macOS 上で Microsoft Defender for Endpoint 用の基本設定を設定する

[アーティクル]
03/09/2023

適用対象:

重要

この記事では、エンタープライズ組織の macOS でMicrosoft Defender for Endpointの基本設定を設定する方法について説明します。コマンドラインインターフェイスを使用して macOS でMicrosoft Defender for Endpointを構成するには、「リソース」を参照してください。

概要

エンタープライズ組織では、macOS 上のMicrosoft Defender for Endpointは、いくつかの管理ツールのいずれかを使用して展開される構成プロファイルを使用して管理できます。セキュリティ運用チームによって管理される基本設定は、デバイス上でローカルに設定された基本設定よりも優先されます。構成プロファイルを使用して設定された基本設定を変更するには、エスカレートされた特権が必要であり、管理アクセス許可のないユーザーは使用できません。

この記事では、構成プロファイルの構造について説明し、使用して開始できる推奨プロファイルと、プロファイルを展開する方法について説明します。

構成プロファイルの構造

構成プロファイルは、キーによって識別されるエントリ (基本設定の名前を示す) で構成される .plist ファイルの後に、設定の性質に応じて値が続きます。値は、単純 (数値など) か、入れ子になった基本設定の一覧などの複雑な値のいずれかです。

注意

構成プロファイルのレイアウトは、使用している管理コンソールによって異なります。次のセクションでは、JAMF とIntuneの構成プロファイルの例を示します。

構成プロファイルの最上位には、Microsoft Defender for Endpointのサブエリアに関する製品全体の基本設定とエントリが含まれています。これについては、次のセクションで詳しく説明します。

ウイルス対策エンジンの基本設定

構成プロファイルの antivirusEngine セクションは、Microsoft Defender for Endpointのウイルス対策コンポーネントの基本設定を管理するために使用されます。

Section	値
ドメイン	`com.microsoft.wdav`
Key	antivirusEngine
データ型	ディクショナリ (入れ子になった基本設定)
コメント	ディクショナリの内容の説明については、次のセクションを参照してください。

ウイルス対策エンジンの適用レベル

ウイルス対策エンジンの適用設定を指定します。適用レベルの設定には、次の 3 つの値があります。

リアルタイム (real_time): リアルタイム保護 (アクセス時にファイルをスキャンする) が有効になっています。
オンデマンド (on_demand): ファイルはオンデマンドでのみスキャンされます。この例では、次の操作を行います。
- リアルタイム保護がオフになっています。
パッシブ (passive): ウイルス対策エンジンをパッシブモードで実行します。この例では、次の操作を行います。
- リアルタイム保護がオフになっています。
- オンデマンドスキャンが有効になっています。
- 脅威の自動修復がオフになっています。
- セキュリティインテリジェンスの更新プログラムが有効になっています。
- [状態] メニューアイコンは非表示です。

Section	値
ドメイン	`com.microsoft.wdav`
Key	enforcementLevel
データ型	String
指定可能な値	real_time (既定値) on_demand パッシブ
コメント	バージョン 101.10.72 以降Microsoft Defender for Endpoint使用できます。

ファイルハッシュ計算機能を構成する

ファイルハッシュ計算機能を有効または無効にします。この機能を有効にすると、Defender for Endpoint はスキャンするファイルのハッシュを計算して、インジケータールールとの照合を改善します。 macOS では、(エンジンバージョン 1.1.20000.2 以降の) このハッシュ計算では、スクリプトと Mach-O (32 ビットと 64 ビット) ファイルのみが考慮されます。この機能を有効にすると、デバイスのパフォーマンスに影響する可能性があることに注意してください。詳細については、「ファイルのインジケーターを作成する」を参照してください。

Section	値
ドメイン	`com.microsoft.wdav`
Key	enableFileHashComputation
データ型	ブール型
指定可能な値	false (既定) true
コメント	Defender for Endpoint バージョン 101.86.81 以降で使用できます。

定義の更新後にスキャンを実行する

新しいセキュリティインテリジェンス更新プログラムがデバイスにダウンロードされた後にプロセススキャンを開始するかどうかを指定します。この設定を有効にすると、デバイスの実行中のプロセスでウイルス対策スキャンがトリガーされます。

