Ochrona punktu końcowego w usłudze Microsoft Defender — kontrola urządzeń dla systemu macOS

  • Dotyczy: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2, Microsoft Defender for Business

Kontrola urządzeń w Ochrona punktu końcowego w usłudze Microsoft Defender na macOS pomaga chronić dane organizacyjne, zarządzając dostępem do wymiennych nośników i podłączonych urządzeń. Możesz użyć sterowania urządzeniami do:

  • Monitoruj, zezwalaj lub blokuj dostęp do odczytu, zapisu lub wykonywania na nośnikach wymiennych.
  • Zarządzaj dostępem do urządzeń iOS, urządzeń przenośnych, urządzeń szyfrowanych systemem plików Apple (APFS) oraz mediów Bluetooth, z wyłączeniami lub bez.

Wymagania

Zanim skonfigurujesz sterowanie urządzeniem, upewnij się, że spełniasz następujące wymagania:

Permissions

Uprawnienia wymagane do wdrożenia polityki Device Control zależą od narzędzia zarządzania:

  • Microsoft Intune: Konto z rolą Menedżera Polityk i Profili oraz zakresem nad użytkownikami lub urządzeniami, które otrzymują politykę. Aby uzyskać więcej informacji, zobacz Uprawnienia Menedżera zasad i profilów.
  • Jamf Pro: Konto, które może aktualizować i wdrażać profile konfiguracyjne komputera.

Przygotowywanie punktów końcowych

Zanim wdrożysz politykę kontroli urządzeń:

  • Przyznaj com.microsoft.dlp.daemon pełny dostęp do dysku. Obecny profil konfiguracyjny Full Disk Access zawiera to uprawnienia.
  • W preferencjach Defender for Endpoint włącz funkcję Data Loss Prevention (DLP), którą nazwano DC_in_dlp przez ustawienie jej stanu na .enabled

Wykonaj następujące polecenie w Terminal, aby zweryfikować wersję Defender for Endpoint:

mdatp version

Wybieranie metody wdrażania

Użyj jednej z następujących metod do wdrożenia lub testowania polityki Device Control:

  • Microsoft Intune: Wdroż politykę na zarządzanych urządzeniach, używając niestandardowego profilu konfiguracyjnego macOS w Intune.

    Microsoft Intune to osobny produkt, który nie jest częścią Defender for Endpoint i nie jest uwzględniony we wszystkich subskrypcjach. Aby korzystać z usługi Intune, potrzebujesz subskrypcji, która ją zawiera, lub możesz kupić ją oddzielnie jako autonomiczną subskrypcję lub dodatek. Aby uzyskać więcej informacji, zobacz licencjonowanie Microsoft Intune.

  • Jamf Pro: Wdroż politykę na zarządzanych urządzeniach, używając schematu preferencji Defender for Endpoint w profilu konfiguracyjnym komputera Jamf Pro.

    Jamf Pro to osobny produkt, który nie jest częścią Defender for Endpoint i nie jest dołączony do subskrypcji Defender for Endpoint. Informacje o produktach i subskrypcjach można znaleźć w Jamf Pro.

  • Testowanie ręczne: Zastosuj lokalną politykę na jednym testowym Macu przed wdrożeniem polityki na zarządzanych urządzeniach.

Omówienie zasad sterowania urządzeniami

Polityka sterowania urządzeniami dla macOS to jeden obiekt JSON z trzema wymaganymi właściwościami najwyższego poziomu:

  • settings: Definiuje włączone typy urządzeń, domyślne egzekwowanie oraz link do powiadomień.
  • groups: Definiuje zbiory urządzeń na podstawie właściwości takich jak rodzina urządzeń, identyfikator dostawcy, identyfikator produktu, numer seryjny lub stan szyfrowania.
  • rules: Definiuje zachowanie dostępu dla jednej lub więcej grup urządzeń.

Uwaga

Użyj przykładów polityk Device Control , aby zrozumieć właściwości polityki.

Możesz także użyć skryptów konwersji polityk Device Control do przetłumaczenia polityki Windows na macOS lub polityki macOS wersji 1 na wersję 2.

