הגנה על הגדרות האבטחה של macOS באמצעות הגנה מפני טיפול שלא כדין

מאמר
04/26/2024

חל על:

רוצה לחוות את Defender עבור נקודת קצה? הירשם לקבלת גירסת ניסיון ללא תשלום.

הגנה מפני טיפול שלא כדין ב- macOS מסייעת במניעת ביצוע שינויים לא רצויים בהגדרות האבטחה על-ידי משתמשים לא מורשים. הגנה מפני טיפול שלא כדין מסייעת במניעת הסרה לא מורשית של Microsoft Defender עבור נקודת קצה ב- macOS. יכולת זו עוזרת גם לטפל שלא כדין בקבצים, בתהליכים ובהגדרות תצורה חשובים.

חשוב

החל מרץ 2023, Microsoft Defender עבור נקודת קצה ב- macOS יתחיל לכבד את הבחירה עבור הגנה מפני טיפול שלא כדין שחלה באמצעות מתג ההגנה הגלובלית מפני טיפול שלא כדין תחת הגדרות מתקדמות בפורטל Microsoft Defender (https://security.microsoft.com). באפשרותך לבחור לאכוף (לחסום/לבקרה/להשבית) את הגדרות ההגנה מפני טיפול שלא כדין ב- macOS באמצעות פתרון למכשירים ניידים ניהול מכשירים (MDM), כגון Intune או JAMF (מומלץ). אם הגדרת ההגנה מפני טיפול שלא כדין לא נאכפה באמצעות MDM, מנהל מערכת מקומי יכול להמשיך לשנות באופן ידני את ההגדרה באמצעות הפקודה הבאה: sudo mdatp config tamper-protection enforcement-level --value (chosen mode).

באפשרותך להגדיר הגנה מפני טיפול שלא כדין במצבים הבאים:

נושא	תיאור
לא זמין	ההגנה מפני טיפול שלא כדין מבוטלת לחלוטין.
ביקורת	פעולות טיפול שלא כדין נרשמות, אך אינן חסומות. מצב זה הוא ברירת המחדל לאחר ההתקנה.
חסום	הגנה מפני טיפול שלא כדין מופעלת; פעולות של טיפול שלא כדין נחסמות.

כאשר הגנה מפני טיפול שלא כדין מוגדרת למצב ביקורת או חסימה, אתה יכול לצפות לתוצאות הבאות:

מצב ביקורת:

פעולות להסרת ההתקנה של סוכן Defender for Endpoint נרשם (מביקורת)
עריכה/שינוי של קבצי Defender for Endpoint נרשמים (מביקורת)
יצירת קבצים חדשים תחת מיקום נקודת קצה של Defender עבור נרשמת ביומן (מביקורת)
מחיקת קבצי Defender עבור נקודות קצה נרשמת ביומן (מביקורת)
שינוי שם של קבצי Defender for Endpoint נרשם (מביקורת)

מצב חסימה:

פעולות להסרת ההתקנה של Defender עבור סוכן נקודת קצה חסומות
עריכה/שינוי של קבצי Defender for Endpoint נחסמים
יצירת קבצים חדשים תחת מיקום נקודת הקצה של Defender נחסמת
מחיקת קבצי Defender עבור נקודות קצה חסומה
שינוי שם של קבצי Defender for Endpoint נחסם
פקודות להפסיק את כשל הסוכן (wdavdaemon)

להלן דוגמה להודעת מערכת בתגובה לפעולה חסומה:

צילום מסך של הודעה שנחסמה על-ידי פעולה.

באפשרותך לקבוע את התצורה של מצב ההגנה מפני טיפול שלא כדין על-ידי מתן שם המצב כרמת אכיפה.

הערה

שינוי המצב יחול באופן מיידי.
אם השתמשת ב- JAMF במהלך התצורה הראשונית, תצטרך לעדכן את התצורה גם באמצעות JAMF.

לפני שתתחיל

גירסאות macOS נתמכות: Big Sur (11) ואילך.
הגירסה הנדרשת המינימלית עבור Defender עבור נקודת קצה: 101.70.19.