Section	値
ドメイン	`com.microsoft.wdav`
Key	scanAfterDefinitionUpdate
データ型	ブール型
指定可能な値	true (既定値) false
コメント	Microsoft Defender for Endpoint バージョン 101.41.10 以降で使用できます。

スキャンアーカイブ (オンデマンドウイルス対策スキャンのみ)

オンデマンドウイルス対策スキャン中にアーカイブをスキャンするかどうかを指定します。

Section	値
ドメイン	`com.microsoft.wdav`
Key	scanArchives
データ型	ブール型
指定可能な値	true (既定値) false
コメント	Microsoft Defender for Endpoint バージョン 101.41.10 以降で使用できます。

オンデマンドスキャンの並列処理の程度

オンデマンドスキャンの並列処理の程度を指定します。これは、スキャンの実行に使用されるスレッドの数に対応し、CPU 使用率とオンデマンドスキャンの期間に影響します。

Section	値
ドメイン	`com.microsoft.wdav`
Key	maximumOnDemandScanThreads
データ型	整数
指定可能な値	2 (既定値)。使用できる値は、1 ~ 64 の整数です。
コメント	Microsoft Defender for Endpoint バージョン 101.41.10 以降で使用できます。

除外マージポリシー

除外のマージポリシーを指定します。管理者定義の除外とユーザー定義の除外 (merge) の組み合わせ、または管理者定義の除外 (admin_only) のみを指定できます。この設定を使用すると、ローカルユーザーが独自の除外を定義できないように制限できます。

Section	値
ドメイン	`com.microsoft.wdav`
Key	exclusionsMergePolicy
データ型	String
指定可能な値	merge (既定値) admin_only
コメント	Microsoft Defender for Endpoint バージョン 100.83.73 以降で使用できます。

除外をスキャンする

スキャン対象から除外されるエンティティを指定します。除外は、完全なパス、拡張子、またはファイル名で指定できます。 (除外は項目の配列として指定され、管理者は必要な数の要素を任意の順序で指定できます)。

Section	値
ドメイン	`com.microsoft.wdav`
Key	除外
データ型	ディクショナリ (入れ子になった基本設定)
コメント	ディクショナリの内容の説明については、次のセクションを参照してください。

除外の種類

スキャン対象から除外されるコンテンツを種類別に指定します。

Section	値
ドメイン	`com.microsoft.wdav`
Key	$type
データ型	String
指定可能な値	excludedPath excludedFileExtension excludedFileName

除外されたコンテンツへのパス

完全なファイルパスでスキャンから除外されるコンテンツを指定します。

Section	値
ドメイン	`com.microsoft.wdav`
Key	path
データ型	String
指定可能な値	有効なパス
コメント	$typeが excludedPath の場合にのみ適用されます

サポートされている除外の種類

次の表は、Defender for Endpoint on Mac でサポートされる除外の種類を示しています。

除外	定義	例
ファイル拡張子	拡張子を持つすべてのファイル(デバイス上の任意の場所)	`.test`
File	完全パスで識別される特定のファイル	`/var/log/test.log` `/var/log/*.log` `/var/log/install.?.log`
フォルダー	指定したフォルダーの下にあるすべてのファイル (再帰的に)	`/var/log/` `/var/*/`
プロセス	特定のプロセス (完全なパスまたはファイル名で指定) と、そのプロセスによって開かれたすべてのファイル	`/bin/cat` `cat` `c?t`

重要

正常に除外するには、上記のパスはシンボリックリンクではなくハードリンクである必要があります。パスがシンボリックリンクであるかどうかを確認するには、を実行 file <path-name>します。

ファイル、フォルダー、およびプロセスの除外では、次のワイルドカードがサポートされています。

ワイルドカード	説明	例	一致	一致しません
*	none を含む任意の数の文字と一致します (パス内でこのワイルドカードを使用すると、1 つのフォルダーのみが置き換されることに注意してください)	`/var/\/\.log`	`/var/log/system.log`	`/var/log/nested/system.log`
?	任意の 1 文字に一致します	`file?.log`	`file1.log` `file2.log`	`file123.log`

