Angi innstillinger for Microsoft Defender for endepunkt på macOS
Gjelder for:
- Microsoft Defender for endepunkt på macOS
- Microsoft Defender for endepunkt plan 1
- Microsoft Defender for endepunkt plan 2
Viktig
Denne artikkelen inneholder instruksjoner for hvordan du angir innstillinger for Microsoft Defender for endepunkt på macOS i bedriftsorganisasjoner. Hvis du vil konfigurere Microsoft Defender for endepunkt på macOS ved hjelp av kommandolinjegrensesnittet, kan du se Ressurser.
Sammendrag
I bedriftsorganisasjoner kan Microsoft Defender for endepunkt på macOS administreres gjennom en konfigurasjonsprofil som distribueres ved hjelp av ett av flere administrasjonsverktøy. Innstillinger som administreres av sikkerhetsoperasjonsteamet, prioriteres over preferanser som angis lokalt på enheten. Hvis du endrer innstillingene som er angitt gjennom konfigurasjonsprofilen, kreves utvidede rettigheter og er ikke tilgjengelig for brukere uten administrative tillatelser.
Denne artikkelen beskriver strukturen i konfigurasjonsprofilen, inneholder en anbefalt profil som du kan bruke til å komme i gang, og gir instruksjoner om hvordan du distribuerer profilen.
Struktur for konfigurasjonsprofil
Konfigurasjonsprofilen er en PLIST-fil som består av oppføringer som identifiseres av en nøkkel (som angir navnet på preferansen), etterfulgt av en verdi, som avhenger av hva preferansen er. Verdier kan enten være enkle (for eksempel en numerisk verdi) eller komplekse, for eksempel en nestet liste over innstillinger.
Forsiktig!
Oppsettet for konfigurasjonsprofilen avhenger av administrasjonskonsollen du bruker. Avsnittene nedenfor inneholder eksempler på konfigurasjonsprofiler for JAMF og Intune.
Det øverste nivået i konfigurasjonsprofilen inkluderer innstillinger for hele produktet og oppføringer for underområder i Microsoft Defender for endepunkt, som forklares mer detaljert i de neste avsnittene.
Innstillinger for antivirusmotor
Antivirusengine-delen av konfigurasjonsprofilen brukes til å administrere innstillingene for antiviruskomponenten i Microsoft Defender for endepunkt.
| Delen | Verdi |
|---|---|
| Domene | com.microsoft.wdav |
| Nøkkel | antivirusengin |
| Datatype | Ordliste (nestet innstilling) |
| Kommentarer | Se avsnittene nedenfor for en beskrivelse av ordlisteinnholdet. |
Håndhevelsesnivå for antivirusmotor
Angir håndhevelsesinnstillingen for antivirusmotoren. Det finnes tre verdier for å angi håndhevelsesnivå:
- Sanntid (
real_time): Sanntidsbeskyttelse (skanne filer etter hvert som de åpnes) er aktivert. - Behovsbetingede (
on_demand): Filer skannes bare ved behov. I dette:- Sanntidsbeskyttelse er deaktivert.
- Passiv (
passive): Kjører antivirusmotoren i passiv modus. I dette:- Sanntidsbeskyttelse er deaktivert.
- Skanning ved behov er aktivert.
- Automatisk utbedring av trusler er deaktivert.
- Sikkerhetsanalyseoppdateringer er aktivert.
- Statusmenyikonet er skjult.
| Delen | Verdi |
|---|---|
| Domene | com.microsoft.wdav |
| Nøkkel | håndhevelsesnivå |
| Datatype | Streng |
| Mulige verdier | real_time (standard) on_demand Passiv |
| Kommentarer | Tilgjengelig i Microsoft Defender for endepunkt versjon 101.10.72 eller nyere. |
Konfigurer funksjonen for hash-kode for fil
Aktiverer eller deaktiverer funksjonen for hash-kode for fil. Når denne funksjonen er aktivert, beregner Defender for Endpoint hash-koder for filer den skanner for å muliggjøre bedre samsvar med indikatorreglene. På macOS vurderes bare skript- og Mach-O-filer (32 og 64-biters) for denne hash-beregningen (fra motorversjon 1.1.20000.2 eller nyere). Vær oppmerksom på at aktivering av denne funksjonen kan påvirke enhetsytelsen. Hvis du vil ha mer informasjon, kan du se: Opprette indikatorer for filer.
| Delen | Verdi |
|---|---|
| Domene | com.microsoft.wdav |
| Nøkkel | enableFileHashComputation |
| Datatype | Boolsk |
| Mulige verdier | usann (standard) Sant |
| Kommentarer | Tilgjengelig i Defender for Endpoint versjon 101.86.81 eller nyere. |
Kjør en skanning etter at definisjoner er oppdatert
Angir om du vil starte en prosessskanning etter at nye sikkerhetsanalyseoppdateringer er lastet ned på enheten. Aktivering av denne innstillingen utløser en antivirusskanning på prosessene som kjører på enheten.
