Примечание.
Для доступа к этой странице требуется авторизация. Вы можете попробовать войти или изменить каталоги.
Для доступа к этой странице требуется авторизация. Вы можете попробовать изменить каталоги.
Используйте mdatp инструмент командной строки для настройки Microsoft Defender для конечной точки, запуска сканирования, управления обнаруженными угрозами и проверки состояния продукта на устройствах с macOS. Вы также можете собирать диагностическую информацию, включать автозавершение команд, управлять карантинными файлами и удалить Defender for Endpoint.
Для требований к продукту и методам развертывания см. Предварительные требования для Microsoft Defender для конечной точки на macOS и Microsoft Defender для конечной точки на macOS.
Сбор диагностических сведений
Если вы можете воспроизвести проблему, увеличьте уровень ведения журнала, запустите систему в течение некоторого времени, а затем восстановите уровень ведения журнала до уровня по умолчанию.
Установите уровень логирования на
debug:mdatp log level set --level debugLog level configured successfullyВоспроизведите проблему.
Создайте
.zipархив, содержащий журналы диагностики Defender for Endpoint. После успешного выполнения команда отображает путь архива:Совет
По умолчанию журналы диагностики сохраняются в
/Library/Application Support/Microsoft/Defender/wdavdiag/. Чтобы использовать другую папку, добавьте--path [directory]в команду и замените[directory]на пункт назначения.sudo mdatp diagnostic createDiagnostic file created: "/Library/Application Support/Microsoft/Defender/wdavdiag/932e68a8-8f2e-4ad0-a7f2-65eb97c0de01.zip"Восстановите уровень логирования до значения по умолчанию:
infomdatp log level set --level infoLog level configured successfully
Просмотр журналов установки
Если установка не удаётся, установщик может сообщить только о общем сбое. Подробная информация доступна в /Library/Logs/Microsoft/mdatp/install.log. При создании обращения в службу поддержки Microsoft приложите этот файл.
Для получения дополнительных рекомендаций по устранению неполадок см. раздел «Устранение проблем установки для Microsoft Defender для конечной точки на macOS».
Настройка из командной строки
Настройте формат вывода
Инструмент командной строки поддерживает табличный и JSON-вывод. Используйте одну из следующих глобальных опций с командой:
--output json--output table
Поддерживаемые команды
В следующей таблице приведены команды для распространённых сценариев. Чтобы просмотреть полный список команд, поддерживаемых установленной версией продукта, выполните команду mdatp help в приложении Terminal.
| Группа | Сценарий | Команда |
|---|---|---|
| Конфигурация | Включите или выключите пассивный режим | mdatp config passive-mode --value [enabled/disabled] |
| Конфигурация | Включите или выключите защиту в реальном времени | mdatp config real-time-protection --value [enabled/disabled] |
| Конфигурация | Включайте или выключайте мониторинг поведения | mdatp config behavior-monitoring --value [enabled/disabled] |
| Конфигурация | Включайте или выключайте облачную защиту | mdatp config cloud --value [enabled/disabled] |
| Конфигурация | Включите или выключите облачную диагностику | mdatp config cloud-diagnostic --value [enabled/disabled] |
| Конфигурация | Включите или отключите автоматическую отправку образца | mdatp config cloud-automatic-sample-submission --value [enabled/disabled] |
| Конфигурация | Блокируйте, проверяйте или отключайте потенциально нежелательную защиту приложений | mdatp threat policy set --type potentially_unwanted_application --action [block\|audit\|off] |
| Конфигурация | Добавить или удалить исключение антивируса для процесса | mdatp exclusion process [add\|remove] --path [path-to-process] |
| Конфигурация | Добавить или удалить исключение антивируса для файла | mdatp exclusion file [add/remove] --path [path-to-file] |
| Конфигурация | Добавить или удалить исключение антивируса для каталога | mdatp exclusion folder [add/remove] --path [path-to-directory] |
