Esclusioni di isolamento della rete

  • Si applica a: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Le esclusioni di isolamento consentono di escludere processi, indirizzi IP o servizi specifici dall'isolamento di rete applicando l'azione di risposta di isolamento selettiva ai dispositivi.

L'isolamento della rete in Microsoft Defender per endpoint limita la comunicazione di un dispositivo compromesso per evitare la diffusione delle minacce. Tuttavia, alcuni servizi critici, ad esempio strumenti di gestione o soluzioni di sicurezza, potrebbero dover rimanere operativi.

Le esclusioni di isolamento consentono ai processi o agli endpoint designati di ignorare le restrizioni dell'isolamento di rete, garantendo che le funzioni essenziali (ad esempio, la correzione remota o il monitoraggio) continuino limitando al tempo stesso l'esposizione alla rete più ampia.

Prerequisiti

Prima di usare le esclusioni di isolamento, assicurarsi che siano soddisfatti i prerequisiti seguenti:

  • L'esclusione dall'isolamento deve essere abilitata.
  • L'abilitazione dell'esclusione dall'isolamento richiede autorizzazioni di Amministratore della sicurezza o Gestione delle impostazioni di sicurezza, o superiori.

Sistemi operativi supportati

L'esclusione dell'isolamento è supportata nei sistemi operativi seguenti:

  • L'esclusione dell'isolamento è disponibile in Windows 11, Windows 10 versione 1703 o successiva, Windows Server 2016 e versioni successive, Windows Server 2012 R2, macOS e Azure Stack sistema operativo HCI versione 23H2 e successive.

Avvertimento

Qualsiasi esclusione attenua l'isolamento del dispositivo e aumenta i rischi per la sicurezza. Per ridurre al minimo i rischi, configurare le esclusioni solo quando strettamente necessario.

Esaminare e aggiornare regolarmente le esclusioni per allinearsi ai criteri di sicurezza.

Modalità di isolamento

Esistono due modalità di isolamento: isolamento completo e isolamento selettivo.

  • Isolamento completo: in modalità di isolamento completo, il dispositivo è completamente isolato dalla rete e non sono consentite eccezioni. Tutto il traffico è bloccato, ad eccezione delle comunicazioni essenziali con l'agente di Defender. Le esclusioni non vengono applicate in modalità di isolamento completo.

    La modalità di isolamento completo è l'opzione più sicura, adatta per scenari in cui è necessario un livello elevato di contenimento. Per altre informazioni sulla modalità di isolamento completo, vedere Isolare i dispositivi dalla rete.

  • Isolamento selettivo: la modalità di isolamento selettivo consente agli amministratori di applicare esclusioni per garantire che gli strumenti critici e le comunicazioni di rete possano ancora funzionare, mantenendo allo stesso tempo lo stato isolato del dispositivo.

Come usare l'eccezione di isolamento

Esistono due passaggi per usare l'esclusione dall'isolamento: definizione delle regole di esclusione dell'isolamento e applicazione dell'esclusione di isolamento in un dispositivo.

Screenshot che mostra come abilitare le esclusioni di isolamento.

Note

Dopo aver abilitato la funzionalità di esclusione dell'isolamento, le esclusioni incorporate in precedenza per Microsoft Teams, Outlook e Skype non sono più applicabili e l'elenco delle esclusioni inizia vuoto in tutte le piattaforme. Se Microsoft Teams, Outlook e Skype richiedono ancora l'accesso durante l'isolamento, è necessario definire manualmente nuove regole di esclusione.

Skype è stato deprecato e non è più incluso in nessuna esclusione predefinita.

Passaggio 1: Definire esclusioni globali nelle impostazioni

Per definire le regole di esclusione dell'isolamento globale, seguire questa procedura:

  1. Nel portale di Microsoft Defender passare a Impostazioni>Endpoint>Funzionalità avanzate Regole>di esclusione dall'isolamento.

  2. Selezionare la scheda del sistema operativo pertinente (regole di Windows o regole Mac).

  3. Selezionare + Aggiungi regola di esclusione

    Screenshot che mostra come aggiungere una nuova regola di esclusione di isolamento.

  4. Verrà visualizzata la finestra di dialogo Aggiungi nuova regola di esclusione :

    Screenshot che mostra i campi necessari per definire una regola di esclusione di isolamento.

    Compilare i parametri di esclusione dell'isolamento. Gli asterischi rossi indicano i parametri obbligatori. I parametri e i relativi valori validi sono:

    • Nome regola: specificare un nome per la regola.

    • Descrizione regola: descrivere lo scopo della regola.

    • Percorso del processo (solo Windows): il percorso del file di un eseguibile è il relativo percorso nell'endpoint. È possibile definire un eseguibile da usare in ogni regola.

      Esempi:

      • C:\Windows\System\Notepad.exe
      • %WINDIR%\Notepad.exe

      Note:

      • L'eseguibile deve esistere quando viene applicato l'isolamento; in caso contrario, la regola di esclusione viene ignorata.
      • L'esclusione non si applica ad alcun processo figlio creato dal processo specificato.

    • Nome del servizio (solo Windows): Windows nomi brevi del servizio possono essere usati nei casi in cui si vuole escludere un servizio (non un'applicazione) che invia o riceve traffico. I nomi brevi del servizio possono essere recuperati eseguendo il comando Get-Service da PowerShell. È possibile definire un servizio da usare in ogni regola.