| Delen | Verdi |
|---|---|
| Domene | com.microsoft.wdav |
| Nøkkel | scanAfterDefinitionUpdate |
| Datatype | Boolsk |
| Mulige verdier | sann (standard) Falske |
| Kommentarer | Tilgjengelig i Microsoft Defender for endepunkt versjon 101.41.10 eller nyere. |
Skanne arkiver (bare på forespørsel antivirusskanninger)
Angir om du vil skanne arkiver under behovsbetingede antivirusskanninger.
| Delen | Verdi |
|---|---|
| Domene | com.microsoft.wdav |
| Nøkkel | scanArchives |
| Datatype | Boolsk |
| Mulige verdier | sann (standard) Falske |
| Kommentarer | Tilgjengelig i Microsoft Defender for endepunkt versjon 101.41.10 eller nyere. |
Graden av parallellitet for behovsbetingede skanninger
Angir graden av parallellitet for behovsbetingede skanninger. Dette tilsvarer antall tråder som brukes til å utføre skanningen og påvirker CPU-bruken, samt varigheten av den behovsbetingede skanningen.
| Delen | Verdi |
|---|---|
| Domene | com.microsoft.wdav |
| Nøkkel | maximumOnDemandScanThreads |
| Datatype | Heltall |
| Mulige verdier | 2 (standard). Tillatte verdier er heltall mellom 1 og 64. |
| Kommentarer | Tilgjengelig i Microsoft Defender for endepunkt versjon 101.41.10 eller nyere. |
Policy for utelukkelsesfletting
Angi flettepolicyen for utelatelser. Dette kan være en kombinasjon av administratordefinerte og brukerdefinerte utelukkelser (merge), eller bare administratordefinerte utelatelser (admin_only). Denne innstillingen kan brukes til å begrense lokale brukere fra å definere sine egne utelatelser.
| Delen | Verdi |
|---|---|
| Domene | com.microsoft.wdav |
| Nøkkel | exclusionsMergePolicy |
| Datatype | Streng |
| Mulige verdier | fletting (standard) admin_only |
| Kommentarer | Tilgjengelig i Microsoft Defender for endepunkt versjon 100.83.73 eller nyere. |
Skann utelatelser
Angi enheter som er utelatt fra å bli skannet. Unntak kan angis med fullstendige baner, filtyper eller filnavn. (Unntak angis som en matrise med elementer, administrator kan angi så mange elementer som nødvendig, i hvilken som helst rekkefølge.)
| Delen | Verdi |
|---|---|
| Domene | com.microsoft.wdav |
| Nøkkel | Utelukkelser |
| Datatype | Ordliste (nestet innstilling) |
| Kommentarer | Se avsnittene nedenfor for en beskrivelse av ordlisteinnholdet. |
Type utelukkelse
Angi innhold som er utelatt fra å bli skannet etter type.
| Delen | Verdi |
|---|---|
| Domene | com.microsoft.wdav |
| Nøkkel | $type |
| Datatype | Streng |
| Mulige verdier | excludedPath excludedFileExtension excludedFileName |
Bane til utelatt innhold
Angi innhold som er utelatt fra å bli skannet av fullstendig filbane.
| Delen | Verdi |
|---|---|
| Domene | com.microsoft.wdav |
| Nøkkel | Banen |
| Datatype | Streng |
| Mulige verdier | gyldige baner |
| Kommentarer | Gjelder bare hvis $type er ekskludertPath |
Støttede utelatelsestyper
Tabellen nedenfor viser utelatelsestypene som støttes av Defender for Endpoint på Mac.
| Utelukkelse | Definisjon | Eksempler |
|---|---|---|
| Filtype | Alle filer med utvidelsen, hvor som helst på enheten | .test |
| Filen | En bestemt fil identifisert av den fullstendige banen | /var/log/test.log |
| Mappen | Alle filer under den angitte mappen (rekursivt) | /var/log/ |
| Prosessen | En bestemt prosess (angitt enten med fullstendig bane eller filnavn) og alle filer som åpnes av den | /bin/cat |
Viktig
Banene ovenfor må være harde koblinger, ikke symbolske koblinger, for å kunne utelukkes. Du kan kontrollere om en bane er en symbolsk kobling ved å kjøre file <path-name>.
Fil-, mappe- og prosessutelukkelse støtter følgende jokertegn:
| Jokertegn | Beskrivelse | Eksempel | Kamper | Samsvarer ikke |
|---|---|---|---|---|
| * | Samsvarer med et hvilket som helst antall tegn, inkludert ingen (vær oppmerksom på at når jokertegnet brukes i en bane, erstatter det bare én mappe) | /var/\*/\*.log |
/var/log/system.log |
/var/log/nested/system.log |
| ? | Samsvarer med et hvilket som helst enkelttegn | file?.log |
file1.log |
file123.log |
Banetype (fil/katalog)
Angi om baneegenskapen refererer til en fil eller katalog.
| Delen | Verdi |
|---|---|
| Domene | com.microsoft.wdav |
| Nøkkel | isDirectory |
| Datatype | Boolsk |
| Mulige verdier | usann (standard) Sant |
| Kommentarer | Gjelder bare hvis $type er ekskludertPath |
Filtype utelatt fra skanningen
Angi innhold som ikke skal skannes av filtypen.
