Come abilitare o disabilitare l'accesso controllato alle cartelle in Windows 11

Se sei preoccupato per i ransomware e la sicurezza dei tuoi file in Windows 11 , esiste una funzionalità integrata che probabilmente hai disabilitato e che può fare una grande differenza: l'Accesso controllato alle cartelle. Non è una soluzione miracolosa e non sostituisce i backup, ma aggiunge un ulteriore livello di protezione. Se hai bisogno di modificare le autorizzazioni, puoi assegnarle a cartelle e file , rendendo la vita molto più difficile ai malware che tentano di crittografare o eliminare i tuoi documenti più importanti.

Questa funzionalità è inclusa in Windows 11, Windows 10 e in diverse versioni di Windows Server e si integra con Microsoft Defender. Di solito è disabilitata per impostazione predefinita perché può risultare un po' restrittiva e talvolta bloccare programmi legittimi, ma è possibile personalizzarla a proprio piacimento, modificarne la posizione predefinita , aggiungere cartelle extra, consentire applicazioni specifiche e persino gestirla tramite Criteri di gruppo, Intune, Configuration Manager o PowerShell, sia sui computer domestici che in ambienti aziendali.

Che cosa si intende esattamente per accesso controllato alle cartelle?

L'accesso controllato alle cartelle è una funzionalità di Microsoft Defender Antivirus progettata per bloccare i ransomware e altri tipi di malware che tentano di modificare o eliminare file in determinate posizioni protette. Invece di bloccare qualsiasi operazione, consente solo alle applicazioni attendibili di apportare modifiche a tali cartelle.

In pratica, questa protezione si basa su un elenco di applicazioni attendibili e su un altro elenco di cartelle protette . Le app con una buona reputazione e un'elevata diffusione nell'ecosistema Windows vengono automaticamente autorizzate, mentre le applicazioni sconosciute o sospette non saranno in grado di modificare o eliminare file nei percorsi controllati, pur potendo leggerli.

È importante capire che questa funzionalità non impedisce al malware di copiare o leggere i dati ; blocca solo le azioni che modificano, crittografano o eliminano i file protetti. Se un utente malintenzionato riesce a infiltrarsi nel sistema, potrebbe comunque esfiltrare informazioni, ma sarà molto più difficile per lui compromettere i documenti critici.

L'accesso controllato alle cartelle è progettato per funzionare in sinergia con Microsoft Defender for Endpoint e il portale Microsoft Defender , dove è possibile visualizzare report dettagliati su ciò che è stato bloccato o controllato, una funzionalità particolarmente utile per le aziende che devono indagare sugli incidenti di sicurezza.

Sistemi operativi compatibili e prerequisiti

Prima di attivarlo, è utile sapere su quali piattaforme funziona. L'accesso controllato alle cartelle è disponibile in Windows 11, Windows 10 e in diverse edizioni di Windows Server , nonché in alcuni sistemi Microsoft specifici come Azure Stack HCI.

Più nello specifico, la funzionalità è supportata in Windows 10 e Windows 11 nelle rispettive edizioni con Microsoft Defender come antivirus, e lato server è supportata in Windows Server 2016 e versioni successive, Windows Server 2012 R2, Windows Server 2019 e versioni successive, nonché nel sistema operativo Azure Stack HCI a partire dalla versione 23H2.

Un dettaglio fondamentale è che l'accesso controllato alle cartelle funziona solo quando Microsoft Defender è l'antivirus attivo . Se si utilizza un antivirus di terze parti che disabilita Defender, le impostazioni di questa funzionalità scompariranno dall'app Sicurezza di Windows o diventeranno inattive, e sarà necessario affidarsi alla protezione anti-ransomware del software antivirus installato.

Negli ambienti gestiti, oltre a Defender, sono necessari strumenti come Microsoft Intune, Configuration Manager o soluzioni MDM compatibili per distribuire e gestire centralmente i criteri di accesso controllato alle cartelle su più dispositivi.

Come funziona internamente l'accesso controllato alle cartelle

Questa funzionalità si basa su due pilastri: cartelle protette e applicazioni attendibili . Qualsiasi tentativo da parte di un'applicazione non attendibile di scrivere, modificare o eliminare file in queste cartelle viene bloccato o registrato, a seconda della modalità configurata.