      Esempio: termservice

    • Nome della famiglia di pacchetti (solo Windows): il nome della famiglia di pacchetti (PFN) è un identificatore univoco assegnato ai pacchetti dell'app Windows. Il formato PFN segue questa struttura: <Name>_<PublisherId>.

      I nomi delle famiglie di pacchetti possono essere recuperati eseguendo il comando Get-AppxPackage da PowerShell. Ad esempio, per ottenere il nuovo PFN di Microsoft Teams, eseguire Get-AppxPackage MSTeamse cercare il valore della proprietà PackageFamilyName .

      Supportato in:

      • Windows 11 versione 22H2 o successiva (la versione 23H2 richiede KB5050092)
      • Windows 10 versione 22H2 o successiva (richiede KB5050081)
      • Windows Server 2025 o versione successiva
      • Windows Server versione 23H2 o successiva
      • Azure Stack sistema operativo HCI, versione 23H2 o successiva

    • Direzione: direzione della connessione (in ingresso/in uscita). Esempi:

      • Connessione in uscita: se il dispositivo avvia una connessione, ad esempio una connessione HTTPS a un server back-end remoto, definire solo una regola in uscita. Esempio: il dispositivo invia una richiesta alla versione 1.1.1.1 (in uscita). In questo caso, non è necessaria alcuna regola in ingresso, in quanto la risposta del server viene accettata automaticamente come parte della connessione.
      • Connessione in ingresso: se il dispositivo è in ascolto delle connessioni in ingresso, definire una regola in ingresso.

    • Indirizzo IP remoto: IP (o INDIRIZZI IP) con cui è consentita la comunicazione mentre il dispositivo è isolato dalla rete.

      Formati IP supportati:

      • IPv4/IPv6, con notazione CIDR facoltativa
      • Elenco delimitato da virgole di indirizzi IP validi

      È possibile definire fino a 20 indirizzi IP per regola.

      Esempi di input validi:

      • Indirizzo IP singolo: 1.1.1.1
      • Indirizzo IPV6: 2001:db8:85a3::8a2e:370:7334
      • Indirizzo IP con notazione CIDR (IPv4 o IPv6): 1.1.1.1/24. In questo esempio viene definito un intervallo di indirizzi IP. In questo caso, include tutti gli INDIRIZZI IP da 1.1.1.0 a 1.1.1.255. /24 rappresenta la subnet mask, che specifica che i primi 24 bit dell'indirizzo sono fissi e gli 8 bit rimanenti definiscono l'intervallo di indirizzi.

  5. Salvare e applicare le modifiche.

Le regole di esclusione dell'isolamento globale definite nel portale si applicano ogni volta che l'isolamento selettivo è abilitato per un dispositivo.

Passaggio 2: Applicare l'isolamento selettivo a un dispositivo specifico

  1. Passare alla pagina del dispositivo nel portale.

  2. Seleziona Isola dispositivo e scegli Isolamento selettivo.

  3. Selezionare Usa esclusioni di isolamento per consentire comunicazioni specifiche mentre il dispositivo è isolato e immettere un commento.

    Screenshot che mostra come applicare una regola di esclusione a un dispositivo.

  4. Seleziona Conferma.

Le esclusioni applicate a uno specifico dispositivo possono essere consultate nella cronologia di Action Center.

Schermata che mostra le esclusioni nella cronologia del Centro operativo.

Applicare l'isolamento selettivo tramite l'API

In alternativa, è possibile applicare l'isolamento selettivo tramite API. A tale scopo, impostare il parametro IsolationType su Selective. Per altre informazioni, vedere Isolare l'API del computer.

Logica di esclusione

Le esclusioni di isolamento vengono valutate in base alla logica seguente:

  • Vengono applicate tutte le regole corrispondenti.
  • All'interno di una singola regola, le condizioni usano la logica AND (tutte devono corrispondere).
  • Le condizioni non definite in una regola vengono considerate come "any" (ovvero senza restrizioni per tale parametro).

Ad esempio, se sono definite le regole seguenti:

Rule 1:

   Process path = c:\example.exe
   Remote IP = 1.1.1.1
   Direction = Outbound

Rule 2:

   Process path = c:\example_2.exe
   Direction = Outbound

Rule 3:

   Remote IP = 18.18.18.18
   Direction = Inbound
  • example.exe può avviare solo connessioni di rete all'indirizzo IP remoto 1.1.1.1.
  • example_2.exe può avviare connessioni di rete verso qualsiasi indirizzo IP.
  • Il dispositivo può ricevere la connessione in ingresso dall'indirizzo IP 18.18.18.18.

Considerazioni e limitazioni

Le modifiche alle regole di esclusione influiscono solo sulle nuove richieste di isolamento. I dispositivi già isolati rimangono con le esclusioni definite al momento dell'applicazione. Per applicare regole di esclusione aggiornate ai dispositivi isolati, rimuovere tali dispositivi dall'isolamento e quindi isolarli nuovamente.

Mantenere invariate le esclusioni esistenti per i dispositivi già isolati garantisce che le regole di isolamento rimangano coerenti per tutta la durata di una sessione di isolamento attiva.

Contenuti correlati

  • Last updated on