パスの種類 (ファイル/ディレクトリ)

path プロパティがファイルまたはディレクトリを参照しているかどうかを示します。

Section	値
ドメイン	`com.microsoft.wdav`
Key	isDirectory
データ型	ブール型
指定可能な値	false (既定) true
コメント	$typeが excludedPath の場合にのみ適用されます

スキャンから除外されたファイル拡張子

ファイル拡張子でスキャンから除外されるコンテンツを指定します。

Section	値
ドメイン	`com.microsoft.wdav`
Key	拡張子
データ型	String
指定可能な値	有効なファイル拡張子
コメント	$typeが excludedFileExtension の場合にのみ適用されます

スキャンから除外されたプロセス

すべてのファイルアクティビティをスキャンから除外するプロセスを指定します。プロセスは、名前 (例: cat) または完全パス (例: /bin/cat) で指定できます。

Section	値
ドメイン	`com.microsoft.wdav`
Key	name
データ型	String
指定可能な値	任意の文字列
コメント	$typeが excludedFileName の場合にのみ適用されます

許可される脅威

Defender for Endpoint on Mac でブロックされていない脅威を名前で指定します。これらの脅威の実行が許可されます。

Section	値
ドメイン	`com.microsoft.wdav`
Key	allowedThreats
データ型	文字列の配列

許可されていない脅威アクション

脅威が検出されたときにデバイスのローカルユーザーが実行できるアクションを制限します。この一覧に含まれるアクションは、ユーザーインターフェイスには表示されません。

Section	値
ドメイン	`com.microsoft.wdav`
Key	disallowedThreatActions
データ型	文字列の配列
指定可能な値	allow (ユーザーが脅威を許可できないように制限します) restore (ユーザーが検疫から脅威を復元できないように制限します)
コメント	Microsoft Defender for Endpoint バージョン 100.83.73 以降で使用できます。

脅威の種類の設定

macOS 上のMicrosoft Defender for Endpointによって特定の脅威の種類がどのように処理されるかを指定します。

Section	値
ドメイン	`com.microsoft.wdav`
Key	threatTypeSettings
データ型	ディクショナリ (入れ子になった基本設定)
コメント	ディクショナリの内容の説明については、次のセクションを参照してください。

脅威の種類

脅威の種類を指定します。

Section	値
ドメイン	`com.microsoft.wdav`
Key	キー
データ型	String
指定可能な値	potentially_unwanted_application archive_bomb

実行する操作

前のセクションで指定した型の脅威が検出されたときに実行するアクションを指定します。次のオプションから選択します。

監査: デバイスはこの種類の脅威から保護されていませんが、脅威に関するエントリがログに記録されます。
ブロック: デバイスはこの種類の脅威から保護されており、ユーザーインターフェイスとセキュリティコンソールで通知されます。
オフ: デバイスはこの種類の脅威から保護されておらず、何もログに記録されません。

Section	値
ドメイン	`com.microsoft.wdav`
Key	値
データ型	String
指定可能な値	audit (既定値) ブロックオフ

脅威の種類の設定のマージポリシー

脅威の種類の設定にマージポリシーを指定します。管理者定義の設定とユーザー定義の設定 (merge) の組み合わせ、または管理者定義の設定 (admin_only) のみを使用できます。この設定を使用すると、ローカルユーザーがさまざまな脅威の種類に対して独自の設定を定義できないように制限できます。

Section	値
ドメイン	`com.microsoft.wdav`
Key	threatTypeSettingsMergePolicy
データ型	String
指定可能な値	merge (既定値) admin_only
コメント	Microsoft Defender for Endpoint バージョン 100.83.73 以降で使用できます。

ウイルス対策スキャン履歴の保持期間 (日数)

デバイスのスキャン履歴に結果が保持される日数を指定します。古いスキャン結果は履歴から削除されます。古い検疫済みファイル。ディスクからも削除されます。

Section	値
ドメイン	`com.microsoft.wdav`
Key	scanResultsRetentionDays
データ型	String
指定可能な値	90 (既定値)。使用できる値は、1 日から 180 日です。
コメント	バージョン 101.07.23 以降Microsoft Defender for Endpoint使用できます。

