macOS 上で Microsoft Defender for Endpoint 用の基本設定を設定する

管理されたmacOSデバイス上で、Microsoft Defender for Endpointの設定設定プロファイルを使えば一貫して管理できます。 管理された設定は、デバイス上でローカル設定された設定よりも優先され、ローカルで変更するには管理者権限が必要です。

この記事は、Microsoft Intune、Jamf Pro、またはその他のモバイルデバイス管理(MDM)ソリューションを通じて設定プロファイルを展開するセキュリティ管理者のためのものです。 Defender Antivirusの設定、クラウド配信保護、ユーザーインターフェース、エンドポイント検出・応答(EDR)、改ざん防止のための参考情報とサンプルプロファイルを提供します。

設定を設定する前に、macOS上のDefender for Endpointの前提条件を確認してください。 完全な展開ワークフローについては、macOSの「Deploy Microsoft Defender for Endpoint」をご覧ください。 コマンドラインインターフェースからローカルで設定を設定するには、「 コマンドラインから設定」をご覧ください。

構成プロファイルの構造

設定プロファイルは、キーと値のペアで構成されたAppleプロパティリストXMLを使用しています。 各キーは好みの名前です。 値は単純な数字から、入れ子リストの好みリストのような複雑なものまであります。 管理ツールで要求される形式でXMLを保存またはアップロードしてください。

重要

広く展開する前に、限られたデバイス群で設定プロファイルをテストしてください。 プロファイルのレイアウトは使用する管理コンソールによって異なります。 この記事では、Jamf ProおよびMicrosoft Intuneの例を含みます。

構成プロファイルの最上位には、Defender for Endpointの機能、ウイルス対策エンジン、クラウド配信の保護、ユーザーインターフェース、エンドポイント検出・応答(EDR)、改ざん防止のための製品全体の設定と辞書が含まれています。

機能の好み

features辞書を使ってエンドポイント機能の個別Defenderを管理してください。

セクション	値
ドメイン	com.microsoft.wdav
Key	features
データ型	辞書 (入れ子の設定)
コメント	辞書には行動監視などの機能設定が含まれています。

行動監視の設定

デバイス上で行動監視とブロッキングが有効かどうかを指定してください。

注:

行動監視はリアルタイム保護が有効である場合にのみ適用されます。

セクション	値
ドメイン	com.microsoft.wdav
Key	behaviorMonitoring
データ型	文字列
指定可能な値	disabled enabled (既定値)
コメント	Microsoft Defender for Endpoint バージョン101.24042.0002以降で利用可能。

ウイルス対策エンジンの基本設定

antivirusEngine辞書を使ってDefenderウイルス対策の設定を管理してください。

セクション	値
ドメイン	com.microsoft.wdav
Key	antivirusEngine
データ型	辞書 (入れ子の設定)
コメント	辞書には、執行レベル、ファイルハッシュ計算、スキャン除外、許可された脅威、脅威タイプ設定、スキャン履歴保持の設定が含まれています。

ウイルス対策エンジンの適用レベル

アンチウイルスエンジンの強制レベルを指定する:

• real_time (デフォルト):リアルタイム保護を有効にし、アクセスされたファイルをスキャンする。
• on_demand:リアルタイム保護をオフにし、ファイルを必要に応じてスキャンしてください。
• passive: リアルタイム保護と自動脅威対策をオフにし、オンデマンドのスキャンやセキュリティインテリジェンスの更新を有効にし、ステータスメニューアイコンを非表示にします。

セクション	値
ドメイン	com.microsoft.wdav
Key	enforcementLevel
データ型	文字列
指定可能な値	real_time (既定値) on_demand passive
コメント	Microsoft Defender for Endpoint バージョン101.10.72以降で利用可能。

ファイル ハッシュ計算機能を構成する

Defender for Endpointがスキャンしたファイルのハッシュを計算するかどうかを指定してください。 ファイルハッシュ計算はファイルインジケータールールとのマッチングを改善しますが、デバイスの性能に影響を与える可能性があります。 macOSでは、この機能はエンジンバージョン1.1.20000.2以降のスクリプトおよび32ビットおよび64ビットの Mach-O ファイルをサポートします。 詳細については、「 ファイルのインジケーターを作成する」を参照してください。

セクション	値
ドメイン	com.microsoft.wdav
Key	enableFileHashComputation
データ型	ブール値
指定可能な値	false (既定値) true
コメント	Defender for Endpoint バージョン101.86.81以降で利用可能です。

定義の更新後にスキャンを実行する

デバイスに新しいセキュリティインテリジェンスアップデートがダウンロードされた後にプロセススキャンを開始するかどうかを指定します。 この設定を有効にすると、デバイスの実行中のプロセスでウイルス対策スキャンがトリガーされます。

セクション	値
ドメイン	com.microsoft.wdav
Key	scanAfterDefinitionUpdate
データ型	ブール値
指定可能な値	true (既定値) false
コメント	Microsoft Defender for Endpoint バージョン101.41.10以降で利用可能。

スキャン アーカイブ (オンデマンドウイルス対策スキャンのみ)

