В Windows 10 добавят защитную функцию Device Guard

Область применения

• Windows 10
• Windows Server2016
• WindowsServer2019

Включение Credential Guard в Защитнике Windows

Credential Guard в Защитнике Windows можно включить с помощью групповой политики, реестра или средства проверки готовности оборудования к Device Guard в Защитнике Windows и Credential Guard в Защитнике Windows. Credential Guard в Защитнике Windows может защищать секретные сведения на виртуальной машине Hyper-V, как и на физическом компьютере. Тот же набор процедур, который используется для включения Credential Guard в Защитнике Windows на физических компьютерах, применяется и к виртуальным машинам.

Включение Credential Guard в Защитнике Windows с помощью групповой политики.

Включить Credential Guard в Защитнике Windows можно с помощью групповой политики. При этом будут активированы функции безопасности на основе виртуализации, если это необходимо.

1. В консоли управления групповыми политиками перейдите в раздел Конфигурация компьютера ->Административные шаблоны ->Система ->Device Guard.
2. Дважды щелкните Включить средство обеспечения безопасности на основе виртуализации, а затем выберите вариант Включено.
3. В поле Выберите уровень безопасности платформы выберите Безопасная загрузка или Безопасная загрузка и защита DMA.

В поле Конфигурация Credential Guard щелкните элемент Включено с блокировкой UEFI, а затем нажмите кнопку ОК. Чтобы можно было отключить Credential Guard в Защитнике Windows удаленно, выберите пункт Включено без блокировки.

Закройте консоль управления групповыми политиками.

Чтобы применить обработку групповой политики, можно запустить gpupdate /force .

Включение защиты учетных данных защитника Windows с помощью Intune

1. На домашней странице выберите Microsoft Intune
2. Нажмите кнопку » Конфигурация устройства «
3. Щелкните Профили >. Создание >конечной точки для защиты >учетной записи Windows Defender Guard.

Он включит VBS и безопасную загрузку, и вы можете сделать это с блокировкой UEFI или без нее. Если вам потребуется удаленно отключить Credential Guard, включите его без блокировки UEFI.

Включение Credential Guard в Защитнике Windows с помощью реестра

Если вы не используете групповую политику, вы можете включить Credential Guard в Защитнике Windows с помощью реестра. Credential Guard в Защитнике Windows использует функции безопасности на основе виртуализации, которые нужно включить в некоторых операционных системах.

Добавление функций безопасности на основе виртуализации

Начиная с Windows 10 версии 1607 и Windows Server 2016 включать функции безопасность на основе виртуализации необязательно, и этот шаг можно пропустить.

Если вы используете Windows 10 версии 1507 (RTM) или Windows 10 версии 1511, необходимо включить функции безопасности на основе виртуализации. Для этого можно воспользоваться панелью управления или системой обслуживания образов развертывания и управления ими (DISM).

Если вы включите Credential Guard в Защитнике Windows с помощью групповой политики, действия для включения компонентов Windows с помощью панели управления или DISM не требуются. Групповая политика сама установит эти компоненты Windows.

Добавление функций безопасности на основе виртуализации с помощью раздела «Программы и компоненты»

1. Откройте раздел Панели управления «Программы и компоненты».
2. Выберите Включение или отключение компонентов Windows.
3. Перейдите в раздел Hyper-V ->Платформа Hyper-V и установите флажок Низкоуровневая оболочка Hyper-V.
4. Установите флажок Режим изолированного пользователя на верхнем уровне выбора функций.
5. Нажмите кнопку OK.

Добавление функций безопасности на основе виртуализации в автономный образ с помощью системы DISM

1. Откройте командную строку с повышенными привилегиями.
2. Добавьте низкоуровневую оболочку Hyper-V с помощью следующей команды: dism /image: /Enable-Feature /FeatureName:Microsoft-Hyper-V-Hypervisor /all
3. Добавьте режим изолированного пользователя с помощью следующей команды: dism /image: /Enable-Feature /FeatureName:IsolatedUserMode

Вы также можете добавить эти возможности в оперативный образ с помощью системы DISM или Configuration Manager.

Включение безопасности на основе виртуализации и Credential Guard в Защитнике Windows

1. Откройте редактор реестра.
2. Включите средство обеспечения безопасности на основе виртуализации.
   • Откройте раздел реестра HKEY_LOCAL_MACHINESystemCurrentControlSetControlDeviceGuard.
   • Добавьте новый параметр типа DWORD с именем EnableVirtualizationBasedSecurity. Для включения средства обеспечения безопасности на основе виртуализации установите для этого параметра реестра значение 1, а для отключения — значение 0.
   • Добавьте новый параметр типа DWORD с именем RequirePlatformSecurityFeatures. Задайте для этого параметра реестра значение1, чтобы использовать только режим Безопасная загрузка, или значение3, чтобы использовать режим Безопасная загрузка и защита DMA.
3. Включение Credential Guard в Защитнике Windows:
   • Откройте раздел реестра HKEY_LOCAL_MACHINESystemCurrentControlSetControlLSA.
   • Добавьте новый параметр типа DWORD с именем LsaCfgFlags. Присвойте этому параметру значение1, чтобы включить Credential Guard в Защитнике Windows с блокировкой UEFI, значение2, чтобы включить Credential Guard в Защитнике Windows без блокировки, или значение0, чтобы отключить этот компонент.
4. Закройте редактор реестра.

Вы можете включить Credential Guard в Защитнике Windows, настроив записи реестра в параметре автоматической установки FirstLogonCommands.

Включение Credential Guard в Защитнике Windows с помощью средства проверки готовности оборудования к Device Guard в Защитнике Windows и Credential Guard в Защитнике Windows

При запуске средства проверки готовности оборудования для Windows Defender и Windows Defender Guard в операционной системе, отличной от английской, в сценарии *$OSArch = $(gwmi win32_operatingsystem).OSArchitecture $OSAch = $((gwmi win32_operatingsystem).OSArchitecture).tolower() вместо этого используйте команду «Изменить», чтобы инструмент работал. Это известная проблема.

Оценка работы Credential Guard в Защитнике Windows

Запущен ли Credential Guard в Защитнике Windows?

Чтобы убедиться, что Credential Guard в Защитнике Windows работает на компьютере, вы можете использовать программу «Сведения о системе».

1. Нажмите кнопку Пуск, введите msinfo32.exe, а затем щелкните Сведения о системе.
2. Выберите Сводные сведения о системе.

Убедитесь, что строка Credential Guard отображается рядом с пунктом Службы обеспечения безопасности Hyper-V на основе виртуализации настраиваются.

При запуске средства проверки готовности оборудования для Windows Defender и Windows Defender Guard в операционной системе, отличной от английской, в сценарии *$OSArch = $(gwmi win32_operatingsystem).OSArchitecture $OSAch = $((gwmi win32_operatingsystem).OSArchitecture).tolower() вместо этого используйте команду «Изменить», чтобы инструмент работал. Это известная проблема.

На клиентских компьютерах под управлением Windows 10 1703 LsaIso.exe включается каждый раз, когда средство обеспечения безопасности на основе виртуализации включается для других функций.

Мы рекомендуем включать Credential Guard в Защитнике Windows до присоединения устройства к домену. Если Credential Guard в Защитнике Windows был включен после присоединения устройства к домену, может оказаться, что секреты пользователя и устройства уже скомпрометированы. Другими словами, включение Credential Guard не поможет защитить устройство или удостоверение, которое уже уязвимо, именно поэтому мы рекомендуем включить Credential Guard как можно раньше.

Следует регулярно проводить проверку компьютеров с включенным Credential Guard в Защитнике Windows. Это можно сделать с помощью политик аудита безопасности или запросов WMI. Ниже представлен список кодов событий WinInit, которые следует искать.

• Код события 13. Credential Guard в Защитнике Windows (LsaIso.exe) запущен и защищает учетные данные LSA.
• Код события 14. Конфигурация Credential Guard в Защитнике Windows (LsaIso.exe): 0x1, 0
  • Первая переменная: 0x1 означает, что Credential Guard в Защитнике Windows настроен для запуска. 0x0 означает, что средство не настроено для запуска.
  • Вторая переменная: 0 означает, что Credential Guard настроен для работы в режиме защиты. 1 означает, что Credential Guard для работы в тестовом режиме. Эта переменная должна всегда иметь значение 0.
• Код события 15. Credential Guard в Защитнике Windows (LsaIso.exe) настроен, но ядро системы безопасности не запущено. Операция будет продолжена без Credential Guard в Защитнике Windows.
• Код события 16. Не удалось запустить Credential Guard в Защитнике Windows (LsaIso.exe): [код ошибки]
• Код события 17. Ошибка чтения конфигурации UEFI Credential Guard в Защитнике Windows (LsaIso.exe): [код ошибки]. Вы также можете узнать, используется ли доверенный платформенный модуль для защиты ключей, проверив указанное ниже событие с идентификатором 51 в источнике событий Microsoft ->Windows ->Kernel-Boot. Если вы используете доверенный платформенный модуль, то значение маски реестра конфигурации платформы доверенного платформенного модуля будет отличным от0.
  • Код события 51. Подготовка главного ключа шифрования VSM. Состояние использования кэшированной копии: 0x0. Состояние распечатывания кэшированной копии: 0x1. Состояние создания нового ключа: 0x1. Состояние запечатывания: 0x1. Маска регистра конфигурации платформы доверенного платформенного модуля: 0x0.

Отключение Credential Guard в Защитнике Windows

Чтобы отключить защиту учетных данных защитника Windows, вы можете использовать следующий набор процедур или средство проверки готовности оборудования для Device Guard и Credential Guard. Если защита учетных данных была включена с блокировкой UEFI, необходимо выполнить описанную ниже процедуру, так как параметры сохраняются в переменных EFI (микропрограмм), и для них требуется физическое присутствие на компьютере для нажатия функциональной клавиши для подтверждения изменения. Если защита учетных данных включена без блокировки UEFI, вы можете отключить ее с помощью групповой политики.

1. Если вы использовали групповую политику, отключите параметр групповой политики, с помощью которого вы включали Credential Guard в Защитнике Windows (Конфигурация компьютера ->Административные шаблоны ->Система ->Device Guard ->Включить средство обеспечения безопасности на основе виртуализации).
2. Удалите указанные ниже параметры реестра.
   • HKEY_LOCAL_MACHINESystemCurrentControlSetControlLSALsaCfgFlags
   • Хкэй_локал_мачинесофтвареполиЦиесмикрософтвиндовсдевицегуардлсакфгфлагс

Если вы также хотите отключить безопасность на основе виртуализации, удалите следующие параметры реестра:

• HKEY_LOCAL_MACHINESoftwarePoliciesMicrosoftWindowsDeviceGuardEnableVirtualizationBasedSecurity
• HKEY_LOCAL_MACHINESoftwarePoliciesMicrosoftWindowsDeviceGuardRequirePlatformSecurityFeatures > [!IMPORTANT] > Если вы удаляете эти параметры реестра вручную, убедитесь, что вы удалили их все. Если вы не удалите какие-либо из этих параметров, устройство может перейти в режим восстановления BitLocker.

Удалите переменные EFI Credential Guard в Защитнике Windows с помощью bcdedit. В командной строке с повышенными привилегиями введите следующие команды:

Компьютер должен иметь однократный доступ к контроллеру домена для расшифровки содержимого, например файлов, которые были зашифрованы с помощью EFS. Если вы хотите отключить учетные данные Windows Defender Guard и безопасность на основе виртуализации, выполните следующие команды BCDedit после отключения групповой политики безопасности на основе виртуализации и параметров реестра.

В настоящее время защита учетных данных и Device Guard не поддерживается при использовании виртуальных машин Azure IaaS. Эти параметры будут доступны для будущих Gen 2 ВМ.

Дополнительные сведения о системе безопасности на основе виртуализации и Device Guard в Защитнике Windows см. в руководстве по развертыванию Device Guard в Защитнике Windows.

Отключение Credential Guard в Защитнике Windows с помощью средства проверки готовности оборудования к Device Guard в Защитнике Windows и Credential Guard в Защитнике Windows

При запуске средства проверки готовности оборудования для Windows Defender и Windows Defender Guard в операционной системе, отличной от английской, в сценарии *$OSArch = $(gwmi win32_operatingsystem).OSArchitecture $OSAch = $((gwmi win32_operatingsystem).OSArchitecture).tolower() вместо этого используйте команду «Изменить», чтобы инструмент работал. Это известная проблема.

Отключение Credential Guard в Защитнике Windows для виртуальной машины

На узле вы можете отключить Credential Guard в Защитнике Windows для виртуальной машины:

docs.microsoft.com

Управление Device Guard с помощью Configuration Manager Device Guard management with Configuration Manager

Применимо к: System Center Configuration Manager (Current Branch) Applies to: System Center Configuration Manager (Current Branch)

Введение Introduction

Device Guard — это набор компонентов Windows 10, предназначенных для защиты компьютеров от вредоносных программ и другого ненадежного программного обеспечения. Device Guard is a group of Windows 10 features that are designed to protect PCs against malware and other untrusted software. Эта служба блокирует запуск вредоносного кода, гарантируя выполнение только надежного утвержденного кода. It prevents malicious code from running by ensuring that only approved code, that you know, can be run.

Device Guard сочетает программные и аппаратные функции защиты. Device Guard encompasses both software and hardware-based security functionality. Управление приложениями в Защитнике Windows реализует программный уровень защиты, поддерживая строгий список программ, выполнение которых допускается на компьютере. Windows Defender Application Control is a software-based security layer that enforces an explicit list of software that is allowed to run on a PC. Само по себе управление приложениями не имеет требований к оборудованию или микропрограммному обеспечению. On its own, Application Control does not have any hardware or firmware prerequisites. Политики управления приложениями, развернутые с помощью Configuration Manager, применяются к компьютерам в целевых коллекциях, которые соответствуют минимальным требованиям к версии Windows и SKU, как описано в этой статье. Application Control policies deployed with Configuration Manager enable a policy on PCs in targeted collections that meet the minimum Windows version and SKU requirements outlined in this article. При необходимости вы можете включить политики управления приложениями на основе гипервизора, развернув их с использованием Configuration Manager в виде групповой политики для соответствующего оборудования. Optionally, hypervisor-based protection of Application Control policies deployed through Configuration Manager can be enabled through Group Policy on capable hardware.

Дополнительные сведения о Device Guard см. в руководстве по развертыванию Device Guard. To learn more about Device Guard, read the Device Guard deployment guide.

Начиная с Windows 10 версии 1709, настраиваемые политики целостности кода переименованы в управление приложениями в Защитнике Windows. Beginning with Windows 10, version 1709, configurable code integrity policies are known as Windows Defender Application Control.

Использование Device Guard совместно с Configuration Manager Using Device Guard with Configuration Manager

Вы можете развернуть политику управления приложениями в Защитнике Windows с помощью Configuration Manager. You can use Configuration Manager to deploy a Windows Defender Application Control policy. Такая политика позволяет настроить режим, в котором Device Guard выполняется на компьютерах в коллекции. This policy lets you configure the mode in which Device Guard runs on PCs in a collection.

Можно настроить один из следующих режимов. You can configure one of the following modes:

1. Включено принудительное применение — разрешено выполнение только надежных исполняемых файлов. Enforcement enabled — Only trusted executables are allowed to run.
2. Только аудит — разрешено выполнение всех исполняемых файлов, но ведется регистрация выполняющихся ненадежных программ в журнале событий локального клиента. Audit only — Allow all executables to run, but log untrusted executables that run in the local client event log.

Эта функция появилась в версии 1702 на стадии предварительного выпуска. This feature was first introduced in version 1702 as a pre-release feature. Начиная с версии 1906 эта функция больше не считается функцией предварительной версии. Beginning with version 1906, it’s no longer a pre-release feature.

Что разрешено запускать при развертывании политики управления приложениями в Защитнике Windows? What can run when you deploy a Windows Defender Application Control policy?

Windows Device Guard позволяет строго контролировать компоненты, которые могут выполняться на управляемых компьютерах. Windows Device Guard lets you strongly control what can run on PCs you manage. Эта функция полезна для отделов с повышенными требованиями к безопасности, где важно не допустить выполнение нежелательного программного обеспечения. This feature can be useful for PCs in high-security departments, where it’s vital that unwanted software cannot run.

При развертывании политики обычно разрешается запуск следующих исполняемых файлов: When you deploy a policy, typically, the following executables can run:

• компоненты операционной системы Windows; Windows operating system components
• драйверы Центра разработки оборудования (которые имеют сигнатуры лабораторий WHQL); Hardware Dev Center drivers (that have Windows Hardware Quality Labs signatures)
• приложения Магазина Windows; Windows Store apps
• клиент Configuration Manager; The Configuration Manager client
• все программное обеспечение, развернутое через Configuration Manager, которое устанавливается на компьютерах после обработки политики управления приложениями в Защитнике Windows. All software deployed through Configuration Manager that PCs install after the Windows Defender Application Control policy is processed.
• Обновления компонентов Windows из: Updates to windows components from:
  • Центра обновления Windows; Windows Update
  • Центр обновления Windows для бизнеса. Windows Update for Business
  • Службы WSUS Windows Server Update Services
  • Configuration Manager Configuration Manager
  • Настраиваемое при необходимости программное обеспечение с хорошей репутацией в системе Microsoft Intelligent Security Graph (ISG). Optionally, software with a good reputation as determined by the Microsoft Intelligent Security Graph (ISG). ISG включает в себя SmartScreen Защитника Windows и другие службы Майкрософт. The ISG includes Windows Defender SmartScreen and other Microsoft services. Чтобы это программное обеспечение считалось надежным, на устройстве должно выполняться средство SmartScreen Защитника Windows и Windows 10 версии 1709. The device must be running Windows Defender SmartScreen and Windows 10 version 1709 or later for this software to be trusted.

В этот список не входят программы, кроме встроенных в Windows, которые автоматические обновляются через Интернет, а также любые обновления стороннего программного обеспечения, которые устанавливаются с использованием указанных выше механизмов или через Интернет. These items do not include any software that is not built-into Windows that automatically updates from the internet or third-party software updates whether they are installed via any of the update mechanisms mentioned previously, or from the internet. Разрешено выполнение только таких изменений программного обеспечения, которые разворачиваются с использованием клиента Configuration Manager. Only software changes that are deployed though the Configuration Manager client can run.

Перед началом работы Before you start

Перед настройкой и развертыванием политик управления приложениями в Защитнике Windows обратите внимание на следующие аспекты: Before you configure or deploy Windows Defender Application Control policies, read the following information:

• Управление Device Guard — это функция предварительной версии для Configuration Manager, которая подлежит изменению. Device Guard management is a pre-release feature for Configuration Manager, and is subject to change.
• Чтобы использовать Device Guard совместно с Configuration Manager, на управляемом компьютере должна выполняться ОС Windows 10 Корпоративная версии 1703 или более поздней. To use Device Guard with Configuration Manager, PCs you manage must be running the Windows 10 Enterprise version 1703, or later.
• Когда политика будет успешно обработана на клиентском компьютере, на этом клиенте Configuration Manager настраивается в роли управляемого установщика. Once a policy is successfully processed on a client PC, Configuration Manager is configured as a Managed Installer on that client. Все программное обеспечение, развернутое с его помощью после обработки политики, автоматически считается доверенным. Software deployed through it, after the policy processes, is automatically trusted. Программное обеспечение, установленное с помощью Configuration Manager до обработки политики управления приложениями в Защитнике Windows, автоматически не считается надежным. Software installed by Configuration Manager before the Windows Defender Application Control policy processes is not automatically trusted.
• Для успешной обработки политики управления приложениями в Защитнике Windows клиентские компьютеры должны быть подключены к контроллеру домена. Client PCs must have connectivity to their Domain Controller in order for a Windows Defender Application Control policy to be processed successfully.
• Для политик управления приложениями во время развертывания по умолчанию настраивается расписание ежедневного выполнения. The default compliance evaluation schedule for Application Control policies, configurable during deployment, is every one day. Если возникают проблемы с обработкой политики, возможно, стоит настроить более короткий интервал для проверки соответствия, например каждый час. If issues in policy processing are observed, it may be beneficial to configure the compliance evaluation schedule to be shorter, for example every hour. Это расписание определяет, как часто клиент пытается повторно обработать политику управления приложениями в Защитнике Windows, если попытка завершается сбоем. This schedule dictates how often clients reattempt to process a Windows Defender Application Control policy if a failure occurs.
• Независимо от выбранного режима применения, после развертывания политики управления приложениями в Защитнике Windows клиентские компьютеры не могут выполнять HTML-приложения с расширением HTA. Regardless of the enforcement mode you select, when you deploy a Windows Defender Application Control policy, client PCs cannot run HTML applications with the extension .hta.

Создание политики управления приложениями в Защитнике Windows How to create a Windows Defender Application Control policy

1. В консоли Configuration Manager щелкните элемент Активы и соответствие. In the Configuration Manager console, click Assets and Compliance.
2. В рабочей области Активы и соответствие разверните узел Endpoint Protection и щелкните Управление приложениями в Защитнике Windows. In the Assets and Compliance workspace, expand Endpoint Protection, and then click Windows Defender Application Control.
3. На вкладке Главная в группе Создать щелкните Создать политику управления приложениями. On the Home tab, in the Create group, click Create Application Control policy.
4. На странице Общие в мастере создания политики управления приложениями настройте следующие параметры: On the General page of the Create Application Control policy Wizard, specify the following settings:
   • Имя — уникальное имя для этой политики управления приложениями в Защитнике Windows. Name — Enter a unique name for this Windows Defender Application Control policy.
   • Описание — при необходимости введите описание политики, которое идентифицирует ее в консоли Configuration Manager. Description — Optionally, enter a description for the policy that helps you identify it in the Configuration Manager console.
   • Принудительно перезагружать устройства, чтобы политика могла быть применена ко всем устройствам — когда клиентский компьютер обработает политику, ему будет назначено расписание перезагрузки в соответствии с параметром Перезагрузка компьютера в параметрах клиента. Enforce a restart of devices so that this policy can be enforced for all processes — After the policy is processed on a client PC, a restart is scheduled on the client according to the Client Settings for Computer Restart.
     • Устройства под управлением Windows 10 версии 1703 или более ранней версии всегда автоматически перезапускаются. Devices running Windows 10 version 1703 or earlier will always be automatically restarted.
     • Начиная с Windows 10 версии 1709, к выполняемым на устройстве приложениям новая политика управления приложением не применяется до следующей перезагрузки. Starting with Windows 10 version 1709, applications currently running on the device will not have the new Application Control policy applied to them until after a restart. Но для всех приложений, запущенных после применения политики, будет применена новая политика управления приложения. However, applications launched after the policy applies will honor the new Application Control policy.
   • Режим применения — выберите один из следующих способов принудительного применения Device Guard на клиентских компьютерах. Enforcement Mode — Choose one of the following enforcement methods for Device Guard on the client PC.
     • Включено принудительное применение — разрешено выполнение только надежных исполняемых файлов. Enforcement Enabled — Only allow trusted executables are allowed to run.
     • Только аудит — разрешено выполнение всех исполняемых файлов, но ведется регистрация выполняющихся ненадежных программ в журнале событий локального клиента. Audit Only — Allow all executables to run, but log untrusted executables that run in the local client event log.
5. На вкладке Включения в мастере создания политики управления приложениями выберите, нужно ли авторизовать программное обеспечение, которому доверяет Intelligent Security Graph. On the Inclusions tab of the Create Application Control policy Wizard, choose if you want to Authorize software that is trusted by the Intelligent Security Graph.
6. Щелкните Добавить, если вы хотите добавить отношения доверия для определенных файлов или папок на компьютерах. Click Add if you want to add trust for specific files or folders on PCs. В диалоговом окне Добавление доверенного файла или папки вы можете указать локальный файл или путь к папке, для которых следует настроить отношение доверия. In the Add Trusted File or Folder dialog box, you can specify a local file or a folder path to trust. Можно также указать путь к файлу или папке на удаленном устройстве, на подключение к которому у вас есть права. You can also specify a file or folder path on a remote device on which you have permission to connect. Добавив в политику управления приложениями в Защитнике Windows отношение доверия для определенных файлов или папок, вы можете: When you add trust for specific files or folders in a Windows Defender Application Control policy, you can:
   • устранять проблемы, связанные с поведением управляемого установщика; Overcome issues with managed installer behaviors
   • доверять бизнес-приложениям, которые не могут быть развернуты с помощью Configuration Manager; Trust line-of-business apps that cannot be deployed with Configuration Manager
   • доверять приложениям, которые включены в образ развертывания операционной системы. Trust apps that are included in an operating system deployment image.
7. Чтобы завершить работу мастера, щелкните Далее. Click Next, to complete the wizard.

