Política antivírus para segurança de ponto de extremidade no Microsoft Intune

Segurança do ponto de extremidade do Intune As políticas antivírus ajudam os administradores de segurança a se concentrar no gerenciamento de um grupo discreto de configurações de antivírus para dispositivos gerenciados.

A política antivírus inclui vários perfis. Cada perfil contém apenas as configurações relevantes para o antivírus Microsoft Defender para Ponto de Extremidade para dispositivos macOS e Windows ou para a experiência do usuário no aplicativo Segurança do Windows em dispositivos Windows.

Encontre as políticas antivírus em Gerenciar no nó Segurança do ponto de extremidade do centro de administração do Microsoft Intune.

As políticas antivírus incluem as mesmas configurações que os modelos encontrados de proteção de ponto de extremidade ou restrição de dispositivo para a política de configuração de dispositivo . No entanto, esses tipos de política incluem outras categorias de configurações que não estão relacionadas ao Antivírus. As configurações adicionais podem complicar a tarefa de configuração da carga de trabalho do antivírus. Além disso, as configurações encontradas na política antivírus para macOS não estão disponíveis por meio de outros tipos de política. O perfil macOS Antivírus substitui a necessidade de definir as configurações usando .plist arquivos.

Aplicável a:

• Linux
• macOS
• Windows
• Windows Server (por meio do cenário de gerenciamento de configurações de segurança do Microsoft Defender para Ponto de Extremidade)

Pré-requisitos para a política antivírus

Suporte para dispositivos registrados no Intune (MDM):

• macOS

  • Qualquer versão compatível do macOS
  • Para que o Intune gerencie as configurações de antivírus em um dispositivo, o Defender para Ponto de Extremidade deve ser instalado nesse dispositivo. Confira Microsoft Defender para Ponto de Extremidade para macOS (na documentação do Defender para Ponto de Extremidade).

• Windows

  • Nenhum pré-requisito adicional é necessário.

Suporte para clientes do Microsoft Configuration Manager:

Este cenário está em versão prévia e requer o uso do branch atual do Gerenciador de Configurações, versão 2006 ou posterior.

• Configurar conexão de locatário para dispositivos do Gerenciador de Configurações – para dar suporte à implantação de política antivírus em dispositivos gerenciados pelo Gerenciador de Configurações, configure a conexão de locatário. A configuração da anexação de locatário inclui a configuração de coleções de dispositivos do Gerenciador de Configurações para dar suporte às políticas de segurança de ponto de extremidade do Intune.

  Para configurar a anexação de locatário, confira Configurar anexação de locatário para dar suporte a políticas de proteção de ponto de extremidade.

Suporte para clientes do Defender para Ponto de Extremidade:

• Gerenciamento de configurações de segurança do Defender para Ponto de Extremidade – para configurar o suporte para implantação de política antivírus em dispositivos gerenciados pelo Defender para Ponto de Extremidade, mas não registrados no Intune, confira Gerenciar o Microsoft Defender para Ponto de Extremidade em dispositivos com o Microsoft Intune. Este artigo também inclui as informações sobre as plataformas compatíveis com esse recurso e as políticas e os perfis compatíveis com essas plataformas.

Controles de acesso baseados em função (RBAC)

Para obter instruções sobre como atribuir o nível certo de permissões e direitos para gerenciar a política antivírus do Intune, confira Controle de acesso baseado em função para segurança de ponto de extremidade.

Pré-requisitos para a proteção contra adulterações

O Intune dá suporte ao gerenciamento da proteção contra violação em dispositivos que executam um dos seguintes sistemas operacionais:

• macOS (qualquer versão com suporte)
• Windows 10 e 11 (incluindo várias sessões Enterprise)
• Windows Server 2016 e posterior
• Windows Server, versão 1803 ou posterior
• Windows Server 2012 R2 (usando a solução moderna e unificada)

O Defender para Ponto de Extremidade dá suporte à proteção contra adulterações em plataformas adicionais além daquelas gerenciáveis por meio da política do Intune. Para obter a lista completa, consulte Pré-requisitos de proteção contra adulterações.