ウイルス対策スキャン履歴のアイテムの最大数

スキャン履歴に保持するエントリの最大数を指定します。エントリには、過去に実行されたすべてのオンデマンドスキャンと、すべてのウイルス対策検出が含まれます。

Section	値
ドメイン	`com.microsoft.wdav`
Key	scanHistoryMaximumItems
データ型	String
指定可能な値	10000 (既定値)。使用できる値は、5,000 項目から 1,5000 項目までです。
コメント	バージョン 101.07.23 以降Microsoft Defender for Endpoint使用できます。

クラウド配信の保護の基本設定

macOS 上のMicrosoft Defender for Endpointのクラウド駆動型保護機能を構成します。

Section	値
ドメイン	`com.microsoft.wdav`
Key	cloudService
データ型	ディクショナリ (入れ子になった基本設定)
コメント	ディクショナリの内容の説明については、次のセクションを参照してください。

クラウド配信保護を有効または無効にする

クラウドで提供される保護をデバイスで有効にするかどうかを指定します。サービスのセキュリティを強化するために、この機能をオンにしておくことをお勧めします。

Section	値
ドメイン	`com.microsoft.wdav`
Key	enabled
データ型	ブール型
可能な値	true (既定値) false

診断収集のレベル

診断データは、Microsoft Defender for Endpointを安全かつ最新の状態に保ち、問題を検出、診断、修正し、製品を改善するために使用されます。この設定は、Microsoft Defender for Endpointから Microsoft に送信される診断のレベルを決定します。

Section	値
ドメイン	`com.microsoft.wdav`
Key	diagnosticLevel
データ型	String
指定可能な値	省略可能 (既定値) 必須出席者

クラウドブロックレベルを構成する

この設定は、疑わしいファイルのブロックとスキャンにおいて Defender for Endpoint がどれだけ攻撃的であるかを決定します。この設定がオンの場合、Defender for Endpoint は、ブロックおよびスキャンする疑わしいファイルを特定するときに、より積極的になります。それ以外の場合、攻撃性が低くなり、より頻度の低いブロックとスキャンが行われます。クラウドブロックレベルの設定には、次の 5 つの値があります。

標準 (normal): 既定のブロックレベル。
中程度 (moderate): 高信頼度の検出に対してのみ評決を提供します。
高 (high): パフォーマンスを最適化しながら、不明なファイルを積極的にブロックします (有害でないファイルをブロックする可能性が高くなります)。
High Plus (high_plus): 不明なファイルを積極的にブロックし、追加の保護対策を適用します (クライアントデバイスのパフォーマンスに影響する可能性があります)。
ゼロトレランス (zero_tolerance): 不明なプログラムをすべてブロックします。

Section	値
ドメイン	`com.microsoft.wdav`
Key	cloudBlockLevel
データ型	String
指定可能な値	normal (既定値) 中程度高 high_plus zero_tolerance
コメント	Defender for Endpoint バージョン 101.56.62 以降で使用できます。

サンプルの自動送信を有効または無効にする

疑わしいサンプル (脅威が含まれている可能性が高い) を Microsoft に送信するかどうかを決定します。送信されたファイルに個人情報が含まれている可能性が高いかどうかを確認するメッセージが表示されます。

Section	値
ドメイン	`com.microsoft.wdav`
Key	automaticSampleSubmission
データ型	ブール型
指定可能な値	true (既定値) false

セキュリティインテリジェンスの自動更新を有効または無効にする

セキュリティインテリジェンスの更新プログラムが自動的にインストールされるかどうかを判断します。

Section	値
Key	automaticDefinitionUpdateEnabled
データ型	ブール型
指定可能な値	true (既定値) false

ユーザーインターフェイスの基本設定

macOS 上のMicrosoft Defender for Endpointのユーザーインターフェイスの基本設定を管理します。

Section	値
ドメイン	`com.microsoft.wdav`
Key	userInterface
データ型	ディクショナリ (入れ子になった基本設定)
コメント	ディクショナリの内容の説明については、次のセクションを参照してください。

