Políticas de controle de dispositivos no Microsoft Defender para Endpoint

Este artigo descreve políticas de controlo de dispositivos, regras, entradas, grupos e condições avançadas. Essencialmente, as políticas de controlo de dispositivos definem o acesso para um conjunto de dispositivos. Os dispositivos no âmbito são determinados por uma lista de grupos de dispositivos incluídos e uma lista de grupos de dispositivos excluídos. Uma política aplica-se se o dispositivo estiver em todos os grupos de dispositivos incluídos e nenhum dos grupos de dispositivos excluídos. Se não forem aplicadas políticas, é aplicada a imposição predefinida.

Por predefinição, o controlo de dispositivos está desativado, pelo que o acesso a todos os tipos de dispositivos é permitido. Para saber mais sobre o controle de dispositivos, consulte Controle de dispositivos no Microsoft Defender para Endpoint.

Controlar o comportamento predefinido

Quando o controlo do dispositivo está ativado, está ativado para todos os tipos de dispositivo por predefinição. A imposição predefinida também pode ser alterada de Permitir para Negar. A sua equipa de segurança também pode configurar os tipos de dispositivos que o controlo do dispositivo protege. A tabela seguinte ilustra como várias combinações de definições alteram a decisão de controlo de acesso.

Quando os tipos de dispositivo são configurados, o controlo de dispositivos no Defender para Ponto Final ignora os pedidos a outras famílias de dispositivos.

Para saber mais, confira os seguintes artigos:

• Implementar e gerir o controlo de dispositivos com Intune
• Implementar e gerir o controlo de dispositivos com Política de Grupo

Políticas

Para refinar ainda mais o acesso aos dispositivos, o controlo de dispositivos utiliza políticas. Uma política é um conjunto de regras e grupos. A forma como as regras e os grupos são definidos varia ligeiramente entre as experiências de gestão e os sistemas operativos, conforme descrito na tabela seguinte.

As regras e os grupos são identificados por Identificadores Globais Exclusivos (GUIDs). Se as políticas de controlo de dispositivos forem implementadas com uma ferramenta de gestão que não Intune, os GUIDs têm de ser gerados. Pode gerar os GUIDs com o PowerShell.

Para obter detalhes sobre o esquema, veja o esquema JSON para Mac.

Usuários

As políticas de controlo de dispositivos podem ser aplicadas a utilizadores e/ou grupos de utilizadores. No Windows, as políticas de controlo de dispositivos podem ter uma condição para direcionar utilizadores ou grupos de utilizadores definidos em Microsoft Entra ID ou Windows Server Active Directory. Pode definir políticas que permitam a utilizadores específicos ter mais ou menos permissões com base nas necessidades empresariais. O controlo de dispositivos analisa ativamente as sessões de utilizador e toma decisões de imposição com base em políticas que visam utilizadores ou grupos específicos. Isto significa que algumas ações, como bloquear um dispositivo ou terminar sessão no perfil de utilizador, podem fazer com que as condições do utilizador não estejam satisfeitas, o que é o comportamento esperado.

Melhores práticas para utilizar o controlo de dispositivos com utilizadores e grupos de utilizadores

• Para criar uma regra para um utilizador individual no Windows, crie uma entrada com uma Sid condição para cada utilizador numa regra.

• Para criar uma regra para um grupo de utilizadores no Windows e Intune, crie uma entrada com uma Sid condição para cada grupo de utilizadores numa [regra] e direcione a política para um grupo de máquinas no Intune ou crie uma regra sem condições e direcione a política com Intune para o grupo de utilizadores.

• No Mac, utilize Intune e direcione a política para um grupo de utilizadores no Microsoft Entra ID.

Regras

Uma regra define a lista de grupos incluídos e uma lista de grupos excluídos. Para que a regra seja aplicada, o dispositivo tem de estar em todos os grupos incluídos e nenhum dos grupos excluídos. Se o dispositivo corresponder à regra, as entradas dessa regra serão avaliadas. Uma entrada define as opções de ação e notificação aplicadas, se o pedido corresponder às condições. Se não forem aplicadas regras ou nenhuma entrada corresponder ao pedido, será aplicada a imposição predefinida.

Por exemplo, para permitir o acesso de escrita para alguns dispositivos USB e o acesso de leitura para todos os outros dispositivos USB, utilize as seguintes políticas, grupos e entradas com a imposição predefinida definida para negar.

O nome da regra é apresentado no portal para relatórios e na notificação de alerta para os utilizadores, por isso, certifique-se de que dá nomes descritivos às regras.

