Microsoft Defender for Endpoint中的设备控制策略

适用于：

• Microsoft Defender for Endpoint 计划 1
• Microsoft Defender for Endpoint 计划 2
• Microsoft Defender 商业版

本文介绍设备控制策略、规则、条目、组和高级条件。 实质上，设备控制策略定义一组设备的访问权限。 范围内的设备由包含的设备组列表和排除的设备组列表确定。 如果设备位于所有包含的设备组中，并且没有排除的设备组，则应用策略。 如果未应用任何策略，则应用默认强制实施。

默认情况下，设备控制处于禁用状态，因此允许访问所有类型的设备。 若要了解有关设备控制的详细信息，请参阅 Microsoft Defender for Endpoint 中的设备控制。

控制默认行为

启用设备控制后，默认情况下会为所有设备类型启用设备控制。 默认强制措施也可以从 “允许” 更改为 “拒绝”。 安全团队还可以配置设备控制保护的设备类型。 下表说明了各种设置组合如何更改访问控制决策。

配置设备类型后，Defender for Endpoint 中的设备控制将忽略对其他设备系列的请求。

有关详细信息，请参阅以下文章：

• 使用 Intune 部署和管理设备控制
• 使用 组策略 部署和管理设备控制

策略

为了进一步优化对设备的访问，设备控制使用策略。 策略是一组规则和组。 规则和组的定义方式因管理体验和操作系统而异，如下表所述。

规则和组由全局唯一 ID (GUID) 标识。 如果使用Intune以外的管理工具部署设备控制策略，则必须生成 GUID。 可以使用 PowerShell 生成 GUID。

有关架构详细信息，请参阅 Mac 的 JSON 架构。

用户

设备控制策略可以应用于用户和/或用户组。

使用 Intune，在 Mac 和 Windows 上，设备控制策略可以面向 Entra Id 中定义的用户组。

在 Windows 上，用户或用户组可以是策略中 条目 的条件。

具有用户或用户组的条目可以引用 Entra Id 或本地 Active Directory 中的对象。

将设备控制与用户和用户组配合使用的最佳做法

• 若要在 Windows 上为单个用户创建规则，请在规则中创建具有Sid条件的条目，

• 若要在 Windows 和 Intune 上为用户组创建规则，请为 [rule] 中的每个用户组创建一个Sid具有条件的条目，并将策略定向到 Intune 中的计算机组，或者创建一个无条件的规则，并将策略Intune到用户组。

• 在 Mac 上，使用 Intune并将策略定向到 Entra Id 中的用户组。

Rules

规则定义包含的组的列表和排除的组的列表。 若要应用规则，设备必须位于所有包含的组中，并且不包含任何已排除的组。 如果设备与规则匹配，则会评估该规则的条目。 如果请求与条件匹配，则条目定义应用的操作和通知选项。 如果没有应用规则或条目与请求匹配，则应用默认强制实施。

例如，若要允许某些 USB 设备的写入访问，以及所有其他 USB 设备的读取访问权限，请使用以下策略、组和条目，并将默认强制设置为“拒绝”。

规则的名称显示在门户上用于报告和向用户的 Toast 通知中，因此请务必为规则提供描述性名称。

可以通过在 Intune 中编辑策略、在 Windows 中使用 XML 文件或在 Mac 上使用 JSON 文件来配置规则。 有关更多详细信息，请选择每个选项卡。

<PolicyRule Id="{75a4e33a-5268-4552-bef2-e34dd0c39cb1}">
  <Name>Read Only Access for USBs</Name>
  <IncludedIdList>
      <GroupId>{3f5253e4-0e73-4587-bb9e-bb29a2171694}</GroupId>
  </IncludedIdList>
  <ExcludedIdList>
      <GroupId>{3f5253e4-0e73-4587-bb9e-bb29a2171695}</GroupId>
  </ExcludedIdList>
  <Entry Id="{e3837e60-5e56-43ce-8095-043ccd793eac}">
   ...
  </Entry>
  <Entry Id="{34413b98-8198-4e16-accf-c95c3c775ba3}">
    ...
  </Entry>
</PolicyRule> 

{
      "id": "75a4e33a-5268-4552-bef2-e34dd0c39cb1",
      "name": "Read Only Access for USBs",
      "includeGroups": [
        "3f5253e4-0e73-4587-bb9e-bb29a2171694"
      ],
      "includedGroups":[
         "3f5253e4-0e73-4587-bb9e-bb29a2171695"
      ]
      "entries": [
        ...
      ]
    } 