オンデマンドのアンチウイルススキャン中にアーカイブをスキャンするかどうかを指定してください。

セクション	値
ドメイン	com.microsoft.wdav
Key	scanArchives
データ型	ブール値
指定可能な値	true (既定値) false
コメント	Microsoft Defender for Endpoint バージョン101.41.10以降で利用可能。

オンデマンド スキャンの並列処理の程度

オンデマンドスキャンに使用されるスレッド数を指定します。 この値はCPU使用率やスキャン時間に影響を与えます。

セクション	値
ドメイン	com.microsoft.wdav
Key	maximumOnDemandScanThreads
データ型	整数
指定可能な値	2 (既定値)。 1から64までの整数を使いましょう。
コメント	Microsoft Defender for Endpoint バージョン101.41.10以降で利用可能。

除外マージポリシー

管理者定義の除外とユーザー定義の除外を組み合わせるか、管理者定義の除外のみを使用するかを指定します。 ローカルユーザーが除外を定義するのを防ぐために admin_only を使いましょう。

セクション	値
ドメイン	com.microsoft.wdav
Key	exclusionsMergePolicy
データ型	文字列
指定可能な値	merge (既定値) admin_only
コメント	Microsoft Defender for Endpoint バージョン100.83.73以降で利用可能です。

除外をスキャンする

スキャンから除外するファイル、フォルダ、ファイル拡張子、またはプロセスを指定します。 exclusions配列は任意の順序で複数のエントリを含めることができます。

セクション	値
ドメイン	com.microsoft.wdav
Key	exclusions
データ型	辞書の配列
コメント	各辞書は $type (除外タイプ)、 path (ファイルまたはフォルダパス)、 isDirectory (パスタイプ)、 extension (ファイル拡張子)、または name (プロセス名)を含めることができます。

除外の種類

スキャン対象から除外されるコンテンツを種類別に指定します。

セクション	値
ドメイン	com.microsoft.wdav
Key	$type
データ型	文字列
指定可能な値	excludedPath excludedFileExtension excludedFileName

除外されたコンテンツへのパス

完全なファイル パスでスキャンから除外されるコンテンツを指定します。

セクション	値
ドメイン	com.microsoft.wdav
Key	path
データ型	文字列
指定可能な値	有効なパス
コメント	$typeがexcludedPathされている場合にのみ適用されます。

サポートされている除外の種類

macOS版Defender for Endpointは以下のウイルススキャン除外タイプをサポートしています:

除外	定義	例
ファイル拡張子	拡張子を持つすべてのファイル(デバイス上の任意の場所)	.test
ファイル	完全パスで識別される特定のファイル	/var/log/test.log /var/log/*.log /var/log/install.?.log
フォルダー	指定したフォルダーの下にあるすべてのファイル (再帰的に)	/var/log/ /var/*/
プロセス	特定のプロセス (完全なパスまたはファイル名で指定) と、そのプロセスによって開かれたすべてのファイル	/bin/cat cat c?t

重要

排除パスはシンボリックリンクではなく、ハードリンクでなければなりません。 パスがシンボリックリンクかどうかを判別するには、 file <path-name>を実行します。

ファイル、フォルダー、およびプロセスの除外では、次のワイルドカードがサポートされています。

ワイルドカード	説明	例	次と一致する	一致しない
*	none を含む任意の数の文字と一致します (パス内でこのワイルドカードを使用する場合は、1 つのフォルダーのみを置き換えます)	/var/\*/\*.log	/var/log/system.log	/var/log/nested/system.log
?	任意の 1 文字に一致します	file?.log	file1.log file2.log	file123.log

スキャン除外パスの種類 (ファイルまたはディレクトリ)

アンチウイルススキャン除外エントリでは、path値がファイルかディレクトリかを示すためにisDirectoryを使用します。

セクション	値
ドメイン	com.microsoft.wdav
Key	isDirectory
データ型	ブール値
指定可能な値	false (既定値) true
コメント	$typeがexcludedPathされている場合にのみ適用されます。

スキャンの除外: ファイル拡張子

アンチウイルススキャンの除外エントリでは、 extension を使ってファイル拡張子ごとにファイルを除外します。

セクション	値
ドメイン	com.microsoft.wdav
Key	extension
データ型	文字列
指定可能な値	有効なファイル拡張子
コメント	$typeがexcludedFileExtensionされている場合にのみ適用されます。

スキャンの除外: プロセス名またはパス

アンチウイルススキャンの除外エントリでは、 name を使ってプロセスとそのプロセスによって開かれたすべてのファイルをスキャンから除外します。 プロセス名(例: cat)や、経路全体(例: /bin/cat)で指定します。

セクション	値
ドメイン	com.microsoft.wdav
Key	name
データ型	文字列
指定可能な値	任意の文字列
コメント	$typeがexcludedFileNameされている場合にのみ適用されます。

許可される脅威

Defender for Endpointが実行可能な脅威を名前で指定してください。

セクション	値
ドメイン	com.microsoft.wdav
Key	allowedThreats
データ型	文字列の配列

許可されていない脅威アクション

脅威が検出された場合に、ローカル ユーザーが実行できる操作を制限します。 このリストのアクションはユーザーインターフェースには表示されません。

セクション	値
ドメイン	com.microsoft.wdav
Key	disallowedThreatActions
データ型	文字列の配列
指定可能な値	allow（ユーザーが脅威を許可するのを防ぎます） restore (ユーザーが隔離からの脅威を復元できない)
コメント	Microsoft Defender for Endpoint バージョン100.83.73以降で利用可能です。

