Punti chiave
- Che cos’è Device Guard? Device Guard è un insieme di funzionalità di sicurezza enterprise di Windows che blocca le app non autorizzate e applica l’integrità del codice tramite la sicurezza basata sulla virtualizzazione (VBS) e l’integrità del codice imposta dall’hypervisor (HVCI).
- Disponibilità per edizione: Device Guard è supportato solo nelle edizioni Enterprise ed Education di Windows 10/11. Non è disponibile nelle edizioni Home o Pro.
- Device Guard e Windows Defender Application Control (WDAC): Device Guard è un componente di WDAC. Insieme applicano policy rigorose di controllo delle applicazioni e rendono i sistemi più resistenti a malware ed exploit zero-day.
- Come funziona Device Guard: Device Guard usa VBS per isolare le operazioni sensibili e HVCI per garantire che venga eseguito solo codice firmato e attendibile, un aspetto essenziale per proteggere l’infrastruttura enterprise.
- Requisiti hardware e di avvio: Device Guard richiede Secure Boot, il supporto alla virtualizzazione (Intel VT-x/AMD-V) e hardware compatibile (second-level address translation o SLAT).
- Come controllare Device Guard:
- Con Informazioni di sistema (msinfo32): esegui msinfo32 → vai su Riepilogo sistema → controlla la voce Sicurezza basata sulla virtualizzazione di Device Guard per vedere se è in esecuzione.
- Con PowerShell: usa questo comando: Get-CimInstance -ClassName Win32_DeviceGuard -Namespace root\Microsoft\Windows\DeviceGuard. Mostra le funzionalità di sicurezza configurate e in esecuzione (ad esempio HVCI, Credential Guard).
- Con l’Editor Criteri di gruppo (gpedit.msc): vai su Configurazione del computer > Modelli amministrativi > Sistema > Device Guard. Controlla policy come Attiva sicurezza basata sulla virtualizzazione e Configura HVCI.
- Conferma l’applicazione delle policy con gpupdate e gpresult: esegui gpupdate /force per applicare le modifiche e gpresult /h gpresult.html per verificare l’applicazione delle policy di dominio relative a Device Guard.
Questa guida spiega che cos’è Windows Device Guard, come protegge i dispositivi enterprise e come verificare se è attivo o disattivato. Troverai istruzioni dettagliate per controllare lo stato di Device Guard, indicazioni per la risoluzione dei problemi e le conseguenze di un Device Guard disattivato.
Amplia la visibilità sugli endpoint che gestisci e riduci le minacce potenziali.
Guarda una demo gratuita di NinjaOne Endpoint Management
Che cos’è Device Guard in Windows 10/11?
Device Guard è l’insieme delle funzionalità di sicurezza di Windows pensate per proteggere da malware e altre minacce informatiche negli ambienti enterprise e dell’istruzione, consentendo l’esecuzione solo di applicazioni e codice attendibili e autorizzati. Se utilizzi Windows 10 Pro/Windows 10 Home oppure Windows 11 Pro/Windows 11 Home, Device Guard non è disponibile e non puoi verificare se è attivo sul tuo PC.
Come funziona Windows Device Guard
Windows Device Guard è un componente di Windows Defender Application Control (WDAC) e integra diverse tecnologie di sicurezza per proteggere l’infrastruttura Windows negli ambienti enterprise, sia a livello hardware sia a livello software. Tra queste:
- la sicurezza basata sulla virtualizzazione (VBS), che isola processi e informazioni sensibili dal resto del sistema;
- l’integrità del codice imposta dall’hypervisor (HVCI), che applica le policy di integrità del codice definite dall’utente per garantire che possano essere eseguite solo le applicazioni approvate.
Queste misure migliorano la protezione dal malware e permettono agli amministratori di garantire che nei sistemi del loro ambiente dominio Windows venga eseguito solo il codice da loro autorizzato.
Perché è importante verificare lo stato di Device Guard
Device Guard lavora insieme a Credential Guard per proteggere le reti Windows enterprise dagli attacchi informatici. Infatti, proprio come Credential Guard, l’attivazione di Device Guard richiede il supporto della virtualizzazione hardware e l’attivazione di Secure Boot. A differenza di Credential Guard, però, Device Guard non viene attivato automaticamente sui sistemi che soddisfano i requisiti hardware.
Alcuni componenti utilizzati da Device Guard, come HVCI, possono essere attivati automaticamente se il sistema soddisfa i requisiti. Per questo motivo conviene assicurarsi che le specifiche funzionalità di Device Guard di cui hai bisogno siano effettivamente in esecuzione, una volta configurate per le tue installazioni di Windows.
