Configurare e configurare Microsoft Defender per endpoint Piano 1

Si applica a:

• Microsoft Defender per endpoint Piano 1
• Microsoft Defender per endpoint Piano 2

Questo articolo descrive come configurare e configurare Defender per endpoint Piano 1. Sia che si disponga di assistenza o che si stia eseguendo manualmente, è possibile usare questo articolo come guida per tutta la distribuzione.

Il processo di configurazione e configurazione

Il processo di configurazione e configurazione generale per Defender per Endpoint Piano 1 è il seguente:

Verificare i requisiti

Nella tabella seguente sono elencati i requisiti di base per Defender per endpoint Piano 1:

Pianificare la distribuzione

Quando si pianifica la distribuzione, è possibile scegliere tra diverse architetture e metodi di distribuzione. Ogni organizzazione è univoca, quindi sono disponibili diverse opzioni da considerare, come indicato nella tabella seguente:

Per altre informazioni sulle opzioni di distribuzione, vedere Pianificare la distribuzione di Defender per endpoint. Scaricare inoltre il poster seguente:

Ottenere il poster della distribuzione

Configurare l'ambiente tenant

La configurazione dell'ambiente tenant include attività, ad esempio:

• Verifica delle licenze
• Configurazione del tenant
• Configurazione delle impostazioni proxy (solo se necessario)
• Assicurarsi che i sensori funzionino correttamente e segnalare i dati a Defender per endpoint

Queste attività sono incluse nella fase di installazione di Defender per endpoint. Vedere Configurare Defender per endpoint.

Assegnare ruoli e autorizzazioni

Per accedere al portale di Microsoft Defender, configurare le impostazioni per Defender per endpoint o eseguire attività, ad esempio l'esecuzione di azioni di risposta sulle minacce rilevate, è necessario assegnare le autorizzazioni appropriate. Defender per endpoint usa ruoli predefiniti all'interno di Microsoft Entra ID.

Microsoft consiglia di assegnare agli utenti solo il livello di autorizzazione necessario per eseguire le attività. È possibile assegnare le autorizzazioni usando la gestione delle autorizzazioni di base o il controllo degli accessi in base al ruolo .

• Con la gestione delle autorizzazioni di base, gli amministratori globali e gli amministratori della sicurezza hanno accesso completo, mentre i lettori di sicurezza hanno accesso in sola lettura.
• Con il controllo degli accessi in base al ruolo è possibile impostare autorizzazioni più granulari tramite più ruoli. Ad esempio, è possibile avere lettori di sicurezza, operatori di sicurezza, amministratori della sicurezza, amministratori degli endpoint e altro ancora.

La tabella seguente descrive i ruoli chiave da considerare per Defender per endpoint nell'organizzazione:

Eseguire l'onboarding in Defender per endpoint

Quando si è pronti per eseguire l'onboarding degli endpoint dell'organizzazione, è possibile scegliere tra diversi metodi, come indicato nella tabella seguente:

Procedere quindi alla configurazione delle funzionalità di protezione e riduzione della superficie di attacco di nuova generazione.

Configurare la protezione di nuova generazione

È consigliabile usare Intune per gestire i dispositivi e le impostazioni di sicurezza dell'organizzazione, come illustrato nell'immagine seguente:

Per configurare la protezione di nuova generazione in Intune, seguire questa procedura:

1. Passare all'interfaccia di amministrazione di Intune (https://intune.microsoft.com) e accedere.

2. Selezionare Endpoint security>Antivirus e quindi selezionare un criterio esistente. Se non si dispone di un criterio esistente, creare un nuovo criterio.