画面の右上隅にある状態メニューアイコンを表示または非表示にするかどうかを指定します。

Section	値
ドメイン	`com.microsoft.wdav`
Key	hideStatusMenuIcon
データ型	ブール型
指定可能な値	false (既定) true

フィードバックを送信するためのオプションを表示/非表示にする

に移動して、ユーザーが Microsoft にフィードバックを送信できるかどうかを指定します Help>Send Feedback。

Section	値
ドメイン	`com.microsoft.wdav`
Key	userInitiatedFeedback
データ型	String
指定可能な値	enabled (既定値) 無効
コメント	Microsoft Defender for Endpoint バージョン 101.19.61 以降で使用できます。

ユーザーがコンシューマーバージョンのMicrosoft Defenderにサインインできるかどうかを指定します。

Section	値
ドメイン	`com.microsoft.wdav`
Key	consumerExperience
データ型	String
指定可能な値	enabled (既定値) 無効
コメント	Microsoft Defender for Endpointバージョン 101.60.18 以降で使用できます。

エンドポイントの検出と応答の基本設定

macOS 上のMicrosoft Defender for Endpointのエンドポイント検出と応答 (EDR) コンポーネントの基本設定を管理します。

Section	値
ドメイン	`com.microsoft.wdav`
Key	Edr
データ型	ディクショナリ (入れ子になった基本設定)
コメント	ディクショナリの内容の説明については、次のセクションを参照してください。

デバイスタグ

タグ名とその値を指定します。

GROUP タグは、指定した値でデバイスにタグを付けます。タグは、デバイスページのポータルに反映され、デバイスのフィルター処理とグループ化に使用できます。

Section	値
ドメイン	`com.microsoft.wdav`
Key	tags
データ型	ディクショナリ (入れ子になった基本設定)
コメント	ディクショナリの内容の説明については、次のセクションを参照してください。

タグの種類

タグの種類を指定します

Section	値
ドメイン	`com.microsoft.wdav`
Key	キー
データ型	String
指定可能な値	`GROUP`

タグの値

タグの値を指定します

Section	値
ドメイン	`com.microsoft.wdav`
Key	値
データ型	String
指定可能な値	任意の文字列

重要

タグの種類ごとに設定できる値は 1 つだけです。
タグの種類は一意であり、同じ構成プロファイルで繰り返さないでください。

推奨される構成プロファイル

作業を開始するには、Microsoft Defender for Endpointが提供するすべての保護機能を利用するために、企業に対して次の構成をお勧めします。

次の構成プロファイル (または JAMF の場合は、カスタム設定構成プロファイルにアップロードできるプロパティリスト) は次のようになります。

リアルタイム保護を有効にする (RTP)
次の脅威の種類の処理方法を指定します。
- 望ましくない可能性のあるアプリケーション (PUA) がブロックされる
- アーカイブ爆弾 (圧縮率の高いファイル) は、ログをMicrosoft Defender for Endpointするために監査されます
セキュリティインテリジェンスの自動更新を有効にする
クラウドによる保護の有効化
サンプルの自動送信を有効にする

JAMF 推奨構成プロファイルのプロパティリスト

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
    <key>antivirusEngine</key>
    <dict>
        <key>enforcementLevel</key>
        <string>real_time</string>
        <key>threatTypeSettings</key>
        <array>
            <dict>
                <key>key</key>
                <string>potentially_unwanted_application</string>
                <key>value</key>
                <string>block</string>
            </dict>
            <dict>
                <key>key</key>
                <string>archive_bomb</string>
                <key>value</key>
                <string>audit</string>
            </dict>
        </array>
    </dict>
    <key>cloudService</key>
    <dict>
        <key>enabled</key>
        <true/>
        <key>automaticSampleSubmission</key>
        <true/>
        <key>automaticDefinitionUpdateEnabled</key>
        <true/>
    </dict>
</dict>
</plist>

