Agendar verificações usando o Microsoft Defender para Ponto de Extremidade no macOS

  • Aplica-se a: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Varreduras antivírus agendadas ajudam a garantir que os dispositivos macOS sejam escaneados regularmente sem depender dos usuários para iniciar as varreduras. Administradores de segurança podem configurar varreduras rápidas horárias ou diárias e rápidas ou completas semanais, e usar múltiplos agendamentos no mesmo dispositivo. Use esta orientação para implantar cronogramas de varredura por meio de um perfil de gerenciamento de dispositivos móveis (MDM) ou configurá-los localmente com a mdatp ferramenta de linha de comando.

Pré-requisitos

Entenda as opções de varredura agendada

Além de iniciar as varreduras sob demanda, agende as varreduras para serem executadas em intervalos regulares ou em horários específicos. Por exemplo, agende uma varredura rápida no início de cada dia de trabalho e uma varredura completa uma vez por semana.

Defender for Endpoint suporta agendamentos horários, diários e semanais. Os agendamentos por hora e por dia executam verificações rápidas. Os agendamentos semanais podem executar verificações rápidas ou completas. Você pode configurar os três tipos de agenda simultaneamente. Consulte o exemplo de verificação diária e semanal e o exemplo de verificação por hora, diariamente e semanal.

Agende varreduras com um perfil de configuração

Use os dicionários features e scheduledScan em um perfil de configuração do Defender for Endpoint para criar verificações agendadas.

Os exemplos do Microsoft Intune e Jamf Pro usam XML da lista de propriedades da Apple. Salve os perfis do Intune com a extensão .xml e as listas de propriedades do Jamf Pro com a extensão .plist. Para mais informações sobre o formato XML, consulte a referência do arquivo Apple Information Property List.

Use as seguintes configurações para definir os cronogramas de varredura:

Dica

Os agendamentos são baseados no fuso horário local do dispositivo.

Setting Description Values Default
features.scheduledScan Ativa ou desativa a função de escaneamento agendado. enabled, disabled disabled quando não há configuração diária ou semanal
dailyConfiguration.interval Executa uma varredura rápida baseada em intervalos a cada número de horas especificado. 0 a 24. 0 Desativa varreduras baseadas em intervalos. 0
dailyConfiguration.timeOfDay Faz uma varredura rápida diária no número especificado de minutos após a meia-noite. 0 a 1440 0
weeklyConfiguration.dayOfWeek Especifica quando uma varredura semanal é realizada. 0: Nunca
1: Domingo
2: Segunda-feira
3: Terça-feira
4: Quarta-feira
5: quinta-feira
6: Sexta-feira
7: Sábado
8: Todo dia		 0
weeklyConfiguration.timeOfDay Executa uma verificação semanal no número de minutos especificado após a meia-noite. 0 a 1440 Esquema do perfil: 0
mdatp Interface de linha de comando: 120
weeklyConfiguration.scanType Especifica o tipo de varredura semanal. quick, full quick
ignoreExclusions Especifica se a varredura agendada ignora exclusões configuradas. true, false false
lowPriorityScheduledScan Executa varreduras agendadas com prioridade de CPU reduzida. A verificação pode demorar mais para ser concluída. true, false false
checkForDefinitionsUpdate Verifica atualizações de inteligência de segurança antes de iniciar uma varredura agendada. true, false false
randomizeScanStartTime Randomiza os horários de início da varredura diária e semanal até o número especificado de horas. 0 a 23 0
runScanWhenIdle Adia uma verificação completa semanal até o dispositivo estar inativo. true, false false

As configurações diárias interval e timeOfDay criam agendamentos independentes de verificação rápida. Se você configurar ambas as configurações, mais de uma varredura rápida pode ser feita por dia.

Exemplo 1: Agende uma varredura rápida diária e uma varredura completa semanal

Os perfis a seguir demonstram uma varredura rápida diária e uma varredura completa semanal às quartas-feiras. Ambos os perfis ignoram exclusões e usam agendamento de baixa prioridade.

Use a tabela de configurações de varredura agendada para substituir os tempos de exemplo pelos valores exigidos pela sua organização.