Entries

设备控制策略定义一组设备的访问 (称为条目) 。 条目定义与条目中定义的策略和条件匹配的设备的操作和通知选项。

条目评估

有两种类型的条目：强制条目 (允许/拒绝) 和审核条目 (AuditAllow/AuditDeny) 。

在匹配所有请求的权限之前，将按顺序评估规则的强制条目。 如果没有条目与规则匹配，则计算下一个规则。 如果没有匹配的规则，则应用默认值。

审核条目

当设备控制强制实施规则 (允许/拒绝) 时，审核事件控制行为。 设备控件可以向最终用户显示通知。 用户会收到一条通知，其中包含设备控制策略的名称和设备名称。 初始访问被拒绝后，每隔一小时显示一次通知。

设备控制还可以创建在高级搜寻中可用的事件。

条件

条目支持以下可选条件：

• 用户/用户组条件：仅对 SID 标识的用户/用户组应用操作

• 计算机条件：仅将操作应用于由 SID 标识的设备/组
• 参数条件：仅当参数匹配时应用操作 (请参阅高级条件)

条目的范围可以进一步限定为特定的用户和设备。 例如，仅允许此用户在此设备上读取这些 USB。

条目中的所有条件都必须为 true，才能应用操作。

可以使用 Intune、Windows 中的 XML 文件或 Mac 上的 JSON 文件来配置条目。 有关更多详细信息，请选择每个选项卡。

  <Entry Id="{e3837e60-5e56-43ce-8095-043ccd793eac}">
    <Type>Allow</Type>
    <Options>0</Options>
    <AccessMask>1</AccessMask>
  </Entry> 

{
          "$type": "generic",
          "id": "e3837e60-5e56-43ce-8095-043ccd793eac",
          "enforcement": {
            "$type": "allow"
          },
          "access": [
            "generic_read"
          ]
} 

组

组定义按对象属性筛选对象的条件。 如果对象属性与为组定义的属性匹配，则对象将分配给组。

例如：

• 允许的 USB 是与这些制造商中的任何一个匹配的所有设备
• 丢失的 USB 是与这些序列号中的任何一个匹配的所有设备
• 允许的打印机是匹配其中任何 VID/PID 的所有设备

可以通过四种方式匹配属性： MatchAll、 MatchAny、 MatchExcludeAll和 MatchExcludeAny

• MatchAll：属性是“And”关系;例如，如果管理员为每个连接的 USB 放置 DeviceID 和 InstancePathID，系统会检查 USB 是否同时满足这两个值。
• MatchAny：属性是“Or”关系;例如，如果管理员为每个连接的 USB 放置 DeviceID 和 InstancePathID，则只要 USB 具有相同的 DeviceID 或 InstanceID 值，系统就会强制实施。
• MatchExcludeAll：属性是“And”关系，涵盖不满足的任何项。 例如，如果管理员放置 DeviceID 和 InstancePathID 并使用 MatchExcludeAll，对于每个连接的 USB，只要 USB 不具有相同 DeviceID 的 和 InstanceID 值，系统就会强制实施。
• MatchExcludeAny：属性是“或”关系，涵盖不满足的任何项。 例如，如果管理员放置 DeviceID 和 InstancePathID 并使用 MatchExcludeAny，对于每个连接的 USB，只要 USB 没有相同的 DeviceID 值或 InstanceID 值，系统就会强制实施。

组有两种方式使用：选择要包含在规则中的设备，以及筛选高级条件的访问权限。 下表汇总了组类型及其使用方式。

由包含的组列表和排除的组列表确定的策略范围内的设备。 如果设备位于所有包含的组中，但没有排除的组，则应用规则。 组可以由设备的属性组成。 可以使用以下属性：

使用 Windows 设备管理器 确定设备属性

对于 Windows 设备，可以使用设备管理器来了解设备的属性。

1. 打开设备管理器，找到设备，右键单击“属性”，然后选择“详细信息”选项卡。

2. 在“属性”列表中，选择“ 设备实例路径”。

   设备实例路径显示的值是 InstancePathId，但它也包含其他属性：

   • USB\VID_090C&PID_1000\FBH1111183300721
   • {BusId}\{DeviceId}\{SerialNumberId}

   设备管理器中的属性映射到设备控件，如下表所示：

   设备管理器	设备控制
   硬件 ID	HardwareId
   友好名称	FriendlyNameId
   Parent	VID_PID
   DeviceInstancePath	InstancePathId

使用报表和高级搜寻来确定设备的属性

在高级搜寻中，设备属性的标签略有不同。 下表将门户中的标签映射到 propertyId 设备控制策略中的 。

在 Intune、Windows 中的 XML 或 Mac 上的 JSON 中配置组

可以在 Intune、Windows 中使用 XML 文件或在 Mac 上使用 JSON 文件来配置组。 有关更多详细信息，请选择每个选项卡。

<Group Id="{3f5253e4-0e73-4587-bb9e-bb29a2171694}">
  <MatchType>MatchAny</MatchType>
  <DescriptorIdList>
   ...
  </DescriptorIdList>
</Group> 

    {
      "$type": "device",
      "id": "3f5253e4-0e73-4587-bb9e-bb29a2171694",
      "query": {
        "$type": "or",
        "clauses": [
    ...
        ]
      }
    } 

