Proteção de configuração no Microsoft Defender para Ponto de Extremidade

A proteção de configuração é um modelo de imposição de configuração que torna a política gerenciada na nuvem a fonte única da verdade para as configurações do Microsoft Defender Antivirus. Quando a proteção de configuração está ativada, as políticas do Intune e do Microsoft Defender para Ponto de Extremidade têm prioridade. O dispositivo ignora configurações do Group Policy, scripts, Microsoft Configuration Manager e alterações de administrador local.

A proteção de configuração elimina desvios de configuração e conflitos de políticas ao estender a aplicação do estilo de proteção contra adulteração para toda a superfície de configuração do Defender Antivírus.

A proteção contra violação e a proteção de configuração são capacidades complementares, porém distintas:

A proteção de configuração é um superconjunto de proteção contra violação que fornece controle orientado por políticas sobre toda a configuração do Microsoft Defender Antivírus.

Prerequisites

• Os dispositivos devem ser integrados ao Microsoft Defender para Ponto de Extremidade.
• Os dispositivos devem ser gerenciados pelo Microsoft Intune ou Defender para gerenciar configurações de segurança de endpoints.
• Os dispositivos devem rodar Windows 10, Windows 11, Windows Server 2019, Windows Server 2022 ou Windows Server 2025.
• Os dispositivos devem rodar o Microsoft Defender para Ponto de Extremidade EDR Sensor versão posterior à 10.8804 (setembro de 2025).
• Os dispositivos devem rodar a plataforma Microsoft Defender Antivirus versão 4.18.26060.3004 ou posterior (junho de 2026).

A proteção de configuração atualmente não suporta:

• Ambientes de co-gerenciamento (Gerenciador de Configurações + Intune).
• Ambientes de GCC High.

O que a proteção de configuração abrange

Atualmente, a proteção de configuração oferece proteção e aplicação para as configurações do Microsoft Defender Antivírus, incluindo:

• Configuração do antivírus (configurações de varredura, exclusões, atualizações)
• Políticas de redução de superfície de ataque (ASR)
• Defender Configuration Service Provider (CSP) e interface do CSP de Política (amplo conjunto de controles relacionados ao antivírus)
• Comportamento da fusão administrativa local

Atualmente, a proteção de configuração não cobre:

• Controle de Dispositivo Microsoft Defender
• Configurações de detecção e resposta de endpoint (EDR)
• Configurações do sistema operacional Windows (como Firewall)

Como funciona a aplicação da proteção de configuração

A proteção de configuração impõe a política gerenciada na nuvem por meio de três mecanismos:

• Aplicação de origem única: Quando a proteção da configuração está habilitada, aplicam-se as seguintes regras de imposição:

  • Somente as políticas do Intune e do Defender para Endpoint são aplicadas às configurações do Antivírus do Defender.
  • O Objeto de Política de Grupo (GPO), scripts, Gerenciador de Configurações, e alterações de administrador local são ignoradas.
  • O Microsoft Defender Antivirus não aceita exclusões locais por padrão. Organizações podem permitir exclusões de antivírus definidas por administradores locais ao ativar a fusão de administradores locais por meio da política Defender ou Intune. Quando a fusão de administradores locais é habilitada, exclusões antivírus definidas localmente podem ser combinadas com exclusões gerenciadas centralmente. Exclusões de redução de superfície de ataque (ASR) definidas localmente não são respeitadas atualmente, mesmo quando a mescagem de administradores locais está ativada.

• Padrões seguros: Se uma configuração não estiver explicitamente configurada em uma política, a proteção de configuração aplica os padrões definidos pela Microsoft. Esse comportamento garante que os dispositivos mantenham uma postura de segurança forte mesmo quando os administradores não configuraram todas as configurações disponíveis.

• Resolução de conflitos: A proteção da configuração usa um modelo de precedência baseado no valor, em vez de um modelo em que a última gravação prevalece:

  • O On tem prioridade sobre o Off. Se uma política definir a proteção de configuração como Ligada e outra como Desligada, o recurso permanece ativado no dispositivo.
  • Se múltiplas políticas atribuírem valores diferentes, um conflito é reportado, mas o valor On ainda é aplicado.
  • Se múltiplas políticas atribuírem o mesmo valor, o resultado é sucesso sem conflito.

  Importante

  Não configurado não significa Desligado. Para desativar o recurso, implante explicitamente uma política que defina a proteção de configuração como Desligado.

Habilitar a proteção de configuração

Você pode ativar a proteção de configuração tanto pelo Microsoft Intune quanto pelo Microsoft Defender para Ponto de Extremidade para gerenciamento de configurações de segurança.

O Microsoft Intune é a ferramenta recomendada para configurar e distribuir os recursos do Defender para Ponto de Extremidade aos dispositivos. No entanto, o Intune é um produto separado que não faz parte do Defender para Endpoint e não está incluído em todas as assinaturas. Para usar o Intune, você precisa de uma assinatura que a inclua ou pode comprá-la separadamente como uma assinatura autônoma ou complemento. Se você não tiver o Intune, poderá usar qualquer um dos outros métodos neste artigo. Para obter mais informações, confira Licenciamento do Microsoft Intune.

A proteção de configuração é configurada por meio da mesma interface de política que a proteção contra adulteração. No perfil Segurança do Windows Experience, o Intune renomeia a configuração de proteção contra adulteração para Proteção de Configuração (Dispositivo) quando a proteção de configuração está disponível. Você não pode ativar a proteção de configuração pelo Catálogo de Configurações ou pelo modelo Device Control v1 (DCv1).