Para obter mais informações sobre o comportamento da proteção contra adulterações, incluindo quais configurações são protegidas e opções de solução de problemas, consulte O que é proteção contra adulterações? na documentação do Defender para Ponto de Extremidade.

Você pode usar o Intune para gerenciar a proteção contra adulterações em dispositivos Windows como parte do perfil de Experiência de Segurança do Windows (uma política de antivírus). Isso inclui dispositivos gerenciados com o Intune e dispositivos gerenciados com o Gerenciador de Configurações por meio do cenário de anexação de locatário. A proteção contra violação também está disponível para a Área de Trabalho Virtual do Azure.

Dispositivos gerenciados do Intune

Pré-requisitos para dar suporte à proteção contra adulterações para dispositivos gerenciados pelo Intune:

• Seu ambiente deve atender aos requisitos para gerenciar a proteção contra adulterações no Intune
• Os dispositivos são integrados ao Microsoft Defender para Ponto de Extremidade (P1 ou P2)

Perfis da política antivírus que oferece suporte à proteção contra violação para dispositivos gerenciados pelo Microsoft Intune:

• Plataforma: Windows

  • Perfil: experiência de Segurança do Windows

  Observação

  Em 5 de abril de 2022, o Windows 10 e a plataforma posterior foram substituídos pela plataforma Windows.

  A plataforma Windows dá suporte a dispositivos que se comunicam com o Intune por meio do Microsoft Intune ou do Microsoft Defender para Ponto de Extremidade. Esses perfis também adicionam suporte para a plataforma do Windows Server, que não tem suporte nativo pelo Microsoft Intune.

  Os perfis para esta nova plataforma usam o formato de configurações encontrado no Catálogo de Configurações. Cada novo modelo de perfil para essa nova plataforma inclui as mesmas configurações do modelo de perfil mais antigo que ela substitui. Com essa alteração, você não pode mais criar novas versões dos perfis antigos. Suas instâncias existentes do perfil antigo permanecem disponíveis para uso e edição.

Você também pode usar o perfil de proteção do ponto de extremidade para a política de configuração de dispositivo para configurar a proteção contra adulteração para dispositivos gerenciados pelo Intune.

Clientes do Gerenciador de Configurações gerenciados por meio do cenário de anexação de locatário

Pré-requisitos para dar suporte ao gerenciamento da proteção contra adulterações com estes perfis:

• Seu ambiente deve atender aos requisitos para gerenciar a proteção contra adulterações no Intune, conforme detalhado na documentação do Defender para Ponto de Extremidade.
• Você deve usar o branch atual do Gerenciador de Configurações 2006 ou posterior.
• Você deve configurar a anexação de locatário para dar suporte às políticas de proteção do ponto de extremidade. Isso inclui configurar coleções de dispositivos do Gerenciador de Configurações para sincronização com o Intune.
• Os dispositivos são integrados ao Microsoft Defender para Ponto de Extremidade (P1 ou P2)

Perfis da política antivírus que oferece suporte à proteção contra violação para dispositivos gerenciados pelo Gerenciador de Configurações:

• Plataforma: Windows (ConfigMgr)
  • Perfil: Experiência de Segurança do Windows (visualização)

Configuração controlada para configurações do Microsoft Defender (versão prévia)

A configuração controlada estende a proteção contra adulterações, tornando o Microsoft Intune a única fonte autoritativa para configurações de segurança do Microsoft Defender em um dispositivo. Embora a proteção contra adulterações bloqueie determinadas configurações de segurança para seus padrões seguros, a configuração controlada vai além, bloqueando todas as configurações aplicáveis aos valores configurados no Intune. As configurações não definidas retornam aos padrões de plataforma segura.

