Eszközvezérlési szabályzatok a Végponthoz készült Microsoft Defender

Érintett szolgáltatás:

• Végponthoz készült Microsoft Defender 1. csomag
• Végponthoz készült Microsoft Defender 2. csomag
• Microsoft Defender Vállalati verzió

Ez a cikk az eszközvezérlési szabályzatokat, szabályokat, bejegyzéseket, csoportokat és speciális feltételeket ismerteti. Az eszközvezérlési szabályzatok lényegében egy eszközkészlethez határozzák meg a hozzáférést. A hatókörbe tartozó eszközöket a belefoglalt eszközcsoportok listája és a kizárt eszközcsoportok listája határozza meg. A szabályzat akkor érvényes, ha az eszköz az összes belefoglalt eszközcsoportban található, és egyik kizárt eszközcsoportban sem. Ha nincsenek érvényben szabályzatok, akkor az alapértelmezett kényszerítés lesz alkalmazva.

Alapértelmezés szerint az eszközvezérlés le van tiltva, így minden eszköztípushoz engedélyezve van a hozzáférés. További információ az eszközvezérlésről: Eszközvezérlés Végponthoz készült Microsoft Defender.

Az alapértelmezett viselkedés szabályozása

Ha az eszközvezérlés engedélyezve van, alapértelmezés szerint minden eszköztípushoz engedélyezve van. Az alapértelmezett kényszerítés az Engedélyezésről a Megtagadás értékre is módosítható. A biztonsági csapat az eszközvezérlés által védett eszköztípusokat is konfigurálhatja. Az alábbi táblázat bemutatja, hogy a beállítások különböző kombinációi hogyan módosítják a hozzáférés-vezérlési döntést.

Az eszköztípusok konfigurálásakor a Végponthoz készült Defender eszközvezérlése figyelmen kívül hagyja a más eszközcsaládokra irányuló kéréseket.

További információért olvassa el az alábbi témaköröket:

• Eszközvezérlés üzembe helyezése és kezelése Intune
• Eszközvezérlés üzembe helyezése és kezelése Csoportházirend

Irányelvek

Az eszközökhöz való hozzáférés további finomításához az eszközvezérlés szabályzatokat használ. A szabályzat szabályok és csoportok halmaza. A szabályok és csoportok definiálása kissé eltér a felügyeleti szolgáltatások és az operációs rendszerek között, az alábbi táblázatban leírtak szerint.

A szabályokat és csoportokat globális egyedi azonosító (GUID) azonosítja. Ha az eszközvezérlési szabályzatok a Intune kivételével más felügyeleti eszközzel vannak üzembe helyezve, a GUID-okat létre kell hoznunk. A GUID azonosítókat a PowerShell használatával hozhatja létre.

A séma részleteiért tekintse meg a Mac JSON-sémáját.

Felhasználók

Az eszközvezérlési szabályzatok felhasználókra és/vagy felhasználói csoportokra is alkalmazhatók. Windows rendszeren az eszközvezérlési házirendek olyan feltétellel rendelkezhetnek, amely Microsoft Entra ID vagy Windows Server Active Directory meghatározott felhasználókat vagy felhasználói csoportokat céloz meg. Olyan szabályzatokat definiálhat, amelyek lehetővé teszik, hogy bizonyos felhasználók az üzleti igényeknek megfelelően több vagy kevesebb engedéllyel rendelkezzenek. Az eszközvezérlés aktívan megvizsgálja a felhasználói munkameneteket, és meghatározott felhasználókat vagy csoportokat megcélzó szabályzatok alapján kényszerítési döntéseket hoz. Ez azt jelenti, hogy egyes műveletek, például egy eszköz zárolása vagy a felhasználói profilból való kijelentkezés, a felhasználói feltételek nem kielégítőek lehetnek, ami a várt viselkedés.

Ajánlott eljárások az eszközvezérlés felhasználókkal és felhasználói csoportokkal való használatához

• Ha windowsos felhasználók számára szeretne szabályt létrehozni, hozzon létre egy bejegyzést a Sidszabály minden felhasználója számára.

