{"id":811331,"date":"2026-05-22T08:18:42","date_gmt":"2026-05-22T08:18:42","guid":{"rendered":"https:\/\/www.ninjaone.com\/?p=811331"},"modified":"2026-05-22T08:18:42","modified_gmt":"2026-05-22T08:18:42","slug":"rimuovere-i-file-in-quarantena-in-windows-11","status":"publish","type":"post","link":"https:\/\/www.ninjaone.com\/it\/blog\/rimuovere-i-file-in-quarantena-in-windows-11\/","title":{"rendered":"Come ripristinare o rimuovere definitivamente i file in quarantena in Windows 11"},"content":{"rendered":"<div class=\"in-context-cta\"><h2>Punti chiave<\/h2>\n<ul>\n<li><strong>La quarantena isola le minacce in modo sicuro:<\/strong>\u00a0Windows Security mette in quarantena i file sospetti per evitare danni mentre gli amministratori indagano.<\/li>\n<li><strong>Ripristina solo i file convalidati:<\/strong> ripristina gli elementi in quarantena solo dopo averne confermato l&#8217;origine, l&#8217;hash e l&#8217;uso aziendale per evitare la reinfezione da malware.<\/li>\n<li><strong>Rimuovi i file dannosi o sconosciuti:<\/strong> elimina definitivamente i file in quarantena quando il rischio non \u00e8 chiaro o \u00e8 confermato che sono dannosi per ridurre l&#8217;esposizione.<\/li>\n<li><strong>Utilizza Windows Security e PowerShell:<\/strong> gestisci gli elementi in quarantena tramite la cronologia di protezione o i cmdlet PowerShell quando le azioni della GUI non riescono.<\/li>\n<li><strong>Riduci al minimo le esclusioni e documenta le azioni:<\/strong> applica esclusioni limitate, esegui una nuova scansione dei sistemi e registra le decisioni per ottenere audit trail e chiarezza operativa.<\/li>\n<\/ul>\n<\/div>\n<p>La quarantena isola le potenziali minacce in un ambiente sicuro, dando il tempo di indagare senza mettere a rischio il sistema. Se noti che un file messo in quarantena \u00e8 sicuro e critico per l&#8217;azienda, puoi ripristinarlo e inserirlo nella whitelist per evitare futuri flag. Se il file \u00e8 dannoso o sconosciuto, puoi rimuoverlo in modo permanente.<\/p>\n<p>Questa guida spiega come ripristinare o <strong>rimuovere definitivamente i file in quarantena in Windows 11<\/strong> utilizzando Windows Security e PowerShell, ti spiega anche cosa fare se i pulsanti standard &#8220;Ripristina&#8221; o &#8220;Rimuovi&#8221; non rispondono.<\/p>\n<h2>Prerequisiti<\/h2>\n<ul>\n<li>Diritti di amministratore locale per le azioni di Windows Security e PowerShell<\/li>\n<li>Definizioni recenti e uno stack Microsoft Defender Antivirus funzionante<\/li>\n<li>Possibilit\u00e0 di ripetere la scansione e, in caso di ripristino, di aggiungere un&#8217;esclusione precisa<\/li>\n<\/ul>\n<h2>Decidere se ripristinare o rimuovere<\/h2>\n<p>Prima di toccare un elemento in quarantena, decidi quale azione si adatta al profilo di rischio. Questo passaggio impedisce il ripristino accidentale del malware e riduce le lacune di sicurezza.<\/p>\n<ul>\n<li>Ripristinalo solo se sono stati convalidati l&#8217;origine, l&#8217;hash e l&#8217;uso aziendale del file. Controlla il percorso del file, la firma digitale e se corrisponde a una versione nota e buona della tua pipeline di distribuzione del software.<\/li>\n<li>Rimuovilo quando il rischio non \u00e8 chiaro o l&#8217;articolo \u00e8 confermato come dannoso. Prioritizza l&#8217;eliminazione alle esclusioni ampie, che possono creare punti ciechi.<\/li>\n<li>Per gli ambienti gestiti, segui la lista di controllo di risposta agli incidenti e il processo di controllo delle modifiche. Documenta le motivazioni della decisione per i percorsi di audit.