Impostare le preferenze per Microsoft Defender per endpoint su macOS

  • Si applica a: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Importante

Questo articolo è destinato agli amministratori aziendali che devono gestire Microsoft Defender per endpoint in macOS usando un profilo di configurazione distribuito tramite JAMF o Intune. Vengono illustrate le preferenze per il motore antivirus, la protezione fornita dal cloud, il rilevamento degli endpoint e la risposta (EDR), la protezione antimanomissione e l'interfaccia utente. Include anche modelli di profilo di configurazione consigliati e completi, oltre alle istruzioni di distribuzione. Per configurare Defender per Endpoint in macOS usando invece l'interfaccia della riga di comando, vedere Configurare dalla riga di comando.

Riepilogo

Nelle organizzazioni aziendali è possibile gestire Microsoft Defender per endpoint in macOS tramite un profilo di configurazione. Questo profilo viene distribuito usando uno dei diversi strumenti di gestione. Le preferenze impostate dal team addetto alle operazioni di sicurezza hanno la precedenza sulle preferenze dei dispositivi locali. Per modificare le preferenze impostate tramite il profilo di configurazione, gli utenti devono disporre delle autorizzazioni di amministratore.

Questo articolo descrive la struttura del profilo di configurazione. Include un profilo consigliato per iniziare e spiegare come distribuire il profilo.

Struttura del profilo di configurazione

Il profilo di configurazione è un file con estensione plist costituito da coppie chiave-valore. Ogni chiave è il nome di una preferenza. Ogni valore dipende dal tipo di preferenza. I valori possono essere semplici (ad esempio un numero) o complessi (ad esempio un elenco annidato di preferenze).

Attenzione

Il layout del profilo di configurazione dipende dalla console di gestione in uso. Le sezioni seguenti contengono esempi di profili di configurazione per JAMF e Intune.

Il livello superiore del profilo di configurazione include le preferenze e le voci a livello di prodotto per le sottoaree di Microsoft Defender per endpoint, tra cui il motore antivirus, la protezione fornita dal cloud, l'interfaccia utente, il rilevamento e la risposta degli endpoint (EDR) e la protezione antimanomissione.

Preferenze del motore antivirus

La sezione antivirusEngine del profilo di configurazione viene usata per gestire le preferenze del componente antivirus di Microsoft Defender per endpoint.

Sezione Valore
Dominio com.microsoft.wdav
Chiave antivirusEngine
Tipo di dati Dizionario (preferenza annidata)
Commenti Il contenuto del dizionario include impostazioni per il livello di imposizione, il monitoraggio del comportamento, il calcolo dell'hash dei file, le esclusioni di analisi, le minacce consentite, le impostazioni del tipo di minaccia e la conservazione della cronologia di analisi.

Livello di imposizione per il motore antivirus

Specifica la preferenza di imposizione del motore antivirus. Sono disponibili tre valori per l'impostazione del livello di imposizione:

  • In tempo reale (real_time): è abilitata la protezione in tempo reale (analisi dei file durante l'accesso).
  • Su richiesta (on_demand): le Files vengono analizzate solo su richiesta. In questo caso:
    • La protezione in tempo reale è disattivata.
  • Passivo (passive): esegue il motore antivirus in modalità passiva. In questo caso:
    • La protezione in tempo reale è disattivata.
    • L'analisi su richiesta è attivata.
    • La correzione automatica delle minacce è disattivata.
    • Gli aggiornamenti dell'intelligence per la sicurezza sono attivati.
    • L'icona del menu Stato è nascosta.
Sezione Valore
Dominio com.microsoft.wdav
Chiave enforcementLevel
Tipo di dati Stringa
Valori possibili real_time (impostazione predefinita)

on_demand

Passivo
Commenti Disponibile in Microsoft Defender per endpoint versione 101.10.72 o successiva.

Abilitare/disabilitare il monitoraggio del comportamento

Determina se la funzionalità di monitoraggio e blocco del comportamento è abilitata o meno nel dispositivo.

Nota

Questa funzionalità è applicabile solo quando è abilitata la funzionalità protezione Real-Time.

Sezione Valore
Dominio com.microsoft.wdav
Chiave behaviorMonitoring
Tipo di dati Stringa
Valori possibili disabilitati

enabled (impostazione predefinita)
Commenti Disponibile in Microsoft Defender per endpoint versione 101.24042.0002 o successiva.

Configurare la funzionalità di calcolo dell'hash dei file

Abilita o disabilita la funzionalità di calcolo dell'hash dei file. Quando questa funzionalità è abilitata, Defender per endpoint calcola gli hash per i file che analizza per consentire una migliore corrispondenza con le regole degli indicatori. In macOS vengono considerati solo i file script e Mach-O (a 32 bit e a 64 bit) per questo calcolo hash (dalla versione del motore 1.1.20000.2 o successiva). L'abilitazione di questa funzionalità potrebbe influire sulle prestazioni del dispositivo. Per altri dettagli, vedere: Creare indicatori per i file.

Sezione Valore
Dominio com.microsoft.wdav
Chiave enableFileHashComputation
Tipo di dati Booleano
Valori possibili false (impostazione predefinita)

true
Commenti Disponibile in Defender per endpoint versione 101.86.81 o successiva.

Eseguire un'analisi dopo l'aggiornamento delle definizioni

Specifica se avviare un'analisi del processo dopo il download di nuovi aggiornamenti di Security Intelligence nel dispositivo. L'abilitazione di questa impostazione attiva un'analisi antivirus nei processi in esecuzione del dispositivo.