3. Impostare o modificare le impostazioni di configurazione dell'antivirus. Hai bisogno di assistenza? Fare riferimento alle risorse seguenti:
   

   • Impostazioni per i criteri antivirus Windows 10 Microsoft Defender in Microsoft Intune
   • Configurare Defender per endpoint nelle funzionalità di iOS

4. Al termine della specifica delle impostazioni, scegliere Rivedi e salva.

Configurare le funzionalità di riduzione della superficie di attacco

La riduzione della superficie di attacco consiste nel ridurre le posizioni e i modi in cui l'organizzazione è aperta agli attacchi. Defender per Endpoint Piano 1 include diverse funzionalità e funzionalità che consentono di ridurre le superfici di attacco tra gli endpoint. Queste funzionalità e funzionalità sono elencate nella tabella seguente:

Regole di riduzione della superficie di attacco

Le regole di riduzione della superficie di attacco sono disponibili nei dispositivi che eseguono Windows. È consigliabile usare Intune, come illustrato nell'immagine seguente:

1. Passare all'interfaccia di amministrazione Intune ed eseguire l'accesso.

2. Scegliere Riduzionedella superficie> di attacco per la sicurezza> degli endpoint+ Crea criterio.

3. In Piattaforma selezionare Windows 10, Windows 11 e Windows Server.

4. In Profilo selezionare Regole di riduzione della superficie di attacco e quindi scegliere Crea.

5. Nella scheda Informazioni di base specificare un nome e una descrizione per i criteri e quindi scegliere Avanti.

6. Nella scheda Impostazioni di configurazione espandere in Defender, configurare le regole di riduzione della superficie di attacco e quindi scegliere Avanti. Per altre informazioni sulle regole di riduzione della superficie di attacco, vedere Panoramica della distribuzione delle regole di riduzione della superficie di attacco.

   È consigliabile abilitare almeno le tre regole di protezione standard seguenti:

   • Bloccare l'abuso di driver firmati vulnerabili sfruttati
   • Bloccare il furto di credenziali dal sottosistema dell'autorità di sicurezza locale di Windows (lsass.exe)
   • Bloccare la persistenza tramite la sottoscrizione di eventi di Strumentazione gestione Windows (WMI)

7. Nella scheda Tag ambito , se l'organizzazione usa tag di ambito, scegliere + Seleziona tag di ambito e quindi selezionare i tag da usare. Scegliere quindi Avanti.

   Per altre informazioni sui tag di ambito, vedere Usare il controllo degli accessi in base al ruolo e i tag di ambito per l'IT distribuito.

8. Nella scheda Assegnazioni specificare gli utenti e i gruppi a cui devono essere applicati i criteri e quindi scegliere Avanti. Per altre informazioni sulle assegnazioni, vedere Assegnare profili utente e dispositivo in Microsoft Intune.

9. Nella scheda Rivedi e crea esaminare le impostazioni e quindi scegliere Crea.

Mitigazione ransomware

È possibile ottenere la mitigazione ransomware tramite l'accesso controllato alle cartelle, che consente solo alle app attendibili di accedere alle cartelle protette sugli endpoint.

È consigliabile usare Intune per configurare l'accesso controllato alle cartelle.

1. Passare all'interfaccia di amministrazione Intune ed eseguire l'accesso.

2. Passare aRiduzione della superficie degli attacchi di sicurezza> degli endpoint e quindi scegliere + Crea criterio.

3. In Piattaforma selezionare Windows 10, Windows 11 e Windows Server e in Profilo selezionare Regole di riduzione della superficie di attacco. Scegliere quindi Crea.

4. Nella scheda Informazioni di base assegnare un nome al criterio e aggiungere una descrizione. Seleziona Avanti.

5. Nella sezione Defender della scheda Impostazioni di configurazione scorrere verso il basso fino alla fine. Nell'elenco a discesa Abilita accesso controllato alle cartelle selezionare Abilitato e quindi scegliere Avanti.

   Facoltativamente, è possibile specificare queste altre impostazioni:

   • Accanto a Cartelle protette con accesso controllato alle cartelle, impostare l'opzione su Configurato e quindi aggiungere cartelle che devono essere protette.
   • Accanto a Accesso controllato alle cartelle Applicazioni consentite, impostare l'opzione su Configurato e quindi aggiungere app che devono avere accesso alle cartelle protette.