Quando questa funzione è abilitata, Windows contrassegna come protette diverse cartelle utente comuni , come Documenti, Immagini, Video, Musica e Preferiti, sia nell'account utente attivo che nelle cartelle pubbliche. Inoltre, vengono inclusi anche alcuni percorsi del profilo di sistema (ad esempio, la cartella Documenti nel profilo di sistema) e settori di avvio critici.

L'elenco delle applicazioni consentite viene generato in base alla reputazione e alla diffusione del software all'interno dell'ecosistema Microsoft . I programmi ampiamente utilizzati che non hanno mai mostrato comportamenti dannosi sono considerati affidabili e vengono autorizzati automaticamente. Altre applicazioni meno conosciute, strumenti homebrew o eseguibili portatili potrebbero essere bloccati fino alla loro approvazione manuale.

Nelle organizzazioni aziendali, oltre agli elenchi automatici, gli amministratori possono aggiungere o consentire software specifici tramite Microsoft Intune, Configuration Manager, criteri di gruppo o configurazioni MDM, definendo con precisione cosa viene bloccato e cosa non lo è all'interno dell'ambiente aziendale.

Per valutare l'impatto prima di implementare un blocco completo, è disponibile una modalità di controllo che consente alle applicazioni di funzionare normalmente, ma registra nei registri eventi ciò che sarebbe stato bloccato. Questo permette di esaminare in dettaglio se il passaggio a una modalità di blocco rigoroso interromperebbe i processi aziendali o le applicazioni critiche.

Perché è così importante contro i ransomware?

Gli attacchi ransomware mirano a crittografare i documenti e a richiedere un riscatto per ripristinare l'accesso. Il controllo dell'accesso alle cartelle si concentra proprio sull'impedire alle applicazioni non autorizzate di modificare i file più importanti, che di solito si trovano in Documenti, Immagini, Video o altre cartelle in cui si archiviano progetti e dati personali.

Quando un'applicazione sconosciuta tenta di accedere a un file in una cartella protetta, Windows genera una notifica sul computer che avvisa l'utente del blocco . In ambienti aziendali, questa notifica può essere personalizzata con informazioni di contatto interne, in modo che gli utenti sappiano chi contattare in caso di necessità o se sospettano un falso positivo.

Oltre alle normali cartelle utente, il sistema protegge anche le cartelle di sistema e i settori di avvio , riducendo la superficie di attacco dei malware che tentano di manipolare l'avvio del sistema o i componenti critici di Windows.

Un altro vantaggio è la possibilità di attivare preventivamente la modalità di controllo per analizzare l'impatto . Questo permette di visualizzare quali programmi sarebbero stati bloccati, esaminare i log e modificare gli elenchi di cartelle e applicazioni consentite prima di implementare un blocco rigoroso, evitando sorprese in un ambiente di produzione.

Cartelle protette per impostazione predefinita in Windows

Per impostazione predefinita, Windows contrassegna come protette diverse posizioni comuni per i file. Ciò include sia le cartelle del profilo utente che le cartelle pubbliche , quindi la maggior parte dei documenti, delle foto, della musica e dei video sono protetti senza alcuna configurazione aggiuntiva.

Tra gli altri, sono protetti percorsi come c:\Users\<utente>\Documents e c:\Users\Public\Documents , equivalenti a Immagini, Video, Musica e Preferiti, così come gli stessi percorsi equivalenti per gli account di sistema come LocalService, NetworkService o systemprofile, a condizione che le cartelle esistano nel sistema.

Queste posizioni sono visibili nel profilo utente, all'interno di "Questo PC" in Esplora file , quindi di solito sono quelle che si utilizzano quotidianamente senza pensare troppo alla struttura interna delle cartelle di Windows.

È importante notare che le cartelle protette predefinite non possono essere rimosse dall'elenco . È possibile aggiungere cartelle personalizzate in altre posizioni, ma le cartelle predefinite rimangono sempre protette per ridurre al minimo il rischio di disattivare accidentalmente la protezione in aree critiche.

Come abilitare l'accesso controllato alle cartelle da Sicurezza di Windows

Per la maggior parte degli utenti domestici e per molte piccole imprese, il modo più semplice per attivare questa funzionalità è tramite l' app Sicurezza di Windows inclusa nel sistema . Non è necessaria alcuna installazione aggiuntiva; basta modificare alcune impostazioni.