As organizações que implantam o Microsoft Defender para Ponto de Extremidade podem enfrentar estados de dispositivo indeterminados quando vários canais de gerenciamento, incluindo a Política de Grupo, o Gerenciador de Configurações, ferramentas de terceiros e scripts de administrador local, substituem os scripts Configurações. Esses conflitos tornam as configurações do Defender imprevisíveis e difíceis de solucionar problemas.

A configuração controlada estabelece uma clara precedência de autoridade. Quando a configuração controlada é habilitada em um dispositivo, as configurações de segurança fornecidas pelo gerenciamento de configurações de segurança do Intune ou do Microsoft Defender para Ponto de Extremidade têm precedência exclusiva. As configurações de todos os outros canais, incluindo a Política de Grupo, o Gerenciador de Configurações e alterações locais, são substituídas. Outros canais ainda podem fornecer configurações, mas os valores configurados pelo Intune sempre têm prioridade.

Esse recurso é útil em dois cenários comuns:

• Implantações de prova de conceito — As organizações podem implantar e validar rapidamente sua configuração do Defender sem primeiro precisar identificar e corrigir conflitos de GPO herdados ou ferramentas de terceiros.
• Gerenciamento de estado estável — Os administradores podem manter configurações determinísticas e auditáveis do Defender sem precisar monitorar ou policiar todos os outros canais de gerenciamento.

Habilitar configuração controlada

A configuração controlada está disponível como uma configuração dedicada no perfil de experiência de Segurança do Windows para a política Antivírus. Na seção Defender , a configuração Configuração Controlada (Dispositivo) dá suporte aos seguintes valores:

Para habilitar a configuração controlada, crie ou edite uma política antivírus que use o perfil de experiência da Segurança do Windows. Defina Configuração Controlada (Dispositivo) como Configuração Controlada (Ativada) e, em seguida, implante a política nos dispositivos que você deseja proteger.

• CSP: Configuração do CSP > do Defender/TamperProtection

Escopo e limitações

Durante a versão prévia, a configuração controlada impõe configurações definidas por meio dos seguintes modelos de política de segurança de ponto de extremidade:

• Antivírus
• Redução da superfície de ataque (ASR)

Quando um dispositivo está no estado de configuração controlada, as configurações do Defender fornecidas por meio desses modelos são autoritativas. As configurações para os mesmos componentes do Defender entregues por meio de outros canais são substituídas.

As configurações que não são definidas explicitamente na configuração controlada são revertidas para seus valores padrão. Os usuários locais ainda podem modificar essas configurações porque a configuração controlada bloqueia apenas as configurações definidas por sua política.

A configuração controlada não se aplica a:

• Detecção e resposta de ponto de extremidade (EDR)
• Configurações de firewall
• Políticas criadas fora da experiência do Endpoint Security, como políticas do Catálogo de Configurações
• Tipos de política de segurança de ponto de extremidade não usados por componentes do Defender, como Proteção de Conta

Relatórios com configuração controlada

Quando um dispositivo está no estado de configuração controlada, o comportamento de relatório para esse dispositivo muda:

• Para políticas configuradas por meio de um modelo que dá suporte à configuração controlada (Antivírus, ASR), os relatórios de status por configuração refletem a configuração imposta conforme o esperado.
• Para políticas de configuração não controladas, como políticas do Catálogo de Configurações, que contêm configurações sobrepostas a uma política de configuração controlada, as configurações sobrepostas relatam como Não aplicável nesse dispositivo. A política de configuração controlada tem precedência para essas configurações, independentemente do valor configurado na outra política.
• Nos relatórios Pontos de extremidade não íntegros (Segurança de ponto de extremidade,Pontos de extremidade não íntegros de antivírus>) e Status do agente antivírus (Relatórios>,Antivírus>,status do agente antivírus), a coluna Proteção contra adulteração é renomeada para Configuração controlada.> Os valores refletem se a configuração controlada está habilitada ou desabilitada para dispositivos registrados no MDM. Os dispositivos registrados no Defender não estão incluídos nesses relatórios.
• Quando um dispositivo recebe políticas conflitantes do Intune — uma habilitando a configuração controlada e outra desabilitando ou habilitando a proteção contra adulterações — a política de configuração controlada tem precedência.