推奨プロファイルIntune

<?xml version="1.0" encoding="utf-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1">
    <dict>
        <key>PayloadUUID</key>
        <string>C4E6A782-0C8D-44AB-A025-EB893987A295</string>
        <key>PayloadType</key>
        <string>Configuration</string>
        <key>PayloadOrganization</key>
        <string>Microsoft</string>
        <key>PayloadIdentifier</key>
        <string>com.microsoft.wdav</string>
        <key>PayloadDisplayName</key>
        <string>Microsoft Defender for Endpoint settings</string>
        <key>PayloadDescription</key>
        <string>Microsoft Defender for Endpoint configuration settings</string>
        <key>PayloadVersion</key>
        <integer>1</integer>
        <key>PayloadEnabled</key>
        <true/>
        <key>PayloadRemovalDisallowed</key>
        <true/>
        <key>PayloadScope</key>
        <string>System</string>
        <key>PayloadContent</key>
        <array>
            <dict>
                <key>PayloadUUID</key>
                <string>99DBC2BC-3B3A-46A2-A413-C8F9BB9A7295</string>
                <key>PayloadType</key>
                <string>com.microsoft.wdav</string>
                <key>PayloadOrganization</key>
                <string>Microsoft</string>
                <key>PayloadIdentifier</key>
                <string>com.microsoft.wdav</string>
                <key>PayloadDisplayName</key>
                <string>Microsoft Defender for Endpoint configuration settings</string>
                <key>PayloadDescription</key>
                <string/>
                <key>PayloadVersion</key>
                <integer>1</integer>
                <key>PayloadEnabled</key>
                <true/>
                <key>antivirusEngine</key>
                <dict>
                    <key>enforcementLevel</key>
                    <string>real_time</string>
                    <key>threatTypeSettings</key>
                    <array>
                        <dict>
                            <key>key</key>
                            <string>potentially_unwanted_application</string>
                            <key>value</key>
                            <string>block</string>
                        </dict>
                        <dict>
                            <key>key</key>
                            <string>archive_bomb</string>
                            <key>value</key>
                            <string>audit</string>
                        </dict>
                    </array>
                </dict>
                <key>cloudService</key>
                <dict>
                    <key>enabled</key>
                    <true/>
                    <key>automaticSampleSubmission</key>
                    <true/>
                    <key>automaticDefinitionUpdateEnabled</key>
                    <true/>
                </dict>
            </dict>
        </array>
    </dict>
</plist>

完全な構成プロファイルの例

次のテンプレートには、このドキュメントで説明されているすべての設定のエントリが含まれており、macOS でMicrosoft Defender for Endpointをより詳細に制御する、より高度なシナリオで使用できます。

JAMF 完全構成プロファイルのプロパティリスト

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
    <key>antivirusEngine</key>
    <dict>
        <key>enforcementLevel</key>
        <string>real_time</string>
        <key>scanAfterDefinitionUpdate</key>
        <true/>
        <key>scanArchives</key>
        <true/>
        <key>maximumOnDemandScanThreads</key>
        <integer>2</integer>
        <key>exclusions</key>
        <array>
            <dict>
                <key>$type</key>
                <string>excludedPath</string>
                <key>isDirectory</key>
                <false/>
                <key>path</key>
                <string>/var/log/system.log</string>
            </dict>
            <dict>
                <key>$type</key>
                <string>excludedPath</string>
                <key>isDirectory</key>
                <true/>
                <key>path</key>
                <string>/home</string>
            </dict>
            <dict>
                <key>$type</key>
                <string>excludedPath</string>
                <key>isDirectory</key>
                <true/>
                <key>path</key>
                <string>/Users/*/git</string>
            </dict>
            <dict>
                <key>$type</key>
                <string>excludedFileExtension</string>
                <key>extension</key>
                <string>pdf</string>
            </dict>
            <dict>
                <key>$type</key>
                <string>excludedFileName</string>
                <key>name</key>
                <string>cat</string>
            </dict>
        </array>
        <key>exclusionsMergePolicy</key>
        <string>merge</string>
        <key>allowedThreats</key>
        <array>
            <string>EICAR-Test-File (not a virus)</string>
        </array>
        <key>disallowedThreatActions</key>
        <array>
            <string>allow</string>
            <string>restore</string>
        </array>
        <key>threatTypeSettings</key>
        <array>
            <dict>
                <key>key</key>
                <string>potentially_unwanted_application</string>
                <key>value</key>
                <string>block</string>
            </dict>
            <dict>
                <key>key</key>
                <string>archive_bomb</string>
                <key>value</key>
                <string>audit</string>
            </dict>
        </array>
        <key>threatTypeSettingsMergePolicy</key>
        <string>merge</string>
    </dict>
    <key>cloudService</key>
    <dict>
        <key>enabled</key>
        <true/>
        <key>diagnosticLevel</key>
        <string>optional</string>
        <key>automaticSampleSubmission</key>
        <true/>
        <key>automaticDefinitionUpdateEnabled</key>
        <true/>
    </dict>
    <key>edr</key>
    <dict>
        <key>tags</key>
        <array>
            <dict>
                <key>key</key>
                <string>GROUP</string>
                <key>value</key>
                <string>ExampleTag</string>
            </dict>
        </array>
    </dict>
    <key>userInterface</key>
    <dict>
        <key>hideStatusMenuIcon</key>
        <false/>
        <key>userInitiatedFeedback</key>
        <string>enabled</string>
    </dict>
</dict>
</plist>