Innanzitutto, apri il menu Start, digita "Sicurezza di Windows" e apri l'applicazione. Nel pannello principale, vai alla sezione "Protezione da virus e minacce", dove si trovano le opzioni di Defender relative al malware.

In quella schermata, scorri verso il basso fino alla sezione "Protezione ransomware" e fai clic su "Gestisci la protezione ransomware". Se utilizzi un antivirus di terze parti, potresti vedere un riferimento a quel prodotto e non potrai utilizzare questa funzione finché l'antivirus è attivo.

Nella schermata di protezione dal ransomware, troverai un interruttore denominato "Accesso controllato alle cartelle ". Attivalo e, se il sistema visualizza una richiesta di Controllo dell'account utente (UAC), accettala per applicare le modifiche con i privilegi di amministratore.

Una volta attivata, appariranno diverse opzioni aggiuntive: Blocca cronologia, Cartelle protette e la possibilità di consentire alle applicazioni l'accesso controllato alle cartelle. Da qui, è possibile personalizzare le impostazioni in base alle proprie esigenze.

Configurare e regolare l'accesso controllato alle cartelle

Una volta attivata la funzione, in genere non noterai nulla di insolito nella tua routine quotidiana . Tuttavia, potresti occasionalmente ricevere degli avvisi se un'app che utilizzi tenta di scrivere in una cartella protetta e non è presente nell'elenco delle app attendibili.

Se ricevi notifiche, puoi tornare in qualsiasi momento a Sicurezza di Windows e andare su Protezione da virus e minacce > Gestisci la protezione contro i ransomware . Da lì, avrai accesso diretto alle impostazioni per il blocco, le cartelle e le app consentite.

La sezione "Cronologia blocchi" mostra un elenco di tutti i blocchi avvenuti: quale file o eseguibile è stato bloccato, quando, a quale cartella protetta ha tentato di accedere e il livello di gravità (basso, moderato, alto o grave). Se si è certi che un programma sia affidabile, è possibile selezionarlo e scegliere "Consenti sul dispositivo" per sbloccarlo.

Nella sezione "Cartelle protette", l'applicazione visualizza tutti i percorsi attualmente protetti da Controllo accesso alle cartelle. Da qui è possibile aggiungere nuove cartelle o rimuovere quelle già aggiunte , sebbene le cartelle predefinite di Windows come Documenti o Immagini non possano essere rimosse dall'elenco.

Se in qualsiasi momento ritieni che questa funzione sia troppo invasiva, puoi sempre disattivare l'interruttore di accesso controllato alle cartelle dalla stessa schermata. La modifica è immediata e tutto torna come prima dell'attivazione, anche se ovviamente perderai quell'ulteriore protezione contro i ransomware.

Aggiungere o rimuovere ulteriori cartelle protette

Non tutti salvano i propri documenti nelle librerie standard di Windows. Se lavori spesso su altre unità, cartelle di progetto o percorsi personalizzati , è consigliabile includerli nell'ambito della protezione dell'accesso controllato alle cartelle.

Utilizzando l'app Sicurezza di Windows, la procedura è molto semplice: nella sezione di protezione dal ransomware, vai su "Cartelle protette" e accetta la richiesta di Controllo dell'account utente (UAC) se viene visualizzata. Vedrai un elenco delle cartelle attualmente protette e un pulsante "Aggiungi una cartella protetta".

Facendo clic su quel pulsante si aprirà una finestra di Esplora file in cui potrai selezionare la cartella da aggiungere . Scegli il percorso (ad esempio, una cartella su un'altra unità, una directory di lavoro per i tuoi progetti o anche un'unità di rete mappata) e conferma. Da quel momento in poi, qualsiasi tentativo di modificare quella cartella da un'applicazione non attendibile verrà bloccato o registrato.

Se in seguito decidi di non voler più proteggere una cartella specifica, puoi selezionarla dall'elenco e fare clic su "Rimuovi ". Puoi eliminare solo le cartelle aggiuntive che hai aggiunto tu; quelle che Windows contrassegna come protette per impostazione predefinita non possono essere eliminate per evitare che tu lasci inavvertitamente aree critiche senza protezione.

Oltre alle unità locali, è possibile specificare condivisioni di rete e unità mappate , e utilizzare variabili d'ambiente nei percorsi, sebbene i caratteri jolly non siano supportati. Ciò offre una notevole flessibilità per la protezione delle posizioni in ambienti più complessi o con script di configurazione automatizzati.