Pode configurar regras ao editar políticas no Intune, ao utilizar um ficheiro XML no Windows ou ao utilizar um ficheiro JSON no Mac. Selecione cada separador para obter mais detalhes.

<PolicyRule Id="{75a4e33a-5268-4552-bef2-e34dd0c39cb1}">
  <Name>Read Only Access for USBs</Name>
  <IncludedIdList>
      <GroupId>{3f5253e4-0e73-4587-bb9e-bb29a2171694}</GroupId>
  </IncludedIdList>
  <ExcludedIdList>
      <GroupId>{3f5253e4-0e73-4587-bb9e-bb29a2171695}</GroupId>
  </ExcludedIdList>
  <Entry Id="{e3837e60-5e56-43ce-8095-043ccd793eac}">
   ...
  </Entry>
  <Entry Id="{34413b98-8198-4e16-accf-c95c3c775ba3}">
    ...
  </Entry>
</PolicyRule> 

{
      "id": "75a4e33a-5268-4552-bef2-e34dd0c39cb1",
      "name": "Read Only Access for USBs",
      "includeGroups": [
        "3f5253e4-0e73-4587-bb9e-bb29a2171694"
      ],
      "includedGroups":[
         "3f5253e4-0e73-4587-bb9e-bb29a2171695"
      ]
      "entries": [
        ...
      ]
    } 

Entradas

As políticas de controlo de dispositivos definem o acesso (denominado entrada) para um conjunto de dispositivos. As entradas definem as opções de ação e notificação para dispositivos que correspondem à política e às condições definidas na entrada.

Avaliação de entrada

Existem dois tipos de entradas: entradas de imposição (Permitir/Negar) e entradas de auditoria (AuditAllow/AuditDeny).

As entradas de aplicação de uma regra são avaliadas em ordem até que todas as permissões solicitadas sejam atendidas. Se nenhuma entrada corresponder a uma regra, a regra seguinte é avaliada. Se nenhuma regra corresponder, será aplicada a predefinição.

Entradas de auditoria

Os eventos de auditoria controlam o comportamento quando o controlo do dispositivo impõe uma regra (permitir/negar). O controlo do dispositivo pode apresentar uma notificação ao utilizador final. O utilizador recebe uma notificação que contém o nome da política de controlo do dispositivo e o nome do dispositivo. A notificação é apresentada uma vez a cada hora após o acesso inicial ser negado.

O controle de dispositivo também pode criar um evento que fica disponível no Advanced Hunting.

Condições

Uma entrada suporta as seguintes condições opcionais:

• Condição de Usuário/Grupo de Usuários: aplica a ação apenas ao usuário/grupo de usuários identificado pelo SID

• Condição do Computador: aplica a ação apenas ao dispositivo/grupo identificado pelo SID
• Condição de Parâmetros: aplica a ação apenas se os parâmetros corresponderem (Ver Condições Avançadas)

As entradas podem ser confinadas a utilizadores e dispositivos específicos. Por exemplo, permitir o acesso de leitura a estes USBs apenas para este utilizador neste dispositivo.

Todas as condições na entrada têm de ser verdadeiras para que a ação seja aplicada.

Pode configurar entradas com Intune, um ficheiro XML no Windows ou um ficheiro JSON no Mac. Selecione cada separador para obter mais detalhes.

  <Entry Id="{e3837e60-5e56-43ce-8095-043ccd793eac}">
    <Type>Allow</Type>
    <Options>0</Options>
    <AccessMask>1</AccessMask>
  </Entry> 

{
          "$type": "generic",
          "id": "e3837e60-5e56-43ce-8095-043ccd793eac",
          "enforcement": {
            "$type": "allow"
          },
          "access": [
            "generic_read"
          ]
} 

Grupos

Os grupos definem critérios para filtrar objetos pelas respetivas propriedades. O objeto é atribuído ao grupo se as respetivas propriedades corresponderem às propriedades definidas para o grupo.