6. Nella scheda Tag ambito , se l'organizzazione usa tag di ambito, scegliere + Seleziona tag di ambito e quindi selezionare i tag da usare. Scegliere quindi Avanti. Per altre informazioni sui tag di ambito, vedere Usare il controllo degli accessi in base al ruolo e i tag di ambito per l'IT distribuito.

7. Nella scheda Assegnazioni selezionare Aggiungi tutti gli utenti e + Aggiungi tutti i dispositivi e quindi scegliere Avanti. È possibile specificare in alternativa gruppi specifici di utenti o dispositivi.

8. Nella scheda Rivedi e crea esaminare le impostazioni per i criteri e quindi scegliere Crea. I criteri vengono applicati a tutti gli endpoint di cui è stato eseguito l'onboarding in Defender per endpoint a breve.

Controllo del dispositivo

È possibile configurare Defender per endpoint per bloccare o consentire i dispositivi e i file rimovibili nei dispositivi rimovibili. È consigliabile usare Intune per configurare le impostazioni di controllo del dispositivo.

1. Passare all'interfaccia di amministrazione Intune ed eseguire l'accesso.

2. SelezionareConfigurazione>dispositivi>+ Crea>criterio.

3. In Piattaforma selezionare un profilo, ad esempio Windows 10 e versioni successive, e per Tipo di profilo selezionare Modelli.

   In Nome modello selezionare Modelli amministrativi e quindi scegliere Crea.

4. Nella scheda Informazioni di base assegnare un nome al criterio e aggiungere una descrizione. Seleziona Avanti.

5. Nella scheda Impostazioni di configurazione selezionare Tutte le impostazioni. Nella casella di ricerca digitare Removable quindi per visualizzare tutte le impostazioni relative ai dispositivi rimovibili.

6. Selezionare un elemento nell'elenco, ad esempio Tutte le classi di archiviazione rimovibile, Nega tutto l'accesso, per aprire il riquadro a comparsa. Il riquadro a comparsa per ogni impostazione spiega cosa accade quando è abilitato, disabilitato o non configurato. Selezionare un'impostazione e quindi scegliere OK.

7. Ripetere il passaggio 6 per ogni impostazione che si vuole configurare. Quindi scegliere Avanti.

8. Nella scheda Tag ambito , se l'organizzazione usa tag di ambito, scegliere + Seleziona tag di ambito e quindi selezionare i tag da usare. Scegliere quindi Avanti.

   Per altre informazioni sui tag di ambito, vedere Usare il controllo degli accessi in base al ruolo e i tag di ambito per l'IT distribuito.

9. Nella scheda Assegnazioni selezionare Aggiungi tutti gli utenti e + Aggiungi tutti i dispositivi e quindi scegliere Avanti. È possibile specificare in alternativa gruppi specifici di utenti o dispositivi.

10. Nella scheda Rivedi e crea esaminare le impostazioni per i criteri e quindi scegliere Crea. I criteri vengono applicati a tutti gli endpoint di cui è stato eseguito l'onboarding in Defender per endpoint a breve.

Protezione della rete

Con la protezione di rete, è possibile proteggere l'organizzazione da domini pericolosi che potrebbero ospitare truffe di phishing, exploit e altri contenuti dannosi su Internet. È consigliabile usare Intune per attivare la protezione di rete.

1. Passare all'interfaccia di amministrazione Intune ed eseguire l'accesso.

2. SelezionareConfigurazione>dispositivi>+ Crea>criterio.

3. In Piattaforma selezionare un profilo, ad esempio Windows 10 e versioni successive, e per Tipo di profilo selezionare Modelli.

   In Nome modello selezionare Endpoint Protection e quindi scegliere Crea.

