Políticas de controle de dispositivos no Microsoft Defender para Ponto de Extremidade

Este artigo descreve políticas de controle de dispositivo, regras, entradas, grupos e condições avançadas. Essencialmente, as políticas de controle de dispositivo definem o acesso para um conjunto de dispositivos. Os dispositivos que estão no escopo são determinados por uma lista de grupos de dispositivos incluídos e uma lista de grupos de dispositivos excluídos. Uma política se aplica se o dispositivo estiver em todos os grupos de dispositivos incluídos e em nenhum dos grupos de dispositivos excluídos. Se não forem aplicadas políticas, é aplicada a imposição predefinida.

Por padrão, o controle de dispositivos é desabilitado, portanto, o acesso a todos os tipos de dispositivos é permitido. Para saber mais sobre o controle de dispositivos, consulte Controle de dispositivos no Microsoft Defender para Ponto de Extremidade.

Controlando o comportamento padrão

Quando o controle de dispositivos está habilitado, ele é habilitado para todos os tipos de dispositivo por padrão. A imposição padrão também pode ser alterada de Permitir para Negar. Sua equipe de segurança também pode configurar os tipos de dispositivos que o controle de dispositivos protege. A tabela a seguir ilustra como várias combinações de configurações alteram a decisão de controle de acesso.

Quando os tipos de dispositivo são configurados, o controle de dispositivos no Defender for Endpoint ignora solicitações relacionadas a outras famílias de dispositivos.

Para saber mais, confira os seguintes artigos:

• Configurar controle de dispositivo

Políticas

Para refinar ainda mais o acesso aos dispositivos, o controle de dispositivos usa políticas. Uma política é um conjunto de regras e grupos. A forma como regras e grupos são definidos varia ligeiramente entre experiências de gerenciamento e sistemas operacionais, conforme descrito na tabela a seguir.

O Microsoft Intune é a ferramenta recomendada para configurar e distribuir os recursos do Defender para Ponto de Extremidade aos dispositivos. No entanto, o Intune é um produto separado que não faz parte do Defender para Endpoint e não está incluído em todas as assinaturas. Para usar o Intune, você precisa de uma assinatura que a inclua ou pode comprá-la separadamente como uma assinatura autônoma ou complemento. Se você não tiver o Intune, poderá usar qualquer um dos outros métodos neste artigo. Para obter mais informações, confira Licenciamento do Microsoft Intune.

Regras e grupos são identificados por GUIDs (ID Exclusivo Global). Se as políticas de controle de dispositivo forem implantadas usando uma ferramenta de gerenciamento diferente do Intune, os GUIDs deverão ser gerados. Você pode gerar os GUIDs usando o PowerShell.

Para obter detalhes do esquema, consulte o esquema JSON para Mac.

Usuários

As políticas de controle de dispositivo podem ser aplicadas a usuários e/ou grupos de usuários. No Windows, as políticas de controle de dispositivo podem ter uma condição para direcionar usuários ou grupos de usuários definidos no Microsoft Entra ID ou no Windows Server Active Directory. Você pode definir políticas que permitem que usuários específicos tenham mais ou menos permissões com base nas necessidades de negócios. O controle de dispositivos examina ativamente as sessões do usuário e toma decisões de imposição com base em políticas direcionadas a usuários ou grupos específicos. Isso significa que algumas ações, como bloquear um dispositivo ou sair do perfil do usuário, podem fazer com que as condições do usuário sejam insatisfeitas, o que é o comportamento esperado.

Práticas recomendadas para usar o controle de dispositivos com usuários e grupos de usuários

• Para criar uma regra para um usuário individual no Windows, crie uma entrada com uma Sid condição para cada usuário em uma regra.

• Para criar uma regra para um grupo de usuários no Windows e no Intune, crie uma entrada com uma Sid condição para cada grupo de usuários em uma [regra] e direcione a política para um grupo de computadores no Intune ou crie uma regra sem condições e direcione a política com o Intune para o grupo de usuários.

• No Mac, use o Intune e direcione a política para um grupo de usuários no Microsoft Entra ID.

Regras

Uma regra define a lista de grupos incluídos e uma lista de grupos excluídos. Para que a regra se aplique, o dispositivo deve estar em todos os grupos incluídos e em nenhum dos grupos excluídos. Se o dispositivo corresponder à regra, as entradas dessa regra serão avaliadas. Uma entrada define as opções de ação e notificação aplicadas, se a solicitação corresponder às condições. Se nenhuma regra se aplicar ou nenhuma entrada corresponder à solicitação, a imposição padrão será aplicada.