脅威の種類の設定

macOS 上のMicrosoft Defender for Endpointによって特定の脅威の種類がどのように処理されるかを指定します。

セクション	値
ドメイン	com.microsoft.wdav
Key	threatTypeSettings
データ型	辞書の配列
コメント	配列内の各エントリには、 key ( potentially_unwanted_application や archive_bombなどの脅威の種類) と value (実行するアクション: audit、 block、または off) が含まれます。

脅威の種類

脅威の種類を指定します。

セクション	値
ドメイン	com.microsoft.wdav
Key	key
データ型	文字列
指定可能な値	potentially_unwanted_application archive_bomb

実行する操作

key設定で特定された種類の脅威が検出されたときに実行するアクションを指定します。 次のオプションから選択します。

• audit: デバイスはこの脅威タイプから保護されていませんが、Defender for Endpointは脅威を記録しています。
• block: Defender for Endpointは脅威をブロックし、ユーザーインターフェースおよびMicrosoft Defenderポータルで通知します。
• offこのデバイスはこの脅威タイプから保護されておらず、Defender for Endpointは脅威を記録しません。

セクション	値
ドメイン	com.microsoft.wdav
Key	value
データ型	文字列
指定可能な値	audit (既定値) block off

脅威の種類設定のマージ ポリシー

管理者定義とユーザー定義の脅威タイプ設定を組み合わせるか、管理者定義の設定のみを使用するかを指定します。 admin_onlyを使って、ローカルユーザーが脅威タイプ設定を定義するのを防ぎましょう。

セクション	値
ドメイン	com.microsoft.wdav
Key	threatTypeSettingsMergePolicy
データ型	文字列
指定可能な値	merge (既定値) admin_only
コメント	Microsoft Defender for Endpoint バージョン100.83.73以降で利用可能です。

ウイルス対策スキャン履歴の保持期間 (日数)

デバイスのスキャン履歴に、結果を何日保存するかを指定してください。 結果が期限切れになると、Defender for Endpointはスキャン結果を履歴から削除し、ディスクから隔離されたファイルも削除します。

セクション	値
ドメイン	com.microsoft.wdav
Key	scanResultsRetentionDays
データ型	整数
指定可能な値	90 (既定値)。 1から180までの整数を使いましょう。
コメント	Microsoft Defender for Endpoint バージョン101.07.23以降で利用可能。

ウイルス対策スキャン履歴のアイテムの最大数

スキャン履歴に保持するエントリの最大数を指定します。 エントリには、過去に実行されたすべてのオンデマンド スキャンと、すべてのウイルス対策検出が含まれます。

セクション	値
ドメイン	com.microsoft.wdav
Key	scanHistoryMaximumItems
データ型	整数
指定可能な値	10000 (既定値)。 5000から15000までの整数を使いましょう。
コメント	Microsoft Defender for Endpoint バージョン101.07.23以降で利用可能。

クラウド配信の保護の基本設定

macOS上でMicrosoft Defender for Endpointのクラウド提供保護機能を設定してください。

セクション	値
ドメイン	com.microsoft.wdav
Key	cloudService
データ型	辞書 (入れ子の設定)
コメント	ディクショナリの内容には、クラウドによる保護、診断収集レベル、クラウド ブロック レベル、自動サンプル送信、セキュリティ インテリジェンスの更新、プロキシ構成の設定が含まれます。

クラウド配信保護の設定

デバイス上でクラウド配信保護を有効にするかどうかを指定してください。 この機能は有効にしておき、より良い保護を行ってください。

セクション	値
ドメイン	com.microsoft.wdav
Key	enabled
データ型	ブール値
指定可能な値	true (既定値) false

診断収集のレベル

Defender for EndpointがMicrosoftに送信する診断データのレベルを指定します。 診断データは製品の安全性と最新性を維持し、問題の診断と修正、製品の改善に役立ちます。

セクション	値
ドメイン	com.microsoft.wdav
Key	diagnosticLevel
データ型	文字列
指定可能な値	optional (既定値) required

クラウド ブロック レベルを構成する

Defender for Endpointが疑わしいファイルをどれほど積極的にブロックしスキャンするかを具体的に示してください:

• normal:デフォルトのブロッキングレベルを使いましょう。
• moderate:高い信頼度の検出にのみ評決を下せ。
• highパフォーマンス最適化をしながら、未知のファイルを積極的にブロックする。 このレベルは、有害でないファイルをブロックする可能性を高めます。
• high_plus未知のファイルは積極的にブロックし、より強化された保護措置を適用してください。 このレベルはデバイスの性能に影響を与える可能性があります。
• zero_tolerance未知のプログラムをすべてブロックしろ。

セクション	値
ドメイン	com.microsoft.wdav
Key	cloudBlockLevel
データ型	文字列
指定可能な値	normal (既定値) moderate high high_plus zero_tolerance
コメント	Defender for Endpoint バージョン101.56.62以降で利用可能です。