Por exemplo:

• Os dispositivos USB permitidos são todos os dispositivos que correspondem a qualquer um destes fabricantes
• Os USBs perdidos são todos os dispositivos que correspondem a qualquer um destes números de série
• As impressoras permitidas são todos os dispositivos que correspondem a qualquer um destes VID/PID

As propriedades podem ser correspondidas de quatro formas: MatchAll, MatchAny, MatchExcludeAlle MatchExcludeAny

• MatchAll: as propriedades têm uma relação "E"; por exemplo, se o administrador definir DeviceID e InstancePathID, para cada dispositivo USB conectado, o sistema verifica se o USB atende a ambos os valores.
• MatchAny: as propriedades têm uma relação "Ou"; por exemplo, se o administrador inserir DeviceID e InstancePathID, para cada USB conectado, o sistema aplicará a imposição desde que o USB tenha um valor de DeviceID ou InstanceID idêntico.
• MatchExcludeAll: as propriedades têm uma relação "E"; quaisquer itens que NÃO atendam a elas são incluídos. Por exemplo, se o administrador definir DeviceID e InstancePathID e usar MatchExcludeAll, para cada dispositivo USB conectado, o sistema aplicará a restrição desde que o USB não tenha valores idênticos para DeviceID e InstanceID.
• MatchExcludeAny: as propriedades têm uma relação "Ou"; quaisquer itens que NÃO atendam a elas são incluídos. Por exemplo, se o administrador definir DeviceID e InstancePathID e usar MatchExcludeAny, para cada dispositivo USB conectado, o sistema aplicará a restrição desde que o USB não tenha valores idênticos para DeviceID ou InstanceID.

Os grupos são utilizados de duas formas: selecionar dispositivos para inclusão/exclusão nas regras e filtrar o acesso por condições avançadas. Esta tabela resume os tipos de grupo e como são utilizados.

Os dispositivos que estão no escopo da política são determinados por uma lista de grupos incluídos e uma lista de grupos excluídos. Uma regra aplica-se se o dispositivo estiver em todos os grupos incluídos e nenhum dos grupos excluídos. Os grupos podem ser compostos a partir das propriedades dos dispositivos. As seguintes propriedades podem ser utilizadas:

Utilizar o Windows Gerenciador de Dispositivos para determinar as propriedades do dispositivo

Para dispositivos Windows, pode utilizar Gerenciador de Dispositivos para compreender as propriedades dos dispositivos.

1. Abra Gerenciador de Dispositivos, localize o dispositivo, clique com o botão direito do rato em Propriedades e, em seguida, selecione o separador Detalhes.

2. Na lista de propriedades, selecione Caminho da instância do dispositivo.

   O valor mostrado para o caminho da instância do dispositivo é o InstancePathId, mas também contém outras propriedades:

   • USB\VID_090C&PID_1000\FBH1111183300721
   • {BusId}\{DeviceId}\{SerialNumberId}

   As propriedades no gerenciador de dispositivos correspondem aos controles do dispositivo, conforme mostrado na tabela a seguir:

   Gerenciador de Dispositivos	Controlo de Dispositivos
   IDs de hardware	HardwareId
   Nome amigável	FriendlyNameId
   Pai	VID_PID
   DeviceInstancePath	InstancePathId

Utilizar relatórios e investigação avançada para determinar as propriedades dos dispositivos

As propriedades do dispositivo têm rótulos ligeiramente diferentes na caça avançada. A tabela a seguir mapeia os rótulos no portal para o propertyId em uma política de controle de dispositivos.

Configurar grupos no Intune, XML no Windows ou JSON no Mac

Pode configurar grupos no Intune, através de um ficheiro XML para Windows ou através de um ficheiro JSON no Mac. Selecione cada separador para obter mais detalhes.

<Group Id="{3f5253e4-0e73-4587-bb9e-bb29a2171694}">
  <MatchType>MatchAny</MatchType>
  <DescriptorIdList>
   ...
  </DescriptorIdList>
</Group> 

    {
      "$type": "device",
      "id": "3f5253e4-0e73-4587-bb9e-bb29a2171694",
      "query": {
        "$type": "or",
        "clauses": [
    ...
        ]
      }
    } 

"query": {
        "$type": "or",
        "clauses": [
          {
            "$type": "serialNumber",
            "value": "FBH1111183300731"
          }
        ]
      } 

"query": {
    "$type":"not",
        "query": {
                    "$type": "or",
                    "clauses": [
                          {
                            "$type": "serialNumber",
                            "value": "FBH1111183300731"
                          }
                    ]
              }

} 

Condições avançadas

As entradas podem ser mais restritas com base nos parâmetros. Os parâmetros aplicam condições avançadas que vão além do dispositivo. Condições avançadas permitem um controle detalhado com base na rede, conexão VPN, arquivo ou trabalho de impressão em avaliação.