Para obter mais informações sobre a proteção contra adulterações e como a configuração controlada a estende, consulte Proteger as configurações de segurança com a proteção contra adulterações.

Perfis de antivírus

Encontre orientações para a criação de perfis de segurança de ponto de extremidade em Criar uma política de segurança de ponto de extremidade.

Dispositivos gerenciados pelo Microsoft Intune

Os perfis a seguir têm suporte para dispositivos gerenciados com o Intune:

Linux

• Plataforma: Linux

  • Perfil: Microsoft Defender Antivírus - Gerenciar configurações de antivírus em dispositivos Linux.
  • Perfil: Microsoft Defender Exclusões de antivírus - Gerencie as configurações do Microsoft Defender Antivírus que definem exclusões de antivírus para caminhos, extensões e processos.

  As exclusões de antivírus também são gerenciadas pela política do Microsoft Defender Antivírus, que inclui configurações idênticas para exclusões, e de outras políticas, como o perfil de detecção e resposta de ponto de extremidade do Intune para Exclusões Globais do Microsoft Defender (AV+EDR) para Linux, que inclui exclusões de EDR e Antivírus. As configurações de várias fontes estão sujeitas à mesclagem de políticas e criam um superconjunto de exclusões para dispositivos e usuários aplicáveis.

  Importante

  O perfil de Exclusões Globais do Microsoft Defender (AV+EDR) tem suporte apenas para dispositivos Linux gerenciados pelo Defender por meio do cenário de gerenciamento de configurações de segurança do Microsoft Defender para Ponto de Extremidade.

  Para obter mais informações sobre exclusões do Linux, consulte Configurar e validar exclusões para o Microsoft Defender para Ponto de Extremidade no Linux na documentação do Microsoft Defender.

macOS

• Plataforma: macOS

  • Perfil: Antivírus - Gerenciar configurações de política de antivírus para macOS.

    Ao usar o Microsoft Defender para Ponto de Extremidade para Mac, você pode definir e implantar configurações de antivírus em seus dispositivos macOS gerenciados por meio do Intune em vez de definir essas configurações pelo uso de .plist arquivos.

Windows

• Plataforma: Windows
  Os perfis para essa plataforma podem ser usados com dispositivos registrados no Intune e dispositivos gerenciados por meio do Gerenciamento de Segurança para o Microsoft Defender para Ponto de Extremidade.

  Observação

  Em 5 de abril de 2022, o Windows 10 e a plataforma posterior foram substituídos pela plataforma Windows.

  A plataforma Windows dá suporte a dispositivos que se comunicam com o Intune por meio do Microsoft Intune ou do Microsoft Defender para Ponto de Extremidade. Esses perfis também adicionam suporte para a plataforma do Windows Server, que não tem suporte nativo pelo Microsoft Intune.

  Os perfis para esta nova plataforma usam o formato de configurações encontrado no Catálogo de Configurações. Cada novo modelo de perfil para essa nova plataforma inclui as mesmas configurações do modelo de perfil mais antigo que ela substitui. Com essa alteração, você não pode mais criar novas versões dos perfis antigos. Suas instâncias existentes do perfil antigo permanecem disponíveis para uso e edição.

  • Perfil: Microsoft Defender Antivírus - Gerenciar configurações de política de antivírus para dispositivos Windows.

    O Defender Antivírus é o componente da proteção de próxima geração do Microsoft Defender para Ponto de Extremidade. A proteção de última geração reúne tecnologias como aprendizado de máquina e infraestrutura de nuvem para proteger os dispositivos em sua organização empresarial.

