Come configurare Device Guard e le policy di controllo delle applicazioni tramite Intune per le PMI

Device Guard e Windows Defender Application Control (WDAC) sono tecnologie di sicurezza di livello enterprise che applicano un modello Zero Trust in cui possono essere eseguite solo le applicazioni autorizzate. Per le piccole e medie imprese (PMI), distribuire queste funzionalità tramite Intune significa disporre di una soluzione scalabile e gestita nel cloud per l’hardening degli endpoint contro i movimenti laterali e le minacce legate allo shadow IT.

Questa guida illustra nel dettaglio come configurare le policy di controllo delle applicazioni e Device Guard in Intune: dai componenti da conoscere alle strategie di distribuzione, fino alle tecniche di verifica.

Per una rapida panoramica visiva, guarda la nostra video guida: Come configurare Device Guard e le policy di controllo delle applicazioni tramite Intune per le PMI

Come configurare Device Guard e le policy di controllo delle applicazioni tramite Intune

Ecco i requisiti necessari per configurare Device Guard e le policy di controllo delle applicazioni tramite Intune:

📌 Prerequisiti generali:

• Microsoft Intune (Microsoft Endpoint Manager)
• Windows 10/11 nelle edizioni Pro, Enterprise o Education
• Hardware compatibile con Device Guard e WDAC (UEFI, estensioni di virtualizzazione)
• Accesso amministrativo agli endpoint e al portale Intune
• Facoltativo: accesso a NinjaOne RMM per il monitoraggio e l’applicazione supplementare delle policy

Passaggio 1: conoscere i componenti di Device Guard e WDAC

Prima di configurare qualsiasi cosa, è fondamentale capire cosa sono Device Guard e WDAC e come collaborano per mantenere sicuri i tuoi sistemi:

Che cos’è Device Guard in Intune?

Device Guard è un insieme di tecnologie di sicurezza integrate in Windows che blocca i dispositivi in modo che possano eseguire solo applicazioni attendibili. Riunisce diversi componenti potenti sotto un unico nome:

• Credential Guard – Protegge le credenziali dagli attacchi tramite la sicurezza basata su virtualizzazione (VBS).
• Integrità del codice (CI) – Garantisce che venga eseguito solo codice firmato e attendibile.
• Controllo delle applicazioni (WDAC) – Definisce quali app, eseguibili, script e DLL possono essere eseguiti sul dispositivo.

Insieme, queste tecnologie applicano un modello di esecuzione Zero Trust, in cui nulla viene eseguito se non è esplicitamente consentito.

Come vengono configurate le policy?

Le policy di Device Guard e WDAC si configurano tramite XML o Configuration Service Provider (CSP) e si applicano con Intune oppure tramite script locali.

Passaggio 2: scegliere un metodo di distribuzione

Una volta chiari i concetti di base, è il momento di scegliere un metodo di distribuzione in linea con la tua infrastruttura (gestita con Intune, AD on-premise o ibrida).

Metodo A: creare una policy WDAC con PowerShell

Questo metodo ti dà il pieno controllo su ciò che può essere eseguito, sulla base di quanto è già presente nel sistema di riferimento.

📌 Casi d’uso:

• Vuoi un elenco di app consentite personalizzato per ambienti ad alta sicurezza
• Stai testando WDAC su un gruppo limitato di dispositivi

📌 Prerequisiti:

• Devi eseguire PowerShell come amministratore
• PowerShell 5.1+ per la creazione della policy locale

Passo dopo passo:

1. Premi Win + S e cerca PowerShell.
2. Fai clic con il pulsante destro su Windows PowerShell nei risultati e seleziona Esegui come amministratore. (Vedi il punto 2 in ⚠️ Aspetti a cui prestare attenzione.)
3. Crea una policy WDAC predefinita (modalità audit):

$policyPath = "C:\Policies\WDAC_Policy.xml"
New-CIPolicy -Level Publisher -Fallback Hash -FilePath $policyPath -UserPEs

4. Converti l’XML in formato binario:

ConvertFrom-CIPolicy -XmlFilePath $policyPath -BinaryFilePath "C:\Policies\WDAC_Policy.bin"

5. Facoltativo: abilita solo la modalità audit: (Vedi il punto 1 in ⚠️ Aspetti a cui prestare attenzione.)

Set-RuleOption -FilePath $policyPath -Option 3 # 3 = Audit Mode

Ora puoi utilizzare questa policy in Intune come configurazione OMA-URI personalizzata, oppure distribuirla manualmente sulle macchine di test.

Metodo B: distribuire Device Guard/WDAC tramite Intune

Questo metodo utilizza la sezione Sicurezza degli endpoint di Intune per creare e distribuire le regole WDAC. È il modo più scalabile per distribuire le policy WDAC su più dispositivi.

📌 Casi d’uso: ideale per PMI e grandi aziende con approccio cloud-first

📌 Prerequisiti:

• I dispositivi devono essere aggiunti ad Azure AD o Hybrid AAD e registrati in Intune
• Licenze adeguate per Intune (Microsoft 365 Business Premium, E3+, ecc.)

Passo dopo passo:

1. Vai a Microsoft Intune Admin Center > Sicurezza degli endpoint > Riduzione della superficie di attacco > Crea policy.
2. Scegli piattaforma e profilo:
   • Piattaforma: Windows 10 e versioni successive
   • Profilo: Windows Defender Application Control
3. Configura la policy:
   • Inizia con la modalità audit. In questo modo le attività bloccate verranno registrate nei log senza essere effettivamente bloccate. (Vedi il punto 1 in ⚠️ Aspetti a cui prestare attenzione.)
   • Applica le regole dopo i test (solo app Microsoft firmate e componenti di Windows).
   • Abilita l’integrazione con Intelligent Security Graph.
4. Assegna la policy a un gruppo di test o a un sottoinsieme di endpoint. (Vedi il punto 3 in ⚠️ Aspetti a cui prestare attenzione.)
5. Una volta completata la verifica, passa alla modalità di applicazione. A questo punto verranno eseguite solo le app attendibili e quelle non attendibili saranno bloccate.

Metodo C: applicare le policy tramite Criteri di gruppo (facoltativo/ibrido)

Questo metodo è indicato per ambienti ibridi o AD on-premise in cui Intune non è pienamente in uso oppure i Criteri di gruppo restano il principale meccanismo di configurazione.

📌 Casi d’uso: ideale per le organizzazioni in transizione dall’on-premise al cloud.

📌 Prerequisiti: i dispositivi devono essere aggiunti ad AD (on-premise o ibrido)

Passo dopo passo:

1. Premi Win + R, digita gpedit.msc e premi Invio per aprire l’Editor Criteri di gruppo.
2. Vai a:

Configurazione del computer > Modelli amministrativi > Sistema > Device Guard

3. Abilita:
   • Attiva la sicurezza basata su virtualizzazione
   • Attiva Credential Guard
   • Distribuisci Windows Defender Application Control

Usa i GPO per i dispositivi aggiunti al dominio on-premise o ibrido quando Intune non è disponibile.

Passaggio 3: verificare il controllo delle applicazioni con PowerShell e i log eventi

Dopo la distribuzione, conferma che la policy sia attiva e funzionante.

📌 Casi d’uso: utile per conformità e audit o per evitare interruzioni del servizio causate da falsi positivi.

📌 Prerequisiti: PowerShell 5.1+ per la verifica della policy locale

Verifica con PowerShell

1. Apri PowerShell.
2. Esegui il comando seguente per confermare lo stato di WDAC:

Get-CIPolicy | Format-List

3. Controlla i log di audit: (Vedi il punto 4 in ⚠️ Aspetti a cui prestare attenzione.)

Get-WinEvent -LogName "Microsoft-Windows-CodeIntegrity/Operational" | Format-Table TimeCreated, Id, Message -AutoSize

4. Verifica Credential Guard:

Get-CimInstance -ClassName Win32_DeviceGuard

L’output dovrebbe mostrare VirtualizationBasedSecurityStatus = 2 per indicare lo stato attivo.

Verifica con il Visualizzatore eventi

1. Premi Win + R, digita eventvwr.msc e premi Invio per aprire il Visualizzatore eventi.
2. Vai a Registri applicazioni e servizi > Microsoft > CodeIntegrity > Operational.
3. Cerca:
   • ID evento 3033 – Policy WDAC caricata correttamente
   • ID evento 3076 – App bloccata da WDAC (modalità di applicazione)
   • ID evento 3099 – L’app sarebbe stata bloccata (modalità audit)

Questi eventi confermano se la policy WDAC è stata applicata correttamente e se le app sono state bloccate o lo sarebbero state.

Passaggio 4: usare il Registro di sistema per confermare o applicare le impostazioni

Questo metodo distribuisce le policy WDAC ai dispositivi e verifica se Device Guard, Credential Guard o VBS sono abilitati.

📌 Casi d’uso: utile se stai verificando l’applicazione delle impostazioni dopo la distribuzione.

📌 Prerequisiti:

• Sono necessari privilegi di amministratore (Vedi il punto 2 in ⚠️ Aspetti a cui prestare attenzione.)
• Impostazioni di Device Guard distribuite (tramite GPO o Intune)

⚠️ Avviso: la modifica del Registro di sistema può causare problemi al sistema. Crea un backup prima di procedere.

Passo dopo passo:

1. Premi Win + R, digita regedit e premi Invio per aprire l’Editor del Registro di sistema.
2. Vai alle chiavi di registro di WDAC e Device Guard:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\DeviceGuard

• • EnableVirtualizationBasedSecurity (DWORD) = 1
  • RequirePlatformSecurityFeatures (DWORD) = 1

3. Verifica nel registro per Credential Guard:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa

• • LsaCfgFlags (DWORD) = 1

Usa PowerShell o i campi personalizzati di NinjaOne per leggere e creare report su questi valori su larga scala.

⚠️ Aspetti a cui prestare attenzione

Perché Device Guard e WDAC sono importanti per le PMI

Le piccole e medie imprese (PMI) si definiscono generalmente in base al numero di dipendenti e al fatturato. Operano con team più ridotti e meno risorse on-premise rispetto alle grandi aziende, pur affrontando le stesse minacce alla sicurezza. Hanno quindi bisogno di soluzioni poco complesse ma comunque efficaci.

Device Guard e WDAC offrono proprio questo equilibrio alle PMI. Ecco i vantaggi:

• Intune riduce il carico amministrativo semplificando distribuzione e monitoraggio.
• Con la gestione cloud-first, le policy vengono distribuite e applicate senza dipendere dall’infrastruttura on-premise.
• La maggiore sicurezza degli endpoint deriva dalla capacità di WDAC di bloccare le applicazioni non attendibili o dannose.
• Intune e WDAC offrono una protezione di livello enterprise su larga scala, con controlli di sicurezza applicati in modo coerente su tutti i dispositivi.
• Il controllo delle applicazioni riduce la superficie di attacco limitando i punti di ingresso per le minacce e i movimenti laterali.

Considerazioni aggiuntive

Ecco i punti chiave da tenere presenti quando distribuisci Windows Defender Application Control (WDAC):

Prima i test in modalità audit

Prima di applicare WDAC in produzione, inizia con i test in modalità audit. Questa modalità registra nei log le applicazioni che sarebbero state bloccate senza impedirne effettivamente l’esecuzione, permettendoti di valutare in sicurezza l’impatto della tua policy.

Firma della policy

In alcuni ambienti, le policy WDAC devono essere firmate digitalmente con un certificato di code signing per poter essere applicate con Secure Boot. Le policy firmate garantiscono integrità e affidabilità, mentre quelle non firmate possono essere ignorate o funzionare solo in modalità audit.

Compatibilità con gli aggiornamenti

Ogni aggiornamento di Windows può introdurre nuovi file di sistema o driver, oppure modificare quelli esistenti, che WDAC potrebbe bloccare involontariamente. Verifica sempre la tua policy dopo gli aggiornamenti importanti. Puoi anche passare temporaneamente alla modalità audit dopo l’aggiornamento per registrare eventuali nuovi blocchi e individuare i file che richiedono eccezioni.