| Delen | Verdi |
|---|---|
| Domene | com.microsoft.wdav |
| Nøkkel | Forlengelsen |
| Datatype | Streng |
| Mulige verdier | gyldige filtyper |
| Kommentarer | Gjelder bare hvis $type er utelattFileExtension |
Prosessen er utelatt fra skanningen
Angi en prosess der all filaktivitet utelates fra skanning. Prosessen kan angis enten med navnet (for eksempel cat) eller den fullstendige banen (for eksempel /bin/cat).
| Delen | Verdi |
|---|---|
| Domene | com.microsoft.wdav |
| Nøkkel | navn |
| Datatype | Streng |
| Mulige verdier | hvilken som helst streng |
| Kommentarer | Gjelder bare hvis $type er utelattFilnavn |
Tillatte trusler
Angi trusler etter navn som ikke blokkeres av Defender for Endpoint på Mac. Disse truslene vil få lov til å kjøre.
| Delen | Verdi |
|---|---|
| Domene | com.microsoft.wdav |
| Nøkkel | allowedThreats |
| Datatype | Matrise med strenger |
Ikke tillatte trusselhandlinger
Begrenser handlingene som den lokale brukeren av en enhet kan utføre når trusler oppdages. Handlingene som er inkludert i denne listen, vises ikke i brukergrensesnittet.
| Delen | Verdi |
|---|---|
| Domene | com.microsoft.wdav |
| Nøkkel | disallowedThreatActions |
| Datatype | Matrise med strenger |
| Mulige verdier | tillat (begrenser brukere fra å tillate trusler) gjenoppretting (begrenser brukere fra å gjenopprette trusler fra karantene) |
| Kommentarer | Tilgjengelig i Microsoft Defender for endepunkt versjon 100.83.73 eller nyere. |
Innstillinger for trusseltype
Angi hvordan visse trusseltyper håndteres av Microsoft Defender for endepunkt på macOS.
| Delen | Verdi |
|---|---|
| Domene | com.microsoft.wdav |
| Nøkkel | threatTypeSettings |
| Datatype | Ordliste (nestet innstilling) |
| Kommentarer | Se avsnittene nedenfor for en beskrivelse av ordlisteinnholdet. |
Trusseltype
Angi trusseltyper.
| Delen | Verdi |
|---|---|
| Domene | com.microsoft.wdav |
| Nøkkel | Nøkkel |
| Datatype | Streng |
| Mulige verdier | potentially_unwanted_application archive_bomb |
Handling som skal utføres
Angi hvilken handling som skal utføres når en trussel av typen som er angitt i den foregående delen, oppdages. Velg blant følgende alternativer:
- Overvåking: Enheten er ikke beskyttet mot denne typen trussel, men en oppføring om trusselen logges.
- Blokk: Enheten er beskyttet mot denne typen trussel, og du blir varslet i brukergrensesnittet og sikkerhetskonsollen.
- Av: Enheten er ikke beskyttet mot denne typen trussel, og ingenting logges.
| Delen | Verdi |
|---|---|
| Domene | com.microsoft.wdav |
| Nøkkel | Verdi |
| Datatype | Streng |
| Mulige verdier | overvåking (standard) blokk Av |
Policy for sammenslåing av trusseltypeinnstillinger
Angi flettepolicyen for innstillinger for trusseltype. Dette kan være en kombinasjon av administratordefinerte og brukerdefinerte innstillinger (merge) eller bare administratordefinerte innstillinger (admin_only). Denne innstillingen kan brukes til å begrense lokale brukere fra å definere sine egne innstillinger for ulike trusseltyper.
| Delen | Verdi |
|---|---|
| Domene | com.microsoft.wdav |
| Nøkkel | threatTypeSettingsMergePolicy |
| Datatype | Streng |
| Mulige verdier | fletting (standard) admin_only |
| Kommentarer | Tilgjengelig i Microsoft Defender for endepunkt versjon 100.83.73 eller nyere. |
Oppbevaring av antivirusskanningslogg (i dager)
Angi antall dager resultatene beholdes i skanneloggen på enheten. Gamle skanneresultater fjernes fra loggen. Gamle filer i karantene som også fjernes fra disken.
| Delen | Verdi |
|---|---|
| Domene | com.microsoft.wdav |
| Nøkkel | scanResultsRetentionDays |
| Datatype | Streng |
| Mulige verdier | 90 (standard). Tillatte verdier er fra 1 dag til 180 dager. |
| Kommentarer | Tilgjengelig i Microsoft Defender for endepunkt versjon 101.07.23 eller nyere. |
Maksimalt antall elementer i loggen for antivirusskanning
Angi maksimalt antall oppføringer som skal beholdes i skanneloggen. Oppføringer omfatter alle behovsbetingede skanninger utført tidligere og alle antivirusregistreringer.
| Delen | Verdi |
|---|---|
| Domene | com.microsoft.wdav |
| Nøkkel | scanHistoryMaximumItems |
| Datatype | Streng |
| Mulige verdier | 10000 (standard). Tillatte verdier er fra 5000 elementer til 15 000 elementer. |
| Kommentarer | Tilgjengelig i Microsoft Defender for endepunkt versjon 101.07.23 eller nyere. |
Skyleverte beskyttelsesinnstillinger
Konfigurer skydrevne beskyttelsesfunksjoner for Microsoft Defender for endepunkt på macOS.
