Resolução de problemas de extensões de sistema Microsoft Defender para Endpoint no macOS

O Microsoft Defender para Endpoint utiliza a segurança dos endpoints e extensões do sistema de rede para proteger dispositivos macOS. Se o macOS não aprovar ou iniciar uma extensão, a proteção em tempo real, a inspeção de eventos de rede ou funcionalidades relacionadas podem não estar disponíveis.

Use os sintomas e comandos deste artigo para identificar problemas de extensão e perfil. Depois, use a orientação específica para a implementação para corrigir a configuração.

Identificar os sintomas de extensão de sistema

O Microsoft Defender Shield na barra de menu do macOS pode mostrar um emblema x quando o Defender for Endpoint requer atenção.

Selecione o escudo para abrir o menu Defender. A opção Ação necessária indica que o Defender requer configuração ou aprovação do utilizador.

Selecionar Ação necessária para abrir a página de Vírus e proteção contra ameaças . A página pode mostrar que o Microsoft Defender precisa de atenção e um botão Corrigir.

Execute o seguinte comando no Terminal para rever o estado geral de saúde do Defender:

mdatp health

Quando as extensões ou permissões não estão prontas, a saída pode reportar um estado pouco saudável, proteção indisponível ou ausência de Acesso Total ao Disco:

healthy                            : false
health_issues                    : ["no active event provider", "network event provider not running", "full disk access has not been granted"]
...
real_time_protection_enabled    : true
real_time_protection_available: false
...
full_disk_access_enabled        : false

A captura de ecrã seguinte mostra um resultado pouco saudável com subsistemas de proteção indisponíveis e Acesso Total ao Disco desativado:

Para obter descrições dos campos de estado de funcionamento, consulte Resolver problemas de estado de funcionamento do agente com o Defender for Endpoint no macOS.

Diagnosticar as extensões do sistema

Nas versões suportadas do macOS, um perfil de gestão de dispositivos móveis (MDM) ou um administrador local deve aprovar as extensões do sistema antes de poderem ser executadas. O Defender for Endpoint utiliza o Microsoft Team ID UBF8T346G9 e as seguintes extensões de sistema:

• Extensão de segurança de terminal: com.microsoft.wdav.epsext.
• Extensão de rede: com.microsoft.wdav.netext.

Utilize os seguintes comandos para determinar se as extensões estão instaladas, aprovadas e em execução:

1. Liste as extensões do sistema registadas:

   systemextensionsctl list
   

   

   O [activated waiting for user] estado indica que o macOS instalou as extensões, mas está à espera de aprovação local. Uma extensão ativa em bom estado indica [activated enabled].

2. Consulte os detalhes do estado da extensão de sistema específica do Defender:

   mdatp health --details system_extensions
   

   Quando as extensões são instaladas mas não aprovadas ou prontas, a saída pode assemelhar-se ao seguinte exemplo:

   network_extension_enabled                 : false
   network_extension_installed                 : true
   endpoint_security_extension_ready           : false
   endpoint_security_extension_installed        : true
   

A captura de ecrã seguinte mostra ambas as extensões instaladas, mas a extensão de rede não está ativada e a extensão de segurança do endpoint não está pronta:

O resultado de saúde da extensão não identifica todas as permissões necessárias no macOS. Por exemplo, mdatp health pode reportar separadamente que o Acesso Total ao Disco não é concedido. Revise as extensões do sistema e as permissões do macOS necessárias para as funcionalidades Defender e Microsoft Purview ativadas.

Resolver questões de extensão e permissões

Use o procedimento do seu método de implementação para aprovar as extensões e conceder as permissões necessárias:

• Microsoft Intune: Aprovar o Defender para extensões do sistema Endpoint no Intune. Novas políticas têm de usar o catálogo de definições porque o modelo antigo de Extensões do macOS está obsoleto. Para orientações gerais sobre o catálogo de definições, consulte Usar o catálogo de definições do Intune para configurar definições. Para a sequência completa de implementação, veja Aprovar Extensões do Sistema.
• Jamf Pro: Configure o Defender para extensões do sistema Endpoint usando o Jamf Pro.
• Outra solução MDM: Implementar o Defender para Endpoint com outra solução MDM.
• Implementação manual: Aprovar extensões e permissões do sistema manualmente.

Para implementações geridas, implemente os perfis de configuração do sistema antes do pacote de aplicação Defender. Esta sequência permite ao macOS aprovar as extensões e permissões sem depender dos prompts do utilizador.

