Microsoft Intune – Como Configurar o App Control for Business

A segurança dos endpoints é uma das maiores prioridades para qualquer administrador de TI. Impedir a execução de softwares maliciosos ou não autorizados é uma camada fundamental de proteção. O App Control for Business (Controle de Aplicativos para Empresas) no Microsoft Intune, surge como uma solução robusta e centralizada para esse desafio.

Neste guia passo a passo, vamos explorar como configurar políticas de App Control for Business. O nosso objetivo será criar uma regra que confia em todos os aplicativos implantados através do próprio Intune, estabelecendo um ambiente seguro e gerenciado.

O que é o App Control for Business?

Anteriormente conhecido como Windows Defender Application Control (WDAC), o App Control for Business é uma tecnologia de segurança que permite restringir quais aplicativos os usuários podem executar em seus dispositivos Windows. Ao configurá-lo via Intune, ganhamos o gerenciamento centralizado e a capacidade de implantar políticas de controle de aplicativos de forma escalável em todo o nosso parque de máquinas.

Pré-requisitos

Antes de começarmos, garanta que você tenha:

• Licenciamento adequado: Uma assinatura que inclua o Microsoft Intune.
• Permissões: Acesso de administrador ao portal do Microsoft Intune (Intune Administrator ou Admin Global).
• Dispositivos: Dispositivos Windows 10/11 (edições Pro, Enterprise ou Education) já registrados no Intune.
• Grupos de Teste: Um grupo de dispositivos ou usuários no Entra ID para a implantação inicial da política (altamente recomendado).

Atenção: As implementações apresentadas em nossos artigos foram desenvolvidas com base em documentações oficiais e nas boas práticas recomendadas pela Microsoft. Entretanto, enfatizamos que qualquer implementação deve ser previamente testada em ambientes de homologação ou testes para garantir a segurança e a estabilidade do ambiente de produção.

Configurando o Instalador Gerenciado (Managed Installer)

O primeiro e mais crucial passo é dizer ao App Control em quem ele deve confiar. Ao configurar a Extensão de Gerenciamento do Intune (Intune Management Extension) como um “instalador gerenciado”, estamos essencialmente criando uma regra de ouro: “Se o Intune instalou, é confiável”.

Isso simplifica drasticamente a administração, pois você não precisará criar regras para cada aplicativo individual que implantar via Intune.

Passo 1: Navegar para o App Control for Business

1. Acesse o portal Microsoft Intune admin center.
2. No menu à esquerda, clique em Endpoint security (Segurança de ponto de extremidade).
3. Role para baixo na seção “Manage (Gerenciar)” e selecione App Control for Business (Preview).
4. Clique no botão + Add (+ Adicionar).
5. Dentro da tela do App Control, clique na aba Managed installer (Instalador gerenciado)

Confirmar a Extensão de Gerenciamento do Intune. Um painel lateral se abrirá. Ele explica que esta ação concederá permissão para que a Extensão de Gerenciamento do Intune atue como uma fonte autorizada de implantação de aplicativos.

1. Clique no botão Add (Adicionar) na parte inferior deste painel.
2. Uma janela de confirmação final aparecerá. Clique em Yes para prosseguir.

Após alguns instantes, a página será atualizada. Você deverá ver o “Managed installer – Intune Management Extension” listado, com o status “Active”. Isso confirma que a primeira parte da nossa configuração foi bem-sucedida.

Criando a Política de Controle de Aplicativos

Agora podemos criar a política que aplicará essa regra aos dispositivos, criando uma nova política.

1. Ainda na seção “App Control for Business”, volte para a aba principal App Control for Business.
2. Clique em + Create Policy (+ Criar Política).

Configurações Básicas da Política

Na tela “Basics”, defina um nome e uma descrição para a sua política. É uma boa prática ser descritivo.

• Name: Política Base – App Control
• Description: Permite apps instalados pelo Intune e componentes do Windows. Iniciar em modo de auditoria.
• A plataforma já estará selecionada como Windows.
• Clique em Next (Avançar).

Esta é a etapa mais importante, onde definimos o comportamento da nossa política.