Abra um editor de texto e use o perfil do Intune ou a lista de propriedades do Jamf Pro como guia.

Para Microsoft Intune

O exemplo a seguir define um perfil completo de configuração do Intune que permite uma varredura rápida diária e uma varredura completa semanal.

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
    <key>PayloadUUID</key>
    <string>C4E6A782-0C8D-44AB-A025-EB893987A295</string>
    <key>PayloadType</key>
    <string>Configuration</string>
    <key>PayloadOrganization</key>
    <string>Microsoft</string>
    <key>PayloadIdentifier</key>
    <string>C4E6A782-0C8D-44AB-A025-EB893987A295</string>
    <key>PayloadDisplayName</key>
    <string>Microsoft Defender for Endpoint settings</string>
    <key>PayloadDescription</key>
    <string>Microsoft Defender for Endpoint configuration settings</string>
    <key>PayloadVersion</key>
    <integer>1</integer>
    <key>PayloadEnabled</key>
    <true/>
    <key>PayloadRemovalDisallowed</key>
    <true/>
    <key>PayloadScope</key>
    <string>System</string>
    <key>PayloadContent</key>
    <array>
        <dict>
            <key>PayloadUUID</key>
            <string>99DBC2BC-3B3A-46A2-A413-C8F9BB9A7295</string>
            <key>PayloadType</key>
            <string>com.microsoft.wdav</string>
            <key>PayloadOrganization</key>
            <string>Microsoft</string>
            <key>PayloadIdentifier</key>
            <string>99DBC2BC-3B3A-46A2-A413-C8F9BB9A7295</string>
            <key>PayloadDisplayName</key>
            <string>Microsoft Defender for Endpoint configuration settings</string>
            <key>PayloadDescription</key>
            <string/>
            <key>PayloadVersion</key>
            <integer>1</integer>
            <key>PayloadEnabled</key>
            <true/>
            <key>features</key>
            <dict>
                <key>scheduledScan</key>
                <string>enabled</string>
            </dict>
            <key>scheduledScan</key>
            <dict>
                <key>ignoreExclusions</key>
                <true/>
                <key>lowPriorityScheduledScan</key>
                <true/>
                <key>dailyConfiguration</key>
                <dict>
                    <key>timeOfDay</key>
                    <integer>880</integer>
                </dict>
                <key>weeklyConfiguration</key>
                <dict>
                    <key>dayOfWeek</key>
                    <integer>4</integer>
                    <key>timeOfDay</key>
                    <integer>885</integer>
                    <key>scanType</key>
                    <string>full</string>
                </dict>
            </dict>
        </dict>
    </array>
</dict>
</plist>

Salve o arquivo como com.microsoft.wdav.xml.

Para o Jamf Pro e soluções de MDM compatíveis

A lista de propriedades a seguir configura uma varredura rápida diária e uma varredura completa semanal para o Jamf Pro e outras soluções MDM que aceitam listas de propriedades. Salve o conteúdo como com.microsoft.wdav.plist.

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
    <key>features</key>
    <dict>
        <key>scheduledScan</key>
        <string>enabled</string>
    </dict>
    <key>scheduledScan</key>
    <dict>
        <key>ignoreExclusions</key>
        <true/>
        <key>lowPriorityScheduledScan</key>
        <true/>
        <key>dailyConfiguration</key>
        <dict>
            <key>timeOfDay</key>
            <integer>885</integer>
        </dict>
        <key>weeklyConfiguration</key>
        <dict>
            <key>dayOfWeek</key>
            <integer>4</integer>
            <key>timeOfDay</key>
            <integer>880</integer>
            <key>scanType</key>
            <string>full</string>
        </dict>
    </dict>
</dict>
</plist>

Salve o arquivo como com.microsoft.wdav.plist.

Após implantar o perfil, verifique se a varredura agendada está configurada como uma preferência gerenciada executando o seguinte comando:

mdatp health --details scheduled_scan

Nos resultados, verifique se a verificação agendada relata managed.

Exemplo 2: Programe exames rápidos diários e intervalados e um escaneamento completo semanal

Os perfis a seguir demonstram uma varredura rápida baseada em intervalos, uma varredura rápida diária e uma varredura completa semanal na quarta-feira.