Verificar a entrega do perfil

Antes de resolver problemas com perfis individuais, reveja os pré-requisitos partilhados do Defender for Endpoint no macOS.

Verifique a entrega do perfil MDM

Use a sua solução MDM para confirmar que os perfis necessários ao nível do dispositivo foram atribuídos e entregues com sucesso ao dispositivo Mac afetado. No dispositivo, abra Definições do Sistema, selecione Geral e depois selecione Gestão de Dispositivos para rever os perfis instalados.

Se utilizares o Jamf Pro, sudo jamf policy ativa as políticas aplicáveis. Para informações sobre gatilhos e execução de políticas Jamf, consulte Gestão de Políticas.

Nota

Use nomes reconhecíveis para os perfis de configuração do Defender para identificar o seu propósito e o anel de implementação. Por exemplo, use FullDiskAccess (piloting) - macOS - Default - MDE.

Verifique os perfis necessários

Descarregue os perfis atuais mantidos pela Microsoft em vez de recriar manualmente os payloads. Esta abordagem previne erros de digitação em identificadores de pacotes, IDs de equipa, requisitos de código e valores de carga útil.

Para ver a lista de perfis e a finalidade de cada payload, consulte Veja os perfis do Defender mantidos.

No Terminal, use a seguinte sintaxe para descarregar um perfil para o diretório atual:

curl -O https://URL

Por exemplo, descarregue o perfil de extensões do sistema mantido:

curl -O https://raw.githubusercontent.com/microsoft/mdatp-xplat/master/macos/mobileconfig/profiles/sysext.mobileconfig

Reveja os perfis do Defender mantidos

O repositório de perfis macOS Defender for Endpoint contém estes perfis relevantes:

• Aprovação de extensão do sistema: sysext.mobileconfig aprova com.microsoft.wdav.epsext e com.microsoft.wdav.netext para o ID UBF8T346G9da Equipa.
• Filtro de rede: netfilter.mobileconfig configura a extensão de rede como o Filtro de Conteúdo do Microsoft Defender.
• Acesso Completo ao Disco: fulldisk.mobileconfig concede acesso aos componentes Defender necessários.
• Serviços em segundo plano: background_services.mobileconfig permite que os serviços do Defender corram em segundo plano.
• Notificações: notif.mobileconfig configura as notificações do Defender e do Microsoft AutoUpdate.
• Acessibilidade: accessibility.mobileconfig concede acesso à Acessibilidade ao daemon de prevenção de perda de dados Microsoft Purview quando essa funcionalidade é utilizada.

Não uses a presença de ficheiros em /Library/Managed Preferences como único critério para estes payloads da Apple. Verifique a entrega dos perfis através da solução MDM, inspecione os perfis de configuração instalados e reveja a saída de saúde do Defender.

Analisar perfis instalados

O script da Microsoft analyze_profiles.py compara os pacotes de configuração instalados com o modelo de perfil do Defender mantido. Reporta cargas úteis em falta, duplicadas ou incompatíveis e verifica perfis de integração e preferências do Defender.

1. Reveja o script no diretório de ferramentas MDM do Defender for Endpoint para macOS.

2. Selecione Raw para abrir https://raw.githubusercontent.com/microsoft/mdatp-xplat/master/macos/mdm/analyze_profiles.py.

3. A partir do diretório onde queres guardar analyze_profiles.py, descarrega o script executando o seguinte comando no Terminal:

   curl -O https://raw.githubusercontent.com/microsoft/mdatp-xplat/master/macos/mdm/analyze_profiles.py
   

4. Execute o script com permissões elevadas usando um dos seguintes métodos:

   • Executa o script descarregado:

     cd ~/Downloads
     
     sudo python3 analyze_profiles.py
     

     Or

   • Executa o script diretamente da web:

     curl -sS https://raw.githubusercontent.com/microsoft/mdatp-xplat/master/macos/mdm/analyze_profiles.py | sudo python3 -
     

Reveja todos os problemas reportados no contexto da sua implementação. O script pode reportar escolhas intencionais de perfil que não exigem alterações.

Conteúdo relacionado

• Microsoft Defender para Endpoint no macOS
• Implementar o Microsoft Defender para Endpoint no macOS com Jamf Pro
• Implemente perfis de configuração do Defender para endpoints com Jamf Pro
• Configurar grupos de dispositivos Jamf Pro

Enviar opinião

Para submeter feedback de produto a partir da aplicação Defender, abra Ajuda e depois selecione Enviar feedback.

No portal Microsoft Defender em https://security.microsoft.com, selecione Dar feedback.