プロファイル全体をIntuneする

<?xml version="1.0" encoding="utf-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1">
    <dict>
        <key>PayloadUUID</key>
        <string>C4E6A782-0C8D-44AB-A025-EB893987A295</string>
        <key>PayloadType</key>
        <string>Configuration</string>
        <key>PayloadOrganization</key>
        <string>Microsoft</string>
        <key>PayloadIdentifier</key>
        <string>C4E6A782-0C8D-44AB-A025-EB893987A295</string>
        <key>PayloadDisplayName</key>
        <string>Microsoft Defender for Endpoint settings</string>
        <key>PayloadDescription</key>
        <string>Microsoft Defender for Endpoint configuration settings</string>
        <key>PayloadVersion</key>
        <integer>1</integer>
        <key>PayloadEnabled</key>
        <true/>
        <key>PayloadRemovalDisallowed</key>
        <true/>
        <key>PayloadScope</key>
        <string>System</string>
        <key>PayloadContent</key>
        <array>
            <dict>
                <key>PayloadUUID</key>
                <string>99DBC2BC-3B3A-46A2-A413-C8F9BB9A7295</string>
                <key>PayloadType</key>
                <string>com.microsoft.wdav</string>
                <key>PayloadOrganization</key>
                <string>Microsoft</string>
                <key>PayloadIdentifier</key>
                <string>99DBC2BC-3B3A-46A2-A413-C8F9BB9A7295</string>
                <key>PayloadDisplayName</key>
                <string>Microsoft Defender for Endpoint configuration settings</string>
                <key>PayloadDescription</key>
                <string/>
                <key>PayloadVersion</key>
                <integer>1</integer>
                <key>PayloadEnabled</key>
                <true/>
                <key>antivirusEngine</key>
                <dict>
                    <key>enforcementLevel</key>
                    <string>real_time</string>
                    <key>scanAfterDefinitionUpdate</key>
                    <true/>
                    <key>scanArchives</key>
                    <true/>
                    <key>maximumOnDemandScanThreads</key>
                    <integer>1</integer>
                    <key>exclusions</key>
                    <array>
                        <dict>
                            <key>$type</key>
                            <string>excludedPath</string>
                            <key>isDirectory</key>
                            <false/>
                            <key>path</key>
                            <string>/var/log/system.log</string>
                        </dict>
                        <dict>
                            <key>$type</key>
                            <string>excludedPath</string>
                            <key>isDirectory</key>
                            <true/>
                            <key>path</key>
                            <string>/home</string>
                        </dict>
                        <dict>
                            <key>$type</key>
                            <string>excludedPath</string>
                            <key>isDirectory</key>
                            <true/>
                            <key>path</key>
                            <string>/Users/*/git</string>
                        </dict>
                        <dict>
                            <key>$type</key>
                            <string>excludedFileExtension</string>
                            <key>extension</key>
                            <string>pdf</string>
                        </dict>
                        <dict>
                            <key>$type</key>
                            <string>excludedFileName</string>
                            <key>name</key>
                            <string>cat</string>
                        </dict>
                    </array>
                    <key>exclusionsMergePolicy</key>
                    <string>merge</string>
                    <key>allowedThreats</key>
                    <array>
                        <string>EICAR-Test-File (not a virus)</string>
                    </array>
                    <key>disallowedThreatActions</key>
                    <array>
                        <string>allow</string>
                        <string>restore</string>
                    </array>
                    <key>threatTypeSettings</key>
                    <array>
                        <dict>
                            <key>key</key>
                            <string>potentially_unwanted_application</string>
                            <key>value</key>
                            <string>block</string>
                        </dict>
                        <dict>
                            <key>key</key>
                            <string>archive_bomb</string>
                            <key>value</key>
                            <string>audit</string>
                        </dict>
                    </array>
                    <key>threatTypeSettingsMergePolicy</key>
                    <string>merge</string>
                </dict>
                <key>cloudService</key>
                <dict>
                    <key>enabled</key>
                    <true/>
                    <key>diagnosticLevel</key>
                    <string>optional</string>
                    <key>automaticSampleSubmission</key>
                    <true/>
                    <key>automaticDefinitionUpdateEnabled</key>
                    <true/>
                </dict>
                <key>edr</key>
                <dict>
                    <key>tags</key>
                    <array>
                        <dict>
                            <key>key</key>
                            <string>GROUP</string>
                            <key>value</key>
                            <string>ExampleTag</string>
                        </dict>
                    </array>
                </dict>
                <key>userInterface</key>
                <dict>
                    <key>hideStatusMenuIcon</key>
                    <false/>
                    <key>userInitiatedFeedback</key>
                    <string>enabled</string>
                </dict>
            </dict>
        </array>
    </dict>
</plist>