| Delen | Verdi |
|---|---|
| Domene | com.microsoft.wdav |
| Nøkkel | cloudService |
| Datatype | Ordliste (nestet innstilling) |
| Kommentarer | Se avsnittene nedenfor for en beskrivelse av ordlisteinnholdet. |
Aktiver/deaktiver skybasert beskyttelse
Angi om enheten skal aktiveres i skyen eller ikke. Hvis du vil forbedre sikkerheten til tjenestene, anbefaler vi at du holder denne funksjonen aktivert.
| Delen | Verdi |
|---|---|
| Domene | com.microsoft.wdav |
| Nøkkel | Aktivert |
| Datatype | Boolsk |
| Mulige verdier | sann (standard) Falske |
Diagnosedatasamlingsnivå
Diagnosedata brukes til å holde Microsoft Defender for endepunkt sikker og oppdatert, oppdage, diagnostisere og løse problemer og også gjøre produktforbedringer. Denne innstillingen bestemmer diagnosenivået som sendes av Microsoft Defender for endepunkt til Microsoft.
| Delen | Verdi |
|---|---|
| Domene | com.microsoft.wdav |
| Nøkkel | diagnosticLevel |
| Datatype | Streng |
| Mulige verdier | valgfritt (standard) Nødvendig |
Konfigurer skyblokknivå
Denne innstillingen bestemmer hvor aggressiv Defender for Endpoint vil være når det gjelder blokkering og skanning av mistenkelige filer. Hvis denne innstillingen er aktivert, vil Defender for Endpoint være mer aggressiv når du identifiserer mistenkelige filer som skal blokkeres og skannes. Ellers vil det være mindre aggressivt og derfor blokkere og skanne med mindre frekvens. Det finnes fem verdier for å angi skyblokknivå:
- Normal (
normal): Standard blokkeringsnivå. - Moderat (
moderate): Leverer dom bare for oppdagelser med høy konfidens. - Høy (
high): Blokkerer ukjente filer aggressivt mens du optimaliserer for ytelse (større sjanse for å blokkere ikke-skadelige filer). - High Plus (
high_plus): Blokkerer ukjente filer aggressivt og bruker ekstra beskyttelsestiltak (kan påvirke klientens enhetsytelse). - Nulltoleranse (
zero_tolerance): Blokkerer alle ukjente programmer.
| Delen | Verdi |
|---|---|
| Domene | com.microsoft.wdav |
| Nøkkel | cloudBlockLevel |
| Datatype | Streng |
| Mulige verdier | normal (standard) Moderat Høy high_plus zero_tolerance |
| Kommentarer | Tilgjengelig i Defender for Endpoint versjon 101.56.62 eller nyere. |
Aktiver/deaktiver automatiske eksempelinnsendinger
Bestemmer om mistenkelige eksempler (som sannsynligvis inneholder trusler) sendes til Microsoft. Du blir spurt om den innsendte filen sannsynligvis inneholder personlige opplysninger.
| Delen | Verdi |
|---|---|
| Domene | com.microsoft.wdav |
| Nøkkel | automaticSampleSubmission |
| Datatype | Boolsk |
| Mulige verdier | sann (standard) Falske |
Aktiver/deaktiver automatiske sikkerhetsopplysninger
Bestemmer om sikkerhetsanalyseoppdateringer installeres automatisk:
| Delen | Verdi |
|---|---|
| Nøkkel | automaticDefinitionUpdateEnabled |
| Datatype | Boolsk |
| Mulige verdier | sann (standard) Falske |
Innstillinger for brukergrensesnitt
Administrer innstillingene for brukergrensesnittet for Microsoft Defender for endepunkt på macOS.
| Delen | Verdi |
|---|---|
| Domene | com.microsoft.wdav |
| Nøkkel | userInterface |
| Datatype | Ordliste (nestet innstilling) |
| Kommentarer | Se avsnittene nedenfor for en beskrivelse av ordlisteinnholdet. |
Vis/skjul statusmenyikon
Angi om statusmenyikonet skal vises eller skjules øverst til høyre på skjermen.
| Delen | Verdi |
|---|---|
| Domene | com.microsoft.wdav |
| Nøkkel | hideStatusMenuIcon |
| Datatype | Boolsk |
| Mulige verdier | usann (standard) Sant |
Vis/skjul alternativ for å sende tilbakemelding
Angi om brukere kan sende tilbakemelding til Microsoft ved å gå til Help>Send Feedback.
| Delen | Verdi |
|---|---|
| Domene | com.microsoft.wdav |
| Nøkkel | userInitiatedFeedback |
| Datatype | Streng |
| Mulige verdier | aktivert (standard) Deaktivert |
| Kommentarer | Tilgjengelig i Microsoft Defender for endepunkt versjon 101.19.61 eller nyere. |
Kontroller pålogging til forbrukerversjonen av Microsoft Defender
Angi om brukere kan logge på forbrukerversjonen av Microsoft Defender.
