{"id":858729,"date":"2026-08-25T08:10:20","date_gmt":"2026-08-25T08:10:20","guid":{"rendered":"https:\/\/www.ninjaone.com\/?p=858729"},"modified":"2026-08-25T08:17:17","modified_gmt":"2026-08-25T08:17:17","slug":"come-bloccare-i-software-non-autorizzati-su-windows","status":"publish","type":"post","link":"https:\/\/www.ninjaone.com\/it\/blog\/come-bloccare-i-software-non-autorizzati-su-windows\/","title":{"rendered":"Come bloccare i software non autorizzati sugli endpoint Windows senza vincoli di dipendenza dal fornitore"},"content":{"rendered":"<div class=\"in-context-cta\"><h2>Punti chiave<\/h2>\n<ul>\n<li>Utilizza WDAC, AppLocker o SRP per bloccare le app non autorizzate sugli endpoint Windows 10 e 11, impedendone l&#8217;esecuzione non approvata e proteggendo i dati sensibili senza vincoli di dipendenza da un unico fornitore.<\/li>\n<li>Crea elenchi di autorizzazioni basati sugli editori, blocca i percorsi modificabili dagli utenti e avvia il sistema in modalit\u00e0 di controllo prima di applicare i criteri, al fine di garantire sicurezza e stabilit\u00e0.<\/li>\n<li>Utilizza Windows Firewall e l&#8217;automazione di NinjaOne per monitorare l&#8217;applicazione dei criteri, blocca le app a rischio e gestisci le eccezioni, garantendo cos\u00ec la conformit\u00e0 continua.<\/li>\n<\/ul>\n<\/div>\n<p>La presenza di software non autorizzato sui dispositivi aziendali senza previa approvazione rappresenta un grave problema. \u00c8 un pensiero inquietante, poich\u00e9 esiste il rischio che le informazioni private possano essere divulgate o che <a href=\"https:\/\/www.ninjaone.com\/blog\/define-sensitive-data-in-business-environment\/\">dati sensibili<\/a> vengano rubati. Questo articolo ti spiegher\u00e0 come <strong>bloccare i software non autorizzati<\/strong>\u00a0e come implementare il controllo degli eseguibili utilizzando le opzioni native di Windows.<\/p>\n<h2>Blocco dei software non autorizzati sugli endpoint Windows<\/h2>\n<p>Per bloccare i software non autorizzati sugli endpoint Windows senza vincoli legati al fornitore, \u00e8 necessario scegliere un piano di controllo nativo di Windows, definire un insieme di regole, pianificare l&#8217;implementazione, applicare le impostazioni tramite GPO, aggiungere un host <a href=\"https:\/\/www.ninjaone.com\/it\/blog\/cos-e-un-firewall\/\">firewall<\/a>, monitorare e infine aggiungere le eccezioni.<\/p>\n<p>\ud83d\udccc <strong>Prerequisiti:<\/strong><\/p>\n<ul>\n<li>Edizioni di Windows e licenze compatibili con il piano di controllo scelto.<\/li>\n<li>Diritti amministrativi e accesso a Criteri di Gruppo o a una soluzione MDM per l&#8217;implementazione dei criteri.<\/li>\n<li>Raccolta centralizzata dei log dagli endpoint a fini di applicazione dei criteri e come prova di audit.<\/li>\n<li>Un breve elenco di applicazioni fondamentali per l&#8217;attivit\u00e0 aziendale da inserire nell&#8217;elenco delle applicazioni consentite iniziale.<\/li>\n<\/ul>\n<h3>Fase 1: scegli un piano di controllo nativo di Windows<\/h3>\n<p>Il primo passo consiste nello scegliere lo strumento nativo di Windows pi\u00f9 adatto per garantire il controllo degli eseguibili, trovando il giusto equilibrio tra livello di sicurezza e compatibilit\u00e0.<\/p>\n<p>\ud83d\udccc <strong>Caso d&#8217;uso: <\/strong>un amministratore deve bloccare le app non approvate sui dispositivi Windows 10 e 11 utilizzando le funzionalit\u00e0 integrate, tramite una semplice implementazione dei criteri tramite Criteri di gruppo o MDM.<\/p>\n<h4>Windows Defender Application Control (WDAC)<\/h4>\n<p>Il WDAC \u00e8 un meccanismo di controllo a livello di kernel che garantisce l&#8217;esecuzione esclusiva di codice affidabile e firmato. Utilizzalo in ambienti ad alta sicurezza o aziendali che richiedono le massime garanzie di integrit\u00e0. Inizia con i criteri base di Microsoft e aggiungi regole relative agli editori per il software approvato.