Политики управления устройствами в Microsoft Defender для конечной точки

В этой статье описаны политики, правила, записи, группы и дополнительные условия управления устройствами. По сути, политики управления устройствами определяют доступ для набора устройств. Устройства, входящие в область охвата, определяются списком включённых групп устройств и списком исключённых групп устройств. Политика применяется, если устройство состоит во всех включенных группах устройств и не входит ни в одну из исключенных групп устройств. Если политики не применяются, применяется принудительное применение по умолчанию.

По умолчанию управление устройствами отключено, поэтому доступ ко всем типам устройств разрешен. Дополнительные сведения об управлении устройствами см. в разделе Управление устройствами в Microsoft Defender для конечной точки.

Управление поведением по умолчанию

Если управление устройствами включено, оно по умолчанию включено для всех типов устройств. Принудительное применение по умолчанию также можно изменить с "Разрешить" на "Запретить". Ваша команда специалистов по безопасности также может настроить типы устройств, которые защищаются средствами контроля устройств. В следующей таблице показано, как различные сочетания параметров изменяют решение об управлении доступом.

При настройке типов устройств управление устройствами в Defender для конечной точки игнорирует запросы к другим семействам устройств.

Дополнительные сведения см. в следующих статьях:

• Развертывание и управление контролем устройств с помощью Intune
• Развертывание и управление контролем устройств с помощью групповой политики

Политики

Для дальнейшего уточнения доступа к устройствам управление устройствами использует политики. Политика — это набор правил и групп. Порядок определения правил и групп немного зависит от возможностей управления и операционных систем, как описано в следующей таблице.

Правила и группы определяются по глобальному уникальному идентификатору (GUID). Если политики управления устройствами развертываются с помощью средства управления, отличного от Intune, необходимо создать идентификаторы GUID. Идентификаторы GUID можно создать с помощью PowerShell.

Сведения о схеме см. в статье Схема JSON для Mac.

Пользователи

Политики управления устройствами можно применять к пользователям и (или) группам пользователей. В Windows политики управления устройствами могут иметь условие для целевых пользователей или групп пользователей, определенное в Microsoft Entra ID или Windows Server Active Directory. Вы можете определить политики, позволяющие определенным пользователям иметь больше или меньше разрешений в зависимости от бизнес-потребностей. Управление устройствами активно анализирует пользовательские сеансы и принимает решения о применении мер принудительного характера на основе политик, нацеленных на конкретных пользователей или группы. Это означает, что некоторые действия, такие как блокировка устройства или выход из профиля пользователя, могут привести к неудовлетворенности условий пользователя, что является ожидаемым поведением.

Рекомендации по использованию управления устройствами с пользователями и группами пользователей

• Чтобы создать правило для отдельного пользователя в Windows, создайте запись с условием Sid для каждого пользователя в правиле.

• Чтобы создать правило для группы пользователей в Windows и Intune, создайте запись с Sid условием для каждой группы пользователей в [правиле] и нацелите политику на группу компьютеров в Intune или создайте правило без условий и нацелите политику с Intune на группу пользователей.

• На Компьютере Mac используйте Intune и нацелите политику на группу пользователей в Microsoft Entra ID.

Правила

Правило определяет список включенных групп и список исключенных групп. Чтобы правило применялось, устройство должно находиться во всех включенных группах и ни в одной из исключенных групп. Если устройство соответствует правилу, то записи этого правила проверяются. Запись определяет применяемые действия и параметры уведомлений, если запрос соответствует условиям. Если правила не применяются или записи не соответствуют запросу, применяется принудительное применение по умолчанию.

Например, чтобы разрешить доступ для записи для некоторых USB-устройств и доступ для чтения для всех остальных USB-устройств, используйте следующие политики, группы и записи, если принудительное применение по умолчанию установлено как «Запретить».

Название правила отображается на портале для отчетности и во всплывающем уведомлении для пользователей, поэтому задавайте правилам понятные названия.

Правила можно настроить, изменив политики в Intune, используя XML-файл в Windows или JSON-файл на Mac. Выберите каждую вкладку для получения дополнительных сведений.