| Delen | Verdi |
|---|---|
| Domene | com.microsoft.wdav |
| Nøkkel | consumerExperience |
| Datatype | Streng |
| Mulige verdier | aktivert (standard) Deaktivert |
| Kommentarer | Tilgjengelig i Microsoft Defender for endepunkt versjon 101.60.18 eller nyere. |
Gjenkjennings- og svarinnstillinger for endepunkt
Administrer innstillingene for gjenkjennings- og svarkomponenten for endepunkt (EDR) for Microsoft Defender for endepunkt på macOS.
| Delen | Verdi |
|---|---|
| Domene | com.microsoft.wdav |
| Nøkkel | Edr |
| Datatype | Ordliste (nestet innstilling) |
| Kommentarer | Se avsnittene nedenfor for en beskrivelse av ordlisteinnholdet. |
Enhetskoder
Angi et merkenavn og tilhørende verdi.
- GROUP-koden markerer enheten med den angitte verdien. Koden gjenspeiles i portalen under enhetssiden og kan brukes til filtrering og gruppering av enheter.
| Delen | Verdi |
|---|---|
| Domene | com.microsoft.wdav |
| Nøkkel | Tags |
| Datatype | Ordliste (nestet innstilling) |
| Kommentarer | Se avsnittene nedenfor for en beskrivelse av ordlisteinnholdet. |
Type kode
Angir kodetypen
| Delen | Verdi |
|---|---|
| Domene | com.microsoft.wdav |
| Nøkkel | Nøkkel |
| Datatype | Streng |
| Mulige verdier | GROUP |
Verdi for merke
Angir verdien for koden
| Delen | Verdi |
|---|---|
| Domene | com.microsoft.wdav |
| Nøkkel | Verdi |
| Datatype | Streng |
| Mulige verdier | hvilken som helst streng |
Viktig
- Bare én verdi per kodetype kan angis.
- Kodetypen er unik, og bør ikke gjentas i samme konfigurasjonsprofil.
Gruppeidentifikator
EDR-gruppeidentifikatorer
| Delen | Verdi |
|---|---|
| Domene | com.microsoft.wdav |
| Nøkkel | groupIds |
| Datatype | Streng |
| Kommentarer | Gruppeidentifikator |
Manipuleringsbeskyttelse
Administrer innstillingene til Tamper Protection-komponenten for Microsoft Defender for endepunkt på macOS.
| Delen | Verdi |
|---|---|
| Domene | com.microsoft.wdav |
| Nøkkel | tamperProtection |
| Datatype | Ordliste (nestet innstilling) |
| Kommentarer | Se avsnittene nedenfor for en beskrivelse av ordlisteinnholdet. |
Håndhevelsesnivå
Hvis Tamper Protection er aktivert, og hvis den er i streng modus
| Delen | Verdi |
|---|---|
| Domene | com.microsoft.wdav |
| Nøkkel | håndhevelsesnivå |
| Datatype | Streng |
| Kommentarer | Én av «deaktivert», «revisjon» eller «blokk» |
Mulige verdier:
- deaktivert – Manipuleringsbeskyttelse er deaktivert, ingen forebygging av angrep eller rapportering til skyen
- overvåking – Manipuleringsrapporter for manipulering forsøker bare til skyen, men blokkerer dem ikke
- block – Tamper Protection både blokker og rapporter angrep til skyen
Utelatelser
Definerer prosesser som tillates å endre Microsoft Defender aktiva, uten å vurdere manipulering. Enten bane, teamId eller signerings-ID, eller kombinasjonen må angis. Argumenter kan gis i tillegg for å angi tillatt prosess mer presist.
| Delen | Verdi |
|---|---|
| Domene | com.microsoft.wdav |
| Nøkkel | Utelukkelser |
| Datatype | Ordliste (nestet innstilling) |
| Kommentarer | Se avsnittene nedenfor for en beskrivelse av ordlisteinnholdet. |
Bane
Nøyaktig bane for den kjørbare prosessen.
| Delen | Verdi |
|---|---|
| Domene | com.microsoft.wdav |
| Nøkkel | Banen |
| Datatype | Streng |
| Kommentarer | Når det gjelder et skallskript, vil det være den nøyaktige banen til tolkebinærfilen, for eksempel /bin/zsh. Ingen jokertegn er tillatt. |
Team-ID
Apples "Team Id" av leverandøren.
| Delen | Verdi |
|---|---|
| Domene | com.microsoft.wdav |
| Nøkkel | teamId |
| Datatype | Streng |
| Kommentarer | For Eksempel UBF8T346G9 for Microsoft |
Signerings-ID
Apples "Signerings-ID" av pakken.
| Delen | Verdi |
|---|---|
| Domene | com.microsoft.wdav |
| Nøkkel | signingId |
| Datatype | Streng |
| Kommentarer | Eksempel: com.apple.ruby for Ruby-tolk |
Prosessargumenter
Brukes i kombinasjon med andre parametere for å identifisere prosessen.
| Delen | Verdi |
|---|---|
| Domene | com.microsoft.wdav |
| Nøkkel | signingId |
| Datatype | Matrise med strenger |
| Kommentarer | Hvis angitt, må prosessargumentet samsvare nøyaktig med disse argumentene, og skille mellom store og små bokstaver |
Anbefalt konfigurasjonsprofil
For å komme i gang anbefaler vi følgende konfigurasjon for virksomheten å dra nytte av alle beskyttelsesfunksjoner som Microsoft Defender for endepunkt gir.
