Implementar o Microsoft Defender para Endpoint no macOS com outra solução MDM

Pode usar as orientações deste artigo para adaptar o pacote de instalação do Microsoft Defender para Endpoint, informações de onboarding e perfis de configuração Apple para uma solução de gestão de dispositivos móveis (MDM) diferente do Microsoft Intune ou Jamf Pro. A terminologia e os procedimentos do seu fornecedor de MDM podem ser diferentes.

Para comparar este método com Microsoft Intune, Jamf Pro ou implementação manual, consulte Implementar o Defender para Endpoint no macOS.

Importante

Este artigo contém informações sobre ferramentas de terceiros. Isto é fornecido para ajudar a concluir cenários de integração. No entanto, a Microsoft não fornece suporte de resolução de problemas para ferramentas de terceiros.
Contacte o fornecedor de terceiros para obter suporte.

Pré-requisitos

Antes de começar, reveja os pré-requisitos do Defender for Endpoint no macOS, especialmente os requisitos de implementação gerida. Você também precisa:

• As instruções do seu fornecedor de MDM para a implementação de ficheiros assinados .pkg e perfis de configuração Apple a nível do dispositivo.
• Uma conta de administrador MDM que pode atribuir aplicações e perfis a dispositivos Mac geridos.

Compreenda o limite de suporte

O Defender for Endpoint não depende de funcionalidades específicas do Intune ou do Jamf Pro. Pode usar outra solução MDM que cumpra os requisitos de implementação gerida. A Microsoft suporta o Defender for Endpoint, o seu pacote de instalação e a sua configuração documentada. Contacte o fornecedor de MDM para obter apoio sobre o fluxo de trabalho de implementação e o comportamento do produto do fornecedor.

Implementar o Defender para Endpoint

Complete estas tarefas utilizando as funcionalidades equivalentes de implementação de pacotes e perfis na sua solução MDM.

Descarregue os pacotes de implementação

Descarregue os pacotes de instalação e integração do portal Microsoft Defender:

1. Na página de Integração do portal Microsoft Defender em https://security.microsoft.com/securitysettings/endpoints/onboarding, configure as seguintes definições:

   • Passo 1: Selecione um sistema operativo para iniciar a implementação: Selecione macOS.
   • Tipo de conectividade: Selecionar Simplificado. Antes de continuar, verifique se os seus dispositivos e rede cumprem os pré-requisitos de conectividade simplificada.
   • Método de implementação: Selecione Mobile Gestão de Dispositivos / Microsoft Intune.

2. Selecione Descarregar o pacote de integração e guarde.GatewayWindowsDefenderATPOnboardingPackage.zip

3. Extrair GatewayWindowsDefenderATPOnboardingPackage.zip. O pacote extraído contém:

   • intune/WindowsDefenderATPOnboarding.xml.
   • jamf/WindowsDefenderATPOnboarding.plist.

4. Selecione Descarregar pacote de instalação e guarde wdav.pkg.

Implantar perfis de configuração do sistema

Descarregue os perfis de configuração Apple necessários para a sua versão do macOS e as funcionalidades ativadas do Defender do repositório de perfis de configuração do macOS do Defender for Endpoint.

Importe os ficheiros necessários .mobileconfig utilizando o fluxo de trabalho de perfil personalizado do seu fornecedor de MDM. Implante os perfis no âmbito do dispositivo, computador ou sistema e atribua-os aos grupos de dispositivos aplicáveis. Os perfis concedem a extensão do sistema e as permissões do macOS que o Defender for Endpoint requer.

Os perfis de configuração da Apple utilizam o formato XML de lista de propriedades. Pode inspecionar ou adaptar perfis usando ferramentas como o Apple Configurator ou o iMazing Profile Editor, mas não altere identificadores da Microsoft, tipos de carga útil ou valores exigidos.

Consulte as novidades no Defender for Endpoint no macOS para alterações que exijam perfis atualizados.

Implementar definições do Defender para Endpoint

Utilize um perfil de configuração de aplicação ao nível do dispositivo para implementar definições geridas do Defender. O Defender for Endpoint lê definições geridas de:

• /Library/Managed Preferences/com.microsoft.wdav.plist
• /Library/Managed Preferences/com.microsoft.wdav.ext.plist

Usa com.microsoft.wdav ou com.microsoft.wdav.ext como domínio de preferências, dependendo das definições que implementas. Para as definições suportadas e a estrutura de dados obrigatória, consulte Definir preferências do Defender for Endpoint no macOS.

Depois de a solução MDM entregar o perfil, verifique se existe o ficheiro de preferências geridas correspondente. Também pode inspecionar /Library/Managed Preferences/com.microsoft.wdav.plist e comparar a sua estrutura com o perfil que implementou:

plutil -p "/Library/Managed Preferences/com.microsoft.wdav.plist"

A saída é semelhante ao seguinte exemplo:

{
  "antivirusEngine" => {
    "scanHistoryMaximumItems" => 10000
  }
  "edr" => {
    "groupIds" => "my_favorite_group"
    "tags" => [
      0 => {
        "key" => "GROUP"
        "value" => "my_favorite_tag"
      }
    ]
  }
  "tamperProtection" => {
    "enforcementLevel" => "audit"
    "exclusions" => [
      0 => {
        "args" => [
          0 => "/usr/local/bin/test.sh"
        ]
        "path" => "/bin/zsh"
        "signingId" => "com.apple.zsh"
        "teamId" => ""
      }
    ]
  }
}

Nomes de definição, aninhamento e tipos de dados devem corresponder à estrutura documentada. O Defender ignora definições inválidas ou mal escritas.

Implementar o perfil de integração

Se a sua solução MDM aceitar uma lista de propriedades arbitrária, importe jamf/WindowsDefenderATPOnboarding.plist do ficheiro extraído GatewayWindowsDefenderATPOnboardingPackage.zip .

Configure o perfil de integração como um perfil de nível de dispositivo. Se o fluxo de trabalho MDM exigir um identificador de aplicação, domínio de preferência ou domínio de carga útil, use com.microsoft.wdav.atp. O perfil deve entregar as informações de integração para /Library/Managed Preferences/com.microsoft.wdav.atp.plist.

Se a sua solução MDM requer outro formato de entrada, siga as instruções do fornecedor para converter ou importar a lista de propriedades de onboarding sem alterar a sua estrutura de dados.

Implementar o pacote de aplicação

Aviso

Reembalar o pacote de instalação do Defender para Endpoint não é um cenário suportado. Fazê-lo pode afetar negativamente a integridade do produto e levar a resultados adversos, incluindo, mas não se limitando a acionar alertas de adulteração e atualizações que não se aplicam.

Implemente o pacote de instalação assinado wdav.pkg sem modificações, utilizando a aplicação ou o procedimento de implementação do pacote do seu fornecedor MDM. Atribui o pacote aos grupos de dispositivos aplicáveis.

Verificar a implementação do perfil

Descarregue e execute analyze_profiles.py para identificar potenciais problemas com os perfis instalados num dispositivo Mac. O script fornece orientações de diagnóstico e pode reportar escolhas de configuração intencionais. Investigue cada problema reportado no contexto da sua implementação.

Verificar a implantação

Utilize a verificação partilhada da implementação do Defender for Endpoint para confirmar a integração, a conectividade, a deteção de antivírus e os relatórios de EDR.