Prima che Device Guard possa essere attivato completamente, un amministratore deve configurare le policy di integrità del codice, per definire quale codice autorizzato potrà essere eseguito sui dispositivi interessati. Configurare queste policy e attivare Device Guard nel tuo dominio Windows porta due vantaggi principali:
- aiuta a proteggere i sistemi da malware e attacchi informatici, impedendo l’esecuzione di codice dannoso;
- ti dà il controllo su ciò che gli utenti possono fare con le loro macchine, consentendo l’esecuzione delle sole app approvate.
Come verificare lo stato di Device Guard
Puoi usare i metodi elencati di seguito per controllare lo stato di Device Guard su un PC con Windows Enterprise:
Controllare Device Guard con Informazioni di sistema di Windows (msinfo32)
Per verificare lo stato di Device Guard con lo strumento Informazioni di sistema di Windows, segui questi passaggi:
- Fai clic con il pulsante destro sul pulsante Start e seleziona Esegui
- Digita msinfo32 nella finestra Esegui e fai clic su OK
- Nel riquadro di navigazione a sinistra, fai clic su Riepilogo sistema
- Nel riquadro di destra, scorri fino a Sicurezza basata sulla virtualizzazione di Device Guard
- Se Device Guard è attivo, risulterà In esecuzione
Oltre alla voce che mostra lo stato di Device Guard, sono presenti alcune voci con informazioni specifiche sulle proprietà e sui servizi di Device Guard, oltre all’indicazione se siano disponibili o in esecuzione sul tuo sistema.
Verificare Device Guard con i comandi PowerShell
Il cmdlet PowerShell Get-CimInstance permette di controllare lo stato di Device Guard eseguendo questo comando in un prompt PowerShell con privilegi amministrativi:
Get-CimInstance –ClassName Win32_DeviceGuard –Namespace root\Microsoft\Windows\DeviceGuard
Questo comando mostra le funzionalità di sicurezza hardware attualmente disponibili sul tuo PC Windows e quali di esse sono attive.
Verificare Device Guard su un singolo PC con l’Editor Criteri di gruppo
Per verificare se le funzionalità di Device Guard sono attive tramite i criteri di gruppo locali, segui questi passaggi:
- Avvia l’Editor Criteri di gruppo locali eseguendo gpedit.msc
- Vai su Configurazione del computer/Modelli amministrativi/Sistema/Device Guard
- Controlla lo stato delle policy di Device Guard, tra cui:
- Attiva sicurezza basata sulla virtualizzazione
- Distribuisci Windows Defender Application Control
- Configura HVCI e integrità del codice in modalità kernel
Tieni presente che le policy di Device Guard andrebbero configurate a livello di dominio e che la console dei criteri di gruppo locali dovrebbe servire solo per controllare lo stato di Device Guard su una macchina specifica.
Per una dimostrazione chiara e passo passo dei metodi appena descritti, guarda questo breve video: “Come verificare se Device Guard è attivo o disattivato in Windows”.
Confermare che le modifiche ai criteri di gruppo abbiano attivato Device Guard
Se hai modificato di recente i criteri di gruppo nel tuo dominio Windows e non vedi ancora le modifiche applicate, prova a eseguire gpupdate /force per applicarle oppure riavvia le macchine interessate.
Per verificare se Device Guard è stato attivato correttamente tramite i criteri di gruppo in un dominio Windows, puoi eseguire gpresult /h gpresult.html in PowerShell (come amministratore) e vedere quali policy di dominio sono state applicate.
Se Device Guard causa problemi di compatibilità, puoi disattivarlo per specifici dispositivi tramite i criteri di gruppo oppure disabilitare le relative impostazioni di sicurezza nel BIOS/UEFI del dispositivo.
Scopri come NinjaOne migliora la postura di sicurezza degli endpoint Windows.
⛨ Esplora NinjaOne Endpoint Security
Come garantire la sicurezza dei parchi dispositivi Windows nella tua azienda
Mantenere una solida postura di sicurezza contro le minacce informatiche non deve diventare più difficile man mano che cresce il numero di macchine che gestisci. L’applicazione delle configurazioni di sicurezza di Windows, inclusa l’attivazione e la verifica dello stato di Device Guard, può essere automatizzata con la gestione degli endpoint di NinjaOne.
NinjaOne ti permette di gestire e monitorare le configurazioni Windows da un’interfaccia web centralizzata, in grado di distribuire script, effettuare l’inventario e supportare il patch management. Supporta inoltre l’amministrazione di dispositivi Linux, macOS, Android e Apple mobile, garantendo un monitoraggio completo, piena visibilità e informazioni sempre aggiornate sullo stato della tua infrastruttura IT.