自動サンプル提出の設定

脅威を含む可能性のある疑わしいサンプルがMicrosoftに送られるかを指定します:

• none:疑わしいサンプルを自動的に提出しないでください。
• safe個人を特定できない不審なサンプルのみを自動的に提出してください。 この値が既定値です。
• all:疑わしいサンプルはすべて自動的に提出してください。

セクション	値
ドメイン	com.microsoft.wdav
Key	automaticSampleSubmissionConsent
データ型	文字列
指定可能な値	none safe (既定値) all

注:

macOSはまた、レガシーのブールキー automaticSampleSubmissionもサポートしています。 プロファイルに両方のキーが含まれている場合、 automaticSampleSubmissionConsent が優先されます。

自動セキュリティインテリジェンス更新の設定

セキュリティインテリジェンスのアップデートを自動的にインストールするかどうかを指定します。

セクション	値
Key	automaticDefinitionUpdateEnabled
データ型	ブール値
指定可能な値	true (既定値) false

セキュリティ インテリジェンス更新プログラムの期限 (日数) の期間

最後にインストールされたセキュリティインテリジェンスアップデートが古くなっている日数を指定してください。

セクション	値
Key	definitionUpdateDue
データ型	整数
指定可能な値	7 (既定値)。 1から30までの整数を使いましょう。

セキュリティ インテリジェンスの更新間隔 (秒単位)

Defender for Endpointがセキュリティインテリジェンスの更新を何秒単位でチェックするかを指定してください。

セクション	値
Key	definitionUpdatesInterval
データ型	整数
指定可能な値	28800 (デフォルトは8時間) 60(1分)から86400(24時間)までの整数を使いましょう。
コメント	値を低く設定しすぎると、繰り返しまたは不要なセキュリティインテリジェンスの更新チェックが発生する可能性があります。

Defender for Endpoint 通信用のプロキシ

Defender for Endpointのクラウド通信用にプロキシを設定しましょう。 この設定を設定していない場合、Defender for Endpointはシステム全体のプロキシを使用しています。

セクション	値
Key	proxy
データ型	文字列
コメント	フォーマットは http://proxy.server:port または https://proxy.server:portを使いましょう。

重要

誤ったプロキシ設定はDefender for Endpointの機能を妨げる可能性があります。 プロキシ設定を適用した後、デバイス上で mdatp connectivity test を実行して接続性をテストしてください。

ユーザー インターフェイスの基本設定

macOS 上のMicrosoft Defender for Endpointのユーザー インターフェイスの基本設定を管理します。

セクション	値
ドメイン	com.microsoft.wdav
Key	userInterface
データ型	辞書 (入れ子の設定)
コメント	ディクショナリの内容には、状態メニュー アイコンの表示設定、フィードバック オプション、コンシューマー バージョンのサインイン コントロールが含まれます。

ステータスメニューのアイコンを設定する

画面の右上隅にある状態メニュー アイコンを表示または非表示にするかどうかを指定します。

セクション	値
ドメイン	com.microsoft.wdav
Key	hideStatusMenuIcon
データ型	ブール値
指定可能な値	false (既定値) true

フィードバックオプションの設定

ユーザーがMicrosoftフィードバックを投稿できるかどうかは、「ヘルプ>フィードバック送信」を選択して指定してください。

セクション	値
ドメイン	com.microsoft.wdav
Key	userInitiatedFeedback
データ型	文字列
指定可能な値	enabled (既定値) disabled
コメント	Microsoft Defender for Endpoint バージョン101.19.61以降で利用可能です。

コンシューマー バージョンのMicrosoft Defenderへのサインインを制御する

ユーザーがコンシューマー バージョンのMicrosoft Defenderにサインインできるかどうかを指定します。

セクション	値
ドメイン	com.microsoft.wdav
Key	consumerExperience
データ型	文字列
指定可能な値	enabled (既定値) disabled
コメント	Microsoft Defender for Endpoint バージョン101.60.18以降で利用可能です。

エンドポイントの検出と応答の基本設定

macOS上のMicrosoft Defender for Endpointのエンドポイント検出および応答(EDR)コンポーネントの設定を管理できます。

セクション	値
ドメイン	com.microsoft.wdav
Key	edr
データ型	辞書 (入れ子の設定)
コメント	ディクショナリの内容には、デバイス タグとグループ識別子の設定が含まれます。

デバイス タグ

タグ名と値を指定してください。 GROUPタグはMicrosoft Defenderポータルのデバイスページに指定された値を追加し、そこでデバイスのフィルタリングやグループ化に使えます。

セクション	値
ドメイン	com.microsoft.wdav
Key	tags
データ型	辞書の配列
コメント	配列内の各エントリには、 key ( GROUP などのタグの種類) と value (デバイスに割り当てられたタグ文字列) が含まれています。

