Defender in Intune: policy dedicate invece della baseline

Una security baseline ha causato un conflitto silenzioso, risolto solo eliminandola. Tre policy esplicite al suo posto, e perché le ASR partono in Audit.

Le security baseline sono il punto di partenza consigliato, e per un po’ sono esattamente quello. Questo capitolo parla di cosa è successo dopo che una di loro ha impedito in silenzio a una policy BitLocker di applicarsi, e di cosa l’ha sostituita.

Perché non la baseline

	Security baseline	Policy dedicate
Configurazione iniziale	Rapida, tutto preconfezionato	Più lunga
Trasparenza	Opaca: centinaia di voci implicite	Sai da dove viene ogni impostazione
Conflitti	Frequenti, e silenziosi	Visibili prima di crearli
Modifica o rimozione	Non sempre efficace	Immediata

L’esperienza decisiva: una policy BitLocker non si applicava perché la baseline di Defender configurava le stesse impostazioni con valori diversi. Intune le segna in Conflict e non ne applica nessuna delle due — nessun errore, nessun avviso, il dispositivo resta semplicemente sul valore predefinito di Windows.

Togliere la sezione BitLocker dalla baseline non è bastato. Il conflitto è sopravvissuto a ore e a più check-in. Si è sciolto solo eliminando del tutto la baseline.

La regola adottata: una policy per funzione. Più lunga da configurare, ma sai sempre quale policy possiede un’impostazione, e i conflitti diventano visibili prima di esistere invece che dopo.

A — Defender Antivirus

Sicurezza degli endpoint → Antivirus → Microsoft Defender Antivirus.

Impostazione	Valore
Monitoraggio in tempo reale	Consentito
Protezione cloud	Consentita
Livello di blocco cloud	Alto
Timeout esteso cloud	`50`
Monitoraggio del comportamento	Consentito
Analisi degli script	Consentita
Invio di campioni	Invia automaticamente i campioni sicuri
Intervallo di aggiornamento delle firme	`4` ore
Orario dell’analisi veloce	`120` (02:00)
Disable Local Admin Merge	Attivo
Protezione PUA	Attiva, gli elementi rilevati vengono bloccati

Due meritano una spiegazione.

La protezione PUA blocca adware, toolbar, bundle di installazione e cryptominer: categorie che l’antivirus lascia passare perché non sono malware in senso stretto. Ottimo rapporto fra beneficio e fastidio.

B — Attack Surface Reduction, in Audit

Sicurezza degli endpoint → Riduzione della superficie di attacco → Regole ASR.

Le regole ASR non usano firme. Bloccano comportamenti su cui il malware conta quasi sempre e il software legittimo quasi mai: Office che genera un processo figlio, una macro che chiama le API Win32, uno script che legge credenziali da LSASS.

Le regole configurate, tutte in Audit:

Contenuto eseguibile da email e webmail
Processi figli di Office · contenuto eseguibile di Office · code injection in Office
JavaScript e VBScript che avviano eseguibili scaricati
Script offuscati
Chiamate alle API Win32 da macro Office
Furto di credenziali da LSASS
Processi non firmati eseguiti da USB
Persistenza tramite WMI
Protezione avanzata dal ransomware

Metti in agenda di riguardare i log dopo un paio di settimane, e promuovi a Block le regole che non hanno mai reagito a qualcosa di legittimo.

C — Profilo firewall

Sicurezza degli endpoint → Firewall → Windows Firewall.

Impostazione	Valore
Abilita firewall per rete di dominio	True
Abilita firewall per rete privata	True
Abilita firewall per rete pubblica	True
Tutto il resto	Non configurato

Lasciate non configurate anche: VM Creator Id, Auditing (log molto verbosi), Network List Manager.

Il principio guida

Configurare il meno possibile.

Ogni voce impostata è una cosa in più che può entrare in conflitto o comportarsi in modo imprevisto. Non configurato significa «lascia il valore predefinito di Windows», che nella maggior parte dei casi è sensato — e soprattutto è prevedibile.

È il vero argomento contro le baseline. Non che i loro valori siano sbagliati, ma che sono centinaia, non li hai scelti uno per uno, e quando uno di loro entra in collisione con qualcosa che hai scelto tu, non te lo dice nessuno.

Ancora da fare

Dopo un paio di settimane, esaminare i log ASR e promuovere a Block le regole pulite.
Valutare l’onboarding di Defender for Business — EDR e gestione delle vulnerabilità, già compresi nella licenza.
Valutare Windows Hello for Business, per uscire del tutto dalle password.