<PolicyRule Id="{75a4e33a-5268-4552-bef2-e34dd0c39cb1}">
  <Name>Read Only Access for USBs</Name>
  <IncludedIdList>
      <GroupId>{3f5253e4-0e73-4587-bb9e-bb29a2171694}</GroupId>
  </IncludedIdList>
  <ExcludedIdList>
      <GroupId>{3f5253e4-0e73-4587-bb9e-bb29a2171695}</GroupId>
  </ExcludedIdList>
  <Entry Id="{e3837e60-5e56-43ce-8095-043ccd793eac}">
   ...
  </Entry>
  <Entry Id="{34413b98-8198-4e16-accf-c95c3c775ba3}">
    ...
  </Entry>
</PolicyRule> 

{
      "id": "75a4e33a-5268-4552-bef2-e34dd0c39cb1",
      "name": "Read Only Access for USBs",
      "includeGroups": [
        "3f5253e4-0e73-4587-bb9e-bb29a2171694"
      ],
      "includedGroups":[
         "3f5253e4-0e73-4587-bb9e-bb29a2171695"
      ]
      "entries": [
        ...
      ]
    } 

Entries

Политики управления устройствами определяют доступ (называемый записью) для набора устройств. Записи определяют параметры действий и уведомлений для устройств, которые соответствуют политике и условиям, определенным в записи.

Оценка записи

Существует два типа записей: записи принудительного применения (разрешить или запретить) и записи аудита (AuditAllow/AuditDeny).

Записи применения в правиле проверяются по порядку, пока не будут сопоставлены все запрошенные разрешения. Если ни одна запись не соответствует правилу, проверяется следующее правило. Если правила не соответствуют, применяется значение по умолчанию.

Записи аудита

События аудита управляют поведением, когда управление устройством применяет правило (разрешить или запретить). Элемент управления устройством может отображать уведомление для конечного пользователя. Пользователь получает уведомление, содержащее имя политики управления устройством и имя устройства. Уведомление появляется каждый час после запрета первоначального доступа.

Элемент управления устройством также может создать событие, доступное в Advanced Hunting.

Условия

Запись поддерживает следующие необязательные условия:

• Условие группы пользователей. Действие применяется только к пользователю или группе пользователей, определенной идентификатором безопасности.

• Условие компьютера: действие применяется только к устройству или группе, определяемой идентификатором безопасности.
• Условие параметров: применяет действие только в том случае, если параметры совпадают (см. дополнительные условия)

Записи можно дополнительно ограничить для конкретных пользователей и устройств. Например, разрешите доступ на чтение к этим USB для этого пользователя только на этом устройстве.

Для применения действия все условия в записи должны быть истинными.

Записи можно настроить с помощью Intune, XML-файла в Windows или JSON-файла на Mac. Выберите каждую вкладку для получения дополнительных сведений.

  <Entry Id="{e3837e60-5e56-43ce-8095-043ccd793eac}">
    <Type>Allow</Type>
    <Options>0</Options>
    <AccessMask>1</AccessMask>
  </Entry> 

{
          "$type": "generic",
          "id": "e3837e60-5e56-43ce-8095-043ccd793eac",
          "enforcement": {
            "$type": "allow"
          },
          "access": [
            "generic_read"
          ]
} 

Группы

Группы определяют критерии фильтрации объектов по их свойствам. Объект назначается группе, если его свойства соответствуют свойствам, определенным для группы.

Например, вы можете:

• Разрешенные USB-устройства — это все устройства от любого из этих производителей.
• Потерянные USB — это все устройства, которые соответствуют любому из этих серийных номеров
• Разрешенные принтеры — это все устройства, которые соответствуют любому из этих VID/PID

Свойства можно сопоставить четырьмя способами: MatchAll, MatchAny, MatchExcludeAllи MatchExcludeAny