Sezione Valore
Dominio com.microsoft.wdav
Chiave scanAfterDefinitionUpdate
Tipo di dati Booleano
Valori possibili true (impostazione predefinita)

False
Commenti Disponibile in Microsoft Defender per endpoint versione 101.41.10 o successiva.

Analizzare gli archivi (solo analisi antivirus su richiesta)

Specifica se analizzare gli archivi durante le analisi antivirus su richiesta.

Sezione Valore
Dominio com.microsoft.wdav
Chiave scanArchives
Tipo di dati Booleano
Valori possibili true (impostazione predefinita)

False
Commenti Disponibile in Microsoft Defender per endpoint versione 101.41.10 o successiva.

Grado di parallelismo per le analisi su richiesta

Specifica il grado di parallelismo per le analisi su richiesta. Corrisponde al numero di thread usati per eseguire l'analisi e influisce sull'utilizzo della CPU e sulla durata dell'analisi su richiesta.

Sezione Valore
Dominio com.microsoft.wdav
Chiave maximumOnDemandScanThreads
Tipo di dati Numero intero
Valori possibili 2 (impostazione predefinita). I valori consentiti sono numeri interi compresi tra 1 e 64.
Commenti Disponibile in Microsoft Defender per endpoint versione 101.41.10 o successiva.

Criteri di unione di esclusione

Specificare i criteri di unione per le esclusioni. Può trattarsi di una combinazione di esclusioni definite dall'amministratore e definite dall'utente (merge) o solo esclusioni definite dall'amministratore (admin_only). Questa impostazione può essere usata per impedire agli utenti locali di definire le proprie esclusioni.

Sezione Valore
Dominio com.microsoft.wdav
Chiave exclusionsMergePolicy
Tipo di dati Stringa
Valori possibili merge (impostazione predefinita)

admin_only
Commenti Disponibile in Microsoft Defender per endpoint versione 100.83.73 o successiva.

Esclusioni di analisi

Specificare le entità escluse dall'analisi. Le esclusioni possono essere specificate da percorsi completi, estensioni o nomi di file. Le esclusioni vengono specificate come matrice di elementi. L'amministratore può specificare il numero di elementi necessario, in qualsiasi ordine.

Sezione Valore
Dominio com.microsoft.wdav
Chiave Esclusioni
Tipo di dati Dizionario (preferenza annidata)
Commenti Il dizionario contiene le chiavi $type (tipo di esclusione), path (percorso file o cartella), isDirectory (tipo di percorso), extension (estensione di file) e name (nome processo).
Tipo di esclusione

Specificare il contenuto escluso dall'analisi in base al tipo.

Sezione Valore
Dominio com.microsoft.wdav
Chiave $type
Tipo di dati Stringa
Valori possibili excludedPath

excludedFileExtension

excludedFileName
Percorso del contenuto escluso

Specificare il contenuto escluso dall'analisi in base al percorso completo del file.

Sezione Valore
Dominio com.microsoft.wdav
Chiave Percorso
Tipo di dati Stringa
Valori possibili percorsi validi
Commenti Applicabile solo se $type è excludedPath

Tipi di esclusione supportati

La tabella seguente illustra i tipi di esclusione supportati da Defender per endpoint in macOS.

Esclusione Definizione Esempi
Estensione del file Tutti i file con l'estensione, in qualsiasi punto del dispositivo .test
File Un file specifico identificato dal percorso completo /var/log/test.log

/var/log/*.log

/var/log/install.?.log
Cartella Tutti i file nella cartella specificata (in modo ricorsivo) /var/log/

/var/*/
Procedura Un processo specifico (specificato dal percorso completo o dal nome del file) e tutti i file da esso aperti /bin/cat

cat

c?t

Importante

I percorsi precedenti devono essere collegamenti reali, non collegamenti simbolici, per essere esclusi correttamente. È possibile controllare se un percorso è un collegamento simbolico eseguendo file <path-name>.

Le esclusioni di file, cartelle e processi supportano i caratteri jolly seguenti:

Carattere jolly Descrizione Esempio Corrispondenze Non corrisponde
* Corrisponde a un numero qualsiasi di caratteri, tra cui nessuno (si noti che quando questo carattere jolly viene usato all'interno di un percorso sostituisce una sola cartella) /var/\*/\*.log /var/log/system.log /var/log/nested/system.log
? Corrisponde a qualsiasi carattere singolo file?.log file1.log

file2.log

 file123.log

Tipo di percorso di esclusione di analisi (file o directory)

In una voce di esclusione dell'analisi antivirus usare isDirectory per indicare se il valore del percorso fa riferimento a un file o a una directory.

Sezione Valore
Dominio com.microsoft.wdav
Chiave isDirectory
Tipo di dati Booleano
Valori possibili false (impostazione predefinita)

true
Commenti Applicabile solo se $type è excludedPath

Esclusione di analisi: estensione di file

In una voce di esclusione dell'analisi antivirus usare l'estensione per escludere i file in base all'estensione di file.

Sezione Valore
Dominio com.microsoft.wdav
Chiave Estensione
Tipo di dati Stringa
Valori possibili estensioni di file valide
Commenti Applicabile solo se $type è excludedFileExtension

Esclusione di analisi: nome o percorso del processo

In una voce di esclusione dell'analisi antivirus usare il nome per escludere un processo e tutti i file aperti da tale processo dall'analisi. Il processo può essere specificato in base al nome (ad esempio, cat) o al percorso completo (ad esempio, /bin/cat).

