Microsoft MD-102: Sicurezza degli endpoint e Microsoft Defender — Guida allo studio

By Laurynas Brazys · 5 August 2026 · #microsoft #md-102 #certification #exam-prep #study-guide

Fa parte della Microsoft Endpoint Administrator Associate MD-102 — Guida allo studio. Esercitati con risposte verificate nel centro esami Microsoft, oppure fai test cronometrati su ExamRoll.io.

Panoramica

La sicurezza degli endpoint su Windows con Microsoft Intune si basa sulle tecnologie Microsoft Defender che operano in sinergia: Defender Antivirus per la prevenzione da malware, Defender Firewall per il controllo della rete basato su host, le regole di Riduzione della Superficie di Attacco (ASR) e l’Accesso Controllato alle Cartelle per bloccare le tecniche comuni di exploit e ransomware, e Microsoft Defender for Endpoint (MDE) per il rilevamento e la risposta alle minacce a livello aziendale. Intune fornisce la creazione, l’assegnazione e il reporting delle policy per queste funzionalità, oltre a controlli nativi per la crittografia del disco BitLocker e Windows Hello for Business (WHfB) per proteggere dati e identità. Questa sezione spiega come configurare questi livelli end-to-end, con indicazioni precise per l’onboarding, la progettazione delle policy e le best practice operative.

Microsoft Defender Antivirus, Riduzione della Superficie di Attacco e Accesso Controllato alle Cartelle

Defender Antivirus è il motore antimalware di base. In Intune, utilizzare Sicurezza degli endpoint > Antivirus (per Windows 10 e versioni successive) per configurare:

Protezione in tempo reale: Mantenere abilitate la protezione in tempo reale, il monitoraggio del comportamento e la protezione fornita dal cloud. La protezione cloud con l’invio automatico di campioni aumenta la velocità e la copertura del rilevamento. Utilizzare l’impostazione del livello di protezione MAPS/Cloud su “Alto” per decisioni di blocco più rapide.
Esclusioni: Aggiungere solo esclusioni mirate dopo aver convalidato un falso positivo o un impatto dimostrabile sulle prestazioni. I tipi di esclusione supportati sono percorsi di file/cartelle, estensioni di file e processi. Preferire le esclusioni a livello di processo per gli updater attendibili per impedire di eludere i rilevamenti sui payload rilasciati. Evitare estensioni ampie (ad esempio, escludere ricorsivamente .log) e condivisioni di rete a meno che non sia assolutamente necessario; eseguire prima un audit, poi restringere l’ambito.
Pianificazioni delle scansioni: Configurare una scansione rapida giornaliera durante le ore non di punta e una scansione completa settimanale. Abilitare le “Scansioni di recupero” per eseguire le scansioni mancate. Limitare il carico della CPU durante la scansione se necessario e abilitare la scansione di file di archivio e di posta elettronica in modo coerente con la capacità prestazionale. Le scansioni rapide dovrebbero integrare, non sostituire, le scansioni complete.

Le regole di Riduzione della Superficie di Attacco (ASR) prevengono azioni comuni degli aggressori anche se il malware è sconosciuto:

Modalità: Ogni regola supporta le modalità Blocco, Audit o Non configurato. Iniziare in modalità Audit per scoprire i riscontri legittimi, esaminare gli eventi in Microsoft Defender XDR (Ricerca avanzata: DeviceEvents con ActionType “Asr” o “AsrExecution”), quindi spostare le regole selezionate in modalità Blocco. Alcune regole supportano anche la modalità Avviso; quando disponibile, utilizzarla temporaneamente per ridurre le interruzioni durante il passaggio alla modalità Blocco.
Regole principali da prioritizzare: Bloccare la creazione di processi figlio da parte di Office, bloccare l’iniezione di codice da parte di Office in altri processi, bloccare contenuti eseguibili da e-mail/webmail, bloccare il furto di credenziali da LSASS, bloccare la creazione di processi originati da PSExec/WMI e bloccare la persistenza tramite la sottoscrizione di eventi WMI.
Esclusioni: Utilizzare esclusioni specifiche per ASR dove necessario (file, cartella o processo). Non fare affidamento sulle esclusioni di Defender AV per ASR; configurare esclusioni specifiche per regola o per l’intero ASR nella policy di Riduzione della superficie di attacco di Intune. Mantenere le esclusioni ristrette e riesaminarle regolarmente.

L’Accesso Controllato alle Cartelle (CFA) mitiga il ransomware limitando le scritture di processi non attendibili nelle cartelle protette:

Stati: Disattivato, Audit o Blocco (Abilitato). Utilizzare la modalità Audit per stabilire una baseline, quindi passare a Blocco quando il “rumore” è sotto controllo.
Cartelle protette: Le librerie di sistema (Documenti, Immagini, Desktop, ecc.) sono protette per impostazione predefinita; aggiungere i percorsi dei dati line-of-business. Evitare di proteggere cartelle temporanee o di cache ad alta rotazione per ridurre al minimo i falsi positivi.
App consentite: Definire esplicitamente le app consentite tramite il percorso completo per gli updater attendibili e le applicazioni line-of-business che scrivono legittimamente nelle cartelle protette. Mantenere questo elenco minimo; preferire la coerenza del publisher nel packaging delle app per evitare la deriva dei percorsi.
Monitoraggio: Esaminare i blocchi CFA nel portale Defender e nei report di Intune per perfezionare l’elenco delle app consentite.