Følgende konfigurasjonsprofil (eller, i tilfelle jamf, en egenskapsliste som kan lastes opp til konfigurasjonsprofilen for egendefinerte innstillinger) vil:
- Aktiver sanntidsbeskyttelse (RTP)
- Angi hvordan følgende trusseltyper håndteres:
- Potensielt uønskede programmer (PUA) blokkeres
- Arkivbomber (fil med høy komprimeringshastighet) overvåkes for å Microsoft Defender for endepunkt logger
- Aktiver automatiske sikkerhetsanalyseoppdateringer
- Aktiver skybasert beskyttelse
- Aktiver automatisk innsending av eksempel
Egenskapsliste for JAMF anbefalt konfigurasjonsprofil
<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
<key>antivirusEngine</key>
<dict>
<key>enforcementLevel</key>
<string>real_time</string>
<key>threatTypeSettings</key>
<array>
<dict>
<key>key</key>
<string>potentially_unwanted_application</string>
<key>value</key>
<string>block</string>
</dict>
<dict>
<key>key</key>
<string>archive_bomb</string>
<key>value</key>
<string>audit</string>
</dict>
</array>
</dict>
<key>cloudService</key>
<dict>
<key>enabled</key>
<true/>
<key>automaticSampleSubmission</key>
<true/>
<key>automaticDefinitionUpdateEnabled</key>
<true/>
</dict>
<key>tamperProtection</key>
<dict>
<key>enforcementLevel</key>
<string>block</string>
</dict>
</dict>
</plist>
Intune anbefalt profil
<?xml version="1.0" encoding="utf-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1">
<dict>
<key>PayloadUUID</key>
<string>C4E6A782-0C8D-44AB-A025-EB893987A295</string>
<key>PayloadType</key>
<string>Configuration</string>
<key>PayloadOrganization</key>
<string>Microsoft</string>
<key>PayloadIdentifier</key>
<string>com.microsoft.wdav</string>
<key>PayloadDisplayName</key>
<string>Microsoft Defender for Endpoint settings</string>
<key>PayloadDescription</key>
<string>Microsoft Defender for Endpoint configuration settings</string>
<key>PayloadVersion</key>
<integer>1</integer>
<key>PayloadEnabled</key>
<true/>
<key>PayloadRemovalDisallowed</key>
<true/>
<key>PayloadScope</key>
<string>System</string>
<key>PayloadContent</key>
<array>
<dict>
<key>PayloadUUID</key>
<string>99DBC2BC-3B3A-46A2-A413-C8F9BB9A7295</string>
<key>PayloadType</key>
<string>com.microsoft.wdav</string>
<key>PayloadOrganization</key>
<string>Microsoft</string>
<key>PayloadIdentifier</key>
<string>com.microsoft.wdav</string>
<key>PayloadDisplayName</key>
<string>Microsoft Defender for Endpoint configuration settings</string>
<key>PayloadDescription</key>
<string/>
<key>PayloadVersion</key>
<integer>1</integer>
<key>PayloadEnabled</key>
<true/>
<key>antivirusEngine</key>
<dict>
<key>enforcementLevel</key>
<string>real_time</string>
<key>threatTypeSettings</key>
<array>
<dict>
<key>key</key>
<string>potentially_unwanted_application</string>
<key>value</key>
<string>block</string>
</dict>
<dict>
<key>key</key>
<string>archive_bomb</string>
<key>value</key>
<string>audit</string>
</dict>
</array>
</dict>
<key>cloudService</key>
<dict>
<key>enabled</key>
<true/>
<key>automaticSampleSubmission</key>
<true/>
<key>automaticDefinitionUpdateEnabled</key>
<true/>
</dict>
<key>tamperProtection</key>
<dict>
<key>enforcementLevel</key>
<string>block</string>
</dict>
</dict>
</array>
</dict>
</plist>
Eksempel på fullstendig konfigurasjonsprofil
Følgende maler inneholder oppføringer for alle innstillingene som er beskrevet i dette dokumentet, og kan brukes til mer avanserte scenarioer der du vil ha mer kontroll over Microsoft Defender for endepunkt på macOS.