Abra um editor de texto e use o perfil do Intune ou a lista de propriedades do Jamf Pro como guia.

Para Microsoft Intune

O exemplo a seguir empacota as configurações de varredura agendada em um perfil completo de configuração do Intune.

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
     <key>PayloadUUID</key>
     <string>C4E6A782-0C8D-44AB-A025-EB893987A295</string>
     <key>PayloadType</key>
     <string>Configuration</string>
     <key>PayloadOrganization</key>
     <string>Microsoft</string>
     <key>PayloadIdentifier</key>
     <string>C4E6A782-0C8D-44AB-A025-EB893987A295</string>
     <key>PayloadDisplayName</key>
     <string>Microsoft Defender for Endpoint settings</string>
     <key>PayloadDescription</key>
     <string>Microsoft Defender for Endpoint configuration settings</string>
     <key>PayloadVersion</key>
     <integer>1</integer>
     <key>PayloadEnabled</key>
     <true/>
     <key>PayloadRemovalDisallowed</key>
     <true/>
     <key>PayloadScope</key>
     <string>System</string>
     <key>PayloadContent</key>
     <array>
       <dict>
           <key>PayloadUUID</key>
           <string>99DBC2BC-3B3A-46A2-A413-C8F9BB9A7295</string>
           <key>PayloadType</key>
           <string>com.microsoft.wdav</string>
           <key>PayloadOrganization</key>
           <string>Microsoft</string>
           <key>PayloadIdentifier</key>
           <string>99DBC2BC-3B3A-46A2-A413-C8F9BB9A7295</string>
           <key>PayloadDisplayName</key>
           <string>Microsoft Defender for Endpoint configuration settings</string>
           <key>PayloadDescription</key>
           <string/>
           <key>PayloadVersion</key>
           <integer>1</integer>
           <key>PayloadEnabled</key>
           <true/>
    <key>features</key>
    <dict>
        <key>scheduledScan</key>
        <string>enabled</string>
    </dict>
<key>scheduledScan</key>
<dict>
    <key>ignoreExclusions</key>
    <true/>
    <key>lowPriorityScheduledScan</key>
    <true/>
    <key>dailyConfiguration</key>
    <dict>
        <key>timeOfDay</key>
        <integer>885</integer>
        <key>interval</key>
        <integer>1</integer>
    </dict>
    <key>weeklyConfiguration</key>
    <dict>
        <key>dayOfWeek</key>
        <integer>4</integer>
        <key>timeOfDay</key>
        <integer>880</integer>
        <key>scanType</key>
        <string>full</string>
        </dict>
        </dict>
    </dict>
</array>
</dict>
</plist>

Salve o arquivo como com.microsoft.wdav.xml.

Para o Jamf Pro e soluções de MDM compatíveis

A seguinte lista de propriedades configura varreduras baseadas em intervalos, diárias e semanais para o Jamf Pro e outras soluções MDM que aceitam listas de propriedades. Salve o conteúdo como com.microsoft.wdav.plist.

<?xml version="1.0" encoding="UTF-8"?><!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
    <plist version="1.0">
    <dict>
        <key>features</key>
        <dict>
            <key>scheduledScan</key>
            <string>enabled</string>
        </dict>
    <key>scheduledScan</key>
    <dict>
        <key>ignoreExclusions</key>
        <true/>
        <key>lowPriorityScheduledScan</key>
        <true/>
        <key>dailyConfiguration</key>
        <dict>
            <key>timeOfDay</key>
            <integer>885</integer>
            <key>interval</key>
            <integer>1</integer>
        </dict>
        <key>weeklyConfiguration</key>
        <dict>
            <key>dayOfWeek</key>
            <integer>4</integer>
            <key>timeOfDay</key>
            <integer>880</integer>
            <key>scanType</key>
            <string>full</string>
            </dict>
            </dict>
        </dict>
    </plist>

Salve o arquivo como com.microsoft.wdav.plist.