• MatchAll: свойства являются отношением "И"; Например, если администратор помещает DeviceID и InstancePathID, для каждого подключенного USB система проверяет, соответствует ли USB обоим значениям.
• MatchAny: свойства связаны отношением "ИЛИ"; например, если администратор указывает DeviceID и InstancePathID, система применяет правило для каждого подключённого USB-устройства, если у этого USB-устройства совпадает значение DeviceID или InstanceID.
• MatchExcludeAll: Свойства связаны логическим оператором «И»; охватываются все элементы, которые НЕ соответствуют. Например, если администратор задаёт DeviceID и InstancePathID и использует MatchExcludeAll, система применяет это правило к каждому подключённому USB-устройству, пока у этого USB-устройства нет обоих одинаковых значений DeviceID и InstanceID.
• MatchExcludeAny: свойства являются отношением "Или", все элементы, которые не соответствуют, охватываются. Например, если администратор задаёт DeviceID и InstancePathID и использует MatchExcludeAny, система применяет это правило ко всем подключённым USB-устройствам, если у USB-устройства нет ни идентичного значения DeviceID, ни идентичного значения InstanceID.

Группы используются двумя способами: для выбора устройств для включения и исключения в правилах и для фильтрации доступа по расширенным условиям. В этой таблице перечислены типы групп и способы их использования.

Устройства, подпадающие под действие политики, определяются списком включенных групп и списком исключенных групп. Правило применяется, если устройство находится во всех включенных группах и ни в одной из исключенных групп. Группы можно создавать на основе свойств устройств. Можно использовать следующие свойства:

Использование Windows диспетчер устройств для определения свойств устройства

Для устройств Windows можно использовать диспетчер устройств, чтобы понять свойства устройств.

1. Откройте диспетчер устройств, найдите устройство, щелкните правой кнопкой мыши пункт Свойства и выберите вкладку Сведения.

2. В списке «Свойства» выберите Путь к экземпляру устройства.

   Для пути экземпляра устройства отображается значение InstancePathId, но оно также содержит другие свойства:

   • USB\VID_090C&PID_1000\FBH1111183300721
   • {BusId}\{DeviceId}\{SerialNumberId}

   Свойства в диспетчере устройств соответствуют элементам управления устройством, как показано в следующей таблице:

   диспетчер устройств	Управление устройствами
   Идентификаторы оборудования	HardwareId
   Понятное имя	FriendlyNameId
   Родитель	VID_PID
   DeviceInstancePath	InstancePathId

Использование отчетов и расширенного поиска угроз для определения характеристик устройств

Свойства устройства имеют немного другие метки в расширенной охоте. В следующей таблице показано соответствие между метками на портале и propertyId в политике управления устройствами.

Настройка групп в Intune, XML в Windows или JSON на Mac

Группы можно настроить в Intune, с помощью XML-файла для Windows или json-файла на Компьютере Mac. Выберите каждую вкладку для получения дополнительных сведений.

<Group Id="{3f5253e4-0e73-4587-bb9e-bb29a2171694}">
  <MatchType>MatchAny</MatchType>
  <DescriptorIdList>
   ...
  </DescriptorIdList>
</Group> 

    {
      "$type": "device",
      "id": "3f5253e4-0e73-4587-bb9e-bb29a2171694",
      "query": {
        "$type": "or",
        "clauses": [
    ...
        ]
      }
    } 

"query": {
        "$type": "or",
        "clauses": [
          {
            "$type": "serialNumber",
            "value": "FBH1111183300731"
          }
        ]
      } 

"query": {
    "$type":"not",
        "query": {
                    "$type": "or",
                    "clauses": [
                          {
                            "$type": "serialNumber",
                            "value": "FBH1111183300731"
                          }
                    ]
              }

} 

Расширенные условия

Записи могут быть дополнительно ограничены в зависимости от параметров. Параметры применяют расширенные условия, выходящие за рамки устройства. Расширенные условия обеспечивают детальный контроль в зависимости от проверяемой сети, VPN-подключения, файла или задания на печать.