<\/p>\n<h4>AppLocker<\/h4>\n<p>AppLocker consente di applicare controlli in modalit\u00e0 utente, autorizzando o negando l&#8217;esecuzione dei file eseguibili in base all&#8217;editore, al percorso o all&#8217;hash. Si tratta di un&#8217;opzione pi\u00f9 vantaggiosa per implementazioni flessibili nelle edizioni Pro ed Enterprise.<\/p>\n<h4>Criteri di restrizione del software (SRP)<\/h4>\n<p>Infine, SRP \u00e8 un framework storico per le restrizioni degli eseguibili. \u00c8 particolarmente indicato per ambienti meno recenti o non aziendali che non dispongono di WDAC o AppLocker.<\/p>\n<h3>Fase 2: progetta un insieme di regole per segnali di forte intensit\u00e0<\/h3>\n<p>Un insieme di regole mirato blocca innanzitutto i comportamenti a pi\u00f9 alto rischio, prima di gettare basi chiare per un&#8217;applicazione graduale delle misure di controllo in futuro.<\/p>\n<p>\ud83d\udccc <strong>Caso d&#8217;uso: <\/strong>un amministratore desidera impedire l&#8217;esecuzione di file eseguibili rischiosi, garantendo al contempo il normale funzionamento degli aggiornamenti e delle applicazioni affidabili.<\/p>\n<p>Inizia dalle liste di autorizzazione dell&#8217;editore. Utilizza certificati di emittente provenienti da fornitori affidabili, come Microsoft e Adobe, anzich\u00e9 i hash dei singoli file, per ridurre gli oneri di manutenzione. Successivamente, blocca i percorsi modificabili dall&#8217;utente impedendo l&#8217;esecuzione da cartelle come &#8220;Download&#8221;, &#8220;AppData&#8221; o &#8220;Temp&#8221;, poich\u00e9 queste sono punti di lancio comuni per malware e strumenti non autorizzati.<\/p>\n<p>Una volta definiti i percorsi, aggiungi blocchi di hash mirati, utilizzando gli hash dei file per bloccare i file binari notoriamente dannosi o gli strumenti che rientrano in una zona grigia, come i software di accesso remoto non autorizzati. Infine, estendi la copertura oltre i file .exe includendo file .msi, script e file .dll per bloccare le strategie di aggiramento pi\u00f9 comuni utilizzate dagli autori degli attacchi.<\/p>\n<h3>Fase 3: organizza l&#8217;implementazione con delle misure di sicurezza<\/h3>\n<p>L&#8217;implementazione graduale previene le interruzioni dell&#8217;attivit\u00e0 e garantisce una transizione fluida dalla fase di test alla protezione completa.<\/p>\n<p>\ud83d\udccc <strong>Caso d&#8217;uso: <\/strong>un amministratore desidera implementare AppLocker in diversi reparti senza interrompere le attivit\u00e0 aziendali. Hanno bisogno di un metodo a basso rischio per testare, mettere a punto e dimostrare la stabilit\u00e0 prima della piena implementazione.<\/p>\n<p>Per eseguire l&#8217;implementazione graduale con misure di protezione, segui i passaggi riportati di seguito:<\/p>\n<ul>\n<li><strong>Avvia in modalit\u00e0 solo controllo:<\/strong> rileva i potenziali blocchi senza applicarli. Esamina i registri di AppLocker per individuare quali app non supererebbero i controlli di applicazione.<\/li>\n<li><strong>Fase pilota con un piccolo gruppo di prova:<\/strong> assicurati che il gruppo sia composto da utenti esperti e da endpoint tipici prima di raccogliere feedback, perfezionare le regole di accesso e documentare le eccezioni.<\/li>\n<li><strong>Definisci un piano di rollback e di assistenza:<\/strong> documenta le procedure per ripristinare le impostazioni predefinite e formare il personale dell&#8217;help desk su come individuare e risolvere i problemi.<\/li>\n<li><strong>Passaggio alla modalit\u00e0 di applicazione forzata:<\/strong> una volta che le eccezioni sono state approvate e convalidate, attiva l&#8217;applicazione in fasi controllate. Monitora attentamente la situazione nei primi giorni per individuare eventuali lacune che potrebbero emergere.<\/li>\n<\/ul>\n<h3>Fase 4: applica tramite Criteri di gruppo<\/h3>\n<p>L&#8217;implementazione centralizzata garantisce una protezione uniforme, una facile verifica e un ripristino pi\u00f9 rapido nel caso in cui sia necessario annullare o aggiornare i criteri.