4. Nella scheda Informazioni di base assegnare un nome al criterio e aggiungere una descrizione. Seleziona Avanti.

5. Nella scheda Impostazioni di configurazione espandere Microsoft Defender Exploit Guard, quindi espandere Filtro di rete.

   Impostare Protezione di rete su Abilita. In alternativa, è possibile scegliere Controlla per vedere come funziona la protezione di rete nell'ambiente in un primo momento.

   Quindi scegliere Avanti.

6. Nella scheda Assegnazioni selezionare Aggiungi tutti gli utenti e + Aggiungi tutti i dispositivi e quindi scegliere Avanti. È possibile specificare in alternativa gruppi specifici di utenti o dispositivi.

7. Nella scheda Regole di applicabilità configurare una regola. Il profilo che si sta configurando viene applicato solo ai dispositivi che soddisfano i criteri combinati specificati.

   Ad esempio, è possibile scegliere di assegnare i criteri solo agli endpoint che eseguono una determinata edizione del sistema operativo.

   Quindi scegliere Avanti.

8. Nella scheda Rivedi e crea esaminare le impostazioni per i criteri e quindi scegliere Crea. I criteri vengono applicati a tutti gli endpoint di cui è stato eseguito l'onboarding in Defender per endpoint a breve.

Protezione Web

Con la protezione Web, è possibile proteggere i dispositivi dell'organizzazione da minacce Web e contenuti indesiderati. La protezione Web include la protezione dalle minacce Web e il filtro dei contenuti Web. Configurare entrambi i set di funzionalità. È consigliabile usare Intune per configurare le impostazioni di protezione Web.

Configurare la protezione dalle minacce Web

1. Passare all'interfaccia di amministrazione Intune e accedere.

2. Scegliere Riduzionedella superficie di attaccoper la sicurezza> degli endpoint e quindi scegliere + Crea criterio.

3. Selezionare una piattaforma, ad esempio Windows 10 e versioni successive, selezionare il profilo di protezione Web e quindi scegliere Crea.

4. Nella scheda Informazioni di base specificare un nome e una descrizione e quindi scegliere Avanti.

5. Nella scheda Impostazioni di configurazione espandere Protezione Web, specificare le impostazioni nella tabella seguente e quindi scegliere Avanti.
   
   

   Impostazione	Consiglio
   Abilitare la protezione di rete	Impostare su Abilitato. Impedisce agli utenti di visitare siti o domini dannosi. In alternativa, è possibile impostare la protezione di rete sulla modalità di controllo per vedere come funziona nell'ambiente. In modalità di controllo, la protezione di rete non impedisce agli utenti di visitare siti o domini, ma tiene traccia dei rilevamenti come eventi.
   Richiedi SmartScreen per Versione legacy di Microsoft Edge	Impostare su Sì. Consente di proteggere gli utenti da potenziali truffe di phishing e software dannoso.
   Bloccare l'accesso a siti dannosi	Impostare su Sì. Impedisce agli utenti di ignorare gli avvisi relativi a siti potenzialmente dannosi.
   Blocca il download di file non verificato	Impostare su Sì. Impedisce agli utenti di ignorare gli avvisi e scaricare file non verificati.

6. Nella scheda Tag ambito , se l'organizzazione usa tag di ambito, scegliere + Seleziona tag di ambito e quindi selezionare i tag da usare. Scegliere quindi Avanti.

   Per altre informazioni sui tag di ambito, vedere Usare il controllo degli accessi in base al ruolo e i tag di ambito per l'IT distribuito.

7. Nella scheda Assegnazioni specificare gli utenti e i dispositivi per ricevere i criteri di protezione Web e quindi scegliere Avanti.

