Come modificare le impostazioni di Exploit Protection di Windows Defender

La protezione dei dati è diventata una pratica di base in un’epoca in cui la maggior parte delle informazioni è ormai digitalizzata. Un sistema è esposto alle minacce solo se non è protetto dai rischi, con conseguente perdita, furto o compromissione dei dati. La buona notizia è che la maggior parte dei principali sistemi operativi, come Windows, include caratteristiche di sicurezza integrate che aiutano a proteggere i dati.

Nel caso specifico di Windows, le impostazioni di Exploit Protection di Windows Defender impediscono agli exploit di essere eseguiti con successo sul tuo dispositivo. In questo articolo analizziamo questa caratteristica, le sue configurazioni, i casi d’uso di Exploit Protection di Windows Defender e molto altro.

Panoramica di Exploit Protection di Windows Defender

Che cos’è Exploit Protection di Windows Defender

Exploit Protection di Windows Defender è una caratteristica integrata nel sistema operativo Windows, pensata per ridurre le vulnerabilità e proteggere i dispositivi da minacce alla sicurezza dannose e da attacchi sofisticati. Questa caratteristica applica tecniche avanzate di riduzione degli exploit, aggiungendo un ulteriore livello di protezione per difendersi dal malware e dai cyberattacchi che sfruttano le vulnerabilità del software.

Perché Exploit Protection di Windows Defender è importante

Exploit Protection di Windows Defender svolge un ruolo fondamentale nella riduzione delle vulnerabilità. Configurare queste caratteristiche può essere necessario per:

• Aumentare la protezione in ambienti ad alto rischio.
• Risolvere problemi di compatibilità con applicazioni specifiche.
• Personalizzare le configurazioni di sicurezza in base a requisiti enterprise.

Il ruolo di Exploit Protection di Windows Defender nell’ecosistema di sicurezza di Windows

Exploit Protection completa le soluzioni antivirus e firewall, affrontando le minacce che sfruttano le vulnerabilità invece di basarsi unicamente su file dannosi. È fondamentale per:

• Difendersi dalle vulnerabilità zero-day.
• Proteggere gli asset di valore negli ambienti aziendali.

Come accedere alle impostazioni di Exploit Protection di Windows Defender

Puoi accedere alle impostazioni di Exploit Protection di Windows Defender tramite l’app Sicurezza di Windows e, per gli utenti esperti, tramite Criteri di gruppo o PowerShell. Ecco come procedere:

A. Tramite l’app Sicurezza di Windows

1. Apri Impostazioni e vai su Aggiornamento e sicurezza > Sicurezza di Windows.
2. Seleziona Controllo app e browser.
3. Nella sezione “Exploit protection”, fai clic su Impostazioni di Exploit protection.

B. Tramite Criteri di gruppo o PowerShell

1. Tramite Criteri di gruppo:

• • Apri la Console Gestione Criteri di gruppo (GPMC) premendo Win + R. Digita gpmc.msc e premi Invio.
  • Nella finestra Gestione Criteri di gruppo, individua l’oggetto Criteri di gruppo (GPO) che vuoi modificare oppure creane uno nuovo facendo clic con il pulsante destro su Oggetti Criteri di gruppo e selezionando Nuovo. Assegna un nome al nuovo GPO e fai clic su OK.
  • Fai clic con il pulsante destro sul GPO appena creato e seleziona Modifica.
  • Nella finestra dell’Editor Gestione Criteri di gruppo, vai su:
    • Configurazione del computer > Modelli amministrativi > Componenti di Windows > Windows Defender Exploit Guard > Exploit Protection.
  • Da qui puoi visualizzare e configurare le impostazioni di Exploit Protection.

2. Tramite PowerShell:

• • Apri PowerShell come amministratore facendo clic con il pulsante destro sul menu Start e selezionando Windows PowerShell (amministratore).
  • Per visualizzare le impostazioni correnti di exploit protection di un processo, usa il comando seguente:
    • Get-ProcessMitigation -Name <process_name>
    • Sostituisci <process_name> con il processo desiderato (ad esempio notepad).
  • Per visualizzare le impostazioni globali di exploit protection, usa il comando seguente:
    • Get-MpPreference
    • NOTA: Il comando Get-MpPreference serve a visualizzare le preferenze di Microsoft Defender Antivirus. Pur offrendo una panoramica della configurazione complessiva di Defender, non è direttamente collegato alla visualizzazione o alla gestione delle impostazioni dettagliate di Exploit Protection. Per configurazioni dettagliate di riduzione degli exploit, usa l’Interfaccia Utente di Sicurezza di Windows o altri strumenti dedicati.
  • Per configurare le impostazioni globali di exploit protection, usa il cmdlet Get-MpPreference per visualizzare le impostazioni correnti:
    • Get-MpPreference

Come modificare le impostazioni di Exploit Protection

Tramite le impostazioni di Sicurezza di Windows

A. Personalizzare le impostazioni di sistema per Exploit Protection

1. Accedi alle impostazioni di Exploit Protection

• • Apri Sicurezza di Windows.
  • Fai clic sull’icona Controllo app e browser.
  • Scorri fino in fondo e fai clic sul collegamento Impostazioni di Exploit protection.

2. Modifica le impostazioni di sistema

• • Nella scheda Impostazioni di sistema, modifica ciascuna impostazione di protezione in base alle tue esigenze.
    • Alcuni esempi di impostazioni sono DEP, CFG e allocazione casuale della memoria.
  • Dopo aver apportato le modifiche, fai clic su Applica.
  • Alcune modifiche possono richiedere il riavvio del computer.

3. Salva ed esci

• • Al termine, chiudi la finestra di Sicurezza di Windows.

B. Aggiungere programmi con impostazioni personalizzate

1. Aggiungi un programma a Exploit Protection

• • Apri Sicurezza di Windows e vai all’icona Controllo app e browser.
  • Fai clic sul collegamento Impostazioni di Exploit protection.
  • In Impostazioni del programma, fai clic su Aggiungi programma da personalizzare e scegli Scegli il percorso esatto del file.
  • Individua il file .exe del programma (ad esempio notepad.exe) e selezionalo.

2. Personalizza le impostazioni del programma

• • Seleziona dall’elenco il programma aggiunto.
  • Fai clic su Modifica e adatta le impostazioni disponibili alle tue esigenze.
  • Fai clic su Applica per salvare le modifiche.

C. Rimuovere un programma da Exploit Protection

1. Accedi alle impostazioni del programma

• • Apri Sicurezza di Windows e vai all’icona Controllo app e browser.
  • Fai clic su Impostazioni di Exploit protection e passa alla scheda Impostazioni del programma.

2. Rimuovi un programma

• • Seleziona il programma che vuoi rimuovere.
  • Fai clic su Rimuovi e conferma facendo clic su Sì alla richiesta.

D. Personalizzare le impostazioni di programmi specifici

1. Accedi alle impostazioni di un programma specifico

• • Apri Sicurezza di Windows e fai clic sull’icona Controllo app e browser.
  • Fai clic su Impostazioni di Exploit protection e vai su Impostazioni del programma.

2. Modifica le impostazioni del programma

• • Seleziona un programma dall’elenco e fai clic su Modifica.
  • Personalizza le singole impostazioni come DEP, CFG o ASLR in base alle tue esigenze di sicurezza.
  • Fai clic su Applica per salvare le modifiche.

Tramite i comandi PowerShell

Puoi gestire le impostazioni di Exploit Protection di Windows Defender anche con PowerShell. Tieni però presente che non tutte le impostazioni sono disponibili direttamente tramite comandi PowerShell. Le opzioni accessibili da PowerShell sono più limitate rispetto a quelle dell’interfaccia grafica di Sicurezza di Windows. Ecco quali impostazioni puoi gestire con PowerShell e quali no.

A. Personalizzare le impostazioni di sistema di Exploit Protection con PowerShell

1. Accedi alle impostazioni di Exploit Protection

• • PowerShell non avvia direttamente l’Interfaccia Utente di Sicurezza di Windows, ma consente di modificare alcune impostazioni tramite cmdlet.
  • Per accedere alle impostazioni di Exploit Protection e modificarle, usa il cmdlet Set-MpPreference per regolare alcune impostazioni a livello di sistema. Ad esempio, per abilitare o disabilitare determinate protezioni, come Data Execution Prevention (DEP), puoi usare comandi specifici. (NOTA: questi comandi non offrono il controllo dettagliato disponibile nell’Interfaccia Utente di Sicurezza di Windows, ma modificano le impostazioni di sicurezza di base.)
    • Set-MpPreference -EnableControlledFolderAccess Disabled # Disable Controlled Folder Access
    • Set-MpPreference -DisableIntrusionPreventionSystem $true # Disable Intrusion Prevention

2. Modifica le impostazioni di sistema

• • Per abilitare o disabilitare riduzioni come DEP, Control Flow Guard (CFG) o l’allocazione casuale della memoria, PowerShell può essere utilizzato per alcuni aspetti.
    • Esempio per disabilitare Data Execution Prevention (DEP):

bcdedit /set nx AlwaysOff

• • • Esempio per abilitare DEP:

bcdedit /set nx AlwaysOn

NOTA: non esiste un comando PowerShell diretto per attivare o disattivare ogni singola impostazione presente in Impostazioni di sistema di Exploit Protection nell’Interfaccia Utente (ad esempio CFG o ASLR). Per chi ha poca dimestichezza, l’Interfaccia Utente resta l’approccio più semplice.

B. Rimuovere un programma da Exploit Protection con PowerShell

1. Aggiungi un programma a Exploit Protection

• • PowerShell non dispone di un cmdlet specifico per aggiungere direttamente un’applicazione all’elenco Impostazioni del programma di Exploit Protection. Puoi però usare i cmdlet di Windows Defender per configurare impostazioni più generali per le applicazioni.

2. Personalizza le impostazioni del programma con PowerShell

• • Anche in questo caso, PowerShell non offre un controllo granulare sulle impostazioni dei singoli programmi in Exploit Protection. Personalizzazioni come l’abilitazione di DEP per un programma specifico si effettuano in genere tramite l’Interfaccia Utente.
  • Se però devi modificare impostazioni a livello di sistema per determinate categorie di applicazioni (ad esempio bloccare tutti gli script), puoi usare PowerShell eseguendo il comando seguente:
    • Set-MpPreference -ThreatsAllowed "Script" # For example, blocking scripts

NOTA: i comandi Set-MpPreference, come Set-MpPreference -EnableControlledFolderAccess Disabled, controllano impostazioni relative alla caratteristica Accesso alle cartelle controllato di Microsoft Defender, non a Exploit Protection. Accesso alle cartelle controllato è una caratteristica di sicurezza distinta che protegge cartelle specifiche da accessi non autorizzati, mentre Exploit Protection si concentra sulla riduzione delle vulnerabilità a livello di processo e di sistema. Fai attenzione a non confondere queste due caratteristiche quando modifichi le configurazioni di sicurezza.

Non esiste un comando PowerShell diretto per rimuovere un programma dalle impostazioni del programma di Exploit Protection. Devi rimuovere manualmente i programmi dall’elenco tramite l’Interfaccia Utente di Sicurezza di Windows. Allo stesso modo, PowerShell non è lo strumento ideale per personalizzare direttamente le impostazioni di Exploit Protection di singoli programmi, ma può essere usato per disabilitare globalmente determinate protezioni (come ASLR) tramite modifiche al registro di sistema o cmdlet Set-MpPreference per un controllo più generale.

💡Se vuoi esportare o importare le tue impostazioni di Exploit Protection, leggi “Come esportare e importare le impostazioni di Exploit Protection di Microsoft Defender in Windows”.

Best practice per modificare le impostazioni di Exploit Protection

Modificare le impostazioni di Exploit Protection è un’operazione delicata. Per questo deve essere gestita da amministratori IT che sanno come eseguirla. Oltre a questo, è bene seguire alcune best practice consigliate per la modifica di queste impostazioni.

• Testa le modifiche prima di applicarle a tutti i sistemi. Testare le modifiche apportate alle impostazioni di Exploit Protection permette di verificare che nessun cambiamento influisca sul sistema o crei problemi al funzionamento delle applicazioni. Prima di implementare le modifiche sull’intera rete o sui sistemi gestiti, provale accuratamente su un singolo programma oppure su una virtual machine.
• Documenta le modifiche. Come amministratore IT, sai quanto sia importante tenere traccia delle configurazioni applicate nelle impostazioni di Exploit Protection. La documentazione dovrebbe includere dettagli come la data, le motivazioni e gli eventuali programmi o sistemi coinvolti. In questo modo avrai informazioni complete da usare in seguito per la risoluzione dei problemi, come riferimento in fase di audit per i requisiti di conformità o per replicare e annullare le impostazioni.
• Applica le impostazioni consigliate. Anche se configurazioni personalizzate possono essere necessarie per adattarsi ad applicazioni o ambienti specifici, è sempre meglio partire dalle impostazioni predefinite consigliate da Microsoft. Questi valori predefiniti sono pensati per offrire un livello di sicurezza equilibrato garantendo al tempo stesso la massima compatibilità con sistemi e applicazioni diversi.
• Riavvia quando necessario. Alcune modifiche apportate alle impostazioni di Exploit Protection diventano effettive solo dopo il riavvio dei programmi interessati o del sistema. Il riavvio garantisce che le modifiche vengano applicate correttamente e che le impostazioni in memoria vengano reimpostate, soprattutto per le configurazioni che agiscono a livello di sistema o quando la protezione viene aggiunta o rimossa per programmi specifici. Inoltre, comunica sempre agli utenti finali la necessità di un riavvio se questo incide sul loro flusso di lavoro, e pianifica i tempi di inattività per evitare interruzioni.

Casi d’uso comuni per la modifica delle impostazioni di Exploit Protection

1. Sicurezza rafforzata

Impostazioni di exploit protection rigorose possono essere utili alle organizzazioni che trattano dati sensibili o che sono particolarmente esposte alle minacce informatiche. Questi ambienti ad alto rischio possono sfruttare riduzioni avanzate come Control Flow Guard (CFG) e Address Space Layout Randomization (ASLR), che aiutano a contenere gli exploit più diffusi impedendo agli aggressori di prevedere le posizioni in memoria o di prendere il controllo dell’esecuzione dei programmi. Abilitando queste protezioni in modo generalizzato, aggiungi un ulteriore livello di sicurezza contro minacce di vario tipo.

2. Problemi di compatibilità

I problemi di compatibilità possono emergere quando alcune applicazioni non funzionano correttamente con le impostazioni predefinite di Exploit Protection. Questo accade in genere quando determinate riduzioni non interagiscono correttamente con il loro codice. In questi casi può essere necessario disabilitare restrizioni specifiche per permettere al software interessato di funzionare senza problemi. Gli amministratori IT dovrebbero comprendere le implicazioni dell’abilitazione di ciascuna impostazione, così da adattare le protezioni alle esigenze dei singoli programmi senza compromettere la sicurezza complessiva del sistema.

Risoluzione dei problemi

Gli amministratori IT possono incontrare problemi o dubbi quando modificano le impostazioni di Exploit Protection di Windows Defender. Ecco i problemi più comuni, come risolverli e alcune delle domande più frequenti.

Problemi comuni e risoluzione

1. I programmi hanno smesso di funzionare correttamente dopo le modifiche. Come indicato sopra, i problemi di compatibilità possono verificarsi quando c’è un conflitto tra il codice dell’applicazione e le protezioni di sicurezza attive, con il risultato che le applicazioni non funzionano correttamente. Ecco cosa puoi fare:

• Ripristina le impostazioni predefinite per i programmi interessati oppure modifica le impostazioni di compatibilità per permetterne il corretto funzionamento. Questo ti aiuta a capire quali impostazioni stanno causando il malfunzionamento dei programmi dopo la configurazione. Inoltre, aiuta a bilanciare impostazioni di protezione, sicurezza e funzionalità delle applicazioni, evitando interruzioni.

2. Le prestazioni del sistema sono peggiorate. A volte puoi notare un calo significativo delle prestazioni del sistema dopo aver modificato le impostazioni di Exploit Protection. Questo può derivare da un maggiore consumo di risorse dovuto alle caratteristiche di sicurezza che hai attivato. Ecco cosa puoi fare:

• Individua quali programmi o impostazioni di protezione causano il rallentamento. Modificali o disabilitali temporaneamente.
• Testa l’impostazione in modo isolato per capire quale configurazione è responsabile dei problemi di prestazioni.
• Se necessario, affina le impostazioni per bilanciare sicurezza e prestazioni del sistema.

3. La protezione non è uniforme tra le applicazioni. Usando Exploit Protection, gli utenti possono notare che alcune applicazioni restano esposte a vulnerabilità e non risultano quindi del tutto protette. Questo può dipendere da configurazioni errate o da esclusioni, intenzionali o meno. Il problema può verificarsi se un programma non è stato aggiunto correttamente all’elenco delle impostazioni personalizzate o se i profili di protezione non vengono applicati in modo uniforme. Ecco cosa puoi fare:

• Controlla con attenzione tutti i programmi necessari e verifica che siano stati aggiunti correttamente all’elenco.
• Verifica che le impostazioni siano applicate in modo coerente su tutto il software interessato.

Blocca i percorsi di attacco più comuni prima che vengano sfruttati. Leggi Impostazioni di Exploit Protection di Windows Defender per rafforzare la sicurezza degli endpoint.

Migliorare il livello di sicurezza con le impostazioni di Exploit Protection

Exploit Protection di Windows Defender è un componente fondamentale di qualsiasi strategia di sicurezza solida per i sistemi Windows. Configurare correttamente le impostazioni di Exploit Protection aiuta organizzazioni e singoli utenti a rafforzare le difese contro i cyberattacchi più sofisticati. I passaggi descritti sopra ti permettono di comprendere e gestire le impostazioni di Exploit Protection e di intervenire per migliorare il livello di sicurezza del tuo sistema.

Argomenti correlati:

• Come configurare Microsoft Defender for Business negli ambienti MSP
• Come nascondere o mostrare la pagina Protezione da virus e minacce in Sicurezza di Windows
• Come esportare e importare le impostazioni di Exploit Protection di Microsoft Defender in Windows