<\/p>\n<p>\ud83d\udccc <strong>Caso d&#8217;uso: <\/strong>un team IT desidera un controllo coerente dei file eseguibili su tutti i dispositivi Windows, sia in locale che da remoto, utilizzando i Criteri di gruppo esistenti per i sistemi interni e la gestione MDM per gli utenti mobili o ibridi.<\/p>\n<p>Simula prima i criteri in un ambiente di prova. Verifica l&#8217;applicazione, la registrazione e il comportamento di rollback prima del lancio, per garantire che gli aggiornamenti, i programmi di installazione e i flussi di lavoro critici funzionino come previsto. Successivamente, puoi applicare i criteri tramite GPO. Associa le unit\u00e0 organizzative o i gruppi di sicurezza di destinazione. Assicurati che i file delle regole siano sottoposti a controllo di versione e documentati, e utilizza la modalit\u00e0 &#8220;enforced&#8221; solo al termine della fase di test pilota.<\/p>\n<p>Per i parchi dispositivi distribuiti, applica i criteri tramite Microsoft Intune. Automatizza l&#8217;aggiornamento dei criteri e il monitoraggio delle versioni per garantire coerenza e affidabilit\u00e0. Infine, garantisci il controllo delle versioni e la tracciabilit\u00e0 archiviando i file XML o CI nel sistema di controllo del codice sorgente, in modo da tenere traccia delle modifiche e conservare una cronologia dei rollback. Indica l&#8217;autore, la data e lo scopo di ciascuna revisione.<\/p>\n<h3>Fase 5: aggiungi contenimento tramite firewall dell&#8217;host<\/h3>\n<p>Il contenimento tramite firewall rafforza la difesa limitando i danni causati dalle app che aggirano i controlli sugli eseguibili.<\/p>\n<p>\ud83d\udccc <strong>Caso d&#8217;uso: <\/strong>un amministratore desidera limitare l\u2019uso di app potenzialmente rischiose o che rientrano in una zona grigia senza rimuoverle immediatamente dai dispositivi finali.<\/p>\n<p>Per aggiungere il contenimento tramite firewall dell&#8217;host, assicurati di:<\/p>\n<h4>Creare regole firewall specifiche per il programma<\/h4>\n<p>Utilizzare Windows Defender Firewall con sicurezza avanzata per definire le regole di traffico in entrata e in uscita associate a specifici file eseguibili. Concentrati sulle app ad alto rischio che non richiedono un accesso esterno, come i client per la condivisione di file o le utility obsolete.<\/p>\n<h4>Limitare le connessioni in uscita<\/h4>\n<p>Limitare o bloccare il traffico in uscita per le applicazioni sospette. Utilizza restrizioni basate sul dominio o sull&#8217;IP per impedire tentativi di comando e controllo o di esfiltrazione dei dati.<\/p>\n<h4>Contenimento durante le indagini<\/h4>\n<p>Applica blocchi temporanei del firewall per isolare un sistema o un&#8217;applicazione sospetta mentre si valuta l&#8217;impatto.<\/p>\n<h4>Integrazione con la gestione centralizzata<\/h4>\n<p>Infine, distribuisci i criteri del firewall tramite GPO per garantirne una migliore applicazione. Raccogli centralmente i log del firewall per individuare i tentativi ripetuti di connessione da parte di programmi bloccati.<\/p>\n<h3>Fase 6: monitoraggio, segnalazione e dimostrazione dell&#8217;applicazione delle norme<\/h3>\n<p>Il monitoraggio attivo e la rendicontazione dei dati trasformano i criteri di applicazione in controlli misurabili.<\/p>\n<p>\ud83d\udccc <strong>Caso d&#8217;uso: <\/strong>un amministratore desidera verificare che AppLocker e le regole del firewall funzionino correttamente su tutti gli endpoint e vuole dimostrare la conformit\u00e0 in occasione di audit o revisioni trimestrali.<\/p>\n<p>Per monitorare, segnalare e dimostrare l&#8217;applicazione delle norme, assicurati di:<\/p>\n<ul>\n<li><strong>Raccogliere i registri relativi all&#8217;applicazione delle norme:<\/strong> recupera gli eventi di AppLocker e i log di integrit\u00e0 del codice WDAC dagli endpoint. Includi i log di Windows Firewall relativi al traffico anomalo prima di centralizzare i log nel servizio di inoltro degli eventi di Windows per l\u2019analisi.