Como a proteção de configuração e a proteção contra adulteração usam a mesma configuração de política, a configuração de proteção (Ativada) substitui o valor de proteção contra adulteração nesse dispositivo. Você não implementa políticas separadas de proteção contra adulteração e proteção de configuração para a mesma configuração. Para migrar políticas existentes de proteção contra adulteração (DCv1) para proteção de configuração, crie uma política Segurança do Windows Experience com Proteção de Configuração (Ativada) e remova a configuração de proteção contra adulteração das suas políticas DCv1 para evitar conflitos.

1. Na página de Segurança de Endpoints no centro de administração do Microsoft Intune em https://intune.microsoft.com, crie um novo perfil do Segurança do Windows Experience ou edite um existente.
2. Localize a configuração de proteção de configuração (Dispositivo) (anteriormente Proteção contra Adulterações).
3. Defina o valor para Proteção de Configuração (Ativada) para habilitar a proteção de configuração.
4. Atribua a política aos grupos de dispositivos apropriados.

Versão mínima do cliente e rollback

Antes de atribuir a proteção de configuração (Ativada), atualize os dispositivos para a plataforma Microsoft Defender Antivirus versão 4.18.26060.3004 ou posterior, e valide a implantação com um grupo piloto.

Em dispositivos com versões anteriores da plataforma, o Intune pode enviar Proteção de Configuração (Ligado) e Proteção contra Adulteração (Desligado), mas o dispositivo pode aplicar apenas a configuração de proteção contra violação. Esse comportamento deixa tanto a proteção de configuração quanto a proteção contra adulteração desligadas.

Para reverter, mude a política do Segurança do Windows Experience de Proteção de Configuração (Ativada) para Proteção contra Adulteração (Ativada), reimplante a política, sincronize os dispositivos afetados e verifique se a proteção contra adulteração está ativada. Aplica-se o prazo normal de entrega de políticas.

Relatórios e monitoramento

O status de proteção de configuração é visível tanto no centro de administração do Intune quanto no portal do Microsoft Defender, dependendo de como os dispositivos são gerenciados.

• Intune: Para dispositivos registrados diretamente pelo Intune usando o Mobile Gerenciamento de Dispositivos (MDM), você pode visualizar:

  • Status da política (Sucesso, Conflito ou Erro)
  • Status de proteção de configuração em nível de dispositivo

• Portal Microsoft Defender: Para dispositivos gerenciados via Defender para gerenciamento de configurações de segurança de endpoints, consulte o portal Microsoft Defender para o estado de configuração efetivo.

  Note

  Esses dispositivos não são visíveis nos relatórios do Intune. Use o portal do Microsoft Defender para verificar o estado efetivo da proteção de configuração.

Verifique a proteção de configuração em um dispositivo

Para confirmar o estado de proteção de configuração diretamente em um dispositivo, execute o seguinte cmdlet do PowerShell:

Get-MpComputerStatus

Revise as seguintes propriedades na saída:

• ControlledConfigurationState: O estado atual de aplicação de proteção de configuração no dispositivo.
• IsTamperProtected: Indica se a proteção contra violação (a base da proteção de configuração) está ativa.
• TamperProtectionSource: A fonte que impõe o estado atual.

Você também pode usar Get-MpComputerStatus para confirmar se a versão da plataforma Microsoft Defender Antivirus atende aos pré-requisitos e para validar o estado da configuração após uma mudança de política ou um reset da proteção de configuração.

Comportamentos do ciclo de vida

O comportamento de proteção de configuração varia dependendo das mudanças no ciclo de vida do dispositivo:

• Desativação de política: A proteção de configuração é removida do dispositivo, a menos que outra política de proteção de configuração ainda se aplique.
• Cancelamento do registro no Defender for Endpoint: A proteção de configuração permanece Ativada (não é removida automaticamente).
• Remoção do dispositivo: A proteção da configuração é removida e redefinida para Desativado.

Redefinir a proteção de configuração em um dispositivo

Para limpar o estado de proteção de configuração em um dispositivo, execute os seguintes comandos em um Prompt de Comando elevado (uma janela de Prompt de Comando que você abriu selecionando Executar como administrador):

(set "_done=" & if exist "%ProgramData%\Microsoft\Windows Defender\Platform\" (for /f "delims=" %d in ('dir "%ProgramData%\Microsoft\Windows Defender\Platform" /ad /b /o:-n 2^>nul') do if not defined _done (cd /d "%ProgramData%\Microsoft\Windows Defender\Platform\%d" & set _done=1)) else (cd /d "%ProgramFiles%\Windows Defender")) >nul 2>&1

MpCmdRun.exe -Config -ResetControlledConfiguration

Para mais informações, veja Habilitar e usar o modo de solução de problemas no Microsoft Defender para Ponto de Extremidade.

Limitações conhecidas

Atualmente, as seguintes limitações se aplicam à proteção de configuração:

• Você pode ver falsos conflitos no Intune quando tanto as políticas de proteção contra adulteração quanto de proteção de configuração miram no mesmo dispositivo.
• Você pode notar inconsistências nos relatórios entre o centro de administração do Intune e o portal do Microsoft Defender.
• A cobertura é limitada às configurações do Microsoft Defender Antivirus (controle de dispositivo, EDR e firewall ainda não são cobertos).
• Quando você ativa a proteção de configuração pelo Microsoft Defender para Ponto de Extremidade Security Settings Management ou pelo Intune, a proteção contra adulteração é desativada, a menos que outra política de proteção contra adulteração defina explicitamente a proteção como ativada. Quando a proteção de configuração está ativada e a proteção contra adulteração está desativada, a pontuação de segurança contra violação é menor. Estamos trabalhando para preencher essa lacuna.

Conteúdo relacionado

• Visão geral da proteção contra violações
• Configure proteção contra adulteração no Microsoft Intune
• Configurações e experimentação do serviço Microsoft Defender Core