Istnieją znane problemy z kontrolą urządzenia dla systemu macOS, które klienci powinni wziąć pod uwagę podczas tworzenia zasad.

Najważniejsze wskazówki

Device Control dla macOS i Device Control dla Windows mają podobne możliwości, ale systemy operacyjne oferują różne sposoby zarządzania urządzeniami:

  • macOS nie ma scentralizowanego Menedżer urządzeń ani widoku urządzenia. Kontrola urządzeń pozwala lub odmawia dostępu aplikacjom wchodzącym w interakcje z urządzeniami. W efekcie macOS oferuje bardziej szczegółowe typy dostępu do systemu. Na przykład polityka portableDevice może zezwalać na download_photos_from_device lub go odmawiać.

  • Użyj generic_read, generic_write i generic_execute, chyba że musisz kontrolować określoną operację. Polityki wykorzystujące ogólne typy dostępu nadal obejmują bardziej szczegółowe typy dostępu dodane później.

  • Aby zablokować wszystkie operacje dla typu urządzenia, stwórz politykę deny korzystającą z ogólnych typów dostępu. Niektóre operacje mogą pozostać dostępne, jeśli aplikacja wykonująca operację nie jest obsługiwana przez Device Control dla macOS.

Odniesienie do polityki Device Control

Użyj poniższych sekcji, aby zdefiniować ustawienia, grupy, zapytania, klauzule, reguły, zachowania egzekwowania oraz typy dostępu w polityce Kontroli urządzeń.

Ustawienia

Użyj obiektu settings , aby włączyć typy urządzeń, skonfigurować domyślne egzekwowanie i dodać link do powiadomień.

Property Opis Opcje
features Włącza lub wyłącza Zarządzanie urządzeniami dla określonych typów urządzeń. Dla każdego typu urządzenia ustaw disable na false włączenie ochrony lub true wyłączenie jej. Ten artykuł opisuje removableMedia, appleDevice, portableDevice, oraz bluetoothDevice. Wartość domyślna to true.
global Ustawia akcję tak, by była używana, gdy żadna reguła nie pasuje. Ustaw defaultEnforcement na allow (domyślne) lub deny.
ux Dodaje link do powiadomień Device Control. Ustaw navigationTarget na adres URL, taki jak https://support.contoso.com.

Grupa

Tablica groups zawiera jeden lub więcej obiektów grup urządzeń.

Property Opis Opcje
$type Identyfikuje typ grupy. Użyj device.
id Określa unikalny identyfikator grupy. Użyj uniwersalnie unikalnego identyfikatora (UUID). Wygeneruj je, używając komandy New-Guid lub polecenia uuidgen na macOS.
name Określa przyjazną nazwę grupy. Użyj sznurka.
query Definiuje urządzenia wchodzące w skład grupy. Użyj zapytania binarnego lub unarnego.

Kwerendy

Kontrola urządzeń obsługuje zapytania binarne łączące klauzule oraz zapytania jednowymiarowe, które negują inne zapytanie.

$type Wartość Wymagana własność Behavior
all lub and clauses Urządzenie musi spełniać każdą klauzulę.
any lub or clauses Urządzenie musi spełniać co najmniej jedną klauzulę.
not query Neguje zagnieżdżone zapytanie.

Zapytania można zagnieżdżać. Aby uzyskać więcej przykładów, zobacz przykładowe zasady.

Klauzula

Każda klauzula wymaga właściwości $type oraz odpowiadającej jej wartości value.

Klauzula $type Wartość Opis
primaryId apple_devices, removable_media_devices, portable_deviceslub bluetooth_devices Pasuje do obsługiwanej rodziny urządzeń.
vendorId Czterocyfrowy ciąg sześcionasty Odpowiada identyfikatorowi dostawcy urządzenia.
productId Czterocyfrowy ciąg sześcionasty Odpowiada identyfikatorowi produktu urządzenia.
serialNumber Sznurek Dopasowuje numer seryjny urządzenia. Klauzula nie pasuje do urządzenia bez numeru seryjnego.
mediaSerialNumber Integer Pasuje do numeru seryjnego karty Secure Digital. Dostępne w wersji 101.26021 lub nowszej.
mediaProductName Sznurek Pasuje do nazwy produktu karty Secure Digital. Dostępne w wersji 101.26021 lub nowszej.
mediaApplicationId Sznurek Jest zgodny z identyfikatorem aplikacji karty Secure Digital. Dostępne w wersji 101.26021 lub nowszej.
encryption apfs Odpowiada wymiennemu nośnikowi zaszyfrowanemu w APFS.
groupId Ciąg znaków UUID Pasuje do urządzenia należącego do innej grupy. Zdefiniuj grupę odwoływaną wcześniej w polisie.