<\/li>\n<li><strong>Imposta gli avvisi per i segnali chiave:<\/strong> segnala i tentativi ripetuti di esecuzione da percorsi modificabili dall&#8217;utente o tramite strumenti non approvati. Segnala eventuali manomissioni dei criteri o tentativi di disabilitazione del servizio e dai priorit\u00e0 ai blocchi ricorrenti provenienti dallo stesso percorso, utente o editore.<\/li>\n<li><strong>Genera rapporti periodici sui dati:<\/strong> riassumi gli eventi rifiutati, le eccezioni attive e le modifiche apportate alle liste di autorizzazione. Correla i log per dimostrare l&#8217;applicazione delle norme e individuare le tendenze relative all&#8217;identit\u00e0.<\/li>\n<li><strong>Utilizza le informazioni ricavate dai feed per ottimizzare i criteri:<\/strong> utilizza i dati raccolti per perfezionare le liste di autorizzazione ed eliminare le eccezioni non necessarie. Documenta l&#8217;efficacia dei criteri e allega i rapporti alle <a href=\"https:\/\/www.ninjaone.com\/it\/blog\/progettare-un-sistema-di-qbr-scalabile-per-msp\/\">revisioni trimestrali delle attivit\u00e0<\/a> (QBR) o ai fascicoli di conformit\u00e0.<\/li>\n<\/ul>\n<h3>Fase 7: aggiungi eccezioni<\/h3>\n<p>\ud83d\udccc <strong>Caso d&#8217;uso: <\/strong>un amministratore deve approvare strumenti specifici per gli sviluppatori e i fornitori terzi, assicurandosi al contempo che tali eccezioni non diventino punti ciechi permanenti.<\/p>\n<p>Una corretta gestione delle eccezioni inizia con l&#8217;attribuzione della responsabilit\u00e0 e la giustificazione. Le eccezioni devono avere un responsabile, una motivazione chiara e un relativo registro delle approvazioni.<\/p>\n<p>Inoltre, puoi registrare i dettagli in un registro centrale o in un sistema di gestione dei ticket per garantire la tracciabilit\u00e0 ai fini di audit. Allo stesso modo, stabilisci le date di scadenza e i cicli di revisione. Imposta come predefinito che tutte le eccezioni scadano automaticamente, a meno che non vengano rinnovate; successivamente, programma le revisioni per confermare se la necessit\u00e0 persista.<\/p>\n<p>Automatizza il monitoraggio e le notifiche utilizzando script o strumenti di gestione per segnalare le scadenze imminenti. Avvisa i titolari affinch\u00e9 aggiornino, giustifichino o eliminino le proprie aspettative. In questo modo garantirai l&#8217;integrit\u00e0 dei controlli, limiterai l&#8217;aumento graduale dei rischi e otterrai una traccia di audit giustificabile.<\/p>\n<h2>Best practice per il blocco dei software non autorizzati sugli endpoint<\/h2>\n<p>La tabella seguente riassume le best practice da seguire per bloccare i software non autorizzati sugli endpoint Windows:<\/p>\n<table>\n<tbody>\n<tr>\n<td>\n<p style=\"text-align: center;\"><strong>Pratica<\/strong><\/p>\n<\/td>\n<td>\n<p style=\"text-align: center;\"><strong>Scopo<\/strong><\/p>\n<\/td>\n<td>\n<p style=\"text-align: center;\"><strong>Valore ottenuto<\/strong><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>Elenchi di autorizzazione basati sull&#8217;editore<\/td>\n<td>Ridurre il churn delle regole<\/td>\n<td>Meno guasti e aggiornamenti<\/td>\n<\/tr>\n<tr>\n<td>Bloccare i percorsi scrivibili dall&#8217;utente<\/td>\n<td>Impedire gli abusi pi\u00f9 diffusi<\/td>\n<td>Riduzione del numero di esecuzioni di malware e tool dropper<\/td>\n<\/tr>\n<tr>\n<td>Fase preliminare incentrata sull&#8217;audit<\/td>\n<td>Implementazione sicura<\/td>\n<td>Individua le lacune prima dell&#8217;applicazione<\/td>\n<\/tr>\n<tr>\n<td>Contenimento tramite firewall<\/td>\n<td>Limitare l&#8217;impatto<\/td>\n<td>Tagli C2 e percorsi di esfiltrazione dei dati<\/td>\n<\/tr>\n<tr>\n<td>Dati scientifici e revisioni<\/td>\n<td>Capacit\u00e0 di individuare le responsabilit\u00e0<\/td>\n<td>Tracciabilit\u00e0 chiara e report pronti per il QBR<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h2>Servizi NinjaOne che aiutano a bloccare i software non autorizzati<\/h2>\n<p>Con NinjaOne puoi distribuire script basati su GPO o configurare payload, raccogliere registri di applicazione dei criteri e attivare avvisi in caso di esecuzioni negate. Inoltre, puoi automatizzare la generazione dei fascicoli probatori e allegare i rapporti alle revisioni mensili o ai QBR per un monitoraggio semplificato della conformit\u00e0.