Habilitar o acesso controlado a pastas

O acesso controlado a pastas ajuda-o a proteger dados valiosos de aplicações e ameaças maliciosas, como ransomware. O acesso controlado a pastas está incluído em Windows 10, Windows 11 e Windows Server 2019. O acesso controlado a pastas também está incluído como parte da solução moderna e unificada para Windows Server 2012R2 e 2016.

Pode ativar o acesso controlado a pastas através de qualquer um destes métodos:

• Habilitar o acesso controlado a pastas
• Habilitar o acesso controlado a pastas
  • Gerenciamento de dispositivos móveis (MDM)
  • Microsoft Configuration Manager
  • Política de grupo
  • PowerShell

Pré-requisitos

Sistemas operacionais com suporte

Windows:

1. No centro de administração do Microsoft Intune em https://intune.microsoft.com, aceda a Segurança > do ponto finalGerir>Redução da superfície de ataque. Em alternativa, para aceder diretamente à segurança do Ponto final | Página de redução da superfície de ataque , utilize https://intune.microsoft.com/#view/Microsoft_Intune_Workflows/SecurityManagementMenu/~/asr.

2. No separador Políticas da segurança do Ponto Final | Página Redução da superfície de ataque , selecione Criar política.

3. Na lista de opções Criar um perfil que é aberta, configure as seguintes definições:

   • Plataforma: selecione Windows.
   • Perfil: selecione Regras de redução da superfície de ataque.

   Selecione Criar.

4. O assistente Criar política é aberto. No separador Informações básicas , configure as seguintes definições:

   • Nome: insira um nome exclusivo e descritivo para a política.
   • Descrição: introduza uma descrição opcional.

   Selecione Avançar.

5. No separador Definições de configuração , desloque-se para baixo até à secção Ativar Acesso Controlado a Pastas e configurou as seguintes definições:

   • Na caixa que diz Não configurado, selecione Modo de Auditoria.

     Recomendamos que ative primeiro o acesso controlado a pastas no modo de auditoria para ver como funciona na sua organização. Pode defini-lo para outro modo, como Ativado, mais tarde.

   • Pastas Protegidas de Acesso Controlado a Pastas: opcionalmente, adicione pastas protegidas. Os ficheiros nestas pastas não podem ser modificados ou eliminados por aplicações não fidedignos. As pastas de sistema predefinidas são protegidas automaticamente. Pode ver a lista de pastas de sistema predefinidas na aplicação Segurança do Windows num dispositivo Windows. Para saber mais sobre esta definição, consulte Política CSP – Defender: ControlledFolderAccessProtectedFolders.

   • Aplicações Permitidas de Acesso a Pastas Controladas: opcionalmente, adicione aplicações fidedignas para aceder a pastas protegidas. Microsoft Defender Antivírus determina automaticamente que aplicações são fidedignas. Utilize esta definição apenas para especificar mais aplicações. Para saber mais sobre esta definição, veja Política CSP – Defender: ControlledFolderAccessAllowedApplications.

   Quando terminar, no separador Definições de configuração , selecione Seguinte.

6. No separador Etiquetas de âmbito , a etiqueta de âmbito denominada Predefinição está selecionada por predefinição, mas pode removê-la e selecionar outras etiquetas de âmbito existentes. Quando concluir, selecione Avançar.

7. No separador Atribuições , clique na caixa, selecione Todos os utilizadores, clique novamente na caixa e, em seguida, selecione Todos os Dispositivos. Verifique se o valor Tipo de destino é Incluir para ambos e, em seguida, selecione Seguinte.

8. No separador Rever + criar , verifique as definições e, em seguida, selecione Guardar.

Gerenciamento de dispositivos móveis (MDM)

Utilize o fornecedor de serviços de configuração (CSP) ./Vendor/MSFT/Policy/Config/ControlledFolderAccessProtectedFolders para permitir que as aplicações façam alterações às pastas protegidas.

Microsoft Configuration Manager

1. No Microsoft Configuration Manager, aceda a Ativos e Compatibilidade>Endpoint Protection>Windows Defender Exploit Guard.

2. Selecione Base>Criar Política do Exploit Guard.

3. Introduza um nome e uma descrição, selecione Acesso controlado a pastas e selecione Seguinte.

4. Escolha se bloqueia ou audita alterações, permite outras aplicações ou adiciona outras pastas e selecione Seguinte.

   Observação

   O caráter universal é suportado para aplicações, mas não para pastas. As aplicações permitidas continuam a acionar eventos até serem reiniciadas.

5. Reveja as definições e selecione Seguinte para criar a política.

6. Após a criação da política, Feche.

Para obter mais informações sobre Microsoft Configuration Manager e Acesso Controlado a Pastas, visite Políticas e opções de acesso controlado a pastas.

Política de grupo

1. No dispositivo de gestão Política de Grupo, abra a Consola de Gestão do Política de Grupo. Clique com o botão direito do rato no Objeto Política de Grupo que pretende configurar e selecione Editar.

2. No Editor de Gerenciamento de Política de Grupo, acesse Configuração do Computador e selecione Modelos Administrativos.

3. Expanda a árvore para componentes > do Windows Microsoft Defender acesso controlado a pastas > antivírus Microsoft Defender Exploit Guard>.

4. Faça duplo clique na definição Configurar acesso controlado a pastas e defina a opção como Ativado. Na secção de opções, tem de especificar uma das seguintes opções:

   • Ativar – as aplicações maliciosas e suspeitas não têm permissão para efetuar alterações a ficheiros em pastas protegidas. É fornecida uma notificação no registo de eventos do Windows.
   • Desativar (Predefinição) – a funcionalidade de acesso controlado a pastas não funcionará. Todas as aplicações podem efetuar alterações a ficheiros em pastas protegidas.
   • Modo de Auditoria – as alterações são permitidas se uma aplicação maliciosa ou suspeita tentar efetuar uma alteração a um ficheiro numa pasta protegida. No entanto, é registado no registo de eventos do Windows, onde pode avaliar o impacto na sua organização.
   • Bloquear apenas a modificação do disco – as tentativas de aplicações não fidedignos para escrever em setores de disco são registadas no registo de Eventos do Windows. Estes registos podem ser encontrados em Registos de Aplicações e Serviços> do Microsoft > Windows > Defender > Operational > ID 1123.
   • Auditar apenas a modificação do disco – apenas as tentativas de escrita em setores de disco protegidos são registadas no registo de eventos do Windows (em Aplicações e Serviços> Regista o IDOperacional> doMicrosoft>Windows>Defender>1124). As tentativas de modificar ou eliminar ficheiros em pastas protegidas não serão registadas.

   

PowerShell

1. Digitar powershell no menu Iniciar, clique com o botão direito do mouse em Windows PowerShell e selecione Executar como administrador.

2. Execute o seguinte comando:

   Set-MpPreference -EnableControlledFolderAccess Enabled
   

   Pode ativar a funcionalidade no modo de auditoria ao especificar AuditMode em vez de Enabled. Utilize Disabled para desativar a funcionalidade.

Para obter informações detalhadas sobre a sintaxe e os parâmetros, veja EnableControlledFolderAccess.

Confira também

• Proteja pastas importantes com acesso controlado a pastas
• Personalizar o acesso controlado a pastas
• Avaliar o Microsoft Defender para Ponto de Extremidade