• Ha windowsos és Intune felhasználói csoporthoz szeretne szabályt létrehozni, hozzon létre egy feltételt tartalmazó Sid bejegyzést egy [szabály] minden felhasználói csoportjához, és a szabályzatot egy gépcsoportra célozza a Intune, vagy hozzon létre feltételek nélküli szabályt, és a szabályzatot a felhasználói csoportra Intune megcélzva.

• Mac gépen használja a Intune, és a szabályzatot a Microsoft Entra ID felhasználói csoportjára célozza meg.

Szabályok

A szabályok a belefoglalt csoportok listáját és a kizárt csoportok listáját határozzák meg. A szabály alkalmazásához az eszköznek az összes belefoglalt csoportban kell lennie, és a kizárt csoportok egyikében sem. Ha az eszköz megfelel a szabálynak, a rendszer kiértékeli a szabály bejegyzéseit. Egy bejegyzés határozza meg az alkalmazott művelet- és értesítési beállításokat, ha a kérelem megfelel a feltételeknek. Ha nincsenek szabályok, vagy egyetlen bejegyzés sem felel meg a kérésnek, a rendszer az alapértelmezett kényszerítést alkalmazza.

Ha például engedélyezni szeretné bizonyos USB-eszközök írási hozzáférését, és olvasási hozzáférést szeretne az összes többi USB-eszközhöz, használja az alábbi házirendeket, csoportokat és bejegyzéseket, amelyek alapértelmezett kényszerítési beállítása megtagadás.

A szabály neve megjelenik a portálon a jelentéskészítéshez és a bejelentési értesítésben a felhasználóknak, ezért mindenképpen adjon leíró neveket a szabályoknak.

A szabályokat a házirendek szerkesztésével konfigurálhatja a Intune-ben, xml-fájl használatával Windowsban vagy JSON-fájllal Mac gépen. További részletekért válassza ki az egyes lapokat.

<PolicyRule Id="{75a4e33a-5268-4552-bef2-e34dd0c39cb1}">
  <Name>Read Only Access for USBs</Name>
  <IncludedIdList>
      <GroupId>{3f5253e4-0e73-4587-bb9e-bb29a2171694}</GroupId>
  </IncludedIdList>
  <ExcludedIdList>
      <GroupId>{3f5253e4-0e73-4587-bb9e-bb29a2171695}</GroupId>
  </ExcludedIdList>
  <Entry Id="{e3837e60-5e56-43ce-8095-043ccd793eac}">
   ...
  </Entry>
  <Entry Id="{34413b98-8198-4e16-accf-c95c3c775ba3}">
    ...
  </Entry>
</PolicyRule> 

{
      "id": "75a4e33a-5268-4552-bef2-e34dd0c39cb1",
      "name": "Read Only Access for USBs",
      "includeGroups": [
        "3f5253e4-0e73-4587-bb9e-bb29a2171694"
      ],
      "includedGroups":[
         "3f5253e4-0e73-4587-bb9e-bb29a2171695"
      ]
      "entries": [
        ...
      ]
    } 

Bejegyzések

Az eszközvezérlési szabályzatok hozzáférést (más néven bejegyzést) határoznak meg az eszközök egy csoportjához. A bejegyzések a szabályzatnak és a bejegyzésben meghatározott feltételeknek megfelelő eszközök művelet- és értesítési beállításait határozzák meg.

Belépés kiértékelése

Kétféle bejegyzéstípus létezik: kényszerítési bejegyzések (engedélyezés/megtagadás) és auditbejegyzések (AuditAllow/AuditDeny).

A szabályhoz tartozó kényszerítési bejegyzések kiértékelése sorrendben történik, amíg az összes kért engedély meg nem egyezik. Ha egyetlen bejegyzés sem felel meg egy szabálynak, a következő szabály lesz kiértékelve. Ha nem egyeznek szabályok, a rendszer az alapértelmezett értéket alkalmazza.

Naplóbejegyzések

A naplózási események szabály kényszerítésekor (engedélyezés/megtagadás) vezérli a viselkedést. Az eszközvezérlő megjeleníthet egy értesítést a végfelhasználónak. A felhasználó értesítést kap, amely tartalmazza az eszközvezérlési szabályzat nevét és az eszköz nevét. Az értesítés a kezdeti hozzáférés megtagadása után óránként egyszer jelenik meg.