<\/li>\n<\/ul>\n<h2>Utilizzare la cronologia di protezione di Windows Security<\/h2>\n<p>L&#8217;applicazione Windows Security offre il modo pi\u00f9 rapido per gestire gli elementi in quarantena con una registrazione completa degli audit.<\/p>\n<ul>\n<li>Apri<strong>\u00a0Windows Security<\/strong>\u00a0&gt;\u00a0<strong>Virus e protezione dalle minacce<\/strong>\u00a0&gt;\u00a0<strong>Cronologia della protezione.<\/strong><\/li>\n<li>Filtra per\u00a0<strong>Elementi in quarantena\u00a0<\/strong>per visualizzare solo le minacce isolate.<\/li>\n<li>Seleziona una voce, esamina i dettagli, quindi scegli\u00a0<strong>Ripristina\u00a0<\/strong>o\u00a0<strong>Rimuovi<\/strong>.<\/li>\n<li>Se ripristini un file attendibile, aggiungi immediatamente un&#8217;esclusione ristretta (percorso o hash) per evitare una nuova quarantena durante il ciclo di scansione successivo.<\/li>\n<\/ul>\n<p>Questo metodo GUI funziona per la maggior parte dei casi e crea registri di eventi che i team di sicurezza possono monitorare tramite integrazioni SIEM.<\/p>\n<h2>Aggiungere un&#8217;esclusione minima e mirata (solo se necessario)<\/h2>\n<p>Le esclusioni riducono i falsi rilevamenti ma aumentano la superficie d&#8217;attacco, quindi \u00e8 bene che siano il pi\u00f9 possibile circoscritte.<\/p>\n<ul>\n<li>In\u00a0<strong>Sicurezza di Windows<\/strong>\u00a0&gt;\u00a0<strong>Virus e protezione dalle minacce<\/strong>\u00a0&gt;\u00a0<strong>Gestione impostazioni\u00a0<\/strong>&gt;\u00a0<strong>Esclusioni<\/strong>, aggiungi l&#8217;ambito pi\u00f9 piccolo che sblocca il file ripristinato.<\/li>\n<li>Preferisco le esclusioni di file o hash a quelle basate su cartelle o estensioni. Le esclusioni hash sono le pi\u00f9 sicure perch\u00e9 bloccano una versione specifica del file.<\/li>\n<li>Dopo aver aggiunto un&#8217;esclusione, esegui una scansione rapida per fare in modo che non esistano altre minacce nella stessa posizione e che l&#8217;esclusione non inserisca inavvertitamente nella whitelist il malware.<\/li>\n<\/ul>\n<h2>Usare PowerShell quando le azioni della GUI falliscono<\/h2>\n<p>A volte i pulsanti &#8220;Ripristina&#8221; o &#8220;Rimuovi&#8221; di Windows Security non rispondono, di solito a causa di bug dell&#8217;interfaccia utente o di record di minacce bloccati. I cmdlet PowerShell bypassano la GUI e agiscono direttamente sull&#8217;archivio delle minacce.<\/p>\n<ul>\n<li>Elenco delle minacce correnti:\u00a0<em>Get-MpThreat<\/em><\/li>\n<li>Rimuovi tutte le minacce in quarantena:\u00a0<em>Remove-MpThreat -All<\/em><\/li>\n<li>Rimuovi una minaccia specifica:\u00a0<em>Remove-MpThreat -ThreatID &lt;ID&gt;<\/em><\/li>\n<li>Inserisci nuovamente nell&#8217;elenco per confermare:\u00a0<em>Get-MpThreat<\/em><\/li>\n<\/ul>\n<p>Queste cmdlet hanno spesso successo quando le azioni della GUI falliscono e sono ideali per l&#8217;automazione su pi\u00f9 endpoint tramite script RMM.<\/p>\n<h2>Convalidare il risultato e fare nuovamente la scansione<\/h2>\n<p>Dopo qualsiasi ripristino o rimozione, verifica che l&#8217;endpoint sia pulito e funzionante:<\/p>\n<ul>\n<li>Se \u00e8 stato ripristinato un file, esegui una scansione rapida e avviar l&#8217;applicazione per verificare che funzioni come previsto.<\/li>\n<li>Se \u00e8 stato rimosso un file, verifica che non ci siano errori di attivit\u00e0 o servizi dipendenti. Controlla\u00a0<strong>Visualizzatore eventi<\/strong>\u00a0&gt;\u00a0<strong>Applicazioni e log di servizi<\/strong>\u00a0&gt;\u00a0<strong>Microsoft\u00a0<\/strong>&gt;\u00a0<strong>Windows\u00a0<\/strong>&gt;\u00a0<strong>Windows Defender<\/strong>\u00a0&gt;\u00a0<strong>Operazionale\u00a0<\/strong>per ulteriori rilevamenti.