הגדרות מומלצות במיוחד:

הגנת תקינות מערכת (SIP) זמינה. לקבלת מידע נוסף, ראה הפיכת הגנת תקינות מערכת ללא זמינה והפיכתה לזמינה.
השתמש בכלי לניהול מכשירים ניידים (MDM) כדי לקבוע את Microsoft Defender עבור נקודת קצה.
ודא של- Defender for Endpoint יש הרשאת גישה מלאה לדיסק .

הערה

הן אם SIP זמין והן כל התצורה מתבצעת באמצעות MDM אינה הכרחית, אך היא נדרשת עבור מחשב מאובטח במלואו, אחרת מנהל מערכת מקומי עדיין יכול לבצע שינויים שלא כדין ש- macOS מנהל. לדוגמה, הפיכת TCC (שקיפות, בקרת הסכמה &) באמצעות פתרון ניהול מכשירים נייד כגון Intune, תבטל את הסיכון של מנהל מערכת כללי שבוטול הרשאת גישה מלאה לדיסק על-ידי מנהל מערכת מקומי.

קביעת תצורה של הגנה מפני טיפול שלא כדין במכשירי macOS

Microsoft Defender הערכה של הגדרות אלה בסדר הבא. אם נקבעה תצורה של הגדרת עדיפות גבוהה יותר, הפונקציה תתעלם מהשאר:

פרופיל תצורה מנוהל (הגדרת tamperProtection/enforcementLevel):
- ריבה (JAMF)
- Intune
קביעת תצורה ידנית (עם mdatp config tamper-protection enforcement-level --value { disabled|audit|block })
אם דגל ההגנה מפני טיפול שלא כדין בפורטל האבטחה מוגדר, נעשה שימוש במצב "חסימה" (בגירסת Preview, לא זמין לכל הלקוחות)
אם למחשב יש רשיון, מצב "ביקורת" נמצא בשימוש כברירת מחדל
אם למחשב אין רשיון, הגנה מפני טיפול שלא כדין נמצאת במצב "חסימה"

לפני שתתחיל

ודא שהמחשב שלך ברישיון ותקין (דוח ערכים תואם true):

mdatp health

healthy                                     : true
health_issues                               : []
licensed                                    : true
...
tamper_protection                           : "audit"

tamper_protection מדווח על רמת האכיפה האפקטיבית.

קביעת תצורה ידנית

השתמש בפקודה הבאה כדי לעבור למצב המגביל ביותר:

sudo mdatp config tamper-protection enforcement-level --value block

תמונה של הפקודה 'קביעת תצורה ידנית'

הערה

עליך להשתמש בפרופיל תצורה מנוהלת (שנפרס באמצעות MDM) במחשבי ייצור. אם מנהל מערכת מקומי שינה מצב הגנה מפני טיפול שלא כדין באמצעות תצורה ידנית, הוא יכול גם לשנות אותו למצב פחות מגביל בכל עת. אם מצב הגנה מפני טיפול שלא כדין הוגדר באמצעות פרופיל מנוהל, רק מנהל מערכת כללי יוכל לבטל אותו.

אמת את התוצאה.

healthy                                     : true
health_issues                               : []
licensed                                    : true
engine_version                              : "1.1.19300.3"
app_version                                 : "101.70.19"
org_id                                      : "..."
log_level                                   : "info"
machine_guid                                : "..."
release_ring                                : "InsiderFast"
product_expiration                          : Dec 29, 2022 at 09:48:37 PM
cloud_enabled                               : true
cloud_automatic_sample_submission_consent   : "safe"
cloud_diagnostic_enabled                    : false
passive_mode_enabled                        : false
real_time_protection_enabled                : true
real_time_protection_available              : true
real_time_protection_subsystem              : "endpoint_security_extension"
network_events_subsystem                    : "network_filter_extension"
device_control_enforcement_level            : "audit"
tamper_protection                           : "block"
automatic_definition_update_enabled         : true
definitions_updated                         : Jul 06, 2022 at 01:57:03 PM
definitions_updated_minutes_ago             : 5
definitions_version                         : "1.369.896.0"
definitions_status                          : "up_to_date"
edr_early_preview_enabled                   : "disabled"
edr_device_tags                             : []
edr_group_ids                               : ""
edr_configuration_version                   : "20.199999.main.2022.07.05.02-ac10b0623fd381e28133debe14b39bb2dc5b61af"
edr_machine_id                              : "..."
conflicting_applications                    : []
network_protection_status                   : "stopped"
data_loss_prevention_status                 : "disabled"
full_disk_access_enabled                    : true