タグの種類

タグの種類を指定してください。

セクション	値
ドメイン	com.microsoft.wdav
Key	key
データ型	文字列
指定可能な値	GROUP

タグの値

タグの値を指定してください。

セクション	値
ドメイン	com.microsoft.wdav
Key	value
データ型	文字列
指定可能な値	任意の文字列

重要

• タグタイプごとに1つの値だけを設定してください。
• 同じ設定プロファイル内でタグタイプを繰り返してはいけません。

グループ識別子

EDRグループ識別子を指定します。

セクション	値
ドメイン	com.microsoft.wdav
Key	groupIds
データ型	文字列
コメント	デバイスに割り当てられたグループ識別子。

改ざん防止

macOS上のMicrosoft Defender for Endpointの改ざん防止コンポーネントの設定を管理できます。

セクション	値
ドメイン	com.microsoft.wdav
Key	tamperProtection
データ型	辞書 (入れ子の設定)
コメント	ディクショナリの内容には、適用レベルと除外の設定が含まれます。

実施レベル

改ざん防止の執行レベルを指定してください。

セクション	値
ドメイン	com.microsoft.wdav
Key	enforcementLevel
データ型	文字列
指定可能な値	disabled audit block (既定値)

• disabled改ざん防止を解除してください。 Defender for Endpointは改ざんの試みをブロックしたり報告したりしません。
• audit改ざんの試みはクラウドに報告し、ブロックせずに報告してください。
• block:改ざんの試みをブロックし、クラウドに報告してください。

除外

Microsoft Defenderの資産を改ざんとみなさずに変更できるプロセスを定義してください。 path、teamId、signingId、またはこれらの値の組み合わせを指定します。 また、許可されたプロセスをより正確に特定するために args を指定することもできます。

セクション	値
ドメイン	com.microsoft.wdav
Key	exclusions
データ型	辞書の配列
コメント	各辞書にはパス、チームID、署名ID、プロセス引数を含めることができます。

パス

プロセス実行ファイルの正確な経路を指定します。

セクション	値
ドメイン	com.microsoft.wdav
Key	path
データ型	文字列
コメント	シェルスクリプトの場合は、 /bin/zshのようなインタプリタバイナリへの正確なパスを指定します。 ワイルドカードはサポートされていません。

チーム ID

ベンダーのAppleチームIDを指定してください。

セクション	値
ドメイン	com.microsoft.wdav
Key	teamId
データ型	文字列
コメント	例えば、MicrosoftチームIDはUBF8T346G9です。

署名ID

パッケージのApple署名IDを指定してください。

セクション	値
ドメイン	com.microsoft.wdav
Key	signingId
データ型	文字列
コメント	例えば、Rubyインタプリタの署名IDは com.apple.rubyです。

引数を処理する

他の値と組み合わせてプロセスを識別する引数を指定します。

セクション	値
ドメイン	com.microsoft.wdav
Key	args
データ型	文字列の配列
コメント	プロセス引数は、指定された引数と完全に一致している必要があり、大文字と小文字が区別されます。

推奨される構成プロファイル

推奨される構成プロファイルは、一般的に使われる保護設定の基準を提供します。 以下のセクションのJamf ProプロパティリストとIntune XMLプロファイルの両方がこれらの設定を適用しています。

この設定プロファイル(またはJamf Proの場合はカスタム設定にアップロードされたプロパティリスト)は、以下の設定を適用します:

• リアルタイム保護を有効にしてください。
• 次の脅威の種類の処理方法を指定します。
  • 望ましくない応募をブロックしましょう。
  • Defender for Endpoint のログで、高圧縮率のファイルであるアーカイブ爆弾を監査します。
• セキュリティ インテリジェンスの自動更新を有効にします。
• クラウド提供の保護を有効にします。
• 自動サンプル提出を有効にしてください。

Jamf Pro推奨構成プロファイルのプロパティリスト

推奨される構成プロファイルとして、Jamf Proの以下のプロパティリストをご利用ください:

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
    <key>antivirusEngine</key>
    <dict>
        <key>enforcementLevel</key>
        <string>real_time</string>
        <key>threatTypeSettings</key>
        <array>
            <dict>
                <key>key</key>
                <string>potentially_unwanted_application</string>
                <key>value</key>
                <string>block</string>
            </dict>
            <dict>
                <key>key</key>
                <string>archive_bomb</string>
                <key>value</key>
                <string>audit</string>
            </dict>
        </array>
    </dict>
    <key>cloudService</key>
    <dict>
        <key>enabled</key>
        <true/>
        <key>automaticSampleSubmission</key>
        <true/>
        <key>automaticDefinitionUpdateEnabled</key>
        <true/>
    </dict>
    <key>tamperProtection</key>
    <dict>
        <key>enforcementLevel</key>
        <string>block</string>
    </dict>
</dict>
</plist>