1. Configuration settings format: Mantenha a opção Use built-in controls (Usar controles internos).
2. Enable App Control for Business policy to trust Windows components and Store apps: Aqui você tem duas opções cruciais:
   • Enforce (Aplicar): Bloqueia ativamente qualquer aplicativo que não corresponda às regras.
   • Audit only: (RECOMENDADO PARA INÍCIO) Não bloqueia nada, mas registra em log todos os aplicativos que seriam bloqueados. Isso permite que você avalie o impacto da política antes de aplicá-la de forma restritiva.
3. Select additional rules for trusting apps (Selecionar regras adicionais para confiar em aplicativos):
   • Marque a caixa de seleção Trust apps from managed installers (Confiar em aplicativos de instaladores gerenciados).
4. Clique em Next (Avançar).

Nota: Sempre comece com Audit only. Após monitorar os logs (no Visualizador de Eventos do Windows em Logs de Aplicativos e Serviços > Microsoft > Windows > CodeIntegrity > Operational) e garantir que nenhum aplicativo legítimo está sendo sinalizado, você pode editar a política e mudar para Enforce.

• Trust apps with good reputation: Habilita a confiança automática em aplicativos que possuem boa reputação com base na telemetria do Microsoft Intelligent Security Graph (ISG).
• Trust apps from managed installers: Confia automaticamente todos os apps instalados pelo Intune, ou seja, qualquer app instalado via script, Win32 ou política do Intune será marcado como confiável automaticamente no sistema operacional.

Atribuir a Política (Assignments)

1. Na tela de “Assignments”, você definirá quem receberá esta política.
2. Clique em Add groups (Adicionar grupos) e selecione um grupo de teste inicial. No nosso exemplo, o grupo J365 – Departamento TI foi selecionado.
3. Nunca implante uma política restritiva como essa para “Todos os Usuários” ou “Todos os Dispositivos” sem antes testar exaustivamente em um grupo piloto.
4. Clique em Next (Avançar).

Revisar e Criar

1. A última tela (“Review + create”) mostrará um resumo de todas as configurações que você selecionou.
2. Revise tudo cuidadosamente. Se estiver correto, clique em Create (Criar).

A política será criada e começará a ser implantada nos dispositivos do grupo selecionado assim que eles fizerem o check-in com o serviço do Intune.

Configurações Avançadas

Com o Windows Defender Application Control (WDAC), é possível definir exatamente quais aplicativos têm permissão para executar em dispositivos com Windows 10, 11. Aqui avançaremos para uma configuração avançada, criando uma política WDAC utilizando o App Control Policy Wizard.

Antes de seguir adiante é importante:

• Crie uma VM e instale todos os apps que deseja permitir e bloquear aplicativos.
• Baixe e Instale o WDAC Wizard na VM criada.

Após concluir todas as etapas acima, inicie o App Control Policy Wizard, você será apresentado à tela de boas-vindas com as seguintes opções:

• Policy Creator: Criação de uma nova política base ou suplementar.
• Policy Editor: Edição de políticas existentes.
• Policy Merger: Mesclagem de duas políticas.

Clique em Policy Creator para iniciar a criação de uma nova política.

Na tela Select a Policy Type, selecione:

• Multiple Policy Format
• Base Policy

Este formato é recomendado para ambientes Windows 10 (versão 1903+) e Windows 11, permitindo múltiplas políticas simultâneas no mesmo dispositivo.

Na etapa Select a Base Template for the Policy, escolha o modelo Allow Microsoft Mode, nomeie sua política e defina o local de salvamento do arquivo .xml.

Mas antes de seguir para a próxima etapa, vou lhe explicar cada uma dessas opções da imagem acima.

1. Default Windows Mode (Modo Padrão do Windows)

• O que faz: É o modelo mais restritivo. Ele confia apenas nos arquivos do sistema operacional Windows, aplicativos instalados pela Microsoft Store e drivers assinados com certificados WHQL (Windows Hardware Quality Labs). Não confia automaticamente em todos os aplicativos da Microsoft, como o Office ou Teams, se instalados fora da Store.
• Vantagens:
  • Segurança Máxima: Reduz drasticamente a superfície de ataque ao permitir apenas o essencial para o funcionamento do Windows.
  • Controle Granular: Força o administrador a criar regras de permissão explícitas para quase todos os softwares, incluindo alguns da própria Microsoft.
• Desvantagens:
  • Alto Custo de Manutenção: Exige um trabalho inicial significativo para criar regras de permissão para todos os aplicativos necessários, como o pacote Office, navegadores e outras ferramentas corporativas.
  • Incompatibilidade: Pode “quebrar” muitos aplicativos legítimos até que eles sejam explicitamente permitidos.