שים לב ש"tamper_protection" מוגדר כעת ל"בלוק".

ריבה (JAMF)

קבע תצורה של מצב הגנה מפני טיפול שלא כדין Microsoft Defender עבור נקודת קצה התצורה שלך, על-ידי הוספת ההגדרות הבאות:

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
  <dict>
    <key>tamperProtection</key>
    <dict>
      <key>enforcementLevel</key>
      <string>block</string>
    </dict>
  </dict>
</plist>

הערה

אם כבר יש לך פרופיל תצורה עבור Microsoft Defender עבור נקודת קצה עליך להוסיף לו הגדרות. אין ליצור פרופיל תצורה שני.

Intune

קטלוג הגדרות

באפשרותך ליצור פרופיל קטלוג הגדרות חדש כדי להוסיף את תצורת ההגנה מפני טיפול שלא כדין, או להוסיף אותו לפרופיל קיים. ניתן למצוא את ההגדרה "רמת אכיפה" תחת הקטגוריה "Microsoft Defender" וקטגוריה משנה "הגנה מפני טיפול שלא כדין". לאחר מכן, בחר את הרמה הרצויה.

פרופיל מותאם אישית

לחלופין, באפשרותך גם לקבוע את התצורה של הגנה מפני טיפול שלא כדין באמצעות פרופיל מותאם אישית. לקבלת מידע נוסף, ראה הגדרת העדפות עבור Microsoft Defender עבור נקודת קצה ב- macOS.

הערה

לקבלת Intune התצורה, באפשרותך ליצור קובץ תצורת פרופיל חדש כדי להוסיף את תצורת ההגנה מפני טיפול שלא כדין, או להוסיף פרמטרים אלה לתצורה הקיימת. בחר את הרמה הרצויה.

<?xml version="1.0" encoding="utf-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1">
    <dict>
        <key>PayloadUUID</key>
        <string>C4E6A782-0C8D-44AB-A025-EB893987A295</string>
        <key>PayloadType</key>
        <string>Configuration</string>
        <key>PayloadOrganization</key>
        <string>Microsoft</string>
        <key>PayloadIdentifier</key>
        <string>com.microsoft.wdav</string>
        <key>PayloadDisplayName</key>
        <string>Microsoft Defender for Endpoint settings</string>
        <key>PayloadDescription</key>
        <string>Microsoft Defender for Endpoint configuration settings</string>
        <key>PayloadVersion</key>
        <integer>1</integer>
        <key>PayloadEnabled</key>
        <true/>
        <key>PayloadRemovalDisallowed</key>
        <true/>
        <key>PayloadScope</key>
        <string>System</string>
        <key>PayloadContent</key>
        <array>
            <dict>
                <key>PayloadUUID</key>
                <string>99DBC2BC-3B3A-46A2-A413-C8F9BB9A7295</string>
                <key>PayloadType</key>
                <string>com.microsoft.wdav</string>
                <key>PayloadOrganization</key>
                <string>Microsoft</string>
                <key>PayloadIdentifier</key>
                <string>com.microsoft.wdav</string>
                <key>PayloadDisplayName</key>
                <string>Microsoft Defender for Endpoint configuration settings</string>
                <key>PayloadDescription</key>
                <string/>
                <key>PayloadVersion</key>
                <integer>1</integer>
                <key>PayloadEnabled</key>
                <true/>
                <key>tamperProtection</key>
                <dict>
                             <key>enforcementLevel</key>
                             <string>block</string>
                </dict>
            </dict>
        </array>
    </dict>
</plist>