Intune の推奨プロファイル

推奨される Intune プロファイルには、次の XML を使用します。

<?xml version="1.0" encoding="utf-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1">
    <dict>
        <key>PayloadUUID</key>
        <string>C4E6A782-0C8D-44AB-A025-EB893987A295</string>
        <key>PayloadType</key>
        <string>Configuration</string>
        <key>PayloadOrganization</key>
        <string>Microsoft</string>
        <key>PayloadIdentifier</key>
        <string>C4E6A782-0C8D-44AB-A025-EB893987A295</string>
        <key>PayloadDisplayName</key>
        <string>Microsoft Defender for Endpoint settings</string>
        <key>PayloadDescription</key>
        <string>Microsoft Defender for Endpoint configuration settings</string>
        <key>PayloadVersion</key>
        <integer>1</integer>
        <key>PayloadEnabled</key>
        <true/>
        <key>PayloadRemovalDisallowed</key>
        <true/>
        <key>PayloadScope</key>
        <string>System</string>
        <key>PayloadContent</key>
        <array>
            <dict>
                <key>PayloadUUID</key>
                <string>99DBC2BC-3B3A-46A2-A413-C8F9BB9A7295</string>
                <key>PayloadType</key>
                <string>com.microsoft.wdav</string>
                <key>PayloadOrganization</key>
                <string>Microsoft</string>
                <key>PayloadIdentifier</key>
                <string>99DBC2BC-3B3A-46A2-A413-C8F9BB9A7295</string>
                <key>PayloadDisplayName</key>
                <string>Microsoft Defender for Endpoint configuration settings</string>
                <key>PayloadDescription</key>
                <string/>
                <key>PayloadVersion</key>
                <integer>1</integer>
                <key>PayloadEnabled</key>
                <true/>
                <key>antivirusEngine</key>
                <dict>
                    <key>enforcementLevel</key>
                    <string>real_time</string>
                    <key>threatTypeSettings</key>
                    <array>
                        <dict>
                            <key>key</key>
                            <string>potentially_unwanted_application</string>
                            <key>value</key>
                            <string>block</string>
                        </dict>
                        <dict>
                            <key>key</key>
                            <string>archive_bomb</string>
                            <key>value</key>
                            <string>audit</string>
                        </dict>
                    </array>
                </dict>
                <key>cloudService</key>
                <dict>
                    <key>enabled</key>
                    <true/>
                    <key>automaticSampleSubmission</key>
                    <true/>
                    <key>automaticDefinitionUpdateEnabled</key>
                    <true/>
                    <key>definitionUpdateDue</key>
                    <integer>7</integer>
                </dict>
                <key>tamperProtection</key>
                <dict>
                    <key>enforcementLevel</key>
                    <string>block</string>
                </dict>
            </dict>
        </array>
    </dict>
</plist>

完全な構成プロファイルの例

以下のJamf ProおよびIntuneテンプレートは、拡張されたMicrosoft Defender for Endpointの設定セットを示しています。 それらを高度なシナリオの例として使い、組織で求められる設定のみを含めてください。

注意

テンプレートには除外、許可された脅威、タグ、グループ識別子、改ざん防止除外の例が含まれています。 これらの値を展開前に見直し、差し替えまたは削除してください。 特に、 allowedThreats エントリはEICARテストファイルの実行を可能にします。

Jamf Proフル構成プロファイルのプロパティリスト

以下のプロパティリストは、Jamf Pro向けの拡張されたDefender for Endpointの設定プロファイルを示しており、ウイルス対策エンジン、クラウドサービス、EDR、改ざん防止、ユーザーインターフェースの設定などが含まれています。

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
    <key>antivirusEngine</key>
    <dict>
        <key>enforcementLevel</key>
        <string>real_time</string>
        <key>scanAfterDefinitionUpdate</key>
        <true/>
        <key>scanArchives</key>
        <true/>
        <key>maximumOnDemandScanThreads</key>
        <integer>2</integer>
        <key>exclusions</key>
        <array>
            <dict>
                <key>$type</key>
                <string>excludedPath</string>
                <key>isDirectory</key>
                <false/>
                <key>path</key>
                <string>/var/log/system.log</string>
            </dict>
            <dict>
                <key>$type</key>
                <string>excludedPath</string>
                <key>isDirectory</key>
                <true/>
                <key>path</key>
                <string>/home</string>
            </dict>
            <dict>
                <key>$type</key>
                <string>excludedPath</string>
                <key>isDirectory</key>
                <true/>
                <key>path</key>
                <string>/Users/*/git</string>
            </dict>
            <dict>
                <key>$type</key>
                <string>excludedFileExtension</string>
                <key>extension</key>
                <string>pdf</string>
            </dict>
            <dict>
                <key>$type</key>
                <string>excludedFileName</string>
                <key>name</key>
                <string>cat</string>
            </dict>
        </array>
        <key>exclusionsMergePolicy</key>
        <string>merge</string>
        <key>allowedThreats</key>
        <array>
            <string>EICAR-Test-File (not a virus)</string>
        </array>
        <key>disallowedThreatActions</key>
        <array>
            <string>allow</string>
            <string>restore</string>
        </array>
        <key>threatTypeSettings</key>
        <array>
            <dict>
                <key>key</key>
                <string>potentially_unwanted_application</string>
                <key>value</key>
                <string>block</string>
            </dict>
            <dict>
                <key>key</key>
                <string>archive_bomb</string>
                <key>value</key>
                <string>audit</string>
            </dict>
        </array>
        <key>threatTypeSettingsMergePolicy</key>
        <string>merge</string>
    </dict>
    <key>cloudService</key>
    <dict>
        <key>enabled</key>
        <true/>
        <key>diagnosticLevel</key>
        <string>optional</string>
        <key>automaticSampleSubmission</key>
        <true/>
        <key>automaticDefinitionUpdateEnabled</key>
        <true/>
        <key>cloudBlockLevel</key>
        <string>normal</string>
        <key>definitionUpdateDue</key>
        <integer>7</integer>
    </dict>
    <key>edr</key>
    <dict>
        <key>tags</key>
        <array>
            <dict>
                <key>key</key>
                <string>GROUP</string>
                <key>value</key>
                <string>ExampleTag</string>
            </dict>
        </array>
    </dict>
    <key>tamperProtection</key>
    <dict>
        <key>enforcementLevel</key>
        <string>block</string>
        <key>exclusions</key>
        <array>
        <dict>
            <key>path</key>
            <string>/bin/zsh</string>
            <key>teamId</key>
            <string/>
            <key>signingId</key>
            <string>com.apple.zsh</string>
            <key>args</key>
            <array>
            <string>/usr/local/bin/test.sh</string>
            </array>
        </dict>
        <dict>
            <key>path</key>
            <string>/usr/local/jamf/bin/jamf</string>
            <key>teamId</key>
            <string>483DWKW443</string>
            <key>signingId</key>
            <string>com.jamfsoftware.jamf</string>
        </dict>
        </array>
    </dict>
    <key>userInterface</key>
    <dict>
        <key>hideStatusMenuIcon</key>
        <false/>
        <key>userInitiatedFeedback</key>
        <string>enabled</string>
    </dict>
</dict>
</plist>