Az eszközvezérlés speciális veszélyforrás-keresésben elérhető eseményt is létrehozhat.

Feltételek

A bejegyzések a következő opcionális feltételeket támogatják:

• Felhasználó/felhasználói csoport feltétel: A műveletet csak az SID által azonosított felhasználóra/felhasználói csoportra alkalmazza

• Gép állapota: A műveletet csak az SID által azonosított eszközre/csoportra alkalmazza
• Paraméterek feltétel: A műveletet csak akkor alkalmazza, ha a paraméterek egyeznek (lásd: Speciális feltételek)

A bejegyzések hatóköre további felhasználókra és eszközökre is kiterjedhet. Például csak ezen az eszközön engedélyezze az olvasási hozzáférést ezekhez a usBs-ekhez ehhez a felhasználóhoz.

A bejegyzésben szereplő összes feltételnek igaznak kell lennie ahhoz, hogy a műveletet alkalmazni lehessen.

A bejegyzéseket konfigurálhatja Intune, Egy XML-fájl a Windowsban vagy egy JSON-fájl Mac gépen. További részletekért válassza ki az egyes lapokat.

  <Entry Id="{e3837e60-5e56-43ce-8095-043ccd793eac}">
    <Type>Allow</Type>
    <Options>0</Options>
    <AccessMask>1</AccessMask>
  </Entry> 

{
          "$type": "generic",
          "id": "e3837e60-5e56-43ce-8095-043ccd793eac",
          "enforcement": {
            "$type": "allow"
          },
          "access": [
            "generic_read"
          ]
} 

Csoportok

A csoportok feltételeket határoznak meg az objektumok tulajdonságaik szerinti szűréséhez. Az objektum akkor van hozzárendelve a csoporthoz, ha tulajdonságai megegyeznek a csoporthoz definiált tulajdonságokkal.

Például:

• Az engedélyezett USB-k az összes olyan eszköz, amely megfelel ezeknek a gyártóknak
• Az elveszett USB-k azok az eszközök, amelyek megfelelnek ezeknek a sorozatszámoknak
• Az engedélyezett nyomtatók azok az eszközök, amelyek megfelelnek ezeknek a VID/PID-knek

A tulajdonságok négyféleképpen feleltethetők meg: MatchAll, MatchAny, MatchExcludeAllés MatchExcludeAny

• MatchAll: A tulajdonságok egy "And" kapcsolat; Ha például a rendszergazda minden csatlakoztatott USB esetében a és InstancePathIDa értéket adja DeviceID meg, a rendszer ellenőrzi, hogy az USB megfelel-e mindkét értéknek.
• MatchAny: A tulajdonságok egy "Or" kapcsolat; Ha például a rendszergazda minden csatlakoztatott USB esetében a DeviceID és InstancePathIDa értéket helyezi el, a rendszer mindaddig kényszeríti, amíg az USB azonos DeviceID vagy InstanceID értékkel rendelkezik.
• MatchExcludeAll: A tulajdonságok "És" kapcsolatnak számítanak, és minden olyan elem szerepel benne, amely nem felel meg. Ha például a rendszergazda minden csatlakoztatott USB-n elhelyezi DeviceID és InstancePathID használja MatchExcludeAlla elemet, a rendszer mindaddig kényszeríti, amíg az USB nem rendelkezik azonos DeviceID és InstanceID értékekkel.
• MatchExcludeAny: A tulajdonságok "Vagy" kapcsolatnak számítanak, és minden olyan elemre kiterjed, amely nem felel meg. Ha például a rendszergazda minden csatlakoztatott USB-n elhelyezi DeviceID és InstancePathID használja MatchExcludeAnya elemet, a rendszer mindaddig kényszeríti, amíg az USB nem rendelkezik azonos DeviceID értékkel vagy InstanceID értékkel.

A csoportok kétféleképpen használhatók: a szabályokba való belefoglalásra/kizárásra szolgáló eszközök kiválasztására, valamint a speciális feltételekhez való hozzáférés szűrésére. Ez a táblázat összefoglalja a csoporttípusokat és azok felhasználási módját.

