Zasoby dla Microsoft Defender dla punktu końcowego na macOS

  • Dotyczy: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Użyj mdatp narzędzia wiersza poleceń, aby skonfigurować Ochrona punktu końcowego w usłudze Microsoft Defender, uruchomić skanowania, zarządzać wykrytymi zagrożeniami oraz sprawdzać stan produktu na urządzeniach z macOS. Możesz także zbierać informacje diagnostyczne, włączać automatyczne uzupełnianie poleceń, zarządzać plikami w kwarantannie oraz odinstalować Defender for Endpoint.

Informacje na temat wymagań dotyczących produktu i metod wdrażania znajdują się w artykułach Wymagania wstępne dla Ochrona punktu końcowego w usłudze Microsoft Defender na macOS oraz Ochrona punktu końcowego w usłudze Microsoft Defender na macOS.

Zbieranie informacji diagnostycznych

Jeśli możesz odtworzyć problem, zwiększ poziom rejestrowania, uruchom system przez jakiś czas, a następnie przywróć domyślny poziom rejestrowania.

  1. Ustaw poziom logowania na debug:

    mdatp log level set --level debug

    Log level configured successfully

  2. Odtwórz ten problem.

  3. Stwórz archiwum .zip zawierające logi diagnostyczne Defender for Endpoint. Polecenie wyświetla ścieżkę archiwum po jego powodzeniu:

    Wskazówka

    Domyślnie dzienniki diagnostyczne są zapisywane w pliku /Library/Application Support/Microsoft/Defender/wdavdiag/. Aby użyć innego katalogu, dodaj --path [directory] do polecenia i zastąp [directory] ścieżką docelową.

    sudo mdatp diagnostic create

    Diagnostic file created: "/Library/Application Support/Microsoft/Defender/wdavdiag/932e68a8-8f2e-4ad0-a7f2-65eb97c0de01.zip"

  4. Przywróć poziom logowania do wartości domyślnej: info

    mdatp log level set --level info

    Log level configured successfully

Przegląd logi instalacji

Jeśli instalacja się nie powiedzie, instalator może zgłosić jedynie ogólną awarię. Szczegółowe informacje są dostępne w /Library/Logs/Microsoft/mdatp/install.log. Dołącz ten plik, gdy otwierasz sprawę wsparcia Microsoft.

Więcej wskazówek dotyczących rozwiązywania problemów znajdziesz w artykule Troubleshoot installation issues for Ochrona punktu końcowego w usłudze Microsoft Defender on macOS.

Konfigurowanie z poziomu wiersza polecenia

Konfiguruj format wyjściowy

Narzędzie wiersza poleceń obsługuje wyjście tabelowe i JSON. Użyj jednej z następujących opcji globalnych za pomocą polecenia:

  • --output json
  • --output table

Obsługiwane polecenia

Poniższa tabela przedstawia polecenia dla typowych scenariuszy. Aby zobaczyć pełną listę poleceń obsługiwanych przez zainstalowaną wersję produktu, uruchom mdatp help w Terminal.

Grupa Scenariusz Polecenia
Konfiguracja Włącz lub wyłącz tryb pasywny mdatp config passive-mode --value [enabled/disabled]
Konfiguracja Włącz lub wyłącz ochronę w czasie rzeczywistym mdatp config real-time-protection --value [enabled/disabled]
Konfiguracja Włącz lub wyłącz monitorowanie zachowań mdatp config behavior-monitoring --value [enabled/disabled]
Konfiguracja Włącz lub wyłącz ochronę chmurową mdatp config cloud --value [enabled/disabled]
Konfiguracja Włącz lub wyłącz diagnostykę chmurową mdatp config cloud-diagnostic --value [enabled/disabled]
Konfiguracja Włącz lub wyłącz automatyczne wysyłanie próbek mdatp config cloud-automatic-sample-submission --value [enabled/disabled]
Konfiguracja Zablokuj, audytuj lub wyłącz potencjalnie niechcianą ochronę aplikacji mdatp threat policy set --type potentially_unwanted_application --action [block\|audit\|off]
Konfiguracja Dodaj lub usuń wykluczenie antywirusowe dla procesu mdatp exclusion process [add\|remove] --path [path-to-process]

mdatp exclusion process [add\|remove] --name [process-name]
Konfiguracja Dodaj lub usuń wykluczenie antywirusowe dla pliku mdatp exclusion file [add/remove] --path [path-to-file]
Konfiguracja Dodaj lub usuń wykluczenie antywirusowe dla katalogu mdatp exclusion folder [add/remove] --path [path-to-directory]
Konfiguracja Dodaj lub usuń wyłączenie antywirusa dla rozszerzenia pliku mdatp exclusion extension [add/remove] --name [extension]
Konfiguracja Wyświetl listę wszystkich wykluczeń programu antywirusowego mdatp exclusion list
Konfiguracja Konfigurowanie stopnia równoległości na potrzeby skanowania na żądanie mdatp config maximum-on-demand-scan-threads --value [numerical-value-between-1-and-64]
Konfiguracja Włącz lub wyłącz skanowanie po aktualizacjach analizy zabezpieczeń mdatp config scan-after-definition-update --value [enabled/disabled]
Konfiguracja Włącz lub wyłącz skanowanie archiwum dla skanów na żądanie mdatp config scan-archives --value [enabled/disabled]
Konfiguracja Włącz lub wyłącz obliczenia skrótu pliku mdatp config enable-file-hash-computation --value [enabled/disabled]
Ochrona Skanowanie ścieżki mdatp scan custom --path [path] [--ignore-exclusions]
Ochrona Uruchamianie szybkiego skanowania mdatp scan quick
Ochrona Uruchamianie pełnego skanowania mdatp scan full
Ochrona Anulowanie trwającego skanowania na żądanie mdatp scan cancel
Ochrona Żądanie aktualizacji analizy zabezpieczeń mdatp definitions update
Konfiguracja Dodawanie nazwy zagrożenia do listy dozwolonych mdatp threat allowed add --name [threat-name]
Konfiguracja Usuwanie nazwy zagrożenia z listy dozwolonych mdatp threat allowed remove --name [threat-name]
Konfiguracja Wyświetl listę wszystkich dozwolonych nazw zagrożeń mdatp threat allowed list
Historia ochrony Drukowanie pełnej historii ochrony mdatp threat list
Historia ochrony Uzyskiwanie szczegółów zagrożeń mdatp threat get --id [threat-id]
Zarządzanie kwarantanną Wyświetl listę wszystkich plików poddanych kwarantannie mdatp threat quarantine list
Zarządzanie kwarantanną Usuwanie wszystkich plików z kwarantanny mdatp threat quarantine remove-all
Zarządzanie kwarantanną Dodawanie pliku wykrytego jako zagrożenie do kwarantanny mdatp threat quarantine add --id [threat-id]
Zarządzanie kwarantanną Usuwanie pliku wykrytego jako zagrożenie z kwarantanny mdatp threat quarantine remove --id [threat-id]
Zarządzanie kwarantanną Przywróć plik z kwarantanny. Dostępne w wersjach programu Defender for Endpoint starszych niż 101.23092.0012. mdatp threat quarantine restore --id [threat-id] --path [destination-folder]
Zarządzanie kwarantanną Przywróć plik z kwarantanny, używając identyfikatora zagrożenia. Dostępne w programie Defender for Endpoint w wersji 101.23092.0012 lub nowszej. mdatp threat quarantine restore threat-id --id [threat-id] --destination-path [destination-folder]
Zarządzanie kwarantanną Przywróć plik z kwarantanny, używając jego oryginalnej ścieżki. Dostępne w programie Defender for Endpoint w wersji 101.23092.0012 lub nowszej. mdatp threat quarantine restore threat-path --path [threat-original-path] --destination-path [destination-folder]
Konfiguracja ochrony sieci Konfiguruj poziom egzekwowania ochrony sieci mdatp config network-protection enforcement-level --value [block\|audit\|disabled]
Zarządzanie ochroną sieci Sprawdź, czy ochrona sieciowa zaczęła się pomyślnie mdatp health --field network_protection_status
Zarządzanie kontrolą urządzeń Zobacz, czy Device Control jest włączony i jaki jest domyślny poziom egzekwowania mdatp device-control policy preferences list
Zarządzanie kontrolą urządzeń Zobacz aktywne reguły sterowania urządzeniami mdatp device-control policy rules list
Zarządzanie kontrolą urządzeń Wyświetl grupy określone w zasadach Device Control mdatp device-control policy groups list
Konfiguracja Włącz lub wyłącz zapobieganie utracie danych mdatp config data_loss_prevention --value [enabled/disabled]
Diagnostyka Zmienianie poziomu dziennika mdatp log level set --level [error\|warning\|info\|debug]
Diagnostyka Generowanie dzienników diagnostycznych mdatp diagnostic create --path [directory]
Kondycja Sprawdzanie kondycji produktu mdatp health
Kondycja Sprawdź konkretny atrybut produktu, taki jak healthy, licensed, lub engine_version mdatp health --field [attribute]
EDR Ustaw tag urządzenia. Obsługiwany jest tylko warunek GROUP. mdatp edr tag set --name GROUP --value [name]
EDR Usuń tag grupowy z urządzenia mdatp edr tag remove --tag-name [name]
EDR Dodaj identyfikator grupy mdatp edr group-ids --group-id [group]