Gestione delle eccezioni

Le PMI si affidano spesso a strumenti di terze parti, script o agenti di automazione che potrebbero non essere firmati e quindi essere bloccati da WDAC. In questo caso, usa regole di autorizzazione basate su percorso del file, hash o publisher.

💡 Suggerimento: mantieni un elenco degli strumenti attendibili da inserire nell’elenco delle eccezioni e rivedi e aggiorna regolarmente le regole per evitare interruzioni.

Risoluzione dei problemi

Di seguito trovi i problemi più comuni nella configurazione di WDAC e come risolverli:

App bloccate

Le app bloccate indicano che WDAC funziona correttamente, impedendo l’esecuzione di un’applicazione che non corrisponde all’elenco di quelle consentite. In questo caso, controlla i log CodeIntegrity per individuare gli hash degli eseguibili:

1. Premi Win + R, digita eventvwr.msc e premi Invio per aprire il Visualizzatore eventi.
2. Vai a:

Registri applicazioni e servizi > Microsoft > Windows > CodeIntegrity > Operational

3. Cerca l’ID evento 3076 e l’ID evento 3099 per vedere gli eseguibili bloccati e i relativi hash.
4. Usa l’hash o il percorso del file riportato nell’evento per creare una regola di eccezione.

La policy non viene applicata

Se un dispositivo non riceve o non applica la policy, ecco cosa puoi fare:

• Forza una sincronizzazione sull’endpoint:

1. 1. Apri Impostazioni (Win + I) > Account > Accedi all’account aziendale o dell’istituto di istruzione > Info > Sincronizza

• Verifica lo stato di distribuzione della policy in Intune:

1. 1. Vai a Microsoft Intune Admin Center > Dispositivi > [Nome dispositivo] > Configurazione del dispositivo
   2. Controlla lo stato della policy (In attesa, Riuscita o Non riuscita)

• Verifica la destinazione:

Conferma che il dispositivo faccia parte del gruppo assegnato corretto e che la policy si applichi ai dispositivi e non solo agli utenti.

Credential Guard non funziona

Ricorda che Credential Guard richiede determinate funzionalità hardware, tra cui il supporto alla virtualizzazione e Secure Boot. Ecco come verificare se sono supportate sul dispositivo:

1. Riavvia il sistema nel BIOS/UEFI e verifica che:
   • Secure Boot sia abilitato
   • Il supporto alla virtualizzazione sia attivo

Il registro non si aggiorna

Se le modifiche al registro non vengono applicate, ecco cosa puoi fare:

• Assicurati che script e query vengano eseguiti con privilegi di amministratore.
• Verifica che il percorso e le chiavi di registro esistano:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\DeviceGuard
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa

Servizi NinjaOne

NinjaOne supporta la distribuzione sicura delle policy di Device Guard e WDAC nei modi seguenti:

Con NinjaOne, gli MSP possono estendere e monitorare le funzionalità di hardening della sicurezza Microsoft su tutti i clienti con un impegno minimo.

Configura Device Guard e WDAC per le PMI e rafforza la sicurezza degli endpoint e il controllo delle applicazioni

Device Guard e Windows Defender Application Control (WDAC) sono strumenti potenti per proteggere gli endpoint delle PMI limitando le app e gli script che possono essere eseguiti. Questa guida ha esaminato i componenti principali e i vantaggi di entrambe le soluzioni, con particolare attenzione a come supportano un’esecuzione zero-trust.

Ha inoltre fornito indicazioni dettagliate su come distribuire, controllare e applicare le policy con Microsoft Intune, insieme ai metodi basati su PowerShell, registro di sistema, CMD e GPO per i test e la conformità. Infine, la guida ha mostrato come NinjaOne aiuta a scalare e verificare la distribuzione delle policy sui vari clienti, per una maggiore sicurezza degli endpoint e un migliore controllo complessivo delle applicazioni.

Argomenti correlati:

• Come verificare se Device Guard è abilitato o disabilitato in Windows
• Come verificare se Credential Guard è abilitato o disabilitato in Windows
• Come aggirare il messaggio “Questa app è stata bloccata per proteggere l’utente” in Windows 10