| Конфигурация | Добавить или удалить исключение антивируса для расширения файла | mdatp exclusion extension [add/remove] --name [extension] |
| Конфигурация | Список всех исключений антивирусной программы | mdatp exclusion list |
| Конфигурация | Настройка степени параллелизма для проверок по запросу | mdatp config maximum-on-demand-scan-threads --value [numerical-value-between-1-and-64] |
| Конфигурация | Включайте или выключайте сканирование после обновлений анализа безопасности | mdatp config scan-after-definition-update --value [enabled/disabled] |
| Конфигурация | Включите или выключите сканирование архивов для сканирования по запросу | mdatp config scan-archives --value [enabled/disabled] |
| Конфигурация | Включите или выключите вычисление хеша файлов | mdatp config enable-file-hash-computation --value [enabled/disabled] |
| Защита | Сканирование пути | mdatp scan custom --path [path] [--ignore-exclusions] |
| Защита | Выполнение быстрой проверки | mdatp scan quick |
| Защита | Выполнение полной проверки | mdatp scan full |
| Защита | Отмена текущей проверки по запросу | mdatp scan cancel |
| Защита | Запрос обновления аналитики безопасности | mdatp definitions update |
| Конфигурация | Добавить имя угрозы в список разрешенных | mdatp threat allowed add --name [threat-name] |
| Конфигурация | Удалить имя угрозы из списка разрешений | mdatp threat allowed remove --name [threat-name] |
| Конфигурация | Перечислите все разрешенные имена угроз | mdatp threat allowed list |
| История защиты | Распечатать полную историю защиты | mdatp threat list |
| История защиты | Получение сведений об угрозах | mdatp threat get --id [threat-id] |
| Управление карантином | Вывести список всех файлов в карантине | mdatp threat quarantine list |
| Управление карантином | Удаление всех файлов из карантина | mdatp threat quarantine remove-all |
| Управление карантином | Добавить файл, распознанный как угроза, в карантин | mdatp threat quarantine add --id [threat-id] |
| Управление карантином | Удаление файла, обнаруженного как угроза, из карантина | mdatp threat quarantine remove --id [threat-id] |
| Управление карантином | Восстановить файл из карантина. Доступно в версиях Defender for Endpoint более ранних, чем 101.23092.0012. |
mdatp threat quarantine restore --id [threat-id] --path [destination-folder] |
| Управление карантином | Восстановите файл из карантина, используя идентификатор угрозы. Доступно в Defender for Endpoint версии 101.23092.0012 или более поздней. |
mdatp threat quarantine restore threat-id --id [threat-id] --destination-path [destination-folder] |
| Управление карантином | Восстановите файл из карантина, используя его исходный путь. Доступно в Defender for Endpoint версии 101.23092.0012 или более поздней. |
mdatp threat quarantine restore threat-path --path [threat-original-path] --destination-path [destination-folder] |
| Конфигурация сетевой защиты | Настройте уровень защиты сети | mdatp config network-protection enforcement-level --value [block\|audit\|disabled] |
| Управление сетевой защитой | Убедитесь, что сетевая защита началась успешно | mdatp health --field network_protection_status |
| Управление устройствами | Посмотрите, включен ли Device Control и уровень его стандартного применения | mdatp device-control policy preferences list |
| Управление устройствами | Просмотр правил активного управления устройством | mdatp device-control policy rules list |
| Управление устройствами | Просмотр групп, на которые ссылается политика управления устройством | mdatp device-control policy groups list |
| Конфигурация | Включите или выключите предотвращение потери данных | mdatp config data_loss_prevention --value [enabled/disabled] |
| Диагностика | Изменение уровня журнала | mdatp log level set --level [error\|warning\|info\|debug] |
| Диагностика | Создание журналов диагностики | mdatp diagnostic create --path [directory] |
| Состояние | Проверка работоспособности продукта | mdatp health |
| Состояние | Проверьте конкретный атрибут продукта, например healthy, licensedили engine_version |
mdatp health --field [attribute] |
| EDR | Установите метку устройства. Поддерживается только GROUP. |
mdatp edr tag set --name GROUP --value [name] |
| EDR | Удалите групповую метку с устройства | mdatp edr tag remove --tag-name [name] |
| EDR | Добавить идентификатор группы | mdatp edr group-ids --group-id [group] |
Включить автозаполнение командной строки
Чтобы включить автозавершение в Bash, добавьте скрипт завершения Defender for Endpoint в профиль Bash, а затем перезапустите сессию Terminal:
echo "source /Applications/Microsoft\ Defender.app/Contents/Resources/Tools/mdatp_completion.bash" >> ~/.bash_profile
Чтобы включить автодополнение в оболочке Z (zsh), следуйте следующим шагам:
Проверьте, включена ли автозавершение на устройстве:
cat ~/.zshrc | grep autoloadЕсли команда не даёт результата, включите автозавершение в профиле zsh:
echo "autoload -Uz compinit && compinit" >> ~/.zshrcСоздайте каталог автодополнения и создайте ссылку на скрипт автодополнения Defender for Endpoint:
sudo mkdir -p /usr/local/share/zsh/site-functions sudo ln -svf "/Applications/Microsoft Defender.app/Contents/Resources/Tools/mdatp_completion.zsh" /usr/local/share/zsh/site-functions/_mdatp
Управление каталогом карантина клиентов
Defender for Endpoint хранит карантинные файлы в /Library/Application Support/Microsoft/Defender/quarantine/. Имена файлов используют идентификатор отслеживания угроз. Чтобы просмотреть актуальные идентификаторы отслеживания, запустите mdatp threat list. Используйте mdatp threat quarantine команды для управления карантинными файлами вместо прямого изменения файлов.
Удалить Defender для Endpoint
Перед удалением Defender for Endpoint выведите устройство из-под управления и удалите или обновите политики, которые управляют им. Сведения о необязательных тегах вывода устройств из эксплуатации, требованиях к защите от несанкционированного изменения, пакете вывода из эксплуатации и очистке политики системных расширений см. в разделе Вывод устройств Mac из эксплуатации.
Вы можете удалить приложение интерактивно или через командную строку. Если вы управляете устройствами через Jamf Pro, разверните профиль вывода из эксплуатации, прежде чем удалять приложение. Централизованное удаление в настоящее время недоступно в Microsoft Intune.
Удалите в интерактивном режиме
В Finder откройте раздел «Приложения», нажмите на Microsoft Defender в Control, а затем выберите «Переместить в мусор».
Удалить из командной строки
Выполните sudo '/Library/Application Support/Microsoft/Defender/uninstall/uninstall' в Терминале.
Отключите Jamf Pro перед удалением
Jamf Pro — это отдельный сторонний продукт, который не входит в Defender for Endpoint и не входит в подписку Defender for Endpoint. Чтобы пользоваться Jamf Pro, вашей организации нужна отдельная подписка на Jamf Pro. Для информации о продуктах и подписках см. Jamf Pro. Если ваша организация не использует Jamf Pro, используйте другой способ настройки из этой статьи, если он доступен.
Чтобы отключить устройство через Jamf Pro до удаления приложения, следуйте инструкциям Jamf и загрузите профиль конфигурации. Загрузите профиль Defender for Endpoint для вывода из эксплуатации, не изменяя его, и задайте для Preference Domain значение com.microsoft.wdav.atp.offboarding.
Примечание.
Если у вас возникли проблемы с удалением Defender for Endpoint и в отчетах есть элемент Microsoft Defender Endpoint Security Extension, выполните следующие действия:
Переустановите приложение Microsoft Defender.
Перетащите Microsoft Defender.app в Корзину.
Выполните следующую команду в терминале:
sudo '/Library/Application Support/Microsoft/Defender/uninstall/install_helper' execute --path '/Library/Application Support/Microsoft/Defender/uninstall/uninstall' --args --post-uninstall-hookПерезапустите устройство.
Использование портала Microsoft Defender
Используйте портал Microsoft Defender, чтобы проверять обнаружения и принимать меры по реагированию на устройствах. Дополнительные сведения см. в следующих источниках: