Политики управления устройствами в Microsoft Defender для конечной точки

Область применения:

• Microsoft Defender для конечной точки (план 1)
• Microsoft Defender для конечной точки (план 2)
• Microsoft Defender для бизнеса

В этой статье описаны политики, правила, записи, группы и дополнительные условия управления устройствами. По сути, политики управления устройствами определяют доступ для набора устройств. Устройства, которые находятся в область, определяются списком включенных групп устройств и списком исключенных групп устройств. Политика применяется, если устройство входит во все включенные группы устройств и ни в одной из исключенных групп устройств. Если политики не применяются, применяется принудительное применение по умолчанию.

По умолчанию управление устройствами отключено, поэтому доступ ко всем типам устройств разрешен. Дополнительные сведения об управлении устройствами см. в разделе Управление устройствами в Microsoft Defender для конечной точки.

Управление поведением по умолчанию

Если управление устройствами включено, оно по умолчанию включено для всех типов устройств. Принудительное применение по умолчанию также можно изменить с "Разрешить" на "Запретить". Ваша команда безопасности также может настроить типы устройств, которые защищают устройства. В следующей таблице ниже показано, как различные сочетания параметров изменяют решение об управлении доступом.

При настройке типов устройств управление устройствами в Defender для конечной точки игнорирует запросы к другим семействам устройств.

Дополнительные сведения см. в следующих статьях:

• Развертывание управления устройствами и управление ими с помощью Intune
• Развертывание управления устройствами и управление ими с помощью групповая политика

Политики

Для дальнейшего уточнения доступа к устройствам управление устройствами использует политики. Политика — это набор правил и групп. Порядок определения правил и групп немного зависит от возможностей управления и операционных систем, как описано в следующей таблице.

Правила и группы определяются по глобальному уникальному идентификатору (GUID). Если политики управления устройствами развертываются с помощью средства управления, отличного от Intune, необходимо создать идентификаторы GUID. Идентификаторы GUID можно создать с помощью PowerShell.

Сведения о схеме см. в статье Схема JSON для Mac.

Пользователи

Политики управления устройствами можно применять к пользователям и (или) группам пользователей.

С помощью Intune на Компьютерах Mac и Windows политики управления устройствами могут быть ориентированы на группы пользователей, определенные в идентификаторе Entra.

В Windows пользователь или группа пользователей может быть условием для записи в политике.

Записи с пользователями или группами пользователей могут ссылаться на объекты из Entra Id или локальной службы Active Directory.

Рекомендации по использованию управления устройствами с пользователями и группами пользователей

• Чтобы создать правило для отдельного пользователя в Windows, создайте запись с условием Sid для пользователя в правиле.

• Чтобы создать правило для группы пользователей в Windows и Intune, создайте запись с Sid условием для каждой группы пользователей в [правиле] и нацелите политику на группу компьютеров в Intune или создайте правило без условий и нацелите политику с Intune на группу пользователей.

• На Компьютере Mac используйте Intune и нацеливайте политику на группу пользователей в идентификаторе Entra.

Правила

Правило определяет список включенных групп и список исключенных групп. Чтобы правило применялось, устройство должно находиться во всех включенных группах и ни в одной из исключенных групп. Если устройство соответствует правилу, вычисляются записи для этого правила. Запись определяет применяемые действия и параметры уведомлений, если запрос соответствует условиям. Если правила не применяются или записи не соответствуют запросу, применяется принудительное применение по умолчанию.

Например, чтобы разрешить доступ на запись для некоторых USB-устройств и доступ на чтение для всех остальных USB-устройств, используйте следующие политики, группы и записи с установленным по умолчанию принудительным набором для запрета.

Имя правила отображается на портале для создания отчетов и в всплывающем уведомлении для пользователей, поэтому обязательно присвойте правилам описательные имена.

Правила можно настроить, изменив политики в Intune, используя XML-файл в Windows или JSON-файл на Mac. Выберите каждую вкладку для получения дополнительных сведений.

<PolicyRule Id="{75a4e33a-5268-4552-bef2-e34dd0c39cb1}">
  <Name>Read Only Access for USBs</Name>
  <IncludedIdList>
      <GroupId>{3f5253e4-0e73-4587-bb9e-bb29a2171694}</GroupId>
  </IncludedIdList>
  <ExcludedIdList>
      <GroupId>{3f5253e4-0e73-4587-bb9e-bb29a2171695}</GroupId>
  </ExcludedIdList>
  <Entry Id="{e3837e60-5e56-43ce-8095-043ccd793eac}">
   ...
  </Entry>
  <Entry Id="{34413b98-8198-4e16-accf-c95c3c775ba3}">
    ...
  </Entry>
</PolicyRule> 

{
      "id": "75a4e33a-5268-4552-bef2-e34dd0c39cb1",
      "name": "Read Only Access for USBs",
      "includeGroups": [
        "3f5253e4-0e73-4587-bb9e-bb29a2171694"
      ],
      "includedGroups":[
         "3f5253e4-0e73-4587-bb9e-bb29a2171695"
      ]
      "entries": [
        ...
      ]
    } 

Entries

Политики управления устройствами определяют доступ (называемый записью) для набора устройств. Записи определяют параметры действий и уведомлений для устройств, которые соответствуют политике и условиям, определенным в записи.

Оценка записи

Существует два типа записей: записи принудительного применения (разрешить или запретить) и записи аудита (AuditAllow/AuditDeny).

Записи принудительного применения для правила оцениваются по порядку до тех пор, пока не будут сопоставлены все запрошенные разрешения. Если никакие записи не соответствуют правилу, вычисляется следующее правило. Если правила не соответствуют, применяется значение по умолчанию.

Записи аудита

События аудита управляют поведением, когда управление устройством применяет правило (разрешить или запретить). Элемент управления устройством может отображать уведомление для конечного пользователя. Пользователь получает уведомление, содержащее имя политики управления устройством и имя устройства. Уведомление появляется каждый час после запрета первоначального доступа.

Элемент управления устройством также может создать событие, доступное в Advanced Hunting.

Условия

Запись поддерживает следующие необязательные условия:

• Условие группы пользователей. Действие применяется только к пользователю или группе пользователей, определенной идентификатором безопасности.

• Условие компьютера: действие применяется только к устройству или группе, определяемой идентификатором безопасности.
• Условие параметров: применяет действие только в том случае, если параметры совпадают (см. дополнительные условия)

Записи могут быть дополнительно ограничены определенными пользователями и устройствами. Например, разрешите доступ на чтение к этим USB для этого пользователя только на этом устройстве.

Для применения действия все условия в записи должны быть истинными.

Записи можно настроить с помощью Intune, XML-файла в Windows или JSON-файла на Mac. Выберите каждую вкладку для получения дополнительных сведений.

  <Entry Id="{e3837e60-5e56-43ce-8095-043ccd793eac}">
    <Type>Allow</Type>
    <Options>0</Options>
    <AccessMask>1</AccessMask>
  </Entry> 

{
          "$type": "generic",
          "id": "e3837e60-5e56-43ce-8095-043ccd793eac",
          "enforcement": {
            "$type": "allow"
          },
          "access": [
            "generic_read"
          ]
} 

Группы

Группы определить критерии фильтрации объектов по их свойствам. Объект назначается группе, если его свойства соответствуют свойствам, определенным для группы.

Например:

• Разрешенные USB — это все устройства, которые соответствуют любому из этих производителей.
• Потерянные USB — это все устройства, которые соответствуют любому из этих серийных номеров
• Разрешенные принтеры — это все устройства, которые соответствуют любому из этих VID/PID

Свойства можно сопоставить четырьмя способами: MatchAll, MatchAny, MatchExcludeAllи MatchExcludeAny

• MatchAll: свойства являются отношением "И"; Например, если администратор помещает DeviceID и InstancePathID, для каждого подключенного USB система проверяет, соответствует ли USB обоим значениям.
• MatchAny: свойства являются отношением "Или"; Например, если администратор помещает DeviceID и InstancePathID, для каждого подключенного USB система применяет принудительное применение, если USB имеет идентичное DeviceID значение или InstanceID значение.
• MatchExcludeAll: свойства являются связью "И", рассматриваются все элементы, которые не соответствуют. Например, если администратор помещает DeviceID и InstancePathID использует MatchExcludeAll, для каждого подключенного USB система применяет принудительно, если USB-порт не имеет одинаковых DeviceID значений и InstanceID значений.
• MatchExcludeAny: свойства являются отношением "Или", все элементы, которые не соответствуют, охватываются. Например, если администратор помещает DeviceID и InstancePathID использует MatchExcludeAny, для каждого подключенного USB система применяет принудительное применение, если usb-порт не имеет идентичного DeviceID значения или InstanceID значения.

Группы используются двумя способами: для выбора устройств для включения и исключения в правилах и для фильтрации доступа по расширенным условиям. В этой таблице перечислены типы групп и способы их использования.

Устройства, которые находятся в область для политики, определяется списком включенных групп и списком исключенных групп. Правило применяется, если устройство находится во всех включенных группах и ни в одной из исключенных групп. Группы можно составить на основе свойств устройств. Можно использовать следующие свойства:

Использование Windows диспетчер устройств для определения свойств устройства

Для устройств Windows можно использовать диспетчер устройств, чтобы понять свойства устройств.

1. Откройте диспетчер устройств, найдите устройство, щелкните правой кнопкой мыши пункт Свойства и выберите вкладку Сведения.

2. В списке Свойства выберите Путь к экземпляру устройства.

   Для пути экземпляра InstancePathIdустройства отображается значение , но оно также содержит другие свойства:

   • USB\VID_090C&PID_1000\FBH1111183300721
   • {BusId}\{DeviceId}\{SerialNumberId}

   Свойства в диспетчере устройств сопоставляются с элементом управления устройствами, как показано в следующей таблице:

   диспетчер устройств	Управление устройствами
   Идентификаторы оборудования	HardwareId
   Понятное имя	FriendlyNameId
   Родительский элемент	VID_PID
   DeviceInstancePath	InstancePathId

Использование отчетов и расширенной охоты для определения свойств устройств

Свойства устройства имеют немного другие метки в расширенной охоте. В приведенной ниже таблице метки на портале сопоставляется с в политике propertyId управления устройствами.

Настройка групп в Intune, XML в Windows или JSON на Mac

Группы можно настроить в Intune, с помощью XML-файла для Windows или json-файла на Компьютере Mac. Выберите каждую вкладку для получения дополнительных сведений.

<Group Id="{3f5253e4-0e73-4587-bb9e-bb29a2171694}">
  <MatchType>MatchAny</MatchType>
  <DescriptorIdList>
   ...
  </DescriptorIdList>
</Group> 

    {
      "$type": "device",
      "id": "3f5253e4-0e73-4587-bb9e-bb29a2171694",
      "query": {
        "$type": "or",
        "clauses": [
    ...
        ]
      }
    } 

"query": {
        "$type": "or",
        "clauses": [
          {
            "$type": "serialNumber",
            "value": "FBH1111183300731"
          }
        ]
      } 

"query": {
    "$type":"not",
        "query": {
                    "$type": "or",
                    "clauses": [
                          {
                            "$type": "serialNumber",
                            "value": "FBH1111183300731"
                          }
                    ]
              }

} 

Расширенные условия

Записи могут быть дополнительно ограничены в зависимости от параметров. Параметры применяют расширенные условия, выходящие за рамки устройства. Расширенные условия позволяют точно контролировать работу на основе сети, VPN-подключения, файла или задания печати.

Условия сети

В следующей таблице описаны свойства группы сети:

Эти свойства добавляются в DescriptorIdList группы типа Network. Ниже приведен пример фрагмента кода:

<Group Id="{e5f619a7-5c58-4927-90cd-75da2348a30a}" Type="Network" MatchType="MatchAll">
    <DescriptorIdList>
        <NetworkCategoryId>Public</PathId>
        <NetworkDomainId>NonDomain</PathId>
    </DescriptorIdList>
</Group>

Затем группа ссылается в качестве параметров в записи, как показано в следующем фрагменте кода:

   <Entry Id="{1ecfdafb-9b7f-4b66-b3c5-f1d872b0961d}">
      <Type>Deny</Type>
      <Options>0</Options>
      <AccessMask>40</AccessMask>
      <Parameters MatchType="MatchAll">
             <Network MatchType="MatchAny">
                   <GroupId>{ e5f619a7-5c58-4927-90cd-75da2348a30a }</GroupId>
            </Network>
      </Parameters>
   </Entry>

Условия VPN-подключения

В следующей таблице описаны условия VPN-подключения.

Эти свойства добавляются в DescriptorIdList группы типа VPNConnection, как показано в следующем фрагменте кода:

    <Group Id="{d633d17d-d1d1-4c73-aa27-c545c343b6d7}" Type="VPNConnection">
        <Name>Corporate VPN</Name>
        <MatchType>MatchAll</MatchType>
        <DescriptorIdList>
            <NameId>ContosoVPN</NameId>
            <VPNServerAddressId>contosovpn.*.contoso.com</VPNServerAddressId>
            <VPNDnsSuffixId>corp.contoso.com</VPNDnsSuffixId>
            <VPNConnectionStatusId>Connected</VPNConnectionStatusId>
        </DescriptorIdList>
    </Group>

Затем на группу будут ссылаются как параметры в записи, как показано в следующем фрагменте кода:

       <Entry Id="{27c79875-25d2-4765-aec2-cb2d1000613f}">
          <Type>Allow</Type>
          <Options>0</Options>
          <AccessMask>64</AccessMask>
          <Parameters MatchType="MatchAny">
            <VPNConnection>
                    <GroupId>{d633d17d-d1d1-4c73-aa27-c545c343b6d7}</GroupId>
            </VPNConnection>
        </Parameters>
       </Entry>

Затем на группу ссылаются как на параметры в записи, как показано в следующем фрагменте кода:

   <Entry Id="{1ecfdafb-9b7f-4b66-b3c5-f1d872b0961d}">
      <Type>Deny</Type>
      <Options>0</Options>
      <AccessMask>40</AccessMask>
      <Parameters MatchType="MatchAll">
             <File MatchType="MatchAny">
                   <GroupId>{ e5f619a7-5c58-4927-90cd-75da2348a30f }</GroupId>
            </File>
      </Parameters>
   </Entry>

Условия задания печати

В следующей таблице описаны PrintJob свойства группы:

Эти свойства добавляются в DescriptorIdList группу типа PrintJob, как показано в следующем фрагменте кода:

<Group Id="{e5f619a7-5c58-4927-90cd-75da2348a30b}" Type="PrintJob" MatchType="MatchAny">
    <DescriptorIdList>
        <PrintOutputFileNameId>C:\Documents\*.pdf</PrintOutputFileNameId >
        <PrintDocumentNameId>*.xlsx</PrintDocumentNameId>
<PrintDocumentNameId>*.docx</PrintDocumentNameId>
    </DescriptorIdList>
</Group>

Затем на группу ссылаются как на параметры в записи, как показано в следующем фрагменте кода:

   <Entry Id="{1ecfdafb-9b7f-4b66-b3c5-f1d872b0961d}">
      <Type>Deny</Type>
      <Options>0</Options>
      <AccessMask>40</AccessMask>
      <Parameters MatchType="MatchAll">
             <PrintJob MatchType="MatchAny">
                   <GroupId>{e5f619a7-5c58-4927-90cd-75da2348a30b}</GroupId>
            </PrintJob>
      </Parameters>
   </Entry>

Дальнейшие действия

• Просмотр событий и сведений об управлении устройством в Microsoft Defender для конечной точки
• Развертывание управления устройствами и управление ими в Microsoft Defender для конечной точки с помощью Microsoft Intune
• Развертывание управления устройствами и управление ими в Microsoft Defender для конечной точки с помощью групповая политика
• Управление устройствами для macOS