Klauzula serialNumber dotyczy podłączonego urządzenia. Klauzule mediaSerialNumber, mediaProductName i mediaApplicationId dotyczą nośników wkładanych do urządzenia, takich jak karta Secure Digital w wbudowanym czytniku kart.

Reguła zasad dostępu

Tablica rules zawiera jeden lub więcej obiektów reguł polityki dostępu.

Property Opis Opcje
id Określa unikalny identyfikator reguły. Użyj UUID wygenerowanego za pomocą New-Guid lub uuidgen.
name Określa nazwę reguły. Nazwa może pojawić się w powiadomieniu użytkownika. Użyj sznurka.
includeGroups Identyfikuje grupy, do których urządzenie musi należeć, aby reguła mogła obowiązywać. Jeśli zostanie pominięta, zasada dotyczy wszystkich urządzeń. Używaj wartości grupowych id . Wiele grup używa logiki AND.
excludeGroups Identyfikuje grupy, które uniemożliwiają stosowanie tej zasady. Używaj wartości grupowych id . Wiele grup używa logiki LUB.
entries Definiuje zachowania egzekwujące i typy kontrolowanego dostępu. Użyj jednego lub więcej obiektów wejściowych.

Każdy wpis spełnia następujące właściwości:

Property Required Opis
$type Yes Określa removableMedia, appleDevice, portableDevice, bluetoothDevice, lub generic.
enforcement Yes Określa allow, deny, auditAllow, lub auditDeny obiekt wymuszania.
access Yes Określa jeden lub więcej typów dostępu specyficznych dla urządzenia lub ogólnych.
id No Określa opcjonalny UUID dla wpisu.

Egzekwowania

Obiekt wymuszania wymaga właściwości $type. Niektóre typy egzekwowania również wspierają lub wymagają tablicy options .

Egzekwowanie $type Obsługiwane wartości options Behavior
allow disable_audit_allow Pozwala na dostęp. Ta opcja zapobiega wystąpieniu zdarzenia, gdy dopasowany wpis auditAllow również jest skonfigurowany.
deny disable_audit_deny Odmawia dostępu. Ta opcja zapobiega wyświetleniu powiadomienia lub wystąpieniu zdarzenia, gdy również skonfigurowany jest pasujący wpis auditDeny.
auditAllow send_event Wysyła zdarzenie zezwalające na dostęp.
auditDeny send_event i show_notification Wysyła zdarzenie lub wyświetla powiadomienie o odmowie dostępu.

Typy dostępu

Obsługiwane typy dostępu zależą od wpisu $type.

Wpis $type Wartość dostępowa Dostęp ogólny Opis
appleDevice backup_device generic_read
appleDevice update_device generic_write
appleDevice download_photos_from_device generic_read Pobiera zdjęcia z urządzenia iOS na urządzenie lokalne.
appleDevice download_files_from_device generic_read Pobiera pliki z urządzenia iOS na urządzenie lokalne.
appleDevice sync_content_to_device generic_write Synchronizuje zawartość z lokalnego urządzenia z urządzeniem z iOS.
portableDevice download_files_from_device generic_read
portableDevice send_files_to_device generic_write
portableDevice download_photos_from_device generic_read
portableDevice debug generic_execute Kontroluje dostęp do Android Debug Bridge (ADB).
removableMedia read generic_read
removableMedia write generic_write
removableMedia execute generic_execute
bluetoothDevice download_files_from_device generic_read
bluetoothDevice send_files_to_device generic_write
generic generic_read Dotyczy każdego typu dostępu mapowanego na ogólny odczyt.
generic generic_write Dotyczy każdego typu dostępu przypisanego do zapisu ogólnego.
generic generic_execute Dotyczy każdego typu dostępu przypisanego do generycznego wykonania.