Consenti le app attendibili che sono state bloccate

È piuttosto comune che le applicazioni legittime vengano influenzate dall'attivazione di questa funzione, soprattutto quelle che memorizzano dati in Documenti, Immagini o altre cartelle protette . Giochi per PC, strumenti per ufficio meno comuni o programmi più vecchi potrebbero bloccarsi durante la digitazione.

In questi casi, Windows Security offre l'opzione "Consenti a un'app di accedere alle cartelle controllate ". Dal pannello di protezione dal ransomware, vai a questa sezione e fai clic su "Aggiungi un'app consentita".

È possibile scegliere tra aggiungere app dall'elenco "App bloccate di recente" (molto comodo se un'app è già stata bloccata e si desidera semplicemente consentirne l'utilizzo) oppure scorrere tutte le app per individuare e contrassegnare come attendibili determinati programmi che si sa dovranno scrivere nelle cartelle protette.

Quando si aggiunge un'applicazione, è importante specificare il percorso esatto del file eseguibile . Sarà consentita solo quella specifica posizione; se il programma si trova in un'altra posizione con lo stesso nome, non verrà aggiunto automaticamente all'elenco dei percorsi consentiti e potrebbe comunque essere bloccato dalle impostazioni di controllo degli accessi.

Tieni presente che, anche dopo aver autorizzato un'app o un servizio, i processi in esecuzione potrebbero continuare a generare eventi finché non vengono arrestati e riavviati. In altre parole, potrebbe essere necessario riavviare l'applicazione (o il servizio stesso) affinché la nuova eccezione abbia pieno effetto.

Gestione aziendale avanzata: Intune, Configuration Manager e criteri di gruppo

Negli ambienti aziendali, non è prassi comune modificare manualmente le impostazioni su ogni singolo dispositivo, bensì definire criteri centralizzati che vengono implementati in modo controllato. L'accesso controllato alle cartelle si integra con diversi strumenti di gestione dei dispositivi Microsoft.

Con Microsoft Intune, ad esempio, è possibile creare un criterio di riduzione della superficie di attacco per Windows 10, Windows 11 e Windows Server. All'interno del profilo, è presente un'opzione specifica per abilitare l'accesso controllato alle cartelle, che consente di scegliere tra modalità quali "Abilitato", "Disabilitato", "Modalità di controllo", "Blocca solo le modifiche al disco" o "Controlla solo le modifiche al disco".

Tramite la stessa policy in Intune, è possibile aggiungere ulteriori cartelle protette (che si sincronizzano con l'app Sicurezza di Windows sui dispositivi) e specificare anche le applicazioni attendibili che avranno sempre l'autorizzazione a scrivere in tali cartelle. Questo integra il rilevamento automatico basato sulla reputazione di Defender.

Se la tua organizzazione utilizza Microsoft Configuration Manager, puoi anche distribuire i criteri di Windows Defender Exploit Guard . Da "Risorse e conformità > Protezione endpoint > Windows Defender Exploit Guard", crea un criterio di protezione dalle vulnerabilità, seleziona l'opzione Accesso controllato alle cartelle e scegli se bloccare le modifiche, eseguire solo un controllo, consentire l'accesso ad altre app o aggiungere altre cartelle.

D'altra parte, questa funzione può essere gestita in modo molto granulare tramite i Criteri di gruppo (GPO). Nell'Editor Gestione Criteri di gruppo , che si trova in Configurazione computer > Modelli amministrativi, è possibile accedere ai componenti di Windows corrispondenti a Microsoft Defender Antivirus e alla sua sezione Exploit Guard, dove sono presenti diversi criteri relativi all'accesso controllato alle cartelle.

Tra queste politiche c'è "Configura l'accesso controllato alle cartelle" , che permette di impostare la modalità (Abilitato, Disabilitato, Modalità di controllo, Blocca solo la modifica del disco, Controlla solo la modifica del disco), nonché le voci per "Configura le cartelle protette" o "Configura le applicazioni consentite", dove vengono inseriti i percorsi delle cartelle e dei file eseguibili insieme al valore indicato per contrassegnarli come consentiti.

Utilizzo di PowerShell e MDM CSP per automatizzare la configurazione

Per gli amministratori e gli utenti esperti, PowerShell offre un modo molto semplice per abilitare, disabilitare o regolare l'accesso controllato alle cartelle utilizzando i cmdlet di Microsoft Defender. Questo è particolarmente utile per gli script di distribuzione, l'automazione o l'applicazione di modifiche in batch.

