que são impressos. O controle de dispositivos também pode restringir a impressão em ambientes não corporativos.

Use o Endpoint DLP para impedir a impressão de documentos classificados

Para bloquear a impressão de documentos com base na classificação de informações, use o Endpoint DLP.

Use o DLP de Ponto de Extremidade para coletar evidências de arquivo de arquivos impressos

Para capturar evidência da impressão de um arquivo, use o DLP de Ponto de Extremidade

Controlar o acesso a dispositivos Bluetooth

Você pode usar o controle de dispositivos para controlar o acesso aos serviços Bluetooth em dispositivos Windows ou por meio do DLP de ponto de extremidade.

Controlar o acesso aos serviços Bluetooth no Windows

Os administradores podem controlar o comportamento do serviço Bluetooth (permitindo publicidade, descoberta, preparação e solicitação), bem como os serviços Bluetooth permitidos. Para obter mais informações, consulte Bluetooth do Windows.

Use a DLP de Endpoint para impedir a cópia de documentos para dispositivos

Para bloquear a cópia de um documento confidencial para qualquer dispositivo Bluetooth use Endpoint DLP.

Usar a DLP de endpoint para capturar evidências dos arquivos copiados para USB

Para capturar evidências de que um arquivo está sendo copiado para um dispositivo USB, use Endpoint DLP

Exemplos e cenários de política de controle de dispositivo

O controle de dispositivos no Defender para Endpoint fornece à sua equipe de segurança um modelo robusto de controle de acesso que permite uma ampla gama de cenários (consulte Políticas de controle de dispositivos). Reunimos um repositório GitHub que contém exemplos e cenários que você pode explorar. Consulte os seguintes recursos:

• README dos exemplos de controle de dispositivo
• Primeiros passos com exemplos de controle de dispositivos em dispositivos com Windows
• Controle de dispositivo para exemplos do macOS

Se você for iniciante no controle de dispositivos, consulte Passo a passo do controle de dispositivos.

Pré-requisitos para o controle de dispositivos

O controle de dispositivos no Defender para Endpoint pode ser aplicado a dispositivos que executam o Windows 10 ou o Windows 11 e tenham a versão 4.18.2103.3 ou posterior do cliente de antimalware. (Atualmente, não há suporte para servidores.)

• 4.18.2104 ou posterior: Adicionar SerialNumberId, VID_PID, suporte a GPO baseado em filepath e ComputerSid.
• 4.18.2105 ou posterior: adicionar suporte a curinga para HardwareId/DeviceId/InstancePathId/FriendlyNameId/SerialNumberId; a combinação de usuários específicos em computadores específicos, suporte a SSD removível (um SSD SanDisk Extreme)/USB Attached SCSI (UAS).
• 4.18.2107 ou posterior: adicione suporte a WPD (Dispositivo Portátil do Windows) (para dispositivos móveis, como tablets); adicionar AccountName na busca avançada.
• 4.18.2205 ou posterior: expanda a imposição padrão para impressora. Se você defini-la como Negar, ela também bloqueará a impressora. Portanto, se você quiser gerenciar apenas o armazenamento, crie uma política personalizada para permitir a impressora.
• 4.18.2207 ou posterior: adicionar suporte a arquivo; um caso de uso comum pode ser: “bloquear que os usuários tenham acesso de leitura/gravação/execução a um arquivo específico no armazenamento removível”. Adicionar suporte a rede e conexão VPN; um caso de uso comum pode ser: “bloquear o acesso dos usuários ao armazenamento removível quando o computador não estiver conectado à rede corporativa”.

Para Mac, consulte Controle de Dispositivos para macOS.

Atualmente, o controle de dispositivos não tem suporte nos servidores.

Próximas etapas

• Passo a passo do controle de dispositivos
• Saiba mais sobre as políticas de controle de dispositivo
• Exibir relatórios de controle de dispositivo