Proteção de configuração no Microsoft Defender para Endpoint

A proteção da configuração é um modelo de imposição de configuração que torna a política gerida na nuvem a única fonte fidedigna para as definições do Antivírus do Microsoft Defender. Quando a proteção de configuração está ativada, as políticas do Intune e do Microsoft Defender para Endpoint têm prioridade. O dispositivo ignora definições do Group Policy, scripts, Microsoft Configuration Manager e alterações de administrador local.

A proteção de configuração elimina a deriva de configuração e conflitos de políticas ao estender a aplicação do estilo de proteção contra adulteração a toda a superfície de configuração do Defender Antivírus.

A proteção contra violações e a proteção de configuração são capacidades complementares mas distintas:

A proteção de configuração é um superconjunto de proteção contra violações que fornece controlo orientado por políticas sobre a configuração completa do Microsoft Defender Antivírus.

Pré-requisitos

• Os dispositivos devem estar integrados ao Microsoft Defender para Endpoint.
• Os dispositivos devem ser geridos através do Microsoft Intune ou Defender para a gestão das definições de segurança dos endpoints.
• Os dispositivos devem executar Windows 10, Windows 11, Windows Server 2019, Windows Server 2022 ou Windows Server 2025.
• Os dispositivos devem executar a versão do Microsoft Defender para Endpoint EDR Sensor posterior à 10.8804 (setembro de 2025).
• Os dispositivos devem executar a plataforma Microsoft Defender Antivirus versão 4.18.26060.3004 ou posterior (junho de 2026).

A proteção de configuração atualmente não suporta:

• Ambientes de co-gestão (Gestor de Configuração + Intune).
• Ambientes GCC High.

O que a proteção de configuração abrange

Atualmente, a proteção de configuração fornece proteção e aplicação das definições do Microsoft Defender Antivírus, incluindo:

• Configuração do antivírus (definições de análise, exclusões, atualizações)
• Políticas de redução da superfície de ataque (ASR)
• Defender Configuration Service Provider (CSP) e superfície CSP de políticas (conjunto alargado de controlos relacionados com antivírus)
• Comportamento de fusão do administrador local

Atualmente, a proteção de configuração não cobre:

• Controlo de Dispositivos Microsoft Defender
• Definições de deteção e resposta de endpoints (EDR)
• Definições do sistema operativo Windows (como Firewall)

Como funciona a aplicação da proteção de configuração

A proteção de configuração impõe políticas geridas na cloud através de três mecanismos:

• Aplicação de origem única: Quando a proteção da configuração estiver ativada, aplicam-se as seguintes regras de imposição:

  • Apenas as políticas do Intune e do Defender for Endpoint são aplicadas às definições do Antivírus do Microsoft Defender.
  • O Objeto de Política de Grupo (GPO), scripts, Gestor de Configuração e alterações administrativas locais são ignoradas.
  • O Microsoft Defender Antivirus não aceita exclusões locais por defeito. As organizações podem permitir exclusões antivírus definidas por administradores locais ao ativar a fusão local de administradores através da política Defender ou Intune. Quando a fusão de administradores locais está ativada, as exclusões antivírus definidas localmente podem ser fundidas com exclusões geridas centralmente. As exclusões de redução de superfície de ataque (ASR) definidas localmente não são atualmente respeitadas, mesmo quando a fusão de administradores locais está ativada.

• Definições seguras: Se uma definição não estiver explicitamente configurada numa política, a proteção de configuração aplica as definições definidas pela Microsoft. Este comportamento garante que os dispositivos mantêm uma postura de segurança forte mesmo quando os administradores não configuraram todas as definições disponíveis.

• Resolução de conflitos: A proteção da configuração utiliza um modelo de precedência baseado no valor, em vez de um modelo em que prevalece a última escrita:

  • O On tem prioridade sobre o Off. Se uma política definir a proteção de configuração em Ligado e outra em Desligado, a funcionalidade mantém-se ativada no dispositivo.
  • Se múltiplas políticas atribuírem valores diferentes, é reportado um conflito, mas o valor On continua a ser aplicado.
  • Se múltiplas políticas atribuírem o mesmo valor, o resultado é sucesso sem conflito.

  Importante

  Não configurado não significa Desligado. Para desativar a funcionalidade, implemente explicitamente uma política que defina a proteção de configuração para Desligado.

Ativar proteção de configuração

Pode ativar a proteção de configuração através do Microsoft Intune ou do Microsoft Defender para Endpoint Security Settings Management.

O Microsoft Intune é a ferramenta recomendada para configurar e distribuir funcionalidades do Defender for Endpoint para dispositivos. No entanto, o Intune é um produto separado que não faz parte do Defender for Endpoint, e não está incluído em todas as subscrições. Para usar o Intune, precisa de uma subscrição que o inclua, ou pode comprá-lo separadamente como subscrição autónoma ou complemento. Se não tiver o Intune, pode usar qualquer um dos outros métodos mencionados neste artigo. Para obter mais informações, veja licenciamento Microsoft Intune.

A proteção de configuração é configurada através da mesma superfície de política que a proteção contra violações. No perfil Segurança do Windows Experience, o Intune renomeia a definição de proteção contra violações para Proteção de Configuração (Dispositivo) quando a proteção de configuração está disponível. Não podes ativar a proteção de configuração através do Catálogo de Definições ou do modelo Device Control v1 (DCv1).