<\/p>\n<h2>Proteggi i dati sensibili bloccando i software non autorizzati<\/h2>\n<p>Il blocco di app o software indesiderati risulta pi\u00f9 efficace se ricorri a un piano di controllo nativo, a un ambiente di staging sicuro e a una gestione rigorosa delle eccezioni. L&#8217;aggiunta di misure di contenimento tramite il firewall del host per garantire un livello di protezione pi\u00f9 approfondito e la conservazione dei registri e dei report assicurano che l&#8217;applicazione dei criteri sia visibile, verificabile e giustificabile.<\/p>\n<p><strong>Argomenti correlati:<\/strong><\/p>\n<ul>\n<li><a href=\"https:\/\/www.ninjaone.com\/it\/blog\/disinstallazione-remota-del-software-tramite-automazione\/\">4 modi per disinstallare un software da remoto (e assicurarsi che rimanga disinstallato grazie all&#8217;automazione)<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/it\/blog\/processo-distribuzione-software\/\">Guida al processo di distribuzione dei software per il 2026<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/blog\/how-to-uninstall-apps-in-windows-10\/\">Come disinstallare le app in Windows 10: Win32, UWP e app integrate<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/it\/blog\/wdac-windows-defender-application-control\/\">Approfondimento su Windows Defender Application Control (WDAC)<\/a><\/li>\n<\/ul>\n","protected":false},"excerpt":{"rendered":"<p>La presenza di software non autorizzato sui dispositivi aziendali senza previa approvazione rappresenta un grave problema. \u00c8 un pensiero inquietante, poich\u00e9 esiste il rischio che le informazioni private possano essere divulgate o che dati sensibili vengano rubati. Questo articolo ti spiegher\u00e0 come bloccare i software non autorizzati\u00a0e come implementare il controllo degli eseguibili utilizzando le [&hellip;]<\/p>\n","protected":false},"author":243,"featured_media":747055,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"_relevanssi_hide_post":"","_relevanssi_hide_content":"","_relevanssi_pin_for_all":"","_relevanssi_pin_keywords":"","_relevanssi_unpin_keywords":"","_relevanssi_related_keywords":"","_relevanssi_related_include_ids":"","_relevanssi_related_exclude_ids":"","_relevanssi_related_no_append":"","_relevanssi_related_not_related":"","_relevanssi_related_posts":"","_relevanssi_noindex_reason":"","_lmt_disableupdate":"no","_lmt_disable":"","footnotes":""},"categories":[4354],"tags":[],"class_list":["post-858729","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-operazioni-it"],"acf":[],"modified_by":"Chiara Cavalletti","_links":{"self":[{"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/posts\/858729","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/users\/243"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/comments?post=858729"}],"version-history":[{"count":5,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/posts\/858729\/revisions"}],"predecessor-version":[{"id":858734,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/posts\/858729\/revisions\/858734"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/media\/747055"}],"wp:attachment":[{"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/media?parent=858729"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/categories?post=858729"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/tags?post=858729"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}