    O perfil do Microsoft Defender Antivírus é uma instância separada das configurações de antivírus encontradas no perfil de Restrição de Dispositivo para a política Configuração de Dispositivo.

    Ao contrário das configurações de antivírus em um perfil de Restrição de Dispositivo, você pode usar essas configurações com dispositivos cogerenciados. Para usar essas configurações, o controle deslizante de carga de trabalho de cogerenciamento do Endpoint Protection deve ser definido como Intune.

  • Perfil: Microsoft Defender Exclusões de - antivírusGerencie as configurações de política apenas para Exclusão de antivírus.

    Com essa política, você pode gerenciar configurações para os seguintes CSPs (provedores de serviço de configuração do Microsoft Defender Antivírus que definem exclusões de antivírus:

    • Defender/ExcludedPaths
    • Defender/ExcludedExtensions
    • Defender/ExcludedProcesses

    Esses CSPs para exclusão de antivírus também são gerenciados pela política do Microsoft Defender Antivírus, que inclui configurações idênticas para exclusões. As configurações de ambos os tipos de política (exclusões de antivírus e antivírus) estão sujeitas à mesclagem de política e criam um superconjunto de exclusões para dispositivos e usuários aplicáveis.

    Aviso

    A definição de exclusões reduz a proteção oferecida pelo Microsoft Defender Antivírus. Sempre avalie os riscos associados à implementação de exclusões. Exclua apenas arquivos que você sabe que não são mal-intencionados.

    Para saber mais, confira Visão geral de exclusões na documentação do Microsoft Defender.

  • Perfil: Experiência de Segurança do Windows - Gerencie as configurações do aplicativo de Segurança do Windows que os usuários finais podem exibir na Central de Segurança do Microsoft Defender e as notificações que recebem.

    O aplicativo de segurança do Windows é usado por muitos recursos de segurança do Windows para fornecer notificações sobre a integridade e a segurança do computador. As notificações de aplicativos de segurança incluem firewalls, produtos antivírus, Windows Defender SmartScreen e outros.

  • Perfil: Defender Controles de atualização - Gerenciar configurações de atualização para o Microsoft Defender, incluindo as seguintes configurações obtidas diretamente do CSP do Defender:

    • Canal de Atualizações de Mecanismo
    • Canal de Atualizações de Plataforma
    • Canal de Atualizações de Inteligência de Segurança

Dispositivos gerenciados pelo Gerenciador de Configurações

Antivírus

Gerencie as configurações de antivírus para dispositivos do Gerenciador de Configurações ao usar o anexo de locatário.

Caminho da política:

• Segurança de ponto de > extremidade Antivírus > do Windows (ConfigMgr)

Perfis:

• Microsoft Defender Antivírus (versão prévia)
• Experiência de Segurança do Windows (visualização)

Versão necessária do Gerenciador de Configurações:

• Branch Atual do Gerenciador de Configurações versão 2006 ou posterior

Plataformas de dispositivo do Gerenciador de Configurações com suporte:

• Windows 8.1 (x86, x64), a partir do Gerenciador de Configurações versão 2010
• Windows
• Windows Server 2012 R2 (x64), a partir do Gerenciador de Configurações versão 2010
• Windows Server 2016 e posterior (x64)

Mesclagem de política para configurações

Algumas configurações de política de antivírus dão suporte à mesclagem de políticas. A mesclagem de políticas ajuda a evitar conflitos quando várias políticas se aplicam aos mesmos dispositivos e definem a mesma configuração. O Intune avalia as configurações compatíveis com a mesclagem de políticas para cada usuário ou dispositivo, conforme obtido de todas as políticas aplicáveis. Essas configurações são então mescladas em um único superconjunto de políticas.

