Sérgio Sant'Ana JúniorA restrição de acesso ao disco local (C:) através do Microsoft Intune é uma medida de segurança essencial para organizações modernas. Quando implementada corretamente, oferece um equilíbrio entre segurança e usabilidade, protegendo dados corporativos sem comprometer a produtividade dos usuários.
Lembre-se de que esta é apenas uma parte de uma estratégia de segurança abrangente. Combine estas restrições com outras políticas de segurança do Intune para criar uma postura de segurança robusta e eficaz.
Passo a Passo: Restringir o Acesso ao Disco Local (C:)
Para iniciar, precisamos criar um perfil de configuração no Intune.
Acesse o portal do Intune: Entre no Microsoft Endpoint Manager Admin Center.
Criar um perfil de configuração:
- No menu à esquerda, vá até Dispositivos > Perfis de Configuração > Criar Perfil.
- Escolha:
- Plataforma: Windows 10 e posterior.
- Tipo de perfil: Catálogo de configurações.
Preencha o nome e a descrição:
- Nome de Exemplo: Restrição Disco (C:)
- Descrição: Política de restrição de acesso ao disco local (C:) para dispositivos Windows 10 e Windows 11.
Selecionar configurações específicas descritas abaixo:
- Clique em Adicionar configurações.
- Pesquise por File Explorer (Explorador de Arquivos) ou role para baixo até localizar File Explorer.
- Selecione as configurações:
- Definir Locais de Pasta Permitidos (Usuário): Este PC, Área de Trabalho, Documentos, Imagens, Downloads, Rede.
- Permitir Opção Para Mostrar Este PC (usuário): Permitido.
Você pode configurar os locais permitidos de acesso conforme a necessidade. Por padrão, eu geralmente deixo todas as opções habilitadas. O motivo é que o usuário pode precisar acessar recursos como ‘Meu Computador’ para acessar pendrives, leitores de DVD, HD Externo, etc. No entanto, essa configuração não é uma regra padrão. É importante avaliar e definir previamente quais locais serão liberados, de acordo com as demandas específicas do ambiente e das políticas da empresa, antes de aplicar a configuração.
Ocultando ou Bloqueando os discos
Agora vamos para o próximo passo. Esta política permite ocultar determinadas unidades (drives) no Explorador de Arquivos e em “Este Computador”. Embora as unidades estejam ocultas visualmente, elas ainda podem ser acessadas por outros meios, como a linha de comando ou inserindo o caminho diretamente na barra de endereços do Explorador.
Adicionar Configurações >> Modelos Administrativos >> Componentes do Windows >> Selecione as configurações:
- Hide these specified drives in My Computer: Oculta as unidades especificadas no Explorador de Arquivos (Ex: Disco C, D, etc.). O usuário não consegue ver a unidade selecionada no “Este Computador” ou no Explorador de Arquivos, mas ainda pode acessá-la indiretamente (por exemplo, via linha de comando ou executando diretamente o caminho da unidade na barra de endereços do Explorador).
Um exemplo prático seria a necessidade de ocultar a unidade C: dos usuários para evitar que eles acessem seu conteúdo de forma acidental. Ao configurar a política NoDrives e especificar a unidade C:, ela deixará de ser exibida no Explorador de Arquivos. Contudo, vale ressaltar que essa medida não impede o acesso direto: os usuários ainda poderão acessar a unidade digitando C:\ na barra de endereços ou utilizando a linha de comando.
Nota: Utilize essa política apenas ocultar a unidade, sem impedir o acesso. É útil para simplificar a interface do usuário ou esconder unidades do sistema de usuários inexperientes.
- Prevent access to drives from My Computer: Esta política impede o acesso ao conteúdo de unidades específicas através do Explorador de Arquivos, “Este Computador” e outros métodos padrão. Quando ativada, mesmo que a unidade não esteja oculta, qualquer tentativa de acessá-la resultará em uma mensagem, impedindo a visualização de seu conteúdo.
Atenção: Ao aplicar a configuração “Prevent access to drives from My Computer” no disco (C:), você está automaticamente bloqueando acesso as pastas padrão de usuário, como Documentos, Downloads, Imagens, etc. , pois elas estão localizadas fisicamente nessa unidade. Isso impede a leitura, gravação e execução de arquivos em qualquer subpasta do disco, inclusive pastas pessoais.
- Prevent users from adding files to the root of their Users Files folder: Se aplicar para o Disco Local (C:) esta política impede que os usuários criem novos itens (arquivos ou pastas) em diretórios específicos, como as pastas Documentos, Músicas, Imagens, etc. Quando ativada, os usuários não poderão adicionar novos conteúdos nesses diretórios, mas ainda poderão visualizar e abrir arquivos já existentes.
Todo cuidado é pouco. Essas políticas eu utilizo, com frequência, para desativar unidades de disco removível, como D, E, etc. Veja no meu exemplo abaixo.
Essa politica de bloqueio para o disco local C:\ torna-se mais eficiente se o perfil do usuario está em outra partição ou disco. Assim não há restrição no perfil do usuario pois o bloqueio será apenas no disco ou partição onde está instalado o sistema operacional
Agora é só avançar e aplicar essa Política para o grupo de usuarios. Aguarde o tempo de replicação ou agilize o processo forçando o sincronismo dos dispositivos.
Com a configuração correta no Intune, é possível restringir o acesso ao disco local C: e proteger os dados da organização de maneira eficiente. Ao seguir este guia, você estará implementando medidas de segurança robustas enquanto oferece suporte contínuo aos usuários.
Chegamos ao fim de mais uma jornada. Compartilhe conosco a sua experiencia, e faça parte dessa jornada você também.