Условия сети

В следующей таблице описаны свойства группы сети:

Эти свойства добавляются в DescriptorIdList группы типа Network. Ниже приведен пример фрагмента кода:

<Group Id="{e5f619a7-5c58-4927-90cd-75da2348a30a}" Type="Network" MatchType="MatchAll">
    <DescriptorIdList>
        <NetworkCategoryId>Public</PathId>
        <NetworkDomainId>NonDomain</PathId>
    </DescriptorIdList>
</Group>

Затем эта группа используется в качестве параметров в элементе, как показано в следующем фрагменте кода:

   <Entry Id="{1ecfdafb-9b7f-4b66-b3c5-f1d872b0961d}">
      <Type>Deny</Type>
      <Options>0</Options>
      <AccessMask>40</AccessMask>
      <Parameters MatchType="MatchAll">
             <Network MatchType="MatchAny">
                   <GroupId>{ e5f619a7-5c58-4927-90cd-75da2348a30a }</GroupId>
            </Network>
      </Parameters>
   </Entry>

Условия VPN-подключения

В следующей таблице описаны условия VPN-подключения.

Эти свойства добавляются к DescriptorIdList группы типа VPNConnection, как показано в следующем фрагменте кода:

    <Group Id="{d633d17d-d1d1-4c73-aa27-c545c343b6d7}" Type="VPNConnection">
        <Name>Corporate VPN</Name>
        <MatchType>MatchAll</MatchType>
        <DescriptorIdList>
            <NameId>ContosoVPN</NameId>
            <VPNServerAddressId>contosovpn.*.contoso.com</VPNServerAddressId>
            <VPNDnsSuffixId>corp.contoso.com</VPNDnsSuffixId>
            <VPNConnectionStatusId>Connected</VPNConnectionStatusId>
        </DescriptorIdList>
    </Group>

Затем на группу будут ссылаются как параметры в записи, как показано в следующем фрагменте кода:

       <Entry Id="{27c79875-25d2-4765-aec2-cb2d1000613f}">
          <Type>Allow</Type>
          <Options>0</Options>
          <AccessMask>64</AccessMask>
          <Parameters MatchType="MatchAny">
            <VPNConnection>
                    <GroupId>{d633d17d-d1d1-4c73-aa27-c545c343b6d7}</GroupId>
            </VPNConnection>
        </Parameters>
       </Entry>

Затем на группу ссылаются как на параметры в записи, как показано в следующем фрагменте кода:

   <Entry Id="{1ecfdafb-9b7f-4b66-b3c5-f1d872b0961d}">
      <Type>Deny</Type>
      <Options>0</Options>
      <AccessMask>40</AccessMask>
      <Parameters MatchType="MatchAll">
             <File MatchType="MatchAny">
                   <GroupId>{ e5f619a7-5c58-4927-90cd-75da2348a30f }</GroupId>
            </File>
      </Parameters>
   </Entry>

Условия задания печати

В следующей таблице описаны PrintJob свойства группы:

Эти свойства добавляются к элементу DescriptorIdList группы типа PrintJob, как показано в следующем фрагменте:

<Group Id="{e5f619a7-5c58-4927-90cd-75da2348a30b}" Type="PrintJob" MatchType="MatchAny">
    <DescriptorIdList>
        <PrintOutputFileNameId>C:\Documents\*.pdf</PrintOutputFileNameId >
        <PrintDocumentNameId>*.xlsx</PrintDocumentNameId>
<PrintDocumentNameId>*.docx</PrintDocumentNameId>
    </DescriptorIdList>
</Group>

Затем на группу ссылаются как на параметры в записи, как показано в следующем фрагменте кода:

   <Entry Id="{1ecfdafb-9b7f-4b66-b3c5-f1d872b0961d}">
      <Type>Deny</Type>
      <Options>0</Options>
      <AccessMask>40</AccessMask>
      <Parameters MatchType="MatchAll">
             <PrintJob MatchType="MatchAny">
                   <GroupId>{e5f619a7-5c58-4927-90cd-75da2348a30b}</GroupId>
            </PrintJob>
      </Parameters>
   </Entry>

Дальнейшие действия

• Просмотр событий и сведений об управлении устройством в Microsoft Defender для конечной точки
• Развертывание и управление контролем устройств в Microsoft Defender для конечной точки с помощью Microsoft Intune
• Развертывание и управление контролем устройств в Microsoft Defender для конечной точки с помощью групповой политики
• Управление устройствами для macOS