Egenskapsliste for full konfigurasjonsprofil for JAMF
<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
<key>antivirusEngine</key>
<dict>
<key>enforcementLevel</key>
<string>real_time</string>
<key>scanAfterDefinitionUpdate</key>
<true/>
<key>scanArchives</key>
<true/>
<key>maximumOnDemandScanThreads</key>
<integer>2</integer>
<key>exclusions</key>
<array>
<dict>
<key>$type</key>
<string>excludedPath</string>
<key>isDirectory</key>
<false/>
<key>path</key>
<string>/var/log/system.log</string>
</dict>
<dict>
<key>$type</key>
<string>excludedPath</string>
<key>isDirectory</key>
<true/>
<key>path</key>
<string>/home</string>
</dict>
<dict>
<key>$type</key>
<string>excludedPath</string>
<key>isDirectory</key>
<true/>
<key>path</key>
<string>/Users/*/git</string>
</dict>
<dict>
<key>$type</key>
<string>excludedFileExtension</string>
<key>extension</key>
<string>pdf</string>
</dict>
<dict>
<key>$type</key>
<string>excludedFileName</string>
<key>name</key>
<string>cat</string>
</dict>
</array>
<key>exclusionsMergePolicy</key>
<string>merge</string>
<key>allowedThreats</key>
<array>
<string>EICAR-Test-File (not a virus)</string>
</array>
<key>disallowedThreatActions</key>
<array>
<string>allow</string>
<string>restore</string>
</array>
<key>threatTypeSettings</key>
<array>
<dict>
<key>key</key>
<string>potentially_unwanted_application</string>
<key>value</key>
<string>block</string>
</dict>
<dict>
<key>key</key>
<string>archive_bomb</string>
<key>value</key>
<string>audit</string>
</dict>
</array>
<key>threatTypeSettingsMergePolicy</key>
<string>merge</string>
</dict>
<key>cloudService</key>
<dict>
<key>enabled</key>
<true/>
<key>diagnosticLevel</key>
<string>optional</string>
<key>automaticSampleSubmission</key>
<true/>
<key>automaticDefinitionUpdateEnabled</key>
<true/>
<key>cloudBlockLevel</key>
<string>normal</string>
</dict>
<key>edr</key>
<dict>
<key>tags</key>
<array>
<dict>
<key>key</key>
<string>GROUP</string>
<key>value</key>
<string>ExampleTag</string>
</dict>
</array>
</dict>
<key>tamperProtection</key>
<dict>
<key>enforcementLevel</key>
<string>block</string>
<key>exclusions</key>
<array>
<dict>
<key>path</key>
<string>/bin/zsh</string>
<key>teamId</key>
<string/>
<key>signingId</key>
<string>com.apple.zsh</string>
<key>args</key>
<array>
<string>/usr/local/bin/test.sh</string>
</array>
</dict>
<dict>
<key>path</key>
<string>/usr/local/jamf/bin/jamf</string>
<key>teamId</key>
<string>483DWKW443</string>
<key>signingId</key>
<string>com.jamfsoftware.jamf</string>
</dict>
</array>
</dict>
<key>userInterface</key>
<dict>
<key>hideStatusMenuIcon</key>
<false/>
<key>userInitiatedFeedback</key>
<string>enabled</string>
</dict>
</dict>
</plist>
Hele Profilen til Intune
<?xml version="1.0" encoding="utf-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1">
<dict>
<key>PayloadUUID</key>
<string>C4E6A782-0C8D-44AB-A025-EB893987A295</string>
<key>PayloadType</key>
<string>Configuration</string>
<key>PayloadOrganization</key>
<string>Microsoft</string>
<key>PayloadIdentifier</key>
<string>C4E6A782-0C8D-44AB-A025-EB893987A295</string>
<key>PayloadDisplayName</key>
<string>Microsoft Defender for Endpoint settings</string>
<key>PayloadDescription</key>
<string>Microsoft Defender for Endpoint configuration settings</string>
<key>PayloadVersion</key>
<integer>1</integer>
<key>PayloadEnabled</key>
<true/>
<key>PayloadRemovalDisallowed</key>
<true/>
<key>PayloadScope</key>
<string>System</string>
<key>PayloadContent</key>
<array>
<dict>
<key>PayloadUUID</key>
<string>99DBC2BC-3B3A-46A2-A413-C8F9BB9A7295</string>
<key>PayloadType</key>
<string>com.microsoft.wdav</string>
<key>PayloadOrganization</key>
<string>Microsoft</string>
<key>PayloadIdentifier</key>
<string>99DBC2BC-3B3A-46A2-A413-C8F9BB9A7295</string>
<key>PayloadDisplayName</key>
<string>Microsoft Defender for Endpoint configuration settings</string>
<key>PayloadDescription</key>
<string/>
<key>PayloadVersion</key>
<integer>1</integer>
<key>PayloadEnabled</key>
<true/>
<key>antivirusEngine</key>
<dict>
<key>enforcementLevel</key>
<string>real_time</string>
<key>scanAfterDefinitionUpdate</key>
<true/>
<key>scanArchives</key>
<true/>
<key>maximumOnDemandScanThreads</key>
<integer>1</integer>
<key>exclusions</key>
<array>
<dict>
<key>$type</key>
<string>excludedPath</string>
<key>isDirectory</key>
<false/>
<key>path</key>
<string>/var/log/system.log</string>
</dict>
<dict>
<key>$type</key>
<string>excludedPath</string>