"query": {
        "$type": "or",
        "clauses": [
          {
            "$type": "serialNumber",
            "value": "FBH1111183300731"
          }
        ]
      } 

"query": {
    "$type":"not",
        "query": {
                    "$type": "or",
                    "clauses": [
                          {
                            "$type": "serialNumber",
                            "value": "FBH1111183300731"
                          }
                    ]
              }

} 

高级条件

可以根据参数进一步限制条目。 参数应用超出设备的高级条件。 高级条件允许基于正在评估的网络、VPN 连接、文件或打印作业进行精细控制。

网络条件

下表描述了网络组属性：

这些属性将添加到 Network 类型的组的 DescriptorIdList 中。 下面是一个示例代码片段：

<Group Id="{e5f619a7-5c58-4927-90cd-75da2348a30a}" Type="Network" MatchType="MatchAll">
    <DescriptorIdList>
        <NetworkCategoryId>Public</PathId>
        <NetworkDomainId>NonDomain</PathId>
    </DescriptorIdList>
</Group>

然后，该组在条目中作为参数引用，如以下代码片段所示：

   <Entry Id="{1ecfdafb-9b7f-4b66-b3c5-f1d872b0961d}">
      <Type>Deny</Type>
      <Options>0</Options>
      <AccessMask>40</AccessMask>
      <Parameters MatchType="MatchAll">
             <Network MatchType="MatchAny">
                   <GroupId>{ e5f619a7-5c58-4927-90cd-75da2348a30a }</GroupId>
            </Network>
      </Parameters>
   </Entry>

VPN 连接条件

下表描述了 VPN 连接条件：

这些属性将添加到 VPNConnection 类型的组的 DescriptorIdList，如以下代码片段所示：

    <Group Id="{d633d17d-d1d1-4c73-aa27-c545c343b6d7}" Type="VPNConnection">
        <Name>Corporate VPN</Name>
        <MatchType>MatchAll</MatchType>
        <DescriptorIdList>
            <NameId>ContosoVPN</NameId>
            <VPNServerAddressId>contosovpn.*.contoso.com</VPNServerAddressId>
            <VPNDnsSuffixId>corp.contoso.com</VPNDnsSuffixId>
            <VPNConnectionStatusId>Connected</VPNConnectionStatusId>
        </DescriptorIdList>
    </Group>

然后，在条目中将组作为参数引用，如以下代码片段所示：

       <Entry Id="{27c79875-25d2-4765-aec2-cb2d1000613f}">
          <Type>Allow</Type>
          <Options>0</Options>
          <AccessMask>64</AccessMask>
          <Parameters MatchType="MatchAny">
            <VPNConnection>
                    <GroupId>{d633d17d-d1d1-4c73-aa27-c545c343b6d7}</GroupId>
            </VPNConnection>
        </Parameters>
       </Entry>

然后，该组在条目中作为参数引用，如以下代码片段所示：

   <Entry Id="{1ecfdafb-9b7f-4b66-b3c5-f1d872b0961d}">
      <Type>Deny</Type>
      <Options>0</Options>
      <AccessMask>40</AccessMask>
      <Parameters MatchType="MatchAll">
             <File MatchType="MatchAny">
                   <GroupId>{ e5f619a7-5c58-4927-90cd-75da2348a30f }</GroupId>
            </File>
      </Parameters>
   </Entry>

打印作业条件

下表描述了 PrintJob 组属性：

这些属性将添加到 DescriptorIdList 一组类型的 PrintJob中，如以下代码片段所示：

<Group Id="{e5f619a7-5c58-4927-90cd-75da2348a30b}" Type="PrintJob" MatchType="MatchAny">
    <DescriptorIdList>
        <PrintOutputFileNameId>C:\Documents\*.pdf</PrintOutputFileNameId >
        <PrintDocumentNameId>*.xlsx</PrintDocumentNameId>
<PrintDocumentNameId>*.docx</PrintDocumentNameId>
    </DescriptorIdList>
</Group>

然后，该组在条目中作为参数引用，如以下代码片段所示：

   <Entry Id="{1ecfdafb-9b7f-4b66-b3c5-f1d872b0961d}">
      <Type>Deny</Type>
      <Options>0</Options>
      <AccessMask>40</AccessMask>
      <Parameters MatchType="MatchAll">
             <PrintJob MatchType="MatchAny">
                   <GroupId>{e5f619a7-5c58-4927-90cd-75da2348a30b}</GroupId>
            </PrintJob>
      </Parameters>
   </Entry>

后续步骤

• 在 Microsoft Defender for Endpoint 中查看设备控制事件和信息
• 使用 Microsoft Intune 在 Microsoft Defender for Endpoint 中部署和管理设备控制
• 使用 组策略 在 Microsoft Defender for Endpoint 中部署和管理设备控制
• 适用于 macOS 的设备控制