Como configurar o Device Guard e políticas de controle de aplicativos pelo Intune em PMEs

Device Guard e Windows Defender Application Control (WDAC) são tecnologias de segurança corporativa que impõem um modelo de confiança zero, no qual apenas aplicativos autorizados podem ser executados. Para pequenas e médias empresas (PMEs), implantar esses recursos pelo Intune é uma solução escalável e gerenciada na nuvem para blindar endpoints contra movimentação lateral e ameaças de TI invisível.

Este guia traz um passo a passo completo para configurar políticas de controle de aplicativos e o Device Guard no Intune, dos componentes às estratégias de implantação e técnicas de validação.

Para uma visão geral rápida, assista ao nosso guia em vídeo: Como configurar o Device Guard e políticas de controle de aplicativos pelo Intune em PMEs

Como configurar o Device Guard e políticas de controle de aplicativos pelo Intune

Veja os requisitos necessários para configurar o Device Guard e as políticas de controle de aplicativos pelo Intune:

📌 Pré-requisitos gerais:

• Microsoft Intune (Microsoft Endpoint Manager)
• Windows 10/11 nas edições Pro, Enterprise ou Education
• Hardware compatível com Device Guard e WDAC (UEFI, extensões de virtualização)
• Acesso administrativo aos endpoints e ao portal do Intune
• Opcional: acesso ao NinjaOne RMM para monitoramento e aplicação complementar

Etapa 1: entenda os componentes do Device Guard e do WDAC

Antes de configurar qualquer coisa, é fundamental entender o que são Device Guard e WDAC e como atuam juntos para manter os sistemas seguros:

O que é o Device Guard no Intune?

O Device Guard é um conjunto de tecnologias de segurança nativo do Windows que restringe os dispositivos para que executem apenas aplicativos confiáveis. Ele reúne vários componentes poderosos sob o mesmo guarda-chuva:

• Credential Guard – protege credenciais contra ataques usando segurança baseada em virtualização (VBS).
• Integridade de código (CI) – garante que só código assinado e confiável seja executado.
• Controle de aplicativos (WDAC) – define quais aplicativos, executáveis, scripts e DLLs podem rodar no dispositivo.

Juntas, essas tecnologias aplicam um modelo de execução de confiança zero: nada roda sem permissão explícita.

Como as políticas são configuradas?

As políticas de Device Guard e WDAC são configuradas por XML ou pelo Configuration Service Provider (CSP) e aplicadas pelo Intune ou por scripts locais.

Etapa 2: escolha um método de implantação

Com os conceitos básicos em mãos, é hora de escolher o método de implantação que combina com sua infraestrutura (gerenciada pelo Intune, AD local ou híbrida).

Método A: crie uma política WDAC com o PowerShell

Esse método dá controle total sobre o que pode ser executado, com base no que já existe no sistema de referência.

📌 Casos de uso:

• Você quer uma lista de permissões personalizada para ambientes de alta segurança
• Você está testando o WDAC em um grupo limitado de dispositivos

📌 Pré-requisitos:

• É preciso executar o PowerShell como administrador
• PowerShell 5.1+ para criação de política local

Passo a passo:

1. Pressione Win + S e pesquise por PowerShell.
2. Clique com o botão direito em Windows PowerShell nos resultados e selecione Executar como administrador. (Veja o item 2 em ⚠️ Pontos de atenção.)
3. Crie uma política WDAC padrão (modo de auditoria):

$policyPath = "C:\Policies\WDAC_Policy.xml"
New-CIPolicy -Level Publisher -Fallback Hash -FilePath $policyPath -UserPEs

4. Converta o XML em binário:

ConvertFrom-CIPolicy -XmlFilePath $policyPath -BinaryFilePath "C:\Policies\WDAC_Policy.bin"

5. Opcional: ative apenas o modo de auditoria: (Veja o item 1 em ⚠️ Pontos de atenção.)

Set-RuleOption -FilePath $policyPath -Option 3 # 3 = Audit Mode

Agora dá para usar essa política no Intune como configuração OMA-URI personalizada ou implantá-la manualmente em máquinas de teste.

Método B: implante Device Guard/WDAC pelo Intune

Esse método usa a seção Segurança do endpoint do Intune para criar e implantar regras do WDAC. É a forma mais escalável de distribuir políticas WDAC para vários dispositivos.

📌 Casos de uso: ideal para PMEs e empresas com estratégia cloud-first

📌 Pré-requisitos:

• Os dispositivos precisam estar ingressados no Azure AD ou em AAD híbrido e registrados no Intune
• Licenciamento adequado do Intune (Microsoft 365 Business Premium, E3+ etc.)