Intune フル プロファイル

次のモバイル構成ペイロードは、エンドポイント macOS 設定で使用可能なすべてのDefenderを展開可能な Intune プロファイルにラップします。 これには、ウイルス対策エンジン、クラウド サービス、EDR、改ざん防止、ユーザー インターフェイスの基本設定が含まれます。

<?xml version="1.0" encoding="utf-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1">
    <dict>
        <key>PayloadUUID</key>
        <string>C4E6A782-0C8D-44AB-A025-EB893987A295</string>
        <key>PayloadType</key>
        <string>Configuration</string>
        <key>PayloadOrganization</key>
        <string>Microsoft</string>
        <key>PayloadIdentifier</key>
        <string>C4E6A782-0C8D-44AB-A025-EB893987A295</string>
        <key>PayloadDisplayName</key>
        <string>Microsoft Defender for Endpoint settings</string>
        <key>PayloadDescription</key>
        <string>Microsoft Defender for Endpoint configuration settings</string>
        <key>PayloadVersion</key>
        <integer>1</integer>
        <key>PayloadEnabled</key>
        <true/>
        <key>PayloadRemovalDisallowed</key>
        <true/>
        <key>PayloadScope</key>
        <string>System</string>
        <key>PayloadContent</key>
        <array>
            <dict>
                <key>PayloadUUID</key>
                <string>99DBC2BC-3B3A-46A2-A413-C8F9BB9A7295</string>
                <key>PayloadType</key>
                <string>com.microsoft.wdav</string>
                <key>PayloadOrganization</key>
                <string>Microsoft</string>
                <key>PayloadIdentifier</key>
                <string>99DBC2BC-3B3A-46A2-A413-C8F9BB9A7295</string>
                <key>PayloadDisplayName</key>
                <string>Microsoft Defender for Endpoint configuration settings</string>
                <key>PayloadDescription</key>
                <string/>
                <key>PayloadVersion</key>
                <integer>1</integer>
                <key>PayloadEnabled</key>
                <true/>
                <key>antivirusEngine</key>
                <dict>
                    <key>enforcementLevel</key>
                    <string>real_time</string>
                    <key>behaviorMonitoring</key>
                    <string>enabled</string>
                    <key>scanAfterDefinitionUpdate</key>
                    <true/>
                    <key>scanArchives</key>
                    <true/>
                    <key>maximumOnDemandScanThreads</key>
                    <integer>1</integer>
                    <key>exclusions</key>
                    <array>
                        <dict>
                            <key>$type</key>
                            <string>excludedPath</string>
                            <key>isDirectory</key>
                            <false/>
                            <key>path</key>
                            <string>/var/log/system.log</string>
                        </dict>
                        <dict>
                            <key>$type</key>
                            <string>excludedPath</string>
                            <key>isDirectory</key>
                            <true/>
                            <key>path</key>
                            <string>/home</string>
                        </dict>
                        <dict>
                            <key>$type</key>
                            <string>excludedPath</string>
                            <key>isDirectory</key>
                            <true/>
                            <key>path</key>
                            <string>/Users/*/git</string>
                        </dict>
                        <dict>
                            <key>$type</key>
                            <string>excludedFileExtension</string>
                            <key>extension</key>
                            <string>pdf</string>
                        </dict>
                        <dict>
                            <key>$type</key>
                            <string>excludedFileName</string>
                            <key>name</key>
                            <string>cat</string>
                        </dict>
                    </array>
                    <key>exclusionsMergePolicy</key>
                    <string>merge</string>
                    <key>allowedThreats</key>
                    <array>
                        <string>EICAR-Test-File (not a virus)</string>
                    </array>
                    <key>disallowedThreatActions</key>
                    <array>
                        <string>allow</string>
                        <string>restore</string>
                    </array>
                    <key>threatTypeSettings</key>
                    <array>
                        <dict>
                            <key>key</key>
                            <string>potentially_unwanted_application</string>
                            <key>value</key>
                            <string>block</string>
                        </dict>
                        <dict>
                            <key>key</key>
                            <string>archive_bomb</string>
                            <key>value</key>
                            <string>audit</string>
                        </dict>
                    </array>
                    <key>threatTypeSettingsMergePolicy</key>
                    <string>merge</string>
                </dict>
                <key>cloudService</key>
                <dict>
                    <key>enabled</key>
                    <true/>
                    <key>diagnosticLevel</key>
                    <string>optional</string>
                    <key>automaticSampleSubmission</key>
                    <true/>
                    <key>automaticDefinitionUpdateEnabled</key>
                    <true/>
                    <key>cloudBlockLevel</key>
                    <string>normal</string>
                    <key>definitionUpdateDue</key>
                    <integer>7</integer>
                </dict>
                <key>edr</key>
                <dict>
                    <key>tags</key>
                    <array>
                        <dict>
                            <key>key</key>
                            <string>GROUP</string>
                            <key>value</key>
                            <string>ExampleTag</string>
                        </dict>
                    </array>
                </dict>
                <key>tamperProtection</key>
                <dict>
                    <key>enforcementLevel</key>
                    <string>block</string>
                    <key>exclusions</key>
                    <array>
                    <dict>
                        <key>path</key>
                        <string>/bin/zsh</string>
                        <key>teamId</key>
                        <string/>
                        <key>signingId</key>
                        <string>com.apple.zsh</string>
                        <key>args</key>
                        <array>
                        <string>/usr/local/bin/test.sh</string>
                        </array>
                    </dict>
                    <dict>
                        <key>path</key>
                        <string>/Library/Intune/Microsoft Intune Agent.app/Contents/MacOS/IntuneMdmDaemon</string>
                        <key>teamId</key>
                        <string>UBF8T346G9</string>
                        <key>signingId</key>
                        <string>IntuneMdmDaemon</string>
                    </dict>
                    </array>
                </dict>
                <key>userInterface</key>
                <dict>
                    <key>hideStatusMenuIcon</key>
                    <false/>
                    <key>userInitiatedFeedback</key>
                    <string>enabled</string>
                </dict>
            </dict>
        </array>
    </dict>
</plist>