בדוק מצב

בדוק את מצב ההגנה מפני טיפול שלא כדין על-ידי הפעלת הפקודה הבאה:

mdatp health --field tamper_protection

התוצאה מציגה "חסום" אם הגנה מפני טיפול שלא כדין מופעלת:

תמונה של הגנה מפני טיפול שלא כדין במצב חסימה

ניתן גם לפעול באופן מלא mdatp health ולחפש את ה"tamper_protection" בפלט.

לקבלת מידע מורחב אודות מצב ההגנה מפני טיפול שלא כדין, הפעל את mdatp health --details tamper_protection.

אימות יכולות מניעה של הגנה מפני טיפול שלא כדין

באפשרותך לוודא שההגנה מפני טיפול שלא כדין מופעלת בדרכים שונות.

אימות מצב חסימה

התראת טיפול שלא כדין מופעלת בפורטל Microsoft Defender'

אימות מצבי חסימה וביקורת

באמצעות ציד מתקדם, תראה התראות טיפול שלא כדין מופיעות
ניתן למצוא אירועים שלא כדין ביומני ההתקנים המקומיים: sudo grep -F '[{tamperProtection}]' /Library/Logs/Microsoft/mdatp/microsoft_defender_core.log

צילום מסך של יומן הגנה מפני טיפול שלא כדין.

תרחישי DIY

כאשר הגנה מפני טיפול שלא כדין מוגדרת ל"חסימה", נסה שיטות שונות להסרת ההתקנה של Defender for Endpoint. לדוגמה, גרור את אריח האפליקציה אל פח האשפה או הסר את ההתקנה של הגנה מפני טיפול שלא כדין באמצעות שורת הפקודה.
נסה להפסיק את תהליך נקודת הקצה של Defender עבור (kill).
נסה למחוק קבצי נקודות קצה של Defender for Endpoint, לשנות אותם, לשנות אותם (בדומה למה שמשתמש זדוני עושה), לדוגמה:
- /Applications/Microsoft Defender ATP.app/
- /Library/LaunchDaemons/com.microsoft.fresno.plist
- /Library/LaunchDaemons/com.microsoft.fresno.uninstall.plist
- /Library/LaunchAgents/com.microsoft.wdav.tray.plist
- /Library/Managed Preferences/com.microsoft.wdav.ext.plist
- /Library/Managed Preferences/mdatp_managed.json
- /Library/Managed Preferences/com.microsoft.wdav.atp.plist
- /Library/Managed Preferences/com.microsoft.wdav.atp.offboarding.plist
- /usr/local/bin/mdatp

כיבוי ההגנה מפני טיפול שלא כדין

באפשרותך לבטל את ההגנה מפני טיפול שלא כדין באמצעות כל אחת מהשיטות הבאות.

קביעת תצורה ידנית

השתמש בפקודה הבאה:

sudo mdatp config tamper-protection enforcement-level --value disabled

ריבה (JAMF)

שנה את enforcementLevel הערך ל"לא זמין" בפרופיל התצורה שלך, ודחף אותו למחשב:

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
  <dict>
    <key>tamperProtection</key>
    <dict>
      <key>enforcementLevel</key>
      <string>disabled</string>
    </dict>
  </dict>
</plist>

Intune

הוסף את התצורה הבאה לפרופיל Intune שלך:

<?xml version="1.0" encoding="utf-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1">
    <dict>
        <key>PayloadUUID</key>
        <string>C4E6A782-0C8D-44AB-A025-EB893987A295</string>
        <key>PayloadType</key>
        <string>Configuration</string>
        <key>PayloadOrganization</key>
        <string>Microsoft</string>
        <key>PayloadIdentifier</key>
        <string>com.microsoft.wdav</string>
        <key>PayloadDisplayName</key>
        <string>Microsoft Defender for Endpoint settings</string>
        <key>PayloadDescription</key>
        <string>Microsoft Defender for Endpoint configuration settings</string>
        <key>PayloadVersion</key>
        <integer>1</integer>
        <key>PayloadEnabled</key>
        <true/>
        <key>PayloadRemovalDisallowed</key>
        <true/>
        <key>PayloadScope</key>
        <string>System</string>
        <key>PayloadContent</key>
        <array>
            <dict>
                <key>PayloadUUID</key>
                <string>99DBC2BC-3B3A-46A2-A413-C8F9BB9A7295</string>
                <key>PayloadType</key>
                <string>com.microsoft.wdav</string>
                <key>PayloadOrganization</key>
                <string>Microsoft</string>
                <key>PayloadIdentifier</key>
                <string>com.microsoft.wdav</string>
                <key>PayloadDisplayName</key>
                <string>Microsoft Defender for Endpoint configuration settings</string>
                <key>PayloadDescription</key>
                <string/>
                <key>PayloadVersion</key>
                <integer>1</integer>
                <key>PayloadEnabled</key>
                <true/>
                <key>tamperProtection</key>
                <dict>
                  <key>enforcementLevel</key>
                  <string>disabled</string>
                </dict>
            </dict>
        </array>
    </dict>
</plist>

פריטים לא כלולים

הערה

זמין בגירסה 101.98.71 ואילך.

הגנה מפני טיפול שלא כדין מונעת מכל תהליך macOS לבצע Microsoft Defender הנכסים של המשתמש או Microsoft Defender התהליכים שלו. נכסים מוגנים כוללים קבצי התקנה ותצורה.

באופן פנימי, Microsoft Defender יוצא מן הכלל לתהליכי macOS מסוימים, בנסיבות מסוימות. לדוגמה, macOS יכול לשדרג את החבילה של Defender, אם 'הגנה מפני טיפול שלא כדין' מאמתת את מקוריות החבילות. קיימים גם פריטים שאינם נכללים. לדוגמה, תהליך macOS MDM יכול להחליף קבצי תצורה מנוהלים של Microsoft Defender.

קיימים מצבים שבהם מנהל מערכת כללי צריך להפעיל מחדש את Defender בכל המחשבים המנוהליים או בחלקם. בדרך כלל, הדבר מתבצע על-ידי יצירה והפעלה של מדיניות JAMF שמפעילה קובץ Script במחשבים מרוחקים (או פעולות דומות עבור ספקי MDM אחרים).

כדי למנוע סימון של פעולות אלה שמוחלות על-ידי מדיניות, Microsoft Defender מזהה תהליכי מדיניות MDM אלה עבור JAMF ו- Intune, ולתיר מהם פעולות טיפול שלא כדין. בו-זמנית, הגנה מפני טיפול שלא כדין תחסום הפעלה מחדש של אותו קובץ script Microsoft Defender, אם הוא מופעל ממסוף באופן מקומי.

עם זאת, תהליכים אלה הפועלים על-ידי מדיניות הם ספציפיים לספק. למרות Microsoft Defender מספק אי-הכללות מוכללות עבור JAMF ו- Intune, הוא אינו יכול לספק אי-הכללה אלה עבור כל ספקי MDM האפשריים. במקום זאת, מנהל מערכת כללי יכול להוסיף אי-הכללות משלו להגנה מפני טיפול שלא כדין. ניתן לבצע אי-הכללות רק באמצעות פרופיל MDM, ולא דרך התצורה המקומית.

לשם כך, תחילה עליך לברר את הנתיב לתהליך מסייע MDM המפעיל מדיניות. באפשרותך לעשות זאת על-ידי ביצוע התיעוד של ספק MDM. באפשרותך גם ליזום טיפול שלא כדין במדיניות בדיקה, לקבל התראה בפורטל האבטחה, לבדוק את ההירארכיה של תהליכים שיזם את ה"תקיפה" ובחר את התהליך שנראה כמו מועמד מסייע ל- MDM.