Passo a passo:

1. Acesse Centro de administração do Microsoft Intune > Segurança do endpoint > Redução da superfície de ataque > Criar política.
2. Escolha a plataforma e o perfil:
   • Plataforma: Windows 10 e posterior
   • Perfil: Windows Defender Application Control
3. Configure a política:
   • Comece pelo modo de auditoria. Assim, a atividade bloqueada é registrada em log sem ser efetivamente bloqueada. (Veja o item 1 em ⚠️ Pontos de atenção.)
   • Aplique as regras depois dos testes (apenas aplicativos Microsoft assinados e componentes do Windows).
   • Ative a integração com o Intelligent Security Graph.
4. Atribua a política a um grupo de teste ou subconjunto de endpoints. (Veja o item 3 em ⚠️ Pontos de atenção.)
5. Após a validação, mude para o modo de imposição. A partir daí, só aplicativos confiáveis são executados e os não confiáveis ficam bloqueados.

Método C: aplique por Política de Grupo (opcional/híbrido)

Esse método é o mais indicado para ambientes híbridos ou AD local em que o Intune não está totalmente em uso ou a Política de Grupo continua sendo o principal mecanismo de configuração.

📌 Casos de uso: ideal para organizações em transição do local para a nuvem.

📌 Pré-requisitos: os dispositivos precisam estar ingressados no AD (local ou híbrido)

Passo a passo:

1. Pressione Win + R, digite gpedit.msc e pressione Enter para abrir o Editor de Política de Grupo.
2. Navegue até:

Configuração do Computador > Modelos Administrativos > Sistema > Device Guard

3. Ative:
   • Ativar Segurança Baseada em Virtualização
   • Ativar o Credential Guard
   • Implantar o Windows Defender Application Control

Use GPOs em dispositivos locais ou híbridos ingressados no domínio quando o Intune não estiver disponível.

Etapa 3: valide o controle de aplicativos com PowerShell e logs de eventos

Depois da implantação, confirme se a política está ativa e funcionando.

📌 Casos de uso: útil para conformidade e auditorias ou para evitar interrupções de serviço por falsos positivos.

📌 Pré-requisitos: PowerShell 5.1+ para verificação da política local

Verificação pelo PowerShell

1. Abra o PowerShell.
2. Execute o comando a seguir para confirmar o status do WDAC:

Get-CIPolicy | Format-List

3. Verifique os logs de auditoria: (Veja o item 4 em ⚠️ Pontos de atenção.)

Get-WinEvent -LogName "Microsoft-Windows-CodeIntegrity/Operational" | Format-Table TimeCreated, Id, Message -AutoSize

4. Verifique o Credential Guard:

Get-CimInstance -ClassName Win32_DeviceGuard

O resultado deve mostrar VirtualizationBasedSecurityStatus = 2 para indicar status ativo.

Verificação pelo Visualizador de Eventos

1. Pressione Win + R, digite eventvwr.msc e pressione Enter para abrir o Visualizador de Eventos.
2. Navegue até Logs de Aplicativos e Serviços > Microsoft > CodeIntegrity > Operacional.
3. Procure por:
   • ID de evento 3033 – política WDAC carregada com sucesso
   • ID de evento 3076 – aplicativo bloqueado pelo WDAC (modo de imposição)
   • ID de evento 3099 – aplicativo teria sido bloqueado (modo de auditoria)

Esses eventos confirmam se a política WDAC foi aplicada com sucesso e se aplicativos foram ou teriam sido bloqueados.

Etapa 4: use o Registro para confirmar ou aplicar configurações

Esse método envia políticas WDAC aos dispositivos e monitora se Device Guard, Credential Guard ou VBS estão ativados.

📌 Casos de uso: use quando precisar validar a aplicação das configurações após a implantação.

📌 Pré-requisitos:

• Privilégios de administrador (Veja o item 2 em ⚠️ Pontos de atenção.)
• Configurações do Device Guard implantadas (GPO ou Intune)

⚠️ Aviso: editar o registro pode causar problemas no sistema. Faça um backup antes de continuar.

Passo a passo:

1. Pressione Win + R, digite regedit e pressione Enter para abrir o Editor do Registro.
2. Navegue até as chaves de registro do WDAC e do Device Guard:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\DeviceGuard

• • EnableVirtualizationBasedSecurity (DWORD) = 1
  • RequirePlatformSecurityFeatures (DWORD) = 1

3. Validação do Credential Guard no registro:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa

• • LsaCfgFlags (DWORD) = 1

Use o PowerShell ou campos personalizados do NinjaOne para ler e reportar esses valores em escala.

⚠️ Pontos de atenção

Por que Device Guard e WDAC importam para as PMEs

Pequenas e médias empresas (PMEs) costumam ser definidas pelo número de funcionários e pela receita. Operam com equipes mais enxutas e menos recursos locais do que as grandes corporações, mas enfrentam as mesmas ameaças de segurança. Por isso, precisam de soluções pouco complexas e ainda assim eficazes.

Device Guard e WDAC oferecem esse equilíbrio às PMEs. Veja como ajudam:

• O Intune reduz a carga administrativa ao simplificar implantação e monitoramento.
• Com o gerenciamento voltado à nuvem, as políticas são entregues e aplicadas sem depender de infraestrutura local.
• A segurança de endpoint reforçada vem da capacidade do WDAC de bloquear aplicativos não confiáveis ou maliciosos.
• Intune e WDAC entregam proteção de nível corporativo em escala, com controles de segurança aplicados de forma consistente em todos os dispositivos.
• O controle de aplicativos reduz a superfície de ataque ao limitar os pontos de entrada de ameaças e a movimentação lateral.