Włączenie automatycznego uzupełniania wiersza poleceń

Aby włączyć automatyczne uzupełnianie w Bash, dodaj skrypt Defender for Endpoint completion do swojego profilu Bash, a następnie zrestartuj sesję Terminala:

echo "source /Applications/Microsoft\ Defender.app/Contents/Resources/Tools/mdatp_completion.bash" >> ~/.bash_profile

Aby włączyć automatyczne uzupełnianie w Z shell (zsh), postępuj zgodnie z następującymi krokami:

  1. Sprawdź, czy autouzupełnianie jest włączone na urządzeniu:

    cat ~/.zshrc | grep autoload

  2. Jeśli polecenie nie generuje żadnego wyjścia, włącz automatyczne uzupełnianie w profilu zsh:

    echo "autoload -Uz compinit && compinit" >> ~/.zshrc

  3. Utwórz katalog uzupełniania i utwórz dowiązanie do skryptu uzupełniania dla Defender for Endpoint:

    sudo mkdir -p /usr/local/share/zsh/site-functions

sudo ln -svf "/Applications/Microsoft Defender.app/Contents/Resources/Tools/mdatp_completion.zsh" /usr/local/share/zsh/site-functions/_mdatp

Zarządzaj katalogiem kwarantanny klienta

Defender for Endpoint przechowuje pliki w kwarantannie w /Library/Application Support/Microsoft/Defender/quarantine/. Nazwy plików wykorzystują identyfikator śledzenia zagrożeń. Aby zobaczyć aktualne identyfikatory śledzenia, uruchom mdatp threat list. Używaj mdatp threat quarantine poleceń do zarządzania plikami w kwarantannie zamiast bezpośrednio je modyfikować.

Odinstaluj Defender for Endpoint

Zanim odinstalujesz Defender for Endpoint, wyłącz urządzenie i usuń lub zaktualizuj polityki, które nim zarządzają. Aby uzyskać informacje o opcjonalnych tagach wycofania urządzeń, wymaganiach dotyczących ochrony przed manipulacją, pakiecie wycofania oraz czyszczeniu zasad rozszerzeń systemowych, zobacz Wycofywanie urządzeń Mac.

Możesz odinstalować aplikację interaktywnie lub z linii poleceń. Jeśli zarządzasz urządzeniami za pomocą Jamf Pro, wdroż profil offboardingu zanim usuniesz aplikację. Centralnie zarządzana deinstalacja nie jest obecnie dostępna w Microsoft Intune.

Odinstaluj interaktywnie

W Finderze otwórz Aplikacje, kliknij element Microsoft Defender, przytrzymując klawisz Control, a następnie wybierz Przenieś do kosza.

Odinstalowywanie z wiersza polecenia

Uruchom sudo '/Library/Application Support/Microsoft/Defender/uninstall/uninstall' w Terminalu.

Wyrejestruj z Jamf Pro przed odinstalowaniem

Jamf Pro to osobny produkt firm trzecich, który nie jest częścią Defender for Endpoint i nie jest dołączony do subskrypcji Defender for Endpoint. Aby korzystać z Jamf Pro, Twoja organizacja potrzebuje osobnej subskrypcji Jamf Pro. Informacje o produktach i subskrypcjach można znaleźć w Jamf Pro. Jeśli Twoja organizacja nie korzysta z Jamf Pro, użyj innej metody konfiguracji opisanej w tym artykule, jeśli jest dostępna.

Aby odłączyć urządzenie przez Jamf Pro przed usunięciem aplikacji, należy postępować zgodnie z instrukcjami Jamf, aby przesłać profil konfiguracyjny. Prześlij profil wycofywania Defender for Endpoint bez modyfikowania go i ustaw Preference Domain na com.microsoft.wdav.atp.offboarding.

Uwaga

Jeśli masz problem z odinstalowaniem Defender for Endpoint, a raporty zawierają element dotyczący rozszerzenia bezpieczeństwa Microsoft Defender Endpoint, postępuj zgodnie z tymi krokami:

  1. Zainstaluj ponownie aplikację Microsoft Defender.

  2. Przeciągnij Microsoft Defender.app do kosza.

  3. Uruchom następujące polecenie w terminalu:

    sudo '/Library/Application Support/Microsoft/Defender/uninstall/install_helper' execute --path '/Library/Application Support/Microsoft/Defender/uninstall/uninstall' --args --post-uninstall-hook

  4. Uruchom urządzenie ponownie.

Korzystanie z portalu usługi Microsoft Defender

Korzystaj z portalu Microsoft Defender, aby przeglądać wykrycia i podejmować działania reagujące na urządzeniach. Aby uzyskać więcej informacji, zapoznaj się z następującymi zasobami:

  • Ostatnia aktualizacja o