לאחר זיהוי נתיב התהליך, יש לך כמה אפשרויות לגבי אופן קביעת התצורה של אי הכללה:

בנתיב עצמו. זוהי הדרך הפשוטה ביותר (כבר יש לך נתיב זה) והדרך הכי פחות מאובטחת לעשות זאת, במילים אחרות, אינה מומלצת.
על-ידי קבלת מזהה החתימה מקובץ ההפעלה, TeamIdentifier או מזהה חתימה, codesign -dv --verbose=4 path_to_helper על-ידי הפעלה (חפש את מזהה ואת TeamIdentifier, האפשרות האחרונה אינה זמינה עבור הכלים של Apple.)
לחלופין, באמצעות שילוב של תכונות אלה.

דוגמה:

codesign -dv --verbose=4 /usr/bin/ruby

Executable=/usr/bin/ruby
Identifier=com.apple.ruby
Format=Mach-O universal (x86_64 arm64e)
CodeDirectory v=20400 size=583 flags=0x0(none) hashes=13+2 location=embedded
Platform identifier=14
VersionPlatform=1
VersionMin=852992
VersionSDK=852992
Hash type=sha256 size=32
CandidateCDHash sha256=335c10d40db9417d80db87f658f6565018a4c3d6
CandidateCDHashFull sha256=335c10d40db9417d80db87f658f6565018a4c3d65ea3b850fc76c59e0e137e20
Hash choices=sha256
CMSDigest=335c10d40db9417d80db87f658f6565018a4c3d65ea3b850fc76c59e0e137e20
CMSDigestType=2
Executable Segment base=0
Executable Segment limit=16384
Executable Segment flags=0x1
Page size=4096
Launch Constraints:
  None
CDHash=335c10d40db9417d80db87f658f6565018a4c3d6
Signature size=4442
Authority=Software Signing
Authority=Apple Code Signing Certification Authority
Authority=Apple Root CA
Signed Time=Apr 15, 2023 at 4:45:52 AM
Info.plist=not bound
TeamIdentifier=not set
Sealed Resources=none
Internal requirements count=1 size=64

קבע את התצורה של העדפות, לדוגמה, JAMF:

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
  <dict>
    <key>tamperProtection</key>
    <dict>
      <key>enforcementLevel</key>
      <string>block</string>
      <key>exclusions</key>
      <array>
        <dict>
          <key>path</key>
          <string>/usr/bin/ruby</string>
          <key>teamId</key>
          <string/>
          <key>signingId</key>
          <string>com.apple.ruby</string>
          <key>args</key>
          <array>
            <string>/usr/local/bin/global_mdatp_restarted.rb</string>
          </array>
        </dict>
      </array>
    </dict>
  </dict>
</plist>

שים לב, הכללת מתרגם Scripting (כגון Ruby מהדוגמה לעיל) במקום קובץ הפעלה הידור אינה מאובטחת, מכיוון שהיא יכולה להפעיל כל קובץ Script, לא רק את קובץ ה- Script שבו משתמש מנהל מערכת כללי.

כדי למזער את הסיכון, מומלץ להשתמש בפריטים נוספים args כדי לאפשר הפעלה של קבצי Script ספציפיים בלבד עם מתרגמים של Scripting. בדוגמה שלעיל, מותר /usr/bin/ruby /usr/local/bin/global_mdatp_restarted.rb להפעיל מחדש את Defender בלבד. אך, לדוגמה, /usr/bin/ruby /Library/Application Support/Global Manager/global_mdatp_restarted.rb או אפילו /usr/bin/ruby /usr/local/bin/global_mdatp_restarted.rb $USER אינם מותרים.

אזהרה

השתמש תמיד בקריטריונים המגבילים ביותר כדי למנוע התקפות בלתי צפויות!