Per iniziare, apri PowerShell con privilegi elevati: cerca "PowerShell" nel menu Start, fai clic con il pulsante destro del mouse e scegli "Esegui come amministratore ". Una volta aperto, puoi abilitare la funzionalità con il seguente cmdlet:

Esempio: Set-MpPreference -EnableControlledFolderAccess Enabled

Se desideri valutare il comportamento senza bloccare nulla, puoi utilizzare la modalità di controllo sostituendo Enabled con AuditMode e, se in qualsiasi momento desideri disabilitarla completamente, specifica semplicemente Disabled nello stesso parametro. Questo ti consente di passare rapidamente da una modalità all'altra a seconda delle necessità.

Per proteggere ulteriori cartelle da PowerShell, esiste il cmdlet Add-MpPreference -ControlledFolderAccessProtectedFolders , al quale si passa il percorso della cartella che si desidera proteggere, ad esempio:

Esempio: Add-MpPreference -ControlledFolderAccessProtectedFolders "c:\apps/"

Analogamente, è possibile consentire applicazioni specifiche utilizzando il cmdlet Add-MpPreference -ControlledFolderAccessAllowedApplications , specificando il percorso completo del file eseguibile. Ad esempio, se si desidera autorizzare un programma chiamato test.exe in c:\apps, si utilizzerà:

Esempio: Add-MpPreference -ControlledFolderAccessAllowedApplications "c:\apps\test.exe"

Negli scenari di gestione dei dispositivi mobili (MDM), la configurazione viene esposta tramite diversi provider di servizi di configurazione (CSP) , come Defender/GuardedFoldersList per le cartelle protette o Defender/ControlledFolderAccessAllowedApplications per le applicazioni consentite, permettendo così l'integrazione centralizzata di tali criteri in soluzioni MDM compatibili.

Registrazione degli eventi e monitoraggio degli incidenti

Per comprendere appieno cosa accade sui tuoi dispositivi, è fondamentale esaminare gli eventi generati dal controllo dell'accesso alle cartelle quando blocca o registra le azioni. Questa operazione può essere eseguita tramite il portale di Microsoft Defender o direttamente nel Visualizzatore eventi di Windows.

Nelle organizzazioni che utilizzano Microsoft Defender for Endpoint, il portale di Microsoft Defender offre report dettagliati di eventi e arresti anomali relativi all'accesso controllato alle cartelle, integrati negli scenari standard di indagine degli avvisi. Consente inoltre agli utenti di avviare ricerche avanzate per analizzare i modelli su tutti i dispositivi.

Ad esempio, una tipica query DeviceEvents potrebbe essere:

Esempio: DeviceEvents | where ActionType in ('ControlledFolderAccessViolationAudited','ControlledFolderAccessViolationBlocked')

Sui singoli computer, è possibile utilizzare il Visualizzatore eventi di Windows . Microsoft fornisce una visualizzazione personalizzata (file cfa-events.xml) che può essere importata per visualizzare solo gli eventi di accesso controllato alle cartelle. Questa visualizzazione raccoglie voci come l'evento 5007 (modifica della configurazione), 1123 e 1124 (blocco o controllo dell'accesso controllato alle cartelle) e 1127/1128 (blocco o controllo della scrittura su settori protetti del disco).

Quando si verifica un blocco, l'utente in genere visualizza anche una notifica sul sistema che indica che le modifiche non autorizzate sono state bloccate , ad esempio con messaggi come "Accesso controllato alla cartella bloccato: C:\…\ApplicationName… impedisce di apportare modifiche alla memoria", e la cronologia delle protezioni riporta eventi come "Accesso alla memoria protetta bloccato" con data e ora.

L'accesso controllato alle cartelle diventa un potente strumento per contrastare efficacemente i ransomware e altre minacce che tentano di distruggere i file, pur mantenendo la flessibilità offerta dalle modalità di controllo, dagli elenchi di cartelle e applicazioni consentite e dall'integrazione con gli strumenti di amministrazione. Se utilizzato con criterio e in combinazione con backup regolari e un software antivirus aggiornato, rappresenta una delle migliori funzionalità di Windows 11 per proteggere i documenti più importanti.