プロパティ リストの検証

プロパティリストは有効な .plist ファイルでなければなりません。 プロファイルをアップロードまたは展開する前に、以下のコマンドを実行して構文を検証してください:

plutil -lint com.microsoft.wdav.plist

プロパティリストが有効な場合、コマンドは終了コード 0 と出力を以下のようなもので返します。

com.microsoft.wdav.plist: OK

プロパティリストが有効でない場合、コマンドは終了コード 1 返し、問題を説明するエラーを表示します。

構成プロファイルの展開

構成プロファイルを作成・検証した後、管理ツールを使ってデプロイしてください。 com.microsoft.wdavをプリファレンスドメインまたはカスタム設定プロファイル名として使ってください。 Defender for Endpointは、他の値を使うとその設定を認識しません。

Jamf Proの展開

Jamf Proは別のサードパーティ製品で、Defender for Endpointの一部ではなく、Defender for Endpointのサブスクリプションにも含まれていません。 Jamf Proを使用するには、組織内で別のJamf Proサブスクリプションが必要です。 製品およびサブスクリプション情報については、 Jamf Proをご覧ください。 もし御社でJamf Proを使用していない場合は、この記事の別の設定方法を使ってください。

現在のJamf Proスキーマまたはレガシープロパティリスト方式を使って設定を展開するには、Jamf Proの「Configure Defender settings」をご覧ください。 Jamfに関する詳細は、「 アプリケーションを使ったカスタムコンピュータ構成プロファイルのデプロイ」および「カスタム設定ペイロード」をご覧ください。

Intune のデプロイ

Microsoft Intuneは、エンドポイント機能のDefenderを構成してデバイスに配布するための推奨ツールです。 ただし、Intune はエンドポイントのDefenderの一部ではない別個の製品であり、すべてのサブスクリプションに含まれているわけではありません。 Intune を使用するには、Intune を含むサブスクリプションが必要です。または、スタンドアロン サブスクリプションまたはアドオンとして個別に購入することもできます。 Intune をお持ちでない場合は、この記事の他の方法のいずれかを使用できます。 詳細については、「Microsoft Intune のライセンス」を参照してください。

Intuneでカスタム設定プロファイルを作成・展開するには、「Microsoft Intuneのポリシー設定」をご覧ください。

その他のMDMソリューション

別の MDM ソリューションを使用して構成プロファイルを配布するには、「Defender for Endpoint の設定を展開する」をご覧ください。

関連するコンテンツ

以下のリソースは、macOSの設定プロファイルやDefender for Endpointの好み設定に関するさらなるガイダンスを提供しています:

• プロファイル構成リファレンス (Apple 開発者向けドキュメント)
• Defender configuration のための JSON schema