<\/li>\n<li>Per gli stack, registra l&#8217;azione e la motivazione nelle note di ticketing o RMM per mantenere una traccia di controllo.<\/li>\n<\/ul>\n<h2>Riduzione dei futuri falsi positivi<\/h2>\n<p>I ripetuti falsi positivi fanno perdere tempo agli analisti e invogliano gli amministratori a creare esclusioni ampie e rischiose. I passi elencati qui sotto contribuiranno a ridurre al minimo questi rischi:<\/p>\n<ul>\n<li>Mantieni aggiornate le definizioni di Defender; Microsoft perfeziona continuamente la logica di rilevamento in base alle segnalazioni di falsi positivi.<\/li>\n<li>Considera di inviare il file sicuro a Microsoft per l&#8217;analisi tramite il portale Microsoft Security Intelligence. Se Microsoft inserisce il file nella whitelist, tutti i tenant ne beneficieranno.<\/li>\n<li>Sostituisci le esclusioni di cartelle ampie con esclusioni basate su file o hash, ove possibile.<\/li>\n<li>Incorpora questo flusso di lavoro di revisione della quarantena nei tuoi playbook di automazione di rilevamento\/quarantena, in modo che ogni evento di quarantena riceva un record decisionale.<\/li>\n<\/ul>\n<h2>Quando non ripristinare<\/h2>\n<p>Alcuni elementi non dovrebbero essere\u00a0<strong>mai\u00a0<\/strong>ripristinati, indipendentemente dalle pressioni commerciali.<\/p>\n<ul>\n<li>Elementi segnalati come famiglie di malware note, script dropper o indicatori multipartito.<\/li>\n<li>File di provenienza sconosciuta e senza una chiara giustificazione aziendale.<\/li>\n<li>File che vengono ripetutamente rilevati anche dopo la revisione del fornitore e le esclusioni dell&#8217;hash, il che pu\u00f2 indicare un malware polimorfico.<\/li>\n<\/ul>\n<p>In questi casi, segui il tuo playbook di risposta agli incidenti, segnalalo al tuo team di sicurezza e non ripristinarlo.<\/p>\n<h2>Best practice<\/h2>\n<table>\n<tbody>\n<tr>\n<td><strong>Pratica<\/strong><\/td>\n<td><strong>Scopo<\/strong><\/td>\n<td><strong>Valore consegnato<\/strong><\/td>\n<\/tr>\n<tr>\n<td>Decidere prima di agire<\/td>\n<td>Eliminare i ripristini rischiosi<\/td>\n<td>Riduzione della probabilit\u00e0 di incidenti<\/td>\n<\/tr>\n<tr>\n<td>Utilizzare prima la GUI<\/td>\n<td>Veloce e verificabile<\/td>\n<td>Correzione facile da usare<\/td>\n<\/tr>\n<tr>\n<td>Passare a PowerShell<\/td>\n<td>Sbloccare le azioni non riuscite<\/td>\n<td>Meno quarantene in sospeso<\/td>\n<\/tr>\n<tr>\n<td>Esclusioni ristrette<\/td>\n<td>Limitare la superficie di attacco<\/td>\n<td>Funzionamento pi\u00f9 sicuro a lungo termine<\/td>\n<\/tr>\n<tr>\n<td>Decisioni documentali<\/td>\n<td>Tracciabilit\u00e0 operativa<\/td>\n<td>Migliori audit e RCA<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h2>Risoluzione dei problemi<\/h2>\n<p>Il <strong>ripristino\/rimozione non produce alcun risultato:<\/strong>\u00a0Esegui i comandi PowerShell\u00a0<strong>Remove-MpThreat<\/strong>\u00a0, quindi ricontrollare la cronologia della protezione. L&#8217;interfaccia grafica potrebbe non essere sincronizzata con l&#8217;archivio delle minacce.<\/p>\n<p>L&#8217;<strong>elemento continua a tornare dopo il ripristino:\u00a0<\/strong>Aggiungi un&#8217;esclusione precisa per il file o il percorso attendibile. Verifica inoltre che l&#8217;eseguibile non abbia cambiato hash, poich\u00e9 i file modificati perdono la loro esclusione.<\/p>\n<p><strong>La cronologia \u00e8 ingombra o confusa:\u00a0<\/strong>Cancella le vecchie voci utilizzando i metodi supportati, se necessario, quindi ripeti il test. Una cronologia pulita rende pi\u00f9 facile individuare nuove minacce.