Sezione Valore
Dominio com.microsoft.wdav
Chiave Nome
Tipo di dati Stringa
Valori possibili qualsiasi stringa
Commenti Applicabile solo se $type è excludedFileName

Minacce consentite

Specificare le minacce per nome che non sono bloccate da Defender per endpoint in macOS. Queste minacce sono consentite per l'esecuzione.

Sezione Valore
Dominio com.microsoft.wdav
Chiave allowedThreats
Tipo di dati Matrice di stringhe

Azioni di minaccia non consentite

Limita le azioni che l'utente locale di un dispositivo può eseguire quando vengono rilevate minacce. Le azioni incluse in questo elenco non vengono visualizzate nell'interfaccia utente.

Sezione Valore
Dominio com.microsoft.wdav
Chiave disallowedThreatActions
Tipo di dati Matrice di stringhe
Valori possibili allow (impedisce agli utenti di consentire le minacce)

restore (impedisce agli utenti di ripristinare le minacce dalla quarantena)
Commenti Disponibile in Microsoft Defender per endpoint versione 100.83.73 o successiva.

Impostazioni del tipo di minaccia

Specificare il modo in cui determinati tipi di minaccia vengono gestiti da Microsoft Defender per endpoint in macOS.

Sezione Valore
Dominio com.microsoft.wdav
Chiave threatTypeSettings
Tipo di dati Dizionario (preferenza annidata)
Commenti Ogni voce nella matrice contiene un key (tipo di minaccia, ad esempio potentially_unwanted_application o archive_bomb) e un'azione value da eseguire: audit, blocko off.
Tipo di minaccia

Specificare i tipi di minaccia.

Sezione Valore
Dominio com.microsoft.wdav
Chiave chiave
Tipo di dati Stringa
Valori possibili potentially_unwanted_application

archive_bomb
Procedura da seguire

Specificare l'azione da eseguire quando viene rilevata una minaccia del tipo identificato dall'impostazione key . Scegliere una delle seguenti opzioni:

  • Controllo: il dispositivo non è protetto da questo tipo di minaccia, ma viene registrata una voce relativa alla minaccia.
  • Blocca: il dispositivo è protetto da questo tipo di minaccia e viene inviata una notifica nell'interfaccia utente e nel portale di Microsoft Defender.
  • Disattivato: il dispositivo non è protetto da questo tipo di minaccia e non viene registrato nulla.
Sezione Valore
Dominio com.microsoft.wdav
Chiave valore
Tipo di dati Stringa
Valori possibili audit (impostazione predefinita)

Blocco

disattivato

Criteri di unione delle impostazioni del tipo di minaccia

Specificare i criteri di unione per le impostazioni del tipo di minaccia. Può trattarsi di una combinazione di impostazioni definite dall'amministratore e definite dall'utente (merge) o solo impostazioni definite dall'amministratore (admin_only). Questa impostazione può essere usata per impedire agli utenti locali di definire le proprie impostazioni per tipi di minaccia diversi.

Sezione Valore
Dominio com.microsoft.wdav
Chiave threatTypeSettingsMergePolicy
Tipo di dati Stringa
Valori possibili merge (impostazione predefinita)

admin_only
Commenti Disponibile in Microsoft Defender per endpoint versione 100.83.73 o successiva.

Conservazione della cronologia dell'analisi antivirus (in giorni)

Specificare il numero di giorni in cui i risultati vengono conservati nella cronologia di analisi nel dispositivo. I risultati dell'analisi precedenti vengono rimossi dalla cronologia. File in quarantena precedenti che vengono rimossi anche dal disco.

Sezione Valore
Dominio com.microsoft.wdav
Chiave scanResultsRetentionDays
Tipo di dati Stringa
Valori possibili 90 (impostazione predefinita). I valori consentiti sono compresi tra un giorno e 180 giorni.
Commenti Disponibile in Microsoft Defender per endpoint versione 101.07.23 o successiva.

Numero massimo di elementi nella cronologia di analisi antivirus

Specificare il numero massimo di voci da mantenere nella cronologia di analisi. Le voci includono tutte le analisi su richiesta eseguite in passato e tutti i rilevamenti antivirus.

Sezione Valore
Dominio com.microsoft.wdav
Chiave scanHistoryMaximumItems
Tipo di dati Stringa
Valori possibili 10000 (impostazione predefinita). I valori consentiti sono compresi tra 5000 elementi e 15000 elementi.
Commenti Disponibile in Microsoft Defender per endpoint versione 101.07.23 o successiva.

Preferenze di protezione fornite dal cloud

Configurare le funzionalità di protezione basate sul cloud di Microsoft Defender per endpoint in macOS.

Sezione Valore
Dominio com.microsoft.wdav
Chiave cloudService
Tipo di dati Dizionario (preferenza annidata)
Commenti Il contenuto del dizionario include le impostazioni per la protezione fornita dal cloud, il livello di raccolta diagnostica, il livello di blocco cloud, gli invii automatici di esempi, gli aggiornamenti di intelligence per la sicurezza e la configurazione del proxy.

Abilitare/disabilitare la protezione fornita dal cloud

Specificare se abilitare o meno la protezione fornita dal cloud. Per migliorare la sicurezza dei servizi, è consigliabile mantenere attiva questa funzionalità.

Sezione Valore
Dominio com.microsoft.wdav
Chiave abilitati
Tipo di dati Booleano
Valori possibili true (impostazione predefinita)

False

Livello raccolta diagnostica

I dati di diagnostica vengono usati per mantenere Microsoft Defender per endpoint sicuro e aggiornato, rilevare, diagnosticare e risolvere i problemi e apportare miglioramenti al prodotto. Questa impostazione determina il livello di diagnostica inviato da Microsoft Defender per endpoint a Microsoft.