Implantar o perfil de configuração

Implantar com Microsoft Intune

O Microsoft Intune é a ferramenta recomendada para configurar e distribuir os recursos do Defender para Ponto de Extremidade aos dispositivos. No entanto, o Intune é um produto separado que não faz parte do Defender para Endpoint e não está incluído em todas as assinaturas. Para usar o Intune, você precisa de uma assinatura que a inclua ou pode comprá-la separadamente como uma assinatura autônoma ou complemento. Se você não tiver o Intune, poderá usar qualquer um dos outros métodos neste artigo. Para obter mais informações, confira Licenciamento do Microsoft Intune.

Para criar e implantar o perfil de configuração personalizado no Intune, veja Definir políticas no Microsoft Intune. Use com.microsoft.wdav como nome do perfil de configuração, selecione o canal Dispositivo e faça o upload do .xml arquivo.

Implante com Jamf Pro

Jamf Pro é um produto separado de terceiros que não faz parte do Defender for Endpoint e não está incluído nas assinaturas do Defender for Endpoint. Para usar o Jamf Pro, sua organização precisa de uma assinatura separada do Jamf Pro. Para informações sobre produtos e assinaturas, veja Jamf Pro. Se sua organização não usa o Jamf Pro, utilize outro método de configuração neste artigo, se disponível.

Para o fluxo de trabalho mantido do Defender for Endpoint, veja Deploy Microsoft Defender para Ponto de Extremidade no macOS com Jamf Pro.

Siga as instruções do Jamf para implantar um perfil de configuração personalizado do computador. Use a lista de propriedades do Exemplo 1 ou do Exemplo 2, e defina o Domínio de Preferência para com.microsoft.wdav.

Para uma solução MDM que suporte payloads de lista de propriedades, siga as instruções do fornecedor e as orientações de implantação de perfil em Implantar o Microsoft Defender para Ponto de Extremidade no macOS com outra solução MDM.

Após o Jamf Pro implantar o perfil, verifique a configuração de varredura agendada executando o seguinte comando:

mdatp health --details scheduled_scan

Nos resultados, verifique se a varredura programada reporta managed.

Configurar varreduras agendadas com a CLI do mdatp

Use a ferramenta de linha de comando Microsoft Defender para Ponto de Extremidade (mdatp) para configurar varreduras agendadas localmente a partir do Terminal. A configuração na linha de comando é mais útil para testes ou dispositivos individuais. Use um perfil MDM para implantações gerenciadas.

Ative o recurso de varredura agendada:

sudo mdatp config scheduled-scan settings feature --value enabled

Configure varreduras rápidas baseadas em intervalos:

sudo mdatp config scheduled-scan quick-scan hourly-interval --value <arg>

Captura de tela da ajuda do comando mdatp hourly interval mostrando valores de 0 a 24 horas.

Configure uma varredura rápida diária:

sudo mdatp config scheduled-scan quick-scan time-of-day --value <arg>

Captura de tela da ajuda do comando de verificação diária do mdatp mostrando minutos depois da meia-noite, de 0 a 1440.

Configure uma verificação semanal:

sudo mdatp config scheduled-scan weekly-scan --day-of-week <arg> --time-of-day <arg> --scan-type <arg>

Captura de tela da ajuda do comando de verificação semanal do mdatp, mostrando as opções de dia, hora e tipo de verificação.

Você também pode configurar atualizações de inteligência de segurança e execuções de baixa prioridade:

  • Para verificar atualizações de inteligência de segurança antes das varreduras agendadas:

    sudo mdatp config scheduled-scan settings check-for-definitions --value true

  • Para usar threads de baixa prioridade para a verificação agendada:

    sudo mdatp config scheduled-scan settings low-priority --value true

Verifique se as varreduras agendadas foram executadas

Para listar verificações agendadas concluídas e seus resultados, execute mdatp scan list:

Captura de tela do comando mdatp scan list inserido no Terminal.

Captura de tela de uma varredura rápida concluída mostrando um estado bem-sucedido, duração, arquivos escaneados e ameaças detectadas.

Importante

Se o dispositivo estiver em modo de espera no horário programado, a varredura é executada após a retomada do aparelho. Se o dispositivo for desligado, a varredura é executada no próximo horário agendado.

  • Última atualização em