<\/p>\n<p><strong>Se non sei certo che il file sia sicuro,\u00a0<\/strong>non ripristinarlo. Segui la lista di controllo IR e fai nuovamente la scansione con le firme aggiornate. Se sei in dubbio, la quarantena \u00e8 pi\u00f9 sicura del ripristino.<\/p>\n<p>Il <strong>file \u00e8 bloccato in un ciclo di &#8220;correzione fallita&#8221;:\u00a0<\/strong>Se una minaccia mostra &#8220;Correzione incompleta&#8221; o &#8220;Fallita&#8221;, il file potrebbe essere bloccato da un altro processo o dal sistema in attesa di un riavvio. Riavvia l&#8217;endpoint, esegui una scansione offline (Start-MpWDOScan) e verifica se lo stato viene cancellato.<\/p>\n<p>La <strong>cronologia di protezione \u00e8 vuota o mancano elementi:\u00a0<\/strong>Se sai che gli elementi sono stati messi in quarantena ma l&#8217;elenco \u00e8 vuoto, il file della cronologia potrebbe essere corrotto. Reimpostare l&#8217;app Windows Security tramite\u00a0<strong>Impostazioni\u00a0<\/strong>&gt;\u00a0<strong>App\u00a0<\/strong>&gt;<strong>\u00a0App instalalte<\/strong>\u00a0o cancella manualmente la cartella della cronologia dei rilevamenti (C:\\ProgramData\\Microsoft\\Windows Defender\\Scans\\History\\Service) per forzare una ricostruzione.<\/p>\n<h2>In sintesi<\/h2>\n<p>La quarantena ti d\u00e0 il tempo di prendere la decisione giusta. Utilizza Windows Security per ripristini o rimozioni rapide, passa a PowerShell quando necessario, aggiungi solo esclusioni minime e documenta le tue decisioni in modo che i futuri analisti comprendano i compromessi di rischio. Questo approccio disciplinato mantiene la sicurezza degli endpoint, consentendo al contempo il funzionamento degli strumenti aziendali legittimi.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>La quarantena isola le potenziali minacce in un ambiente sicuro, dando il tempo di indagare senza mettere a rischio il sistema. Se noti che un file messo in quarantena \u00e8 sicuro e critico per l&#8217;azienda, puoi ripristinarlo e inserirlo nella whitelist per evitare futuri flag. Se il file \u00e8 dannoso o sconosciuto, puoi rimuoverlo in [&hellip;]<\/p>\n","protected":false},"author":89,"featured_media":775275,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"_relevanssi_hide_post":"","_relevanssi_hide_content":"","_relevanssi_pin_for_all":"","_relevanssi_pin_keywords":"","_relevanssi_unpin_keywords":"","_relevanssi_related_keywords":"","_relevanssi_related_include_ids":"","_relevanssi_related_exclude_ids":"","_relevanssi_related_no_append":"","_relevanssi_related_not_related":"","_relevanssi_related_posts":"","_relevanssi_noindex_reason":"","_lmt_disableupdate":"no","_lmt_disable":"","footnotes":""},"categories":[4354],"tags":[],"class_list":["post-811331","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-operazioni-it"],"acf":[],"modified_by":"Chiara Cavalletti","_links":{"self":[{"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/posts\/811331","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/users\/89"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/comments?post=811331"}],"version-history":[{"count":0,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/posts\/811331\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/media\/775275"}],"wp:attachment":[{"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/media?parent=811331"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/categories?post=811331"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/tags?post=811331"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}