2. Allow Microsoft Mode (Modo Permitir Microsoft)

• O que faz: Este modelo confia em tudo o que o “Default Windows Mode” confia e adiciona uma regra que confia em todos os aplicativos assinados digitalmente pela Microsoft. Isso inclui o Microsoft 365 Apps (Office), Teams, Edge, Visual Studio Code, etc., independentemente de como foram instalados. Este é o melhor ponto de partida para a maioria das empresas e para o seu objetivo específico.
• Vantagens:
  • Equilíbrio entre Segurança e Usabilidade: Garante que todos os componentes do Windows e o ecossistema de produtividade da Microsoft funcionem sem problemas.
  • Menor Manutenção Inicial: Elimina a necessidade de criar regras manuais para o vasto portfólio de softwares da Microsoft, que são amplamente utilizados em ambientes corporativos.
• Desvantagens:
  • Superfície de Ataque Maior que o Modo Padrão: Confia em um número muito maior de executáveis. Um invasor poderia, teoricamente, tentar usar um executável legítimo da Microsoft para fins maliciosos.

3. Signed and Reputable Mode (Modo Assinado e de Boa Reputação)

• O que faz: É o modelo mais flexível. Ele confia em tudo do “Allow Microsoft Mode” e adiciona uma regra dinâmica que confia em aplicativos que possuem uma “boa reputação” de acordo com o Microsoft Intelligent Security Graph (ISG). O ISG é um serviço na nuvem que usa telemetria e machine learning para determinar se um arquivo é seguro.
• Vantagens:
  • Menor Custo de Manutenção Contínua: Reduz drasticamente a necessidade de criar regras de permissão para softwares de terceiros populares e conhecidos (como Google Chrome, Adobe Reader, Zoom), pois o ISG provavelmente já os considera seguros.
  • Ótima Experiência para o Usuário: A maioria dos aplicativos legítimos e comuns simplesmente funcionará sem a necessidade de intervenção do administrador.
• Desvantagens:
  • Segurança Reduzida: A decisão de confiar em um arquivo é delegada a um serviço na nuvem baseado em reputação, que é heurístico e não uma garantia absoluta como uma assinatura digital explícita.
  • Dependência de Internet: O computador precisa de acesso à internet para consultar a reputação de novos arquivos.
  • Aplicações de Nicho ou Internas: Softwares menos conhecidos ou desenvolvidos internamente (que não possuem reputação no ISG) serão bloqueados e precisarão de regras manuais.

Avançamos para a tela Configure Policy Template, ajuste as opções conforme necessário. Algumas recomendações:

Essas são algumas configurações mas vou explicar cada uma delas abaixo:

• Advanced Boot Options Menu (ativado): Permite o uso de teclas como F8 para acessar o menu de opções avançadas de inicialização (Safe Mode, etc). Desative para hardening máximo (SOC), pois pode permitir manipulação do sistema.
• Allow Supplemental Policies (ativado): Permite a aplicação de políticas suplementares (Supplemental Policies) junto com a política base. Essas políticas permitem regras de permissão adicionais, sem a necessidade de substituir a base. Essencial para ambientes corporativos gerenciados via Intune.
• Disable Script Enforcement (desativado): Se ativado, desativa o bloqueio de scripts (PS1, VBS, JS). Deixe desativado para bloquear scripts não assinados.
• Enforce Store Applications (desativado): Impede que apps da Microsoft Store sejam executados se não forem explicitamente permitidos. Deixe desativado para permitir Store apps confiáveis como Edge, OneNote, etc.
• Hypervisor protected Code Integrity (desativado): Ativa o Memory Integrity (VBS), protegendo o kernel contra códigos maliciosos. Exige hardware compatível (Intel VTd / AMDVi). Alta segurança – recomendado em SOC.
• Intelligent Security Graph (ISG) (desativado): Permite a execução de apps com boa reputação, verificada via Microsoft Intelligent Security Graph. Recomendado para evitar bloqueios de apps populares (Zoom, Chrome, etc). Ative em modo Audit para avaliar impacto antes.
• Managed Installer (ativado): Confia automaticamente em qualquer app instalado via Intune (marcado como “installer gerenciado”). Recomendado ativar em políticas base se a organização usa Intune como gerenciador de apps. Muito usado em políticas corporativas com Intune.
• Require WHQL (desativado): Exige que drivers de dispositivo tenham certificação WHQL (Windows Hardware Quality Labs). Pode bloquear drivers de impressoras antigas, periféricos e softwares legados. Use com cautela.
• Update Policy without Rebooting (ativado): Permite atualizar a política sem reiniciar o sistema, desde que em múltiplas políticas (1903+). Essencial para operações via Intune, pois garante fluidez sem impacto para o usuário.
• Unsigned System Integrity Policy (ativado): Permite aplicar uma política não assinada digitalmente. Útil para testes internos. Para produção, é recomendado assinar a política (.pfx) e desmarcar esta opção.
• User Mode Code Integrity (UMCI) (ativado): Aplica integridade de código também em modo usuário (não apenas kernel). Importante para bloquear DLLs e EXEs não confiáveis carregados por apps. Essencial para bloquear ataque via LOLBins.
• Audit Mode (ativado): A política está em modo somente auditoria — não bloqueia nada, mas gera eventos no log (Event Viewer > Microsoft > Windows > CodeIntegrity). Recomendado para validar impacto antes de aplicar modo de bloqueio.
• Boot Audit on Failure (desativado): Em caso de falha no carregamento da política, o sistema entra no modo de auditoria, permitindo boot. Útil para evitar loopings em políticas mal configuradas.
• Disable Flight Signing (desativado): Bloqueia a execução de binários assinados para “insiders” e “testes internos da Microsoft”. Relevante apenas em ambientes conectados a builds insider.
• Disable Runtime Filepath Rules (desativado): Ignora regras baseadas em caminho de arquivos (path rules). Evita manipulação por renomeação de arquivos. Ative se quiser bloquear esse tipo de bypass.
• Dynamic Code Security (desativado): Reforça proteção contra código carregado dinamicamente (ex: script que baixa DLL da internet). Alta segurança, mas pode causar falso positivo em apps legítimos.
• Invalidate EAs on Reboot (desativado): Limpa atributos estendidos (EAs) dos arquivos na reinicialização. Relevante para controle de apps marcados com confiança temporária.
• Require EV Signers (desativado): Exige que os binários sejam assinados com certificado EV (Extended Validation). Altíssimo nível de segurança, porém muito restritivo.
• Treat Revoked as Unsigned (desativado): Trata binários assinados com certificados revogados como se fossem não assinados, bloqueando-os. Recomendado em ambientes de alta segurança. Evita execução de malware antigo com certificado revogado.

Atenção: O Modo Auditoria é uma etapa crucial, pois evita que você bloqueie acidentalmente um aplicativo ou driver essencial e fazer com que o sistema não inicie mais. Além disso, o modo de auditoria funciona como um “raio-x” do ambiente, revelando todos os processos secundários e bibliotecas (.dlls) que os aplicativos permitidos precisam para funcionar e que poderiam ser esquecidos. Dessa forma, você pode validar se suas regras de bloqueio e permissão estão corretas e, ao mesmo tempo, descobrir o que mais precisa ser permitido, tudo isso sem interromper a produtividade dos usuários.

Na seção File Rules, você pode adicionar regras específicas para permitir ou negar a execução de determinados aplicativos. Clique em Add Custom Rule para criar novas regras.

Para aplicativos instalados pela Microsoft Store, o método correto utiliza o nome da família do pacote, exemplo Whatsapp. No nosso exemplo, vamos bloquear o aplicativo Whatsapp.

• Na janela “Custom Rule Conditions“, confirme que a ação (Rule Action) é Deny.
• Mude o Rule Type para Packaged App.
• No campo Package Name, digite “WhatsApp” e clique em Search.
• O assistente listará os pacotes correspondentes. Marque a caixa de seleção para o pacote do WhatsApp.

Atenção: É essencial incluir regras de permissão (Allow) para aplicativos já instalados, mesmo que eles sejam distribuídos pelo Intune e que você planeje usar a funcionalidade de “Managed Installer“. O motivo para isso é que o recurso de Instalador Gerenciado não é retroativo; ele só começa a rastrear e autorizar automaticamente as instalações que ocorrem após a política WDAC e a configuração do instalador serem aplicadas no dispositivo. Isso significa que, para qualquer aplicativo que já esteja presente nos computadores – mesmo que tenha sido implantado pelo Intune semanas ou dias antes – o WDAC não terá o registro de que ele veio de uma fonte confiável.

Clique em Create Rule para adicionar esta regra de bloqueio à sua política.

Para aplicativos de desktop tradicionais (.exe), o método mais robusto e recomendado é bloquear pela assinatura digital do fornecedor (Publisher). O processo é o mesmo para cada aplicativo.