8. Nella scheda Rivedi e crea esaminare le impostazioni dei criteri e quindi scegliere Crea.

Configurare il filtro contenuto Web

1. Passare al portale di Microsoft Defender ed eseguire l'accesso.

2. Scegliere Impostazioni>Endpoint.

3. In Regole scegliere Filtro contenuto Web e quindi + Aggiungi criterio.

4. Nel riquadro a comparsa Aggiungi criterio , nella scheda Generale , specificare un nome per il criterio e quindi scegliere Avanti.

5. Nelle categorie Bloccate selezionare una o più categorie da bloccare e quindi scegliere Avanti.

6. Nella scheda Ambito selezionare i gruppi di dispositivi che si desidera ricevere questo criterio e quindi scegliere Avanti.

7. Nella scheda Riepilogo esaminare le impostazioni dei criteri e quindi scegliere Salva.

Firewall di rete

Firewall di rete consente di ridurre il rischio di minacce alla sicurezza di rete. Il team di sicurezza può impostare regole che determinano il traffico a cui è consentito il flusso da o verso i dispositivi dell'organizzazione. È consigliabile usare Intune per configurare il firewall di rete.

::: alt-text="Screenshot dei criteri del firewall nel portale di Intune.":::

Per configurare le impostazioni di base del firewall, seguire questa procedura:

1. Passare all'interfaccia di amministrazione Intune e accedere.

2. Scegliere Firewall di sicurezza> endpoint e quindi + Crea criteri.

3. Selezionare una piattaforma, ad esempio Windows 10, Windows 11 e Windows Server, selezionare il profilo di Microsoft Firewall e quindi scegliere Crea.

4. Nella scheda Informazioni di base specificare un nome e una descrizione e quindi scegliere Avanti.

5. Espandere Firewall e quindi scorrere verso il basso fino alla fine dell'elenco.

6. Impostare ognuna delle impostazioni seguenti su True:

   • Abilitare il firewall di rete del dominio
   • Abilitare il firewall di rete privato
   • Abilitare il firewall di rete pubblico

   Esaminare l'elenco delle impostazioni in ogni rete di dominio, reti private e reti pubbliche. È possibile lasciarli impostati su Non configurati o modificarli in base alle esigenze dell'organizzazione.

   Quindi scegliere Avanti.

7. Nella scheda Tag ambito , se l'organizzazione usa tag di ambito, scegliere + Seleziona tag di ambito e quindi selezionare i tag da usare. Scegliere quindi Avanti.

   Per altre informazioni sui tag di ambito, vedere Usare il controllo degli accessi in base al ruolo e i tag di ambito per l'IT distribuito.

8. Nella scheda Assegnazioni selezionare Aggiungi tutti gli utenti e + Aggiungi tutti i dispositivi e quindi scegliere Avanti. È possibile specificare in alternativa gruppi specifici di utenti o dispositivi.

9. Nella scheda Rivedi e crea esaminare le impostazioni dei criteri e quindi scegliere Crea.

Controllo delle applicazioni

Windows Defender Application Control (WDAC) consente di proteggere gli endpoint di Windows consentendo l'esecuzione solo di applicazioni e processi attendibili. La maggior parte delle organizzazioni ha usato una distribuzione in più fasi di WDAC. Ovvero, la maggior parte delle organizzazioni non distribuisce inizialmente WDAC in tutti gli endpoint di Windows. In effetti, a seconda che gli endpoint Windows dell'organizzazione siano completamente gestiti, gestiti con leggerezza o endpoint "Bring Your Own Device", è possibile distribuire WDAC in tutti o in alcuni endpoint.

Per informazioni sulla pianificazione della distribuzione di WDAC, vedere le risorse seguenti:

• Controllo delle applicazioni per Windows

• Decisioni di progettazione dei criteri di Controllo delle applicazioni di Windows Defender

• Distribuzione di Windows Defender Application Control in scenari diversi: tipi di dispositivi

Passaggi successivi

Dopo aver completato il processo di configurazione e configurazione, il passaggio successivo consiste nell'iniziare a usare Defender per endpoint.

• Introduzione a Defender per endpoint Piano 1