Considerações adicionais

Veja os pontos principais a considerar na implantação do Windows Defender Application Control (WDAC):

Teste primeiro em modo de auditoria

Antes de impor o WDAC em produção, comece testando no modo de auditoria. Esse modo registra em log os aplicativos que seriam bloqueados sem impedir sua execução, o que permite avaliar o impacto da política com segurança.

Assinatura de políticas

Em alguns ambientes, as políticas WDAC precisam ser assinadas digitalmente com um certificado de assinatura de código para serem aplicadas sob o Inicialização Segura. Políticas assinadas garantem integridade e confiança, enquanto políticas não assinadas podem ser ignoradas ou funcionar apenas em modo de auditoria.

Compatibilidade com atualizações

Cada atualização do Windows pode trazer novos arquivos de sistema ou drivers, ou alterar os existentes, e o WDAC pode bloqueá-los sem querer. Valide sempre a política depois de grandes atualizações. Também dá para voltar temporariamente ao modo de auditoria após a atualização, registrando novos bloqueios e identificando arquivos que precisam de exceção.

Tratamento de exceções

As PMEs costumam depender de ferramentas de terceiros, scripts ou agentes de automação que podem não ser assinados e acabar bloqueados pelo WDAC. Nesse caso, use regras de permissão baseadas em caminho de arquivo, hash ou editor.

💡 Dica: mantenha uma lista das ferramentas confiáveis que precisam estar na lista de permissões e revise e atualize as regras de exceção com frequência para evitar interrupções.

Solução de problemas

Veja os problemas mais comuns na configuração do WDAC e como resolvê-los:

Aplicativos bloqueados

Aplicativos bloqueados indicam que o WDAC está funcionando corretamente ao barrar um aplicativo fora da lista de permissões. Nesse caso, confira os logs do CodeIntegrity para encontrar os hashes dos executáveis:

1. Pressione Win + R, digite eventvwr.msc e pressione Enter para abrir o Visualizador de Eventos.
2. Navegue até:

Logs de Aplicativos e Serviços > Microsoft > Windows > CodeIntegrity > Operacional

3. Procure pelas IDs de evento 3076 e 3099 para ver os executáveis bloqueados e seus hashes.
4. Use o hash ou o caminho do arquivo indicado no evento para criar uma regra de exceção.

Política não aplicada

Se um dispositivo não está recebendo ou aplicando a política, veja o que fazer:

• Force uma sincronização no endpoint:

1. 1. Abra Configurações (Win + I) > Contas > Acessar trabalho ou escola > Informações > Sincronizar

• Verifique o status de implantação da política no Intune:

1. 1. Acesse Centro de administração do Microsoft Intune > Dispositivos > [Nome do dispositivo] > Configuração do dispositivo
   2. Confira o status da política (Pendente, Bem-sucedido ou Com falha)

• Confirme o direcionamento:

Verifique se o dispositivo está no grupo correto e se a política se aplica a dispositivos, não apenas a usuários.

Falha no Credential Guard

Lembre-se de que o Credential Guard exige alguns recursos de hardware, como suporte a virtualização e Inicialização Segura. Veja como verificar se o dispositivo oferece esse suporte:

1. Reinicie no BIOS/UEFI e confirme:
   • A Inicialização Segura está ativada
   • O suporte a virtualização está ligado

Registro não atualiza

Se as alterações no registro não estão sendo aplicadas, veja o que fazer:

• Garanta que scripts ou consultas sejam executados com privilégios de administrador.
• Confirme se o caminho e as chaves de registro existem:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\DeviceGuard
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa

Serviços NinjaOne

NinjaOne apoia a implantação segura de políticas de Device Guard e WDAC ao:

Com NinjaOne, MSPs podem ampliar e monitorar os recursos de endurecimento de segurança da Microsoft em todos os clientes com pouquíssimo esforço.

Configure Device Guard e WDAC em PMEs para reforçar a segurança de endpoint e o controle de aplicativos

Device Guard e Windows Defender Application Control (WDAC) são ferramentas poderosas para proteger os endpoints de PMEs ao limitar quais aplicativos e scripts podem ser executados. Este guia mostrou os componentes principais e os benefícios das duas soluções, com foco em como sustentam uma execução de confiança zero.

Também trouxe um passo a passo detalhado para implantar, auditar e impor políticas com o Microsoft Intune, além de métodos com PowerShell, registro, CMD e GPO para testes e conformidade. Por fim, mostrou como NinjaOne ajuda a escalar e auditar a implantação de políticas em todos os clientes, reforçando a segurança de endpoint e o controle de aplicativos como um todo.

Temas relacionados:

• Como verificar se o Device Guard está ativado ou desativado no Windows
• Como verificar se o Credential Guard está ativado ou desativado no Windows
• Como contornar a mensagem “Este aplicativo foi bloqueado para sua proteção” no Windows 10