פתרון בעיות תצורה

בעיה: הגנה מפני טיפול שלא כדין מדווחת כלא זמינה

אם הפעלת mdatp health את הפקודה מדווחת שההגנה מפני טיפול שלא כדין אינה זמינה, גם אם הפעלת אותה וחלפו יותר משעה מאז הצירוף, תוכל לבדוק אם הגדרת את התצורה הנכונה על-ידי הפעלת הפקודה הבאה:

mdatp health --details tamper_protection

tamper_protection                           : "audit"
exclusions                                  : [{"path":"/usr/bin/ruby","team_id":"","signing_id":"com.apple.ruby","args":["/usr/local/bin/global_mdatp_restarted.rb"]}] [managed]
feature_enabled_protection                  : true
feature_enabled_portal                      : true
configuration_source                        : "local"
configuration_local                         : "audit"
configuration_portal                        : "block"
configuration_default                       : "audit"
configuration_is_managed                    : false

tamper_protection הוא המצב האפקטיבי . אם מצב זה הוא המצב שבו התכוונת להשתמש, הכל מוכן.
configuration_source מציין כיצד מוגדרת רמת אכיפת ההגנה מפני טיפול שלא כדין. עליו להתאים לאופן שבו הגדרת הגנה מפני טיפול שלא כדין. (אם הגדרת את המצב שלו באמצעות פרופיל מנוהל, configuration_source ומציג משהו אחר, סביר להניח שתצורת הפרופיל שלך שגויה.)
- mdm - היא מוגדרת באמצעות פרופיל מנוהל. רק מנהל מערכת כללי יכול לשנות אותו באמצעות עדכון לפרופיל!
- local- הוא מוגדר באמצעות הפקודה mdatp config
- portal - רמת האכיפה המוגדרת כברירת מחדל בפורטל האבטחה
- defaults - לא נקבעה תצורה, נעשה שימוש במצב ברירת המחדל
אם feature_enabled_protection הוא False, ההגנה מפני טיפול שלא כדין אינה זמינה עבור הארגון שלך (הדבר קורה אם Defender אינו מדווח על 'ניתן ברישיון')
אם feature_enabled_portal הוא False, הגדרת מצב ברירת המחדל דרך פורטל האבטחה אינה זמינה עבורך עדיין.
configuration_local, configuration_portal, configuration_default מציין את המצב שבו ייעשה שימוש, אם נעשה שימוש בערוץ התצורה המתאים. (לדוגמה, באפשרותך לקבוע את התצורה של ההגנה מפני טיפול שלא כדין למצב "חסימה" דרך פרופיל MDM, ומציין configuration_default לך audit. המשמעות היא רק שאם תסיר את הפרופיל שלך, mdatp config והמצב לא הוגדר עם או באמצעות פורטל האבטחה, הוא ישתמש במצב ברירת המחדל, שהוא audit.)

הערה

עליך לבדוק את יומני הרישום Microsoft Defender כדי לקבל את אותו מידע לפני גירסה 101.98.71. ראה להלן דוגמה.

$ sudo grep -F '[{tamperProtection}]: Feature state:' /Library/Logs/Microsoft/mdatp/microsoft_defender_core.log | tail -n 1

עצה

האם ברצונך לקבל מידע נוסף? Engage עם קהילת האבטחה של Microsoft בקהילת הטכנולוגיה שלנו: Microsoft Defender עבור נקודת קצה Tech Community.

שתף באמצעות

הגנה על הגדרות האבטחה של macOS באמצעות הגנה מפני טיפול שלא כדין

לפני שתתחיל

קביעת תצורה של הגנה מפני טיפול שלא כדין במכשירי macOS

לפני שתתחיל

קביעת תצורה ידנית

ריבה (JAMF)

Intune

קטלוג הגדרות

פרופיל מותאם אישית

בדוק מצב

אימות יכולות מניעה של הגנה מפני טיפול שלא כדין

אימות מצב חסימה

אימות מצבי חסימה וביקורת

תרחישי DIY

כיבוי ההגנה מפני טיפול שלא כדין

קביעת תצורה ידנית

ריבה (JAMF)

Intune

פריטים לא כלולים

פתרון בעיות תצורה

בעיה: הגנה מפני טיפול שלא כדין מדווחת כלא זמינה

משוב

משוב

משאבים נוספים