Por exemplo, para permitir o acesso de gravação para alguns dispositivos USB e o acesso de leitura para todos os outros dispositivos USB, use as seguintes políticas, grupos e entradas com a imposição padrão definida como negar.

O nome da regra aparece no portal para relatórios e na notificação do sistema aos usuários, portanto, forneça nomes descritivos às regras.

Você pode configurar regras editando políticas no Intune, usando um arquivo XML no Windows ou usando um arquivo JSON no Mac. Selecione cada guia para obter mais detalhes.

<PolicyRule Id="{75a4e33a-5268-4552-bef2-e34dd0c39cb1}">
  <Name>Read Only Access for USBs</Name>
  <IncludedIdList>
      <GroupId>{3f5253e4-0e73-4587-bb9e-bb29a2171694}</GroupId>
  </IncludedIdList>
  <ExcludedIdList>
      <GroupId>{3f5253e4-0e73-4587-bb9e-bb29a2171695}</GroupId>
  </ExcludedIdList>
  <Entry Id="{e3837e60-5e56-43ce-8095-043ccd793eac}">
   ...
  </Entry>
  <Entry Id="{34413b98-8198-4e16-accf-c95c3c775ba3}">
    ...
  </Entry>
</PolicyRule> 

{
      "id": "75a4e33a-5268-4552-bef2-e34dd0c39cb1",
      "name": "Read Only Access for USBs",
      "includeGroups": [
        "3f5253e4-0e73-4587-bb9e-bb29a2171694"
      ],
      "includedGroups":[
         "3f5253e4-0e73-4587-bb9e-bb29a2171695"
      ]
      "entries": [
        ...
      ]
    } 

Entradas

As políticas de controle de dispositivo definem o acesso (chamado de entrada) para um conjunto de dispositivos. As entradas definem as opções de ação e notificação para dispositivos que correspondem à política e às condições definidas na entrada.

Avaliação de entrada

Existem dois tipos de entradas: entradas de imposição (Permitir/Negar) e entradas de auditoria (AuditAllow/AuditDeny).

As entradas de aplicação de uma regra são avaliadas em sequência até que todas as permissões solicitadas sejam atendidas. Se nenhuma entrada corresponder a uma regra, a próxima regra será avaliada. Se nenhuma regra corresponder, a configuração padrão será aplicada.

Entradas de auditoria

Os eventos de auditoria controlam o comportamento quando o controle de dispositivo impõe uma regra (permitir/negar). O controle de dispositivo pode exibir uma notificação para o usuário final. O usuário recebe uma notificação que contém o nome da política de controle do dispositivo e o nome do dispositivo. A notificação aparece uma vez a cada hora após o acesso inicial ser negado.

O controle de dispositivos também pode criar um evento que está disponível na Busca Avançada.

Condições

Uma entrada suporta as seguintes condições opcionais:

• Condição de Usuário/Grupo de Usuários: aplica a ação apenas ao usuário/grupo de usuários identificado pelo SID

• Machine Condition: Aplica a ação somente ao dispositivo/grupo identificado pelo SID
• Condição de parâmetros: Aplica a ação somente se os parâmetros corresponderem (consulte Condições avançadas)

As entradas podem ser ainda mais delimitadas a usuários e dispositivos específicos. Por exemplo, permita o acesso de leitura a esses USBs somente para este usuário neste dispositivo.

Todas as condições na entrada devem ser verdadeiras para que a ação seja aplicada.

Você pode configurar entradas usando o Intune, um arquivo XML no Windows ou um arquivo JSON no Mac. Selecione cada guia para obter mais detalhes.

  <Entry Id="{e3837e60-5e56-43ce-8095-043ccd793eac}">
    <Type>Allow</Type>
    <Options>0</Options>
    <AccessMask>1</AccessMask>
  </Entry> 

{
          "$type": "generic",
          "id": "e3837e60-5e56-43ce-8095-043ccd793eac",
          "enforcement": {
            "$type": "allow"
          },
          "access": [
            "generic_read"
          ]
} 

Grupos

Os grupos definem critérios para filtrar objetos por suas propriedades. O objeto será atribuído ao grupo se suas propriedades corresponderem às propriedades definidas para o grupo.

