Passo a passo do controle de dispositivos

Este artigo descreve diferentes maneiras de ver como funciona o controle de dispositivos. Começando com as configurações padrão, cada seção descreve como configurar o controle do dispositivo para atingir determinados objetivos.

Explorar o estado padrão do controle de dispositivos

Por padrão, o controle de dispositivos é desabilitado e não há restrições sobre quais dispositivos podem ser adicionados. A auditoria de eventos básicos de controle de dispositivo está habilitada para dispositivos incorporados ao Defender for Endpoint. Essa atividade pode ser vista no relatório de controle do dispositivo. Filtrar pela Política de Auditoria PnP integrada mostra os dispositivos conectados aos pontos de extremidade no ambiente.

O Controle de Dispositivo no Defender para Endpoint identifica um dispositivo com base em suas propriedades. As propriedades do dispositivo são visíveis selecionando uma entrada no relatório.

O ID do dispositivo, o ID do fornecedor (VID), o número de série e o tipo de barramento podem ser usados para identificar um dispositivo (consulte Políticas de controle de dispositivo no Microsoft Defender para Endpoint). Os dados também estão disponíveis na Busca Avançada, pesquisando a ação Dispositivo Conectado Plug and Play (PnPDeviceConnected), conforme mostrado na seguinte consulta de exemplo:

DeviceEvents
| where ActionType == "PnpDeviceConnected"
| extend parsed=parse_json(AdditionalFields)
| extend MediaClass = tostring(parsed.ClassName)
| extend MediaDeviceId = tostring(parsed.DeviceId)
| extend MediaDescription = tostring(parsed.DeviceDescription)
| extend MediaSerialNumber = tostring(parsed.SerialNumber)
| project Timestamp, DeviceId, DeviceName, AccountName, AccountDomain, MediaClass, MediaDeviceId, MediaDescription, MediaSerialNumber, parsed
| order by Timestamp desc

O status do controle de dispositivo (habilitado/desabilitado, imposição padrão e última atualização de política) está disponível em um dispositivo por meio de Get-MpComputerStatus, conforme ilustrado no snippet a seguir:

DeviceControlDefaultEnforcement   : 
DeviceControlPoliciesLastUpdated  : 1/3/2024 12:51:56 PM
DeviceControlState                : Disabled

Altere o estado do controle do dispositivo para ativado em um dispositivo de teste. Verifique se a política é aplicada verificando Get-MpComputerStatus, conforme ilustrado no snippet de código a seguir:

DeviceControlDefaultEnforcement   : DefaultAllow
DeviceControlPoliciesLastUpdated  : 1/4/2024 10:27:06 AM
DeviceControlState                : Enabled

No dispositivo de teste, insira uma unidade USB. Não há restrições; Todos os tipos de acesso (ler, gravar, executar e imprimir) são permitidos. Um registro é criado para mostrar que um dispositivo USB foi conectado. Você pode usar o seguinte exemplo de consulta avançada de busca para vê-la:

DeviceEvents
| where ActionType == "PnpDeviceConnected"
| extend parsed=parse_json(AdditionalFields)
| extend MediaClass = tostring(parsed.ClassName)
| extend MediaDeviceId = tostring(parsed.DeviceId)
| extend MediaDescription = tostring(parsed.DeviceDescription)
| extend MediaSerialNumber = tostring(parsed.SerialNumber)
| where MediaClass == "USB"
| project Timestamp, DeviceId, DeviceName, AccountName, AccountDomain, MediaClass, MediaDeviceId, MediaDescription, MediaSerialNumber, parsed
| order by Timestamp desc

Esta consulta de exemplo filtra os eventos por MediaClass. O comportamento padrão pode ser alterado para negar todos os dispositivos ou excluir famílias de dispositivos do controle de dispositivos. Altere o comportamento padrão como negar e, em seguida, defina o controle do dispositivo somente para ser aplicado ao armazenamento removível.

Para o Intune, use um perfil personalizado para definir as configurações de controle do dispositivo, da seguinte maneira:

• Defina ./Vendor/MSFT/Defender/Configuration/DeviceControlEnabled como 1
• Defina ./Vendor/MSFT/Defender/Configuration/DefaultEnforcement como 2
• Defina ./Vendor/MSFT/Defender/Configuration/SecuredDevicesConfiguration como RemovableMediaDevices

Implante sua política no dispositivo de teste. Use Get-MpComputerStatus para confirmar se a imposição padrão está definida como Negar, conforme ilustrado no snippet a seguir:

DeviceControlDefaultEnforcement  : DefaultDeny
DeviceControlPoliciesLastUpdated : 1/4/2024 10:27:06 AM
DeviceControlState               : Enabled

Remova e reinsira o dispositivo USB na máquina de teste. Tente abrir a unidade. A unidade não está acessível e é exibida uma mensagem que indica o acesso negado.

Etapa 1: negar todas as mídias removíveis

Para personalizar o comportamento, o controle de dispositivo usa políticas que são uma combinação de grupos e regras. Comece implantando uma política que nega todo o acesso a todos os dispositivos de armazenamento removíveis e audita o evento enviando uma notificação ao portal e ao usuário. A imagem a seguir resume essas configurações:

Para fins de controle de acesso, os dispositivos são organizados em grupos. Essa política usa um grupo chamado All removable media devices. Depois que essa política for implantada no dispositivo de teste, reinsira o USB. Uma notificação é exibida, indicando que o acesso ao dispositivo é restrito.

O evento também aparece em até 15 minutos na Busca Avançada. Você pode usar a seguinte consulta de exemplo para exibir os resultados:

DeviceEvents
| where ActionType == "RemovableStoragePolicyTriggered"
| extend parsed=parse_json(AdditionalFields)
| extend RemovableStorageAccess = tostring(parsed.RemovableStorageAccess)
| extend RemovableStoragePolicyVerdict = tostring(parsed.RemovableStoragePolicyVerdict)
| extend MediaBusType = tostring(parsed.BusType)
| extend MediaClassGuid = tostring(parsed.ClassGuid)
| extend MediaClassName = tostring(parsed.ClassName)
| extend MediaDeviceId = tostring(parsed.DeviceId)
| extend MediaInstanceId = tostring(parsed.DeviceInstanceId)
| extend MediaName = tostring(parsed.MediaName)
| extend RemovableStoragePolicy = tostring(parsed.RemovableStoragePolicy)
| extend MediaProductId = tostring(parsed.ProductId)
| extend MediaVendorId = tostring(parsed.VendorId)
| extend MediaSerialNumber = tostring(parsed.SerialNumber)
|project Timestamp, DeviceId, DeviceName, InitiatingProcessAccountName, ActionType, RemovableStorageAccess, RemovableStoragePolicyVerdict, MediaBusType, MediaClassGuid, MediaClassName, MediaDeviceId, MediaInstanceId, MediaName, RemovableStoragePolicy, MediaProductId, MediaVendorId, MediaSerialNumber, FolderPath, FileSize
| order by Timestamp desc

Selecionar o evento para exibir informações sobre a política e o dispositivo.

Etapa 2: Permitir o acesso de dispositivos USB autorizados

Para conceder acesso ao conjunto de dispositivos USB autorizados, configure um grupo para identificar esses dispositivos. Chamamos nosso grupo de Authorized USBs, e usamos as configurações mostradas na imagem a seguir:

Em nosso exemplo, o grupo de dispositivos USB autorizados contém um único dispositivo identificado pelo seu InstancePathId. Antes de implantar o exemplo, você pode alterar o valor para o InstancePathId de um dispositivo de teste. Consulte Usando o Gerenciador de Dispositivos do Windows para determinar as propriedades do dispositivo e Usando relatórios e busca avançada para determinar as propriedades dos dispositivos para obter detalhes sobre como encontrar o valor correto.

Observe que o grupo USB autorizado está excluído da política de negar tudo. Isso garante que esses dispositivos sejam avaliados para as outras políticas. As políticas não são avaliadas em ordem, portanto, cada política deve estar correta se avaliada independentemente. Depois que a política for implantada, reinsira o dispositivo USB aprovado. Você deve verificar se há acesso total ao dispositivo. Insira outro USB e confirme se o acesso está bloqueado para esse dispositivo.

O controle de dispositivos tem várias maneiras de agrupar dispositivos com base em propriedades. Para obter mais informações, consulte Políticas de controle de dispositivos no Microsoft Defender para Ponto de Extremidade.

Etapa 3: permitir diferentes níveis de acesso para diferentes tipos de dispositivos

Para criar comportamentos diferentes para dispositivos diferentes, coloque-os em grupos separados. Em nosso exemplo, usamos um grupo chamado Read Only USBs. A imagem a seguir mostra as configurações que usamos:

Em nosso exemplo, o grupo USB somente leitura contém um único dispositivo identificado pelo seu VID_PID. Antes de implantar o exemplo, você pode alterar o valor de VID_PID para o de um segundo dispositivo de teste.

Depois que a política for implantada, insira um USB autorizado. Você deve ver se o acesso total é permitido. Agora insira o segundo dispositivo de teste (somente leitura USB). Você pode acessar o dispositivo com permissões somente leitura. Tente criar um novo arquivo ou fazer alterações em um arquivo e você verá que o controle do dispositivo o bloqueia.

Se você inserir qualquer outro dispositivo USB, ele deverá ser bloqueado devido à política "Negar todos os outros USBs".

Etapa 4: permitir diferentes níveis de acesso aos dispositivos para usuários ou grupos específicos

O controle do dispositivo permite restringir ainda mais o acesso usando condições. A condição mais simples é uma condição de usuário. No controle de dispositivos, usuários e grupos são identificados por sua SID (Identificação de Segurança).

A captura de tela a seguir mostra as configurações que usamos para nosso exemplo:

Por padrão, o exemplo usa o SID global de S-1-1-0. Antes de implantar a política, você pode alterar o SID associado aos USBs autorizados (USBs graváveis) para User1 e alterar o SID associado aos USBs de somente leitura para User2.

Depois que a política for implantada, somente o Usuário 1 terá acesso de gravação aos USBs Autorizados e somente o Usuário 2 terá acesso de leitura aos USBs ReadOnly.

O controle de dispositivos também dá suporte a SIDs de grupo. Altere o SID na política somente de leitura para um grupo que contenha User2. Depois que a política é reimplantada, as regras são as mesmas para o Usuário 2 ou qualquer outro usuário nesse grupo.

Próximas etapas

• Entender as políticas de controle de dispositivos
• Configurar controle de dispositivo
• Exibir relatórios de controle de dispositivo