Como a proteção de configuração e a proteção contra adulteração usam a mesma definição de política, a definição de proteção de configuração (Ativada) substitui o valor de proteção contra violação nesse dispositivo. Não implementas políticas separadas de proteção contra violações e proteção de configuração para a mesma configuração. Para migrar políticas existentes de proteção contra adulteração (DCv1) para proteção de configuração, crie uma política Segurança do Windows Experience com Proteção de Configuração (Ativada) e depois remova a definição de proteção contra violações das suas políticas DCv1 para evitar conflitos.

1. Na página Segurança do ponto final no centro de administração do Microsoft Intune em https://intune.microsoft.com, crie um novo perfil Experiência de Segurança do Windows ou edite um perfil existente.
2. Localize a definição de Proteção de Configuração (Dispositivo) (anteriormente Proteção contra Adulterações).
3. Defina o valor para Proteção de Configuração (Ativada) para permitir a proteção de configuração.
4. Atribui a política aos grupos de dispositivos apropriados.

Versão mínima do cliente e rollback

Antes de atribuir a proteção de configuração (Ativada), atualize os dispositivos para a plataforma Microsoft Defender Antivirus versão 4.18.26060.3004 ou posterior, e valide a implementação com um grupo piloto.

Em dispositivos com versões anteriores da plataforma, o Intune pode enviar Proteção da configuração (Ligado) e Proteção contra adulteração (Desligado), mas o dispositivo pode aplicar apenas a definição de proteção contra adulteração. Este comportamento desliga tanto a proteção de configuração como a proteção contra adulterações.

Para reverter, altere a política do Segurança do Windows Experience de Proteção de Configuração (Ativada) para Proteção contra Manipulações (Ativada), reimplemente a política, sincronize os dispositivos afetados e verifique se a proteção contra adulteração está ativada. Aplica-se a latência normal de entrega de políticas.

Relatórios e monitorização

O estado da proteção de configuração é visível tanto no centro de administração do Intune como no portal Microsoft Defender, dependendo de como os dispositivos são geridos.

• Intune: Para dispositivos inscritos diretamente no Intune com Gestão de Dispositivos Móveis (MDM), pode ver:

  • Estado da política (Sucesso, Conflito ou Erro)
  • Estado de proteção de configuração ao nível do dispositivo

• Portal Microsoft Defender: Para dispositivos geridos através do Defender para gestão de definições de segurança de endpoints, consulte o portal Microsoft Defender para o estado de configuração eficaz.

  Note

  Estes dispositivos não são visíveis nos relatórios do Intune. Utilize o portal Microsoft Defender para verificar o estado efetivo de proteção de configuração.

Verificar a proteção de configuração num dispositivo

Para confirmar o estado de proteção de configuração diretamente num dispositivo, execute o seguinte cmdlet PowerShell:

Get-MpComputerStatus

Revise as seguintes propriedades no resultado:

• ControlledConfigurationState: O estado atual de aplicação da proteção de configuração no dispositivo.
• IsTamperProtected: Indica se a proteção contra adulteração (a base da proteção de configuração) está ativa.
• TamperProtectionSource: A fonte que impõe o estado atual.

Também pode verificar Get-MpComputerStatus se a versão da plataforma Microsoft Defender Antivirus cumpre os pré-requisitos e validar o estado de configuração após uma alteração de política ou um reset de proteção de configuração.

Comportamentos do ciclo de vida

O comportamento de proteção de configuração varia consoante as alterações no ciclo de vida do dispositivo:

• Desativação de políticas: A proteção de configuração é removida do dispositivo, a menos que ainda se aplique outra política de proteção de configuração.
• Anulação do registo no Defender para Endpoint: A proteção da configuração permanece ativada (não é removida automaticamente).
• Remoção do dispositivo: A proteção da configuração é removida e redefinida para Off.

Redefinir a proteção de configuração num dispositivo

Para limpar o estado de proteção de configuração num dispositivo, execute os seguintes comandos num Prompt de Comando elevado (uma janela do Prompt de Comando que abriu selecionando Executar como administrador):

(set "_done=" & if exist "%ProgramData%\Microsoft\Windows Defender\Platform\" (for /f "delims=" %d in ('dir "%ProgramData%\Microsoft\Windows Defender\Platform" /ad /b /o:-n 2^>nul') do if not defined _done (cd /d "%ProgramData%\Microsoft\Windows Defender\Platform\%d" & set _done=1)) else (cd /d "%ProgramFiles%\Windows Defender")) >nul 2>&1

MpCmdRun.exe -Config -ResetControlledConfiguration

Para mais informações, consulte Ativar e usar o modo de resolução de problemas no Microsoft Defender para Endpoint.

Limitações conhecidas

Atualmente, aplicam-se as seguintes limitações à proteção de configuração:

• Podes ver falsos conflitos no Intune quando tanto as políticas de proteção contra violações como as de proteção de configuração visam o mesmo dispositivo.
• Poderá observar inconsistências nos relatórios entre o centro de administração do Intune e o portal Microsoft Defender.
• A cobertura está limitada às definições do Microsoft Defender Antivirus (controlo de dispositivos, EDR e firewall ainda não estão cobertos).
• Quando ativas a proteção de configuração através do Microsoft Defender para Endpoint Security Settings Management ou do Intune, a proteção contra violações fica desligada, a menos que outra política de proteção contra violações defina explicitamente a proteção como ativada. Quando a proteção de configuração está ativada e a proteção contra adulteração está desligada, a pontuação de segurança contra violação é mais baixa. Estamos a trabalhar para colmatar esta lacuna.

Conteúdo relacionado

• Visão geral da proteção contra violações
• Configurar proteção contra violações no Microsoft Intune
• Configurações e experimentação do serviço Microsoft Defender Core