A szabályzat hatókörébe tartozó eszközök, amelyeket a belefoglalt csoportok listája és a kizárt csoportok listája határoz meg. A szabály akkor érvényes, ha az eszköz az összes belefoglalt csoporthoz tartozik, és egyik kizárt csoporthoz sem tartozik. A csoportok az eszközök tulajdonságaiból állíthatók össze. A következő tulajdonságok használhatók:

Eszköztulajdonságok meghatározása a Windows Eszközkezelő használatával

Windows-eszközök esetén a Eszközkezelő segítségével megismerheti az eszközök tulajdonságait.

1. Nyissa meg Eszközkezelő, keresse meg az eszközt, kattintson a jobb gombbal a Tulajdonságok elemre, majd válassza a Részletek lapot.

2. A Tulajdonság listában válassza az Eszközpéldány elérési útja lehetőséget.

   Az eszközpéldány elérési útjának értéke a InstancePathId, de más tulajdonságokat is tartalmaz:

   • USB\VID_090C&PID_1000\FBH1111183300721
   • {BusId}\{DeviceId}\{SerialNumberId}

   Az eszközkezelő tulajdonságai az eszközvezérlőre vannak leképazva az alábbi táblázatban látható módon:

   Eszközkezelő	Eszközvezérlő
   Hardverazonosítók	HardwareId
   Rövid név	FriendlyNameId
   Szülő	VID_PID
   DeviceInstancePath	InstancePathId

Jelentések és speciális veszélyforrás-keresés használata az eszközök tulajdonságainak meghatározásához

Az eszköztulajdonságok címkéi kissé eltérőek a speciális veszélyforrás-keresésben. Az alábbi táblázat a portálon lévő címkéket egy eszközvezérlési szabályzatban lévő propertyId címkére képezi le.

Csoportok konfigurálása Intune, XML windowsos vagy JSON-fájlban Mac gépen

A csoportokat Intune konfigurálhatja, windowsos XML-fájllal vagy Mac gépen JSON-fájllal. További részletekért válassza ki az egyes lapokat.

<Group Id="{3f5253e4-0e73-4587-bb9e-bb29a2171694}">
  <MatchType>MatchAny</MatchType>
  <DescriptorIdList>
   ...
  </DescriptorIdList>
</Group> 

    {
      "$type": "device",
      "id": "3f5253e4-0e73-4587-bb9e-bb29a2171694",
      "query": {
        "$type": "or",
        "clauses": [
    ...
        ]
      }
    } 

"query": {
        "$type": "or",
        "clauses": [
          {
            "$type": "serialNumber",
            "value": "FBH1111183300731"
          }
        ]
      } 

"query": {
    "$type":"not",
        "query": {
                    "$type": "or",
                    "clauses": [
                          {
                            "$type": "serialNumber",
                            "value": "FBH1111183300731"
                          }
                    ]
              }

} 

Speciális feltételek

A bejegyzések a paraméterek alapján tovább korlátozhatók. A paraméterek speciális feltételeket alkalmaznak, amelyek túlmutatnak az eszközön. A speciális feltételek lehetővé teszik a részletes vezérlést a hálózat, a VPN-kapcsolat, a fájl vagy a nyomtatási feladat kiértékelése alapján.

Hálózati feltételek

Az alábbi táblázat a hálózati csoport tulajdonságait ismerteti:

Ezek a tulajdonságok egy Hálózat típusú csoport DescriptorIdList eleméhez lesznek hozzáadva. Íme egy példarészlet:

<Group Id="{e5f619a7-5c58-4927-90cd-75da2348a30a}" Type="Network" MatchType="MatchAll">
    <DescriptorIdList>
        <NetworkCategoryId>Public</PathId>
        <NetworkDomainId>NonDomain</PathId>
    </DescriptorIdList>
</Group>

A csoportra ezután a bejegyzésben paraméterekként hivatkozunk, ahogy az a következő kódrészletben látható:

   <Entry Id="{1ecfdafb-9b7f-4b66-b3c5-f1d872b0961d}">
      <Type>Deny</Type>
      <Options>0</Options>
      <AccessMask>40</AccessMask>
      <Parameters MatchType="MatchAll">
             <Network MatchType="MatchAny">
                   <GroupId>{ e5f619a7-5c58-4927-90cd-75da2348a30a }</GroupId>
            </Network>
      </Parameters>
   </Entry>

VPN-kapcsolat feltételei

Az alábbi táblázat a VPN-kapcsolati feltételeket ismerteti:

Ezeket a tulajdonságokat a rendszer hozzáadja egy DescriptorIdList típusú VPNConnectioncsoporthoz, az alábbi kódrészletben látható módon:

    <Group Id="{d633d17d-d1d1-4c73-aa27-c545c343b6d7}" Type="VPNConnection">
        <Name>Corporate VPN</Name>
        <MatchType>MatchAll</MatchType>
        <DescriptorIdList>
            <NameId>ContosoVPN</NameId>
            <VPNServerAddressId>contosovpn.*.contoso.com</VPNServerAddressId>
            <VPNDnsSuffixId>corp.contoso.com</VPNDnsSuffixId>
            <VPNConnectionStatusId>Connected</VPNConnectionStatusId>
        </DescriptorIdList>
    </Group>

Ezután a csoportra paraméterként hivatkozik egy bejegyzésben, az alábbi kódrészletben látható módon:

       <Entry Id="{27c79875-25d2-4765-aec2-cb2d1000613f}">
          <Type>Allow</Type>
          <Options>0</Options>
          <AccessMask>64</AccessMask>
          <Parameters MatchType="MatchAny">
            <VPNConnection>
                    <GroupId>{d633d17d-d1d1-4c73-aa27-c545c343b6d7}</GroupId>
            </VPNConnection>
        </Parameters>
       </Entry>

A csoportra ezután paraméterként hivatkozik egy bejegyzésben, ahogy az a következő kódrészletben látható:

   <Entry Id="{1ecfdafb-9b7f-4b66-b3c5-f1d872b0961d}">
      <Type>Deny</Type>
      <Options>0</Options>
      <AccessMask>40</AccessMask>
      <Parameters MatchType="MatchAll">
             <File MatchType="MatchAny">
                   <GroupId>{ e5f619a7-5c58-4927-90cd-75da2348a30f }</GroupId>
            </File>
      </Parameters>
   </Entry>

Nyomtatási feladatok feltételei

A következő táblázat a csoporttulajdonságokat ismerteti PrintJob :

Ezeket a tulajdonságokat a rendszer hozzáadja egy DescriptorIdList típusú PrintJobcsoporthoz, ahogy az az alábbi kódrészletben látható:

<Group Id="{e5f619a7-5c58-4927-90cd-75da2348a30b}" Type="PrintJob" MatchType="MatchAny">
    <DescriptorIdList>
        <PrintOutputFileNameId>C:\Documents\*.pdf</PrintOutputFileNameId >
        <PrintDocumentNameId>*.xlsx</PrintDocumentNameId>
<PrintDocumentNameId>*.docx</PrintDocumentNameId>
    </DescriptorIdList>
</Group>

A csoportra ezután paraméterként hivatkozik egy bejegyzésben, ahogy az a következő kódrészletben látható:

   <Entry Id="{1ecfdafb-9b7f-4b66-b3c5-f1d872b0961d}">
      <Type>Deny</Type>
      <Options>0</Options>
      <AccessMask>40</AccessMask>
      <Parameters MatchType="MatchAll">
             <PrintJob MatchType="MatchAny">
                   <GroupId>{e5f619a7-5c58-4927-90cd-75da2348a30b}</GroupId>
            </PrintJob>
      </Parameters>
   </Entry>

Következő lépések

• Eszközvezérlési események és információk megtekintése a Végponthoz készült Microsoft Defender
• Eszközvezérlés üzembe helyezése és kezelése Végponthoz készült Microsoft Defender a Microsoft Intune használatával
• Eszközvezérlés üzembe helyezése és kezelése Végponthoz készült Microsoft Defender a Csoportházirend használatával
• Eszközvezérlés macOS-hez