Por exemplo:

• USBs permitidos são todos os dispositivos que correspondem a qualquer um desses fabricantes
• USBs extraviados são todos os dispositivos que correspondem a qualquer um desses números de série
• Impressoras permitidas são todos os dispositivos que correspondem a qualquer um desses VID/PID

As propriedades podem ser correspondidas de quatro maneiras: MatchAll, MatchAny, MatchExcludeAlle MatchExcludeAny

• MatchAll: As propriedades são uma relação "And"; por exemplo, se o administrador colocar DeviceID e InstancePathID, para cada USB conectado, o sistema verificará se o USB atende aos dois valores.
• MatchAny: as propriedades têm uma relação "Ou"; por exemplo, se o administrador inserir DeviceID e InstancePathID, para cada USB conectado, o sistema aplicará a imposição desde que o USB tenha um valor de DeviceID ou InstanceID idêntico.
• MatchExcludeAll: as propriedades têm uma relação "E"; quaisquer itens que NÃO atendam a elas são incluídos. Por exemplo, se o administrador definir DeviceID e MatchExcludeAll e usar DeviceID, para cada USB conectado, o sistema aplicará isso desde que o USB não tenha valores idênticos de InstanceID e InstancePathID.
• MatchExcludeAny: As propriedades têm uma relação de "OU"; quaisquer itens que NÃO atendam a elas estão abrangidos. Por exemplo, se o administrador definir DeviceID e InstancePathID e usar MatchExcludeAny, para cada dispositivo USB conectado, o sistema aplicará a restrição desde que o USB não tenha valores idênticos para DeviceID ou InstanceID.

Os grupos são usados de duas maneiras: para selecionar dispositivos para inclusão/exclusão em regras e para filtrar o acesso para condições avançadas. Esta tabela resume os tipos de grupo e como eles são usados.

Os dispositivos abrangidos pela política são determinados por uma lista de grupos incluídos e uma lista de grupos excluídos. Uma regra se aplicará se o dispositivo estiver em todos os grupos incluídos e em nenhum dos grupos excluídos. Os grupos podem ser compostos a partir das propriedades dos dispositivos. As seguintes propriedades podem ser usadas:

Usando o Gerenciador de Dispositivos do Windows para determinar as propriedades do dispositivo

Para dispositivos Windows, você pode usar o Gerenciador de Dispositivos para entender as propriedades dos dispositivos.

1. Abra o Gerenciador de Dispositivos, localize o dispositivo, clique com o botão direito do mouse em Propriedades e selecione a guia Detalhes.

2. Na lista Propriedades, selecione Caminho da instância do dispositivo.

   O valor mostrado para o caminho da instância do dispositivo é o InstancePathId, mas também contém outras propriedades:

   • USB\VID_090C&PID_1000\FBH1111183300721
   • {BusId}\{DeviceId}\{SerialNumberId}

   As propriedades no gerenciador de dispositivos correspondem ao controle do dispositivo, conforme mostrado na tabela a seguir:

   Gerenciador de Dispositivos	Controle de Dispositivo
   IDs de hardware	HardwareId
   Nome amigável	FriendlyNameId
   Pai	VID_PID
   DeviceInstancePath	InstancePathId

Usando relatórios e busca avançada para determinar propriedades de dispositivos

As propriedades do dispositivo têm rótulos ligeiramente diferentes na busca avançada. A tabela a seguir mapeia os rótulos no portal para o propertyId em uma política de controle de dispositivos.

Configurar grupos no Intune, XML no Windows ou JSON no Mac

Você pode configurar grupos no Intune, usando um arquivo XML para Windows ou usando um arquivo JSON no Mac. Selecione cada guia para obter mais detalhes.

<Group Id="{3f5253e4-0e73-4587-bb9e-bb29a2171694}">
  <MatchType>MatchAny</MatchType>
  <DescriptorIdList>
   ...
  </DescriptorIdList>
</Group> 

    {
      "$type": "device",
      "id": "3f5253e4-0e73-4587-bb9e-bb29a2171694",
      "query": {
        "$type": "or",
        "clauses": [
    ...
        ]
      }
    } 

"query": {
        "$type": "or",
        "clauses": [
          {
            "$type": "serialNumber",
            "value": "FBH1111183300731"
          }
        ]
      } 

"query": {
    "$type":"not",
        "query": {
                    "$type": "or",
                    "clauses": [
                          {
                            "$type": "serialNumber",
                            "value": "FBH1111183300731"
                          }
                    ]
              }

} 

Condições avançadas

As entradas podem ser ainda mais restritas com base nos parâmetros. Os parâmetros aplicam condições avançadas que vão além do dispositivo. As condições avançadas permitem um controle refinado com base na Rede, na Conexão VPN, no Arquivo ou no Trabalho de Impressão que está sendo avaliado.