Включение доверенных файлов или папок поддерживается только на клиентских компьютерах под управлением версии 1706 или более поздней версии клиента Configuration Manager. The inclusion of trusted files or folders is only supported on client PCs running version 1706 or later of the Configuration Manager client. Если правила включения содержатся в политике управления приложениями в Защитнике Windows и эта политика развертывается на клиентском компьютере под управлением более ранней версии клиента Configuration Manager, ее будет невозможно применить. If any inclusion rules are included in a Windows Defender Application Control policy and the policy is then deployed to a client PC running an earlier version on the Configuration Manager client, the policy will fail to be applied. Чтобы устранить эту проблему, обновите устаревшие клиенты. Upgrading these older clients will resolve this issue. Политики, которые не содержат правила включения, могут применяться в предыдущих версиях клиента Configuration Manager. Policies that do not include any inclusion rules may still be applied on older versions of the Configuration Manager client.

Развертывание политики управления приложениями в Защитнике Windows How to deploy a Windows Defender Application Control policy

1. В консоли Configuration Manager щелкните элемент Активы и соответствие. In the Configuration Manager console, click Assets and Compliance.
2. В рабочей области Активы и соответствие разверните узел Endpoint Protection и щелкните Управление приложениями в Защитнике Windows. In the Assets and Compliance workspace, expand Endpoint Protection, and then click Windows Defender Application Control.
3. В списке политик выберите политику, которую необходимо развернуть, а затем на вкладке Главная в группе Развертывание щелкните элемент Развертывание политики управления приложениями. From the list of policies, select the one you want to deploy, and then, on the Home tab, in the Deployment group, click Deploy Application Control Policy.
4. В диалоговом окне Развертывание политики управления приложениями выберите коллекцию, в которой нужно развернуть политику. In the Deploy Application Control policy dialog box, select the collection to which you want to deploy the policy. Затем настройте расписание, в соответствии с которым клиенты будут оценивать политику. Then, configure a schedule for when clients evaluate the policy. И наконец укажите, могут ли клиенты оценивать политику вне настроенных периодов обслуживания. Finally, select whether the client can evaluate the policy outside of any configured maintenance windows.
5. По завершении нажмите кнопку ОК, чтобы развернуть политику. When you are finished, click OK to deploy the policy.

Мониторинг политики управления приложениями в Защитнике Windows How to monitor a Windows Defender Application Control policy

В статье Мониторинг параметров соответствия требованиям в System Center Configuration Manager описано, как проверить правильное применение развернутой политики ко всем компьютерам. Use the information in the Monitor compliance settings article to help you monitor that the deployed policy has been applied to all PCs correctly.

Используйте следующий файл журнала на клиентских компьютерах, чтобы наблюдать за обработкой политики управления приложениями в Защитнике Windows: To monitor the processing of a Windows Defender Application Control policy, use the following log file on client PCs:

%WINDIR%CCMLogsDeviceGuardHandler.log %WINDIR%CCMLogsDeviceGuardHandler.log

Чтобы проверить, применяется ли блокировка или аудит к конкретной программе, изучите следующие журналы событий на локальном клиенте. To verify the specific software being blocked or audited, see the following local client event logs:

1. Сведения о блокировке и аудите исполняемых файлов содержатся в журнале Журналы приложений и служб >Microsoft >Windows >Целостность кода >Операционные. For blocking and auditing of executable files, use Applications and Services Logs >Microsoft >Windows >Code Integrity >Operational.
2. Сведения о блокировке и аудите установщика Windows и файлов сценариев содержатся в журнале Журналы приложений и служб >Microsoft >Windows >AppLocker >MSI и сценарий. For blocking and auditing of Windows Installer and script files, use Applications and Services Logs >Microsoft >Windows >AppLocker >MSI and Script.

docs.microsoft.com

• Предыдущая записьЧто делать, если «Мобильный хот-спот» на Windows 10 не работает? Не удается раздать интернет
• Следующая записьПочему не меняется разрешение экрана в Windows 10 выше 1024 x 768