Sezione Valore
Dominio com.microsoft.wdav
Chiave diagnosticLevel
Tipo di dati Stringa
Valori possibili facoltativo (impostazione predefinita)

Obbligatorio

Configurare il livello di blocco cloud

Questa impostazione determina l'aggressivo defender per endpoint nel blocco e nell'analisi dei file sospetti. Se questa impostazione è attivata, Defender per endpoint sarà più aggressivo quando si identificano i file sospetti da bloccare e analizzare; in caso contrario, è meno aggressivo e quindi blocca e analizza con meno frequenza. Sono disponibili cinque valori per l'impostazione del livello di blocco cloud:

  • Normale (normal): livello di blocco predefinito.
  • Moderato (moderate): restituisce il verdetto solo per i rilevamenti con attendibilità elevata.
  • Alto (high): blocca in modo aggressivo i file sconosciuti durante l'ottimizzazione per le prestazioni (maggiore probabilità di bloccare i file non condivisi).
  • High Plus (high_plus): blocca in modo aggressivo i file sconosciuti e applica misure di protezione aggiuntive (potrebbe influire sulle prestazioni del dispositivo client).
  • Tolleranza zero (zero_tolerance): blocca tutti i programmi sconosciuti.
Sezione Valore
Dominio com.microsoft.wdav
Chiave cloudBlockLevel
Tipo di dati Stringa
Valori possibili normal (impostazione predefinita)

Moderata

alto

high_plus

zero_tolerance
Commenti Disponibile in Defender per endpoint versione 101.56.62 o successiva.

Abilitare/disabilitare gli invii di esempi automatici

Determina se gli esempi sospetti (che probabilmente contengono minacce) vengono inviati a Microsoft. Esistono tre livelli per controllare l'invio di campioni:

  • Nessuno: nessun esempio sospetto viene inviato a Microsoft.
  • Sicuro: solo gli esempi sospetti che non contengono dati personali vengono inviati automaticamente. Questo è il valore predefinito per questa impostazione.
  • Tutti: tutti gli esempi sospetti vengono inviati a Microsoft.
Descrizione Valore
Chiave automaticSampleSubmissionConsent
Tipo di dati Stringa
Valori possibili nessuno

safe (impostazione predefinita)

Tutti

Abilitare/disabilitare gli aggiornamenti automatici delle funzionalità di intelligence per la sicurezza

Determina se gli aggiornamenti di Security Intelligence vengono installati automaticamente:

Sezione Valore
Chiave automaticDefinitionUpdateEnabled
Tipo di dati Booleano
Valori possibili true (impostazione predefinita)

False

Durata degli aggiornamenti dell'intelligence per la sicurezza in scadenza (in giorni)

Determina il numero di giorni dopo i quali gli ultimi aggiornamenti di Security Intelligence installati vengono considerati obsoleti.

Sezione Valore
Chiave definitionUpdateDue
Tipo di dati Numero intero
Valori possibili 7 (impostazione predefinita). I valori consentiti sono numeri interi compresi tra 1 e 30

Intervallo di aggiornamento dell'intelligence per la sicurezza (in secondi)

Specifica l'intervallo di tempo (in secondi) dopo il quale verranno controllati gli aggiornamenti dell'intelligence di sicurezza.

Sezione Valore
Chiave definitionUpdatesInterval
Tipo di dati Numero intero
Valori possibili 28800 (impostazione predefinita, 8 ore). I valori consentiti sono numeri interi compresi tra 60 (1 minuto) e 86400 (24 ore)
Commenti L'impostazione del valore troppo basso può causare controlli di aggiornamento dell'intelligence di sicurezza ripetuti o non necessari.

Proxy per la comunicazione di Defender per endpoint

Configurare il proxy per tutte le comunicazioni cloud di Defender per endpoint. Se non è impostato, viene usato il proxy a livello di sistema.

Sezione Valore
Chiave Proxy
Tipo di dati Stringa
Commenti Formato: "http://proxy.server:port" o "https://proxy.server:port".

Importante

  • La configurazione del proxy non corretta può compromettere MDE funzionalità.
  • È possibile eseguire "test di connettività mdatp" nell'endpoint per testare la connettività mde dopo aver applicato le impostazioni proxy.

Preferenze dell'interfaccia utente

Gestire le preferenze per l'interfaccia utente di Microsoft Defender per endpoint in macOS.

Sezione Valore
Dominio com.microsoft.wdav
Chiave userInterface
Tipo di dati Dizionario (preferenza annidata)
Commenti Il contenuto del dizionario include le impostazioni per la visibilità dell'icona del menu di stato, l'opzione di feedback e il controllo di accesso della versione consumer.

Icona del menu Mostra/Nascondi stato

Specificare se visualizzare o nascondere l'icona del menu di stato nell'angolo superiore destro della schermata.

Sezione Valore
Dominio com.microsoft.wdav
Chiave hideStatusMenuIcon
Tipo di dati Booleano
Valori possibili false (impostazione predefinita)

true

Mostra/nascondi l'opzione per inviare commenti e suggerimenti

Specificare se gli utenti possono inviare commenti e suggerimenti a Microsoft passando a Help>Send Feedback.

Sezione Valore
Dominio com.microsoft.wdav
Chiave userInitiatedFeedback
Tipo di dati Stringa
Valori possibili enabled (impostazione predefinita)

disabilitati
Commenti Disponibile in Microsoft Defender per endpoint versione 101.19.61 o successiva.

