Развертывание обновлений для Microsoft Defender для конечной точки в macOS

Microsoft Defender для конечной точки на macOS получает обновления программного обеспечения через автоматическое обновление (Майкрософт) (MAU). Администраторы безопасности могут использовать конфигурационные профили MAU для управления автоматическими обновлениями и обновлением каналов, либо использовать msupdate командную строку для запуска обновлений по требованию.

По умолчанию MAU регулярно проверяет обновления и автоматически их загружает и устанавливает. Разверните управляемые параметры для управления поведением обновлений на устройствах macOS в вашей организации.

Предупреждение

Срок действия каждой версии Defender для конечной точки в macOS истекает автоматически через шесть месяцев. Хотя версии с истекшим сроком поддержки продолжают получать обновления аналитики безопасности, мы рекомендуем вам установить последнюю версию, чтобы получить все доступные улучшения и усовершенствования. Чтобы проверить, когда истекает срок действия установленной версии продукта, используйте поле product_expiration состояния:

mdatp health --field product_expiration

Используйте msupdate

MAU включает msupdate инструмент командной строки, который даёт ИТ-администраторам более точный контроль над началом обновлений. Полный синтаксис команд и требования смотрите раздел «Обновить приложения Microsoft для Mac с помощью msupdate».

Идентификатор приложения MAU для Defender for Endpoint — WDAV00. Выполните следующие команды в Terminal, чтобы скачать и установить последнее доступное обновление Defender for Endpoint:

cd /Library/Application\ Support/Microsoft/MAU2.0/Microsoft\ AutoUpdate.app/Contents/MacOS
./msupdate --install --apps wdav00

Настройка параметров автоматического обновления (Майкрософт)

Разверните параметры MAU в конфигурационном профиле на уровне устройства с помощью решения для управления