<key>isDirectory</key>
<true/>
<key>path</key>
<string>/home</string>
</dict>
<dict>
<key>$type</key>
<string>excludedPath</string>
<key>isDirectory</key>
<true/>
<key>path</key>
<string>/Users/*/git</string>
</dict>
<dict>
<key>$type</key>
<string>excludedFileExtension</string>
<key>extension</key>
<string>pdf</string>
</dict>
<dict>
<key>$type</key>
<string>excludedFileName</string>
<key>name</key>
<string>cat</string>
</dict>
</array>
<key>exclusionsMergePolicy</key>
<string>merge</string>
<key>allowedThreats</key>
<array>
<string>EICAR-Test-File (not a virus)</string>
</array>
<key>disallowedThreatActions</key>
<array>
<string>allow</string>
<string>restore</string>
</array>
<key>threatTypeSettings</key>
<array>
<dict>
<key>key</key>
<string>potentially_unwanted_application</string>
<key>value</key>
<string>block</string>
</dict>
<dict>
<key>key</key>
<string>archive_bomb</string>
<key>value</key>
<string>audit</string>
</dict>
</array>
<key>threatTypeSettingsMergePolicy</key>
<string>merge</string>
</dict>
<key>cloudService</key>
<dict>
<key>enabled</key>
<true/>
<key>diagnosticLevel</key>
<string>optional</string>
<key>automaticSampleSubmission</key>
<true/>
<key>automaticDefinitionUpdateEnabled</key>
<true/>
<key>cloudBlockLevel</key>
<string>normal</string>
</dict>
<key>edr</key>
<dict>
<key>tags</key>
<array>
<dict>
<key>key</key>
<string>GROUP</string>
<key>value</key>
<string>ExampleTag</string>
</dict>
</array>
</dict>
<key>tamperProtection</key>
<dict>
<key>enforcementLevel</key>
<string>block</string>
<key>exclusions</key>
<array>
<dict>
<key>path</key>
<string>/bin/zsh</string>
<key>teamId</key>
<string/>
<key>signingId</key>
<string>com.apple.zsh</string>
<key>args</key>
<array>
<string>/usr/local/bin/test.sh</string>
</array>
</dict>
<dict>
<key>path</key>
<string>/Library/Intune/Microsoft Intune Agent.app/Contents/MacOS/IntuneMdmDaemon</string>
<key>teamId</key>
<string>UBF8T346G9</string>
<key>signingId</key>
<string>IntuneMdmDaemon</string>
</dict>
</array>
</dict>
<key>userInterface</key>
<dict>
<key>hideStatusMenuIcon</key>
<false/>
<key>userInitiatedFeedback</key>
<string>enabled</string>
</dict>
</dict>
</array>
</dict>
</plist>
Validering av egenskapsliste
Egenskapslisten må være en gyldig PLIST-fil . Dette kan kontrolleres ved å kjøre:
plutil -lint com.microsoft.wdav.plist
com.microsoft.wdav.plist: OK
Hvis filen er riktig utformet, sendes kommandoen ovenfor og returnerer en avslutningskode OK for 0. Ellers vises en feil som beskriver problemet, og kommandoen returnerer en avslutningskode for 1.
Distribusjon av konfigurasjonsprofil
Når du har bygget konfigurasjonsprofilen for virksomheten, kan du distribuere den via administrasjonskonsollen som virksomheten bruker. Avsnittene nedenfor gir instruksjoner om hvordan du distribuerer denne profilen ved hjelp av JAMF og Intune.
JAMF-distribusjon
ÅpneKonfigurasjonsprofiler for datamaskiner> fra JAMF-konsollen, naviger til konfigurasjonsprofilen du vil bruke, og velg deretter Egendefinerte innstillinger. Opprett en oppføring som com.microsoft.wdav innstillingsdomenet, og last opp PLIST-en som ble produsert tidligere.
Forsiktig!
Du må angi riktig innstillingsdomene (com.microsoft.wdav), ellers gjenkjennes ikke innstillingene av Microsoft Defender for endepunkt.
Intune-distribusjon
Åpnekonfigurasjonsprofiler for enheter>. Velg Opprett profil.
Velg et navn for profilen. Endre Plattform=macOS til Profiltype=Maler , og velg Egendefinert i delen med malnavn. Velg Konfigurer.
Lagre PLIST-en som ble produsert tidligere som
com.microsoft.wdav.xml.Angi
com.microsoft.wdavsom profilnavn for egendefinert konfigurasjon.Åpne konfigurasjonsprofilen, og last opp
com.microsoft.wdav.xmlfilen. (Denne filen ble opprettet i trinn 3.)Velg OK.
Velg Behandle>oppgaver. Velg Tilordne til alle brukere & Alle enheter på Inkluder-fanen.
Forsiktig!
Du må angi riktig profilnavn for egendefinert konfigurasjon. Ellers gjenkjennes ikke disse innstillingene av Microsoft Defender for endepunkt.
Ressurser
Tips
Vil du lære mer? Engage med Microsoft Security-fellesskapet i teknisk fellesskap: Microsoft Defender for endepunkt teknisk fellesskap.
Tilbakemeldinger
Kommer snart: Gjennom 2024 faser vi ut GitHub Issues som tilbakemeldingsmekanisme for innhold, og erstatter det med et nytt system for tilbakemeldinger. Hvis du vil ha mer informasjon, kan du se: https://aka.ms/ContentUserFeedback.
Send inn og vis tilbakemelding for