Microsoft Defender Firewall: Profili e Regole

Defender Firewall è un firewall host stateful con tre profili — Dominio, Privato e Pubblico — selezionati in base al rilevamento della posizione di rete:

Profili: Dominio si applica quando il dispositivo si autentica a un controller di dominio; Privato è per le reti attendibili designate dall’utente; Pubblico è l’impostazione predefinita per le reti non attendibili. Mantenere tutti e tre i profili abilitati e configurati; i dispositivi si spostano (roaming).
Postura di base: Bloccare il traffico in ingresso per impostazione predefinita. Consentire solo i servizi in ingresso necessari tramite regole esplicite (per programma, servizio, porta/protocollo e tipo di interfaccia). Il traffico in uscita può essere consentito per impostazione predefinita con regole di blocco mirate, oppure si può passare a una lista di elementi consentiti (allow-listing) in uscita per i segmenti ad alta sicurezza.
Policy di Intune: Utilizzare Sicurezza degli endpoint > Firewall per configurare le impostazioni a livello di profilo (attivato/disattivato, predefinito in ingresso/uscita, logging, modalità stealth, notifiche) e per distribuire le regole in ingresso/uscita. Disabilitare l’unione delle regole locali dove è necessario applicare una policy restrittiva; altrimenti, abilitare l’unione per consentire l’uso di strumenti di risoluzione dei problemi durante le fasi di transizione.
Igiene delle regole: Ancorare le regole al percorso del file di programma o al SID del servizio invece che alle porte nude, quando possibile. Limitare l’ambito delle regole a specifici IP/subnet remoti e disabilitare l’attraversamento dei NAT (edge traversal) a meno che non sia richiesto. Utilizzare regole separate per ogni profilo per applicare il principio del privilegio minimo. Registrare i pacchetti scartati e le connessioni riuscite per facilitare la risposta agli incidenti e l’ottimizzazione.

Onboarding di Microsoft Defender for Endpoint e integrazione EDR con Intune

L’onboarding dei dispositivi Windows 10/11 in MDE è semplificato con Intune:

Connettore: Nel centro di amministrazione di Intune, abilitare il connettore Microsoft Defender for Endpoint. Questa integrazione consente di definire la conformità in base al rischio del dispositivo, espone le attività di sicurezza e abilita la gestione delle impostazioni di sicurezza.
Criterio: Creare un criterio di tipo Endpoint security > Endpoint detection and response (EDR) per Windows 10 e versioni successive. Abilitare il sensore, impostare l’invio di telemetria/campioni come richiesto e assegnarlo ai gruppi di dispositivi Azure AD. Questa azione di onboarding registra il dispositivo in MDE e avvia lo streaming della telemetria verso Defender XDR.
EDR in modalità di blocco: Abilitare l’EDR in modalità di blocco tramite Endpoint security > Antivirus per i dispositivi che utilizzano un AV primario non Microsoft (o anche con Defender attivo per rafforzare la sicurezza post-violazione). La modalità di blocco arresta gli artefatti malevoli scoperti dall’EDR anche dopo la compromissione iniziale.
Punti di integrazione:
- Conformità e Accesso Condizionale: Creare un criterio di conformità del dispositivo che richieda un livello di rischio del dispositivo MDE pari a “Clear or Low”. Associarlo all’Accesso Condizionale per bloccare l’accesso alle risorse cloud da parte dei dispositivi a rischio.
- Criteri di riduzione della superficie di attacco: Configurare ASR, Network Protection e CFA da Intune in Endpoint security > Attack surface reduction. Se si utilizza la gestione delle impostazioni di sicurezza di MDE, garantire la precedenza ed evitare criteri in conflitto.
- Risposta: Da Defender XDR, avviare azioni di risposta in tempo reale (live response), isolamento, indagine e correzione (remediation). Intune e MDE condividono l’identità del dispositivo per azioni coordinate come il rilascio dalla quarantena e la verifica dei criteri.

Per macOS, distribuire Microsoft Defender for Endpoint utilizzando i profili di configurazione di Intune e la distribuzione di app (installazione di file PKG), quindi applicare le impostazioni di Defender tramite profili di preferenze o il catalogo delle impostazioni di MDE. Per le piattaforme Linux e mobili, seguire gli script di onboarding specifici della piattaforma o la registrazione basata su app, gestita da Intune dove supportato.

← Gestione e distribuzione delle applicazioni · Tutti i domini · Identità →

Esercitati su queste domande → · Pratica cronometrata su ExamRoll.io →