プロパティリストの検証

プロパティリストは、有効な .plist ファイルである必要があります。これは、次のコマンドを実行して確認できます。

plutil -lint com.microsoft.wdav.plist

com.microsoft.wdav.plist: OK

ファイルが整形式の場合、上記のコマンドはを出力 OK し、の 0終了コードを返します。それ以外の場合は、問題を説明するエラーが表示され、コマンドはの 1終了コードを返します。

構成プロファイルの展開

エンタープライズの構成プロファイルを構築したら、エンタープライズで使用している管理コンソールを使用して展開できます。以降のセクションでは、JAMF とIntuneを使用してこのプロファイルをデプロイする方法について説明します。

JAMF デプロイ

JAMF コンソールで [ コンピューター>の構成プロファイル] を開き、使用する構成プロファイルに移動し、[ カスタム設定] を選択します。のエントリ com.microsoft.wdav を基本設定ドメインとして作成し、先ほど生成した .plist を アップロードします。

注意

正しい優先ドメイン (com.microsoft.wdav)を入力する必要があります。それ以外の場合、設定はMicrosoft Defender for Endpointによって認識されません。

デプロイのIntune

[デバイス構成の管理]> を開きます。 [プロファイルの管理] [プロファイルの>作成] の順>に選択します。
プロファイルの名前を選択します。 Platform=macOS を Profile type=Custom に変更します。 [構成] を選択します。
前に生成した .plist をとして com.microsoft.wdav.xml保存します。
カスタム構成プロファイル名として「」と入力com.microsoft.wdavします。
構成プロファイルを開き、ファイルをアップロードします com.microsoft.wdav.xml 。 (このファイルは手順 3 で作成されました)。
[OK] を選択します。
[割り当ての管理>] を選択します。 [ 含める ] タブで、[ すべてのユーザー & にすべてのデバイスに割り当てる] を選択します。

注意

適切なカスタム構成プロファイル名を入力する必要があります。それ以外の場合、これらの設定はMicrosoft Defender for Endpointによって認識されません。

リソース

プロファイル構成リファレンス (Apple 開発者向けドキュメント)