Por exemplo, você cria três políticas antivírus separadas que definem exclusões de caminho de arquivo antivírus diferentes. Eventualmente, todas as três políticas são atribuídas ao mesmo usuário. Como o CSP de exclusão de caminho de arquivo do Microsoft Defender dá suporte à mesclagem de políticas, o Intune avalia e combina as exclusões de arquivo de todas as políticas aplicáveis para o usuário. As exclusões são adicionadas a um superconjunto e a lista única de exclusões é entregue ao dispositivo dos usuários.

Quando a mesclagem de políticas não tem suporte para uma configuração, pode ocorrer um conflito. Os conflitos podem fazer com que o usuário ou dispositivo não receba nenhuma política para a configuração. Por exemplo, a mesclagem de política não dá suporte ao CSP para impedir a instalação de IDs de dispositivo correspondentes (PreventInstallationOfMatchingDeviceIDs). As configurações desse CSP não são mescladas e são processadas separadamente.

Quando processados separadamente, os conflitos de política são resolvidos da seguinte maneira:

1. A política mais segura se aplica.
2. Se duas políticas forem igualmente seguras, a última política modificada será aplicada.
3. Se a última política modificada não puder resolver o conflito, nenhuma política será entregue ao dispositivo.

Configurações e CSPs que dão suporte à mesclagem de política

As seguintes configurações dão suporte à mesclagem da política:

• Processos Excluídos \u2012 CSP: Defender/ExcludedProcesses
• Extensões Excluídas \u2012 CSP: Defender/ExcludedExtensions
• Caminhos Excluídos - CSP: Defender/ExcludedPaths

Relatórios de política antivírus

Os relatórios de política antivírus exibem detalhes de status sobre a segurança do seu ponto de extremidade Políticas antivírus e status do dispositivo. Esses relatórios estão disponíveis no nó de segurança do ponto de extremidade do centro de administração do Microsoft Intune.

Para exibir os relatórios, no Centro de administração do Microsoft Intune, acesse Segurança do ponto de extremidade e selecione Antivírus. Selecionar Antivírus abre a página Resumo. Exibições de relatório e de status adicionais estão disponíveis como páginas adicionais.

Além dos relatórios detalhados nas seções a seguir, relatórios adicionais para o Microsoft Defender Antivírus são encontrados no nó Relatórios do centro de administração do Microsoft Intune, conforme documentado no artigo Relatórios do Intune:

• Relatório de Status do agente antivírus (organizacional)
• Relatório de Malware detectado (organizacional)

Resumo

Na página Resumo , você pode criar novas políticas e exibir uma lista das políticas que foram criadas anteriormente. A lista inclui detalhes de alto nível sobre o perfil que a política inclui (Tipo de Política) e se a política está atribuída.

Quando você seleciona uma política na lista, a página Visão geral dessa instância de política é aberta e exibe mais informações. Depois de selecionar um bloco nessa exibição, o Intune exibirá detalhes adicionais para esse perfil, se eles estiverem disponíveis.

Pontos de extremidade não íntegros

Na página Pontos de extremidade não íntegros, você pode exibir informações sobre o status do antivírus de seus dispositivos Windows gerenciados por MDM. Essas informações são retornadas do Windows Defender Antivírus executado no dispositivo, como Threat agent status. Nesta página, selecione Colunas para exibir a lista completa de detalhes disponíveis no relatório.

Somente os dispositivos com problemas detectados são exibidos nessa exibição. Esse modo de exibição não exibe detalhes para dispositivos identificados como limpos.

As informações deste relatório baseiam-se nos detalhes disponíveis nos seguintes CSPs, que estão descritos na documentação de gerenciamento de clientes Windows:

• CSP do Defender
• CSP WindowsAdvancedThreatProtection.

Próximas etapas

Configurar políticas de segurança do Ponto de extremidade

Veja os detalhes das configurações do Windows nos perfis preteridos para o Windows 10 preterido e a plataforma posterior:

• Configurações da política de antivírus
• Exclusões de antivírus
• Configurações do aplicativo de Segurança do Windows