Condições de Rede

A tabela seguinte descreve as propriedades do grupo de rede:

Estas propriedades são adicionadas ao DescriptorIdList de um grupo do tipo Rede. Eis um fragmento de exemplo:

<Group Id="{e5f619a7-5c58-4927-90cd-75da2348a30a}" Type="Network" MatchType="MatchAll">
    <DescriptorIdList>
        <NetworkCategoryId>Public</PathId>
        <NetworkDomainId>NonDomain</PathId>
    </DescriptorIdList>
</Group>

Em seguida, o grupo é referenciado como parâmetros na entrada, conforme ilustrado no seguinte fragmento:

   <Entry Id="{1ecfdafb-9b7f-4b66-b3c5-f1d872b0961d}">
      <Type>Deny</Type>
      <Options>0</Options>
      <AccessMask>40</AccessMask>
      <Parameters MatchType="MatchAll">
             <Network MatchType="MatchAny">
                   <GroupId>{ e5f619a7-5c58-4927-90cd-75da2348a30a }</GroupId>
            </Network>
      </Parameters>
   </Entry>

Condições de Ligação VPN

A tabela seguinte descreve as condições de ligação VPN:

Estas propriedades são adicionadas ao DescriptorIdList de um grupo do tipo VPNConnection, conforme mostrado no fragmento seguinte:

    <Group Id="{d633d17d-d1d1-4c73-aa27-c545c343b6d7}" Type="VPNConnection">
        <Name>Corporate VPN</Name>
        <MatchType>MatchAll</MatchType>
        <DescriptorIdList>
            <NameId>ContosoVPN</NameId>
            <VPNServerAddressId>contosovpn.*.contoso.com</VPNServerAddressId>
            <VPNDnsSuffixId>corp.contoso.com</VPNDnsSuffixId>
            <VPNConnectionStatusId>Connected</VPNConnectionStatusId>
        </DescriptorIdList>
    </Group>

Em seguida, o grupo é referenciado como parâmetros numa entrada, conforme ilustrado no seguinte fragmento:

       <Entry Id="{27c79875-25d2-4765-aec2-cb2d1000613f}">
          <Type>Allow</Type>
          <Options>0</Options>
          <AccessMask>64</AccessMask>
          <Parameters MatchType="MatchAny">
            <VPNConnection>
                    <GroupId>{d633d17d-d1d1-4c73-aa27-c545c343b6d7}</GroupId>
            </VPNConnection>
        </Parameters>
       </Entry>

Em seguida, o grupo é referenciado como parâmetros numa entrada, conforme ilustrado no seguinte fragmento:

   <Entry Id="{1ecfdafb-9b7f-4b66-b3c5-f1d872b0961d}">
      <Type>Deny</Type>
      <Options>0</Options>
      <AccessMask>40</AccessMask>
      <Parameters MatchType="MatchAll">
             <File MatchType="MatchAny">
                   <GroupId>{ e5f619a7-5c58-4927-90cd-75da2348a30f }</GroupId>
            </File>
      </Parameters>
   </Entry>

Condições da Tarefa de Impressão

A tabela seguinte descreve as propriedades PrintJob do grupo:

Estas propriedades são adicionadas ao DescriptorIdList de um grupo do tipo PrintJob, conforme ilustrado no seguinte fragmento:

<Group Id="{e5f619a7-5c58-4927-90cd-75da2348a30b}" Type="PrintJob" MatchType="MatchAny">
    <DescriptorIdList>
        <PrintOutputFileNameId>C:\Documents\*.pdf</PrintOutputFileNameId >
        <PrintDocumentNameId>*.xlsx</PrintDocumentNameId>
<PrintDocumentNameId>*.docx</PrintDocumentNameId>
    </DescriptorIdList>
</Group>

Em seguida, o grupo é referenciado como parâmetros numa entrada, conforme ilustrado no seguinte fragmento:

   <Entry Id="{1ecfdafb-9b7f-4b66-b3c5-f1d872b0961d}">
      <Type>Deny</Type>
      <Options>0</Options>
      <AccessMask>40</AccessMask>
      <Parameters MatchType="MatchAll">
             <PrintJob MatchType="MatchAny">
                   <GroupId>{e5f619a7-5c58-4927-90cd-75da2348a30b}</GroupId>
            </PrintJob>
      </Parameters>
   </Entry>

Próximas etapas

• Exibir eventos e informações de controle de dispositivos no Microsoft Defender para Endpoint
• Implantar e gerenciar o controle de dispositivos no Microsoft Defender para Endpoint com o Microsoft Intune
• Implantar e gerenciar o controle de dispositivo no Microsoft Defender para Endpoint usando a Política de Grupo
• Controlo de Dispositivos para macOS