Środowisko użytkownika końcowego

Gdy zasada blokuje operację, a pasujący wpis auditDeny zawiera show_notification, użytkownik widzi powiadomienie funkcji Device Control, które wskazuje urządzenie objęte ograniczeniem.

Jeśli polityka definiuje settings.ux.navigationTarget, powiadomienie zawiera link do tego adresu URL.

Weryfikacja kontroli urządzenia

Po wdrożeniu polityki zweryfikowaj status Device Control i potwierdz, że oczekiwane preferencje, reguły i grupy są aktywne. Instrukcje można znaleźć w sekcji Verify Device Control.

Zobacz raporty Device Control

Zdarzenia polityki Device Control są dostępne w zaawansowanym wyszukiwaniu oraz w raporcie Device Control. Więcej informacji można znaleźć w artykule Zobacz zdarzenia i informacje sterujące urządzeniami.

Korzystaj z przykładów polityk

Przykłady polityk Device Control dostarczają kompletnych polityk dla typowych scenariuszy.

Odmówić nośników wymiennych poza zatwierdzonymi urządzeniami USB

Przykład blokowania nośników wymiennych z wyjątkiem urządzeń Kingston pokazuje, jak:

  • Włącz ochronę nośników wyjmowalnych i ustaw domyślne wymuszanie na allow.
  • Stwórz jedną grupę dla wszystkich nośników wymiennych i drugą dla zatwierdzonych urządzeń.
  • Odmówić odczytu, zapisu i wykonywania dostępu do nośników wymiennych z wyjątkiem urządzeń z grupy zatwierdzonej.
  • Audyt odrzuconych operacji, wysyłanie zdarzeń i wyświetlanie powiadomień użytkownika.

Znane problemy

Ostrzeżenie

Na macOS 27 użytkownik lokalny może wyłączyć dostęp Bluetooth do Ochrona punktu końcowego w usłudze Microsoft Defender, nawet gdy profil zarządzania urządzeniami mobilnymi (MDM) przyznaje BluetoothAlways uprawnienia do com.microsoft.dlp.agent. Jeśli użytkownik wyłączy to uprawnienia, Device Control nie może wymusić polityk ograniczających transfery plików Bluetooth, chociaż profil MDM może nadal zgłaszać, że uprawnienia są dozwolone.

Jeśli Twoja organizacja polega na Device Control w ograniczaniu transferów plików przez Bluetooth:

  • Przed szerokim wdrożeniem macOS 27 zweryfikowaj egzekwowanie polityki Bluetooth w swoim środowisku.
  • Nie używaj statusu zainstalowanego lub dozwolonego profilu MDM jako jedynego potwierdzenia, że egzekwowanie Bluetooth jest aktywne.
  • Zalec użytkownikom, aby nie zmieniali uprawnień Microsoft Defender Bluetooth w ustawieniach > systemowych Prywatność i Bezpieczeństwo > Bluetooth.

Aby uzyskać informacje o powiązanych uprawnieniach kontrolowanych przez użytkownika w systemie macOS 27 oraz opcjach ochrony dotyczących kontekstu przeglądarki i witryny internetowej, zobacz Omówienie zmian funkcji Endpoint DLP w Microsoft Purview w systemie macOS 27 (podgląd). Tryby ochrony opisane w wytycznych Purview nie uniemożliwiają użytkownikom wyłączenia uprawnień Bluetooth.

Ostrzeżenie

Device Control na macOS ogranicza urządzenia z Androidem tylko wtedy, gdy są podłączone w trybie Picture Transfer Protocol (PTP). Device Control nie ogranicza transferu plików, USB Tetheringu ani trybów MIDI.

Device Control na macOS nie uniemożliwia przeniesienia oprogramowania stworzonego w Xcode na zewnętrzne urządzenie.

Treści powiązane

  • Ostatnia aktualizacja o