Condições de Rede

A tabela a seguir descreve as propriedades do grupo de rede:

Essas propriedades são adicionadas ao DescriptorIdList de um grupo do tipo Network. Veja um trecho de exemplo:

<Group Id="{e5f619a7-5c58-4927-90cd-75da2348a30a}" Type="Network" MatchType="MatchAll">
    <DescriptorIdList>
        <NetworkCategoryId>Public</PathId>
        <NetworkDomainId>NonDomain</PathId>
    </DescriptorIdList>
</Group>

O grupo é então referenciado como parâmetros na entrada, conforme ilustrado no snippet a seguir:

   <Entry Id="{1ecfdafb-9b7f-4b66-b3c5-f1d872b0961d}">
      <Type>Deny</Type>
      <Options>0</Options>
      <AccessMask>40</AccessMask>
      <Parameters MatchType="MatchAll">
             <Network MatchType="MatchAny">
                   <GroupId>{ e5f619a7-5c58-4927-90cd-75da2348a30a }</GroupId>
            </Network>
      </Parameters>
   </Entry>

Condições de conexão VPN

A tabela a seguir descreve as condições de conexão VPN:

Essas propriedades são adicionadas ao DescriptorIdList de um grupo do tipo VPNConnection, conforme mostrado no snippet a seguir:

    <Group Id="{d633d17d-d1d1-4c73-aa27-c545c343b6d7}" Type="VPNConnection">
        <Name>Corporate VPN</Name>
        <MatchType>MatchAll</MatchType>
        <DescriptorIdList>
            <NameId>ContosoVPN</NameId>
            <VPNServerAddressId>contosovpn.*.contoso.com</VPNServerAddressId>
            <VPNDnsSuffixId>corp.contoso.com</VPNDnsSuffixId>
            <VPNConnectionStatusId>Connected</VPNConnectionStatusId>
        </DescriptorIdList>
    </Group>

Em seguida, o grupo é referenciado como parâmetros em uma entrada, conforme ilustrado no snippet a seguir:

       <Entry Id="{27c79875-25d2-4765-aec2-cb2d1000613f}">
          <Type>Allow</Type>
          <Options>0</Options>
          <AccessMask>64</AccessMask>
          <Parameters MatchType="MatchAny">
            <VPNConnection>
                    <GroupId>{d633d17d-d1d1-4c73-aa27-c545c343b6d7}</GroupId>
            </VPNConnection>
        </Parameters>
       </Entry>

O grupo é então referenciado como parâmetros em uma entrada, conforme ilustrado no snippet a seguir:

   <Entry Id="{1ecfdafb-9b7f-4b66-b3c5-f1d872b0961d}">
      <Type>Deny</Type>
      <Options>0</Options>
      <AccessMask>40</AccessMask>
      <Parameters MatchType="MatchAll">
             <File MatchType="MatchAny">
                   <GroupId>{ e5f619a7-5c58-4927-90cd-75da2348a30f }</GroupId>
            </File>
      </Parameters>
   </Entry>

Condições do trabalho de impressão

A tabela a seguir descreve as PrintJob propriedades do grupo:

Essas propriedades são adicionadas ao DescriptorIdList de um grupo do tipo PrintJob, conforme ilustrado no snippet a seguir:

<Group Id="{e5f619a7-5c58-4927-90cd-75da2348a30b}" Type="PrintJob" MatchType="MatchAny">
    <DescriptorIdList>
        <PrintOutputFileNameId>C:\Documents\*.pdf</PrintOutputFileNameId >
        <PrintDocumentNameId>*.xlsx</PrintDocumentNameId>
<PrintDocumentNameId>*.docx</PrintDocumentNameId>
    </DescriptorIdList>
</Group>

O grupo é então referenciado como parâmetros em uma entrada, conforme ilustrado no snippet a seguir:

   <Entry Id="{1ecfdafb-9b7f-4b66-b3c5-f1d872b0961d}">
      <Type>Deny</Type>
      <Options>0</Options>
      <AccessMask>40</AccessMask>
      <Parameters MatchType="MatchAll">
             <PrintJob MatchType="MatchAny">
                   <GroupId>{e5f619a7-5c58-4927-90cd-75da2348a30b}</GroupId>
            </PrintJob>
      </Parameters>
   </Entry>

Próximas etapas

• Exibir eventos e informações de controle de dispositivo no Microsoft Defender para Ponto de Extremidade
• Configurar o controle de dispositivo no Microsoft Defender para Ponto de Extremidade
• Controle de Dispositivos para macOS