O Processo Repetível: Após clicar em + Add Custom Rule novamente:

1. Confirme que a Rule Action está em Deny.
2. Defina o Rule Type como Publisher.
3. Clique em Browse e selecione o arquivo executável principal do aplicativo que deseja bloquear.
4. O assistente preencherá os detalhes da assinatura. Deixe a caixa Publisher e Issuing CA marcada.
5. Clique em Create Rule.

Após adicionar todas as suas regras de bloqueio, você retornará à tela principal de File Rules. Suas novas regras de Deny agora estarão listadas. A etapa final aqui é fortalecer sua política com as recomendações de segurança da Microsoft.

• Marque a caixa de seleção Merge with Recommended User Mode Block Rules.
• Marque a caixa de seleção Merge with Recommended Kernel Block Rules.

Clique no botão Next.

Ao clicar em “Next”, você avançará para a tela final de criação da política. O assistente irá gerar os arquivos .xml e .cip (ou .bin). A partir daí, o processo continua com a implantação da política em Modo Auditoria no seu ambiente de teste, seguida pela verificação dos logs de eventos e, finalmente, a posteriormente a mudança para o modo de imposição.

Agora vamos para o Intune e importar o arquivo xml. Acesse o portal do Intune:

• Acesse Endpoint Security >> App Control for Business >> Create Rule;
• Defina um nome e não esqueça da descrição e avance;
• Em Configuration Settings Format >> Enter xml;
• Importe o xml da policy que foi gerado anteriormente.

Avance e atribua a policy para grupos de usuários. Avance e conclua essa etapa, sincronize o dispositivo e aguarde a propagação da politica.

Após o Intune reportar que a política foi aplicada com sucesso ao seu dispositivo de teste, é hora de confirmar que ela está funcionando como esperado.

Nota: Na sua VM de teste, tente executar um dos aplicativos que você bloqueou, como o CCleaner, Whatsapp, etc. Como a política está em Modo Auditoria, o aplicativo irá funcionar normalmente, porém irá gerar logs de eventos.

Abra o Visualizador de Eventos e navegue até Logs de Aplicativos e Serviços > Microsoft > Windows > CodeIntegrity > Operational. Você localizou corretamente o evento com ID 3076. Este é o evento exato que confirma que uma aplicação teria sido bloqueada, mas foi permitida porque a política está em Modo de Auditoria. Veja um exemplo abaixo:

Convertendo sua Política WDAC de Auditoria para Imposição

Nesta parte, usarei o “Policy Editor” para carregar nossa política de auditoria e modificá-la para se tornar uma política de imposição.

• Abra o App Control Policy Wizard.
• Na tela de boas-vindas, selecione a opção do meio: Policy Editor. Isso permite modificar uma política existente.

A tela seguinte pedirá o caminho do arquivo de política que você deseja editar.

• Clique no botão Browse.
• Na janela de seleção de arquivo, navegue até a pasta onde você salvou sua política e selecione o arquivo .xml da sua política de auditoria (ex: Custom_Policy.xml), como demonstrado abaixo.

Esta é a ação mais importante de todo o processo.

1. Avance para a tela Policy Rules.
2. Localize a chave (toggle) Audit Mode na parte inferior da tela.
3. Desligue a chave. Ela mudará de azul (ligada) para cinza (desligada), indicando que a política agora irá impor os bloqueios.

Avance para a tela File Rules. Esta tela serve apenas para uma revisão final, garantindo que todas as suas regras de bloqueio e permissão ainda estão presentes. Clique em Next.

Na tela final, será gerado um novo arquivo xml e esse arquivo é o arquivo final da politica de imposição do App Control.

Após isso, volte no Intune, no App Control for Business e edite a politica que você criou de auditoria e importe esse novo xml gerado e aguarde a propagação da politica.

Após aplicar, você verá alguns IDs no EventViewer, onde exibe informações de imposição, bloqueando os apps que você incluiu no wizard.

Parabéns! Você não apenas configurou uma política de controle de aplicativos; você arquitetou uma nova camada de segurança para sua organização. Você aprendeu a planejar, construir, auditar, refinar e impor uma estratégia de confiança zero.

O App Control for Business é uma jornada contínua. Novos softwares surgirão, e você usará as políticas suplementares para gerenciá-los. Mas o alicerce que você construiu hoje tornará seus endpoints muito mais seguros.

Chegamos ao fim dessa nossa jornada. Mas compartilhe conosco, você já implantou o App Control em um ambiente de produção? Compartilhe conosco sua experiencia e faça parte desta jornada.