Controllare la versione di accesso al consumer di Microsoft Defender

Specificare se gli utenti possono accedere alla versione consumer di Microsoft Defender.

Sezione Valore
Dominio com.microsoft.wdav
Chiave consumerExperience
Tipo di dati Stringa
Valori possibili enabled (impostazione predefinita)

disabilitati
Commenti Disponibile in Microsoft Defender per endpoint versione 101.60.18 o successiva.

Preferenze di rilevamento e risposta degli endpoint

Gestire le preferenze del componente edr (endpoint detection and response) di Microsoft Defender per endpoint in macOS.

Sezione Valore
Dominio com.microsoft.wdav
Chiave Edr
Tipo di dati Dizionario (preferenza annidata)
Commenti Il contenuto del dizionario include le impostazioni per i tag del dispositivo e gli identificatori di gruppo.

Tag del dispositivo

Specificare un nome di tag e il relativo valore.

  • Il tag GROUP contrassegna il dispositivo con il valore specificato. Il tag viene riflesso nel portale nella pagina del dispositivo e può essere usato per filtrare e raggruppare i dispositivi.
Sezione Valore
Dominio com.microsoft.wdav
Chiave tag
Tipo di dati Dizionario (preferenza annidata)
Commenti Ogni voce nella matrice contiene un key (tipo di tag, ad esempio GROUP) e una value (stringa di tag assegnata al dispositivo).
Tipo di tag

Specifica il tipo di tag

Sezione Valore
Dominio com.microsoft.wdav
Chiave chiave
Tipo di dati Stringa
Valori possibili GROUP
Valore del tag

Specifica il valore del tag

Sezione Valore
Dominio com.microsoft.wdav
Chiave valore
Tipo di dati Stringa
Valori possibili qualsiasi stringa

Importante

  • È possibile impostare un solo valore per tipo di tag.
  • Il tipo di tag è univoco e non deve essere ripetuto nello stesso profilo di configurazione.

Identificatore del gruppo

Identificatori del gruppo EDR

Sezione Valore
Dominio com.microsoft.wdav
Chiave groupIds
Tipo di dati Stringa
Commenti Identificatore del gruppo

Protezione da manomissioni

Gestire le preferenze del componente di protezione dalle manomissioni di Microsoft Defender per endpoint in macOS.

Sezione Valore
Dominio com.microsoft.wdav
Chiave tamperProtection
Tipo di dati Dizionario (preferenza annidata)
Commenti Il contenuto del dizionario include le impostazioni per il livello di imposizione e le esclusioni.

Livello di imposizione

Se La protezione antimanomissione è abilitata e se è in modalità strict

Sezione Valore
Dominio com.microsoft.wdav
Chiave enforcementLevel
Tipo di dati Stringa
Commenti Uno dei valori di 'disabled', 'audit' o 'block'

Valori possibili:

  • disabilitato - Protezione antimanomissione è disattivata, nessuna prevenzione di attacchi o segnalazione al cloud
  • audit - Tamper Protection segnala i tentativi di manomissione solo nel cloud, ma non li blocca
  • block - Protezione dalle manomissioni sia per i blocchi che per i report degli attacchi al cloud

Esclusioni

Definisce i processi che possono modificare l'asset di Microsoft Defender, senza considerare la manomissione. È necessario specificare path, teamId o signingId oppure la relativa combinazione. Gli argomenti possono essere forniti anche per specificare più precisamente il processo consentito.

Sezione Valore
Dominio com.microsoft.wdav
Chiave Esclusioni
Tipo di dati Dizionario (preferenza annidata)
Commenti Il contenuto del dizionario include le impostazioni per gli argomenti percorso, ID team, ID firma e processo.
Percorso

Percorso esatto del file eseguibile del processo.

Sezione Valore
Dominio com.microsoft.wdav
Chiave Percorso
Tipo di dati Stringa
Commenti Se uno script della shell è il percorso esatto del file binario dell'interprete, /bin/zshad esempio . Non sono consentiti caratteri jolly.
ID team

"ID team" di Apple del fornitore.

Sezione Valore
Dominio com.microsoft.wdav
Chiave teamId
Tipo di dati Stringa
Commenti Ad esempio, UBF8T346G9 per Microsoft
ID firma

"ID firma" di Apple del pacchetto.

Sezione Valore
Dominio com.microsoft.wdav
Chiave signingId
Tipo di dati Stringa
Commenti Ad esempio, com.apple.ruby per l'interprete Ruby
Argomenti del processo

Usato in combinazione con altri parametri per identificare il processo.

Sezione Valore
Dominio com.microsoft.wdav
Chiave signingId
Tipo di dati Matrice di stringhe
Commenti Se specificato, l'argomento del processo deve corrispondere esattamente a tali argomenti, con distinzione tra maiuscole e minuscole

Il profilo di configurazione consigliato abilita tutte le funzionalità di protezione in Microsoft Defender per endpoint. L'elenco delle proprietà JAMF e il profilo XML di Intune nelle sottosezioni seguenti applicano queste impostazioni.

Questo profilo di configurazione (o, per JAMF, un elenco di proprietà caricato nelle impostazioni personalizzate) eseguirà le operazioni seguenti:

  • Abilitare la protezione in tempo reale (RTP)
  • Specificare la modalità di gestione dei tipi di minaccia seguenti:
    • Le applicazioni potenzialmente indesiderate (PUA) sono bloccate
    • Archivio bombe (file con una frequenza di compressione elevata) vengono controllate nei log di Microsoft Defender per endpoint
  • Abilitare gli aggiornamenti automatici delle funzionalità di intelligence per la sicurezza
  • Abilitare la protezione fornita dal cloud
  • Abilitare l'invio automatico di esempi

Usare l'elenco di proprietà seguente in JAMF per il profilo di configurazione consigliato:

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
    <key>antivirusEngine</key>
    <dict>
        <key>enforcementLevel</key>
        <string>real_time</string>
        <key>threatTypeSettings</key>
        <array>
            <dict>
                <key>key</key>
                <string>potentially_unwanted_application</string>
                <key>value</key>
                <string>block</string>
            </dict>
            <dict>
                <key>key</key>
                <string>archive_bomb</string>
                <key>value</key>
                <string>audit</string>
            </dict>
        </array>
    </dict>
    <key>cloudService</key>
    <dict>
        <key>enabled</key>
        <true/>
        <key>automaticSampleSubmission</key>
        <true/>
        <key>automaticDefinitionUpdateEnabled</key>
        <true/>
    </dict>
    <key>tamperProtection</key>
    <dict>
        <key>enforcementLevel</key>
        <string>block</string>
    </dict>
</dict>
</plist>

Usare il codice XML seguente per il profilo di Intune consigliato:

<?xml version="1.0" encoding="utf-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1">
    <dict>
        <key>PayloadUUID</key>
        <string>C4E6A782-0C8D-44AB-A025-EB893987A295</string>
        <key>PayloadType</key>
        <string>Configuration</string>
        <key>PayloadOrganization</key>
        <string>Microsoft</string>
        <key>PayloadIdentifier</key>
        <string>C4E6A782-0C8D-44AB-A025-EB893987A295</string>
        <key>PayloadDisplayName</key>
        <string>Microsoft Defender for Endpoint settings</string>
        <key>PayloadDescription</key>
        <string>Microsoft Defender for Endpoint configuration settings</string>
        <key>PayloadVersion</key>
        <integer>1</integer>
        <key>PayloadEnabled</key>
        <true/>
        <key>PayloadRemovalDisallowed</key>
        <true/>
        <key>PayloadScope</key>
        <string>System</string>
        <key>PayloadContent</key>
        <array>
            <dict>
                <key>PayloadUUID</key>
                <string>99DBC2BC-3B3A-46A2-A413-C8F9BB9A7295</string>
                <key>PayloadType</key>
                <string>com.microsoft.wdav</string>
                <key>PayloadOrganization</key>
                <string>Microsoft</string>
                <key>PayloadIdentifier</key>
                <string>99DBC2BC-3B3A-46A2-A413-C8F9BB9A7295</string>
                <key>PayloadDisplayName</key>
                <string>Microsoft Defender for Endpoint configuration settings</string>
                <key>PayloadDescription</key>
                <string/>
                <key>PayloadVersion</key>
                <integer>1</integer>
                <key>PayloadEnabled</key>
                <true/>
                <key>antivirusEngine</key>
                <dict>
                    <key>enforcementLevel</key>
                    <string>real_time</string>
                    <key>threatTypeSettings</key>
                    <array>
                        <dict>
                            <key>key</key>
                            <string>potentially_unwanted_application</string>
                            <key>value</key>
                            <string>block</string>
                        </dict>
                        <dict>
                            <key>key</key>
                            <string>archive_bomb</string>
                            <key>value</key>
                            <string>audit</string>
                        </dict>
                    </array>
                </dict>
                <key>cloudService</key>
                <dict>
                    <key>enabled</key>
                    <true/>
                    <key>automaticSampleSubmission</key>
                    <true/>
                    <key>automaticDefinitionUpdateEnabled</key>
                    <true/>
                    <key>definitionUpdateDue</key>
                    <integer>7</integer>
                </dict>
                <key>tamperProtection</key>
                <dict>
                    <key>enforcementLevel</key>
                    <string>block</string>
                </dict>
            </dict>
        </array>
    </dict>
</plist>

Esempio di profilo di configurazione completo

I modelli JAMF e Intune seguenti includono tutti i Microsoft Defender per endpoint disponibili nelle impostazioni macOS. Usare questi modelli per scenari avanzati in cui è necessario il controllo completo su ogni preferenza.

Elenco delle proprietà per il profilo di configurazione completo JAMF

L'elenco plist completo seguente mostra un Defender per il profilo di configurazione dell'endpoint per JAMF con tutte le impostazioni disponibili, tra cui motore antivirus, servizio cloud, EDR, protezione antimanomissione e preferenze dell'interfaccia utente:

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
    <key>antivirusEngine</key>
    <dict>
        <key>enforcementLevel</key>
        <string>real_time</string>
        <key>scanAfterDefinitionUpdate</key>
        <true/>
        <key>scanArchives</key>
        <true/>
        <key>maximumOnDemandScanThreads</key>
        <integer>2</integer>
        <key>exclusions</key>
        <array>
            <dict>
                <key>$type</key>
                <string>excludedPath</string>
                <key>isDirectory</key>
                <false/>
                <key>path</key>
                <string>/var/log/system.log</string>
            </dict>
            <dict>
                <key>$type</key>
                <string>excludedPath</string>
                <key>isDirectory</key>
                <true/>
                <key>path</key>
                <string>/home</string>
            </dict>
            <dict>
                <key>$type</key>
                <string>excludedPath</string>
                <key>isDirectory</key>
                <true/>
                <key>path</key>
                <string>/Users/*/git</string>
            </dict>
            <dict>
                <key>$type</key>
                <string>excludedFileExtension</string>
                <key>extension</key>
                <string>pdf</string>
            </dict>
            <dict>
                <key>$type</key>
                <string>excludedFileName</string>
                <key>name</key>
                <string>cat</string>
            </dict>
        </array>
        <key>exclusionsMergePolicy</key>
        <string>merge</string>
        <key>allowedThreats</key>
        <array>
            <string>EICAR-Test-File (not a virus)</string>
        </array>
        <key>disallowedThreatActions</key>
        <array>
            <string>allow</string>
            <string>restore</string>
        </array>
        <key>threatTypeSettings</key>
        <array>
            <dict>
                <key>key</key>
                <string>potentially_unwanted_application</string>
                <key>value</key>
                <string>block</string>
            </dict>
            <dict>
                <key>key</key>
                <string>archive_bomb</string>
                <key>value</key>
                <string>audit</string>
            </dict>
        </array>
        <key>threatTypeSettingsMergePolicy</key>
        <string>merge</string>
    </dict>
    <key>cloudService</key>
    <dict>
        <key>enabled</key>
        <true/>
        <key>diagnosticLevel</key>
        <string>optional</string>
        <key>automaticSampleSubmission</key>
        <true/>
        <key>automaticDefinitionUpdateEnabled</key>
        <true/>
        <key>cloudBlockLevel</key>
        <string>normal</string>
        <key>definitionUpdateDue</key>
        <integer>7</integer>
    </dict>
    <key>edr</key>
    <dict>
        <key>tags</key>
        <array>
            <dict>
                <key>key</key>
                <string>GROUP</string>
                <key>value</key>
                <string>ExampleTag</string>
            </dict>
        </array>
    </dict>
    <key>tamperProtection</key>
    <dict>
        <key>enforcementLevel</key>
        <string>block</string>
        <key>exclusions</key>
        <array>
        <dict>
            <key>path</key>
            <string>/bin/zsh</string>
            <key>teamId</key>
            <string/>
            <key>signingId</key>
            <string>com.apple.zsh</string>
            <key>args</key>
            <array>
            <string>/usr/local/bin/test.sh</string>
            </array>
        </dict>
        <dict>
            <key>path</key>
            <string>/usr/local/jamf/bin/jamf</string>
            <key>teamId</key>
            <string>483DWKW443</string>
            <key>signingId</key>
            <string>com.jamfsoftware.jamf</string>
        </dict>
        </array>            
    </dict>
    <key>userInterface</key>
    <dict>
        <key>hideStatusMenuIcon</key>
        <false/>
        <key>userInitiatedFeedback</key>
        <string>enabled</string>
    </dict>
</dict>
</plist>

Intune profilo completo

Il payload di configurazione per dispositivi mobili seguente esegue il wrapping di tutte le impostazioni disponibili Defender per endpoint macOS in un profilo di Intune distribuibile. Include il motore antivirus, il servizio cloud, edR, la protezione antimanomissione e le preferenze dell'interfaccia utente:

<?xml version="1.0" encoding="utf-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1">
    <dict>
        <key>PayloadUUID</key>
        <string>C4E6A782-0C8D-44AB-A025-EB893987A295</string>
        <key>PayloadType</key>
        <string>Configuration</string>
        <key>PayloadOrganization</key>
        <string>Microsoft</string>
        <key>PayloadIdentifier</key>
        <string>C4E6A782-0C8D-44AB-A025-EB893987A295</string>
        <key>PayloadDisplayName</key>
        <string>Microsoft Defender for Endpoint settings</string>
        <key>PayloadDescription</key>
        <string>Microsoft Defender for Endpoint configuration settings</string>
        <key>PayloadVersion</key>
        <integer>1</integer>
        <key>PayloadEnabled</key>
        <true/>
        <key>PayloadRemovalDisallowed</key>
        <true/>
        <key>PayloadScope</key>
        <string>System</string>
        <key>PayloadContent</key>
        <array>
            <dict>
                <key>PayloadUUID</key>
                <string>99DBC2BC-3B3A-46A2-A413-C8F9BB9A7295</string>
                <key>PayloadType</key>
                <string>com.microsoft.wdav</string>
                <key>PayloadOrganization</key>
                <string>Microsoft</string>
                <key>PayloadIdentifier</key>
                <string>99DBC2BC-3B3A-46A2-A413-C8F9BB9A7295</string>
                <key>PayloadDisplayName</key>
                <string>Microsoft Defender for Endpoint configuration settings</string>
                <key>PayloadDescription</key>
                <string/>
                <key>PayloadVersion</key>
                <integer>1</integer>
                <key>PayloadEnabled</key>
                <true/>
                <key>antivirusEngine</key>
                <dict>
                    <key>enforcementLevel</key>
                    <string>real_time</string>
                    <key>behaviorMonitoring</key>
                    <string>enabled</string>
                    <key>scanAfterDefinitionUpdate</key>
                    <true/>
                    <key>scanArchives</key>
                    <true/>
                    <key>maximumOnDemandScanThreads</key>
                    <integer>1</integer>
                    <key>exclusions</key>
                    <array>
                        <dict>
                            <key>$type</key>
                            <string>excludedPath</string>
                            <key>isDirectory</key>
                            <false/>
                            <key>path</key>
                            <string>/var/log/system.log</string>
                        </dict>
                        <dict>
                            <key>$type</key>
                            <string>excludedPath</string>
                            <key>isDirectory</key>
                            <true/>
                            <key>path</key>
                            <string>/home</string>
                        </dict>
                        <dict>
                            <key>$type</key>
                            <string>excludedPath</string>
                            <key>isDirectory</key>
                            <true/>
                            <key>path</key>
                            <string>/Users/*/git</string>
                        </dict>
                        <dict>
                            <key>$type</key>
                            <string>excludedFileExtension</string>
                            <key>extension</key>
                            <string>pdf</string>
                        </dict>
                        <dict>
                            <key>$type</key>
                            <string>excludedFileName</string>
                            <key>name</key>
                            <string>cat</string>
                        </dict>
                    </array>
                    <key>exclusionsMergePolicy</key>
                    <string>merge</string>
                    <key>allowedThreats</key>
                    <array>
                        <string>EICAR-Test-File (not a virus)</string>
                    </array>
                    <key>disallowedThreatActions</key>
                    <array>
                        <string>allow</string>
                        <string>restore</string>
                    </array>
                    <key>threatTypeSettings</key>
                    <array>
                        <dict>
                            <key>key</key>
                            <string>potentially_unwanted_application</string>
                            <key>value</key>
                            <string>block</string>
                        </dict>
                        <dict>
                            <key>key</key>
                            <string>archive_bomb</string>
                            <key>value</key>
                            <string>audit</string>
                        </dict>
                    </array>
                    <key>threatTypeSettingsMergePolicy</key>
                    <string>merge</string>
                </dict>
                <key>cloudService</key>
                <dict>
                    <key>enabled</key>
                    <true/>
                    <key>diagnosticLevel</key>
                    <string>optional</string>
                    <key>automaticSampleSubmission</key>
                    <true/>
                    <key>automaticDefinitionUpdateEnabled</key>
                    <true/>
                    <key>cloudBlockLevel</key>
                    <string>normal</string>
                    <key>definitionUpdateDue</key>
                    <integer>7</integer>
                </dict>
                <key>edr</key>
                <dict>
                    <key>tags</key>
                    <array>
                        <dict>
                            <key>key</key>
                            <string>GROUP</string>
                            <key>value</key>
                            <string>ExampleTag</string>
                        </dict>
                    </array>
                </dict>
                <key>tamperProtection</key>
                <dict>
                    <key>enforcementLevel</key>
                    <string>block</string>
                    <key>exclusions</key>
                    <array>
                    <dict>
                        <key>path</key>
                        <string>/bin/zsh</string>
                        <key>teamId</key>
                        <string/>
                        <key>signingId</key>
                        <string>com.apple.zsh</string>
                        <key>args</key>
                        <array>
                        <string>/usr/local/bin/test.sh</string>
                        </array>
                    </dict>
                    <dict>
                        <key>path</key>
                        <string>/Library/Intune/Microsoft Intune Agent.app/Contents/MacOS/IntuneMdmDaemon</string>
                        <key>teamId</key>
                        <string>UBF8T346G9</string>
                        <key>signingId</key>
                        <string>IntuneMdmDaemon</string>
                    </dict>
                    </array>            
                </dict>
                <key>userInterface</key>
                <dict>
                    <key>hideStatusMenuIcon</key>
                    <false/>
                    <key>userInitiatedFeedback</key>
                    <string>enabled</string>
                </dict>
            </dict>
        </array>
    </dict>
</plist>

Convalida dell'elenco di proprietà

L'elenco delle proprietà deve essere un file con estensione plist valido. Convalidare la sintassi plist prima di caricare o distribuire il profilo eseguendo il comando seguente:

plutil -lint com.microsoft.wdav.plist

Se plist è valido, viene visualizzato un output simile al seguente:

com.microsoft.wdav.plist: OK

Se il file è ben formato, il comando precedente restituisce OK e restituisce un codice di uscita di 0. In caso contrario, viene visualizzato un errore che descrive il problema e il comando restituisce un codice di uscita di 1.

Distribuzione del profilo di configurazione

Dopo aver compilato il profilo di configurazione per l'azienda, è possibile distribuirlo tramite la console di gestione. Per istruzioni dettagliate, vedere Distribuzione jamf e distribuzione di Intune .

Distribuzione jamf

Attenzione

È necessario usare com.microsoft.wdav come dominio preferenza. Se il dominio non è corretto, Microsoft Defender per endpoint non riconoscerà le preferenze.

Nella console JAMF aprireProfili di configurazione>, passare al profilo di configurazione che si vuole usare e quindi selezionare Impostazioni personalizzate. Creare una voce con com.microsoft.wdav come dominio di preferenza e caricare il file con estensione plist prodotto in precedenza.

distribuzione Intune

Attenzione

È necessario usare com.microsoft.wdav come nome del profilo di configurazione personalizzato. Se il nome non è corretto, Microsoft Defender per endpoint non riconoscerà le preferenze.

Usare la procedura seguente per distribuire il profilo di configurazione con Intune:

  1. AprireProfili di configurazione>. Selezionare Crea profilo.

  2. Scegliere un nome per il profilo. Modificare Platform=macOS in Profile type=Templates e scegliere Personalizzato nella sezione nome modello. Selezionare Configura.

  3. Salvare il file con estensione plist prodotto in precedenza come com.microsoft.wdav.xml.

  4. Immettere com.microsoft.wdav come nome del profilo di configurazione personalizzato.

  5. Aprire il profilo di configurazione e caricare il com.microsoft.wdav.xml file. Questo file è stato creato nel passaggio 3.

  6. Selezionare OK.

  7. Selezionare Gestisci>assegnazioni. Nella scheda Includi selezionare Assegna a tutti gli utenti & Tutti i dispositivi.

Contenuti correlati

La risorsa seguente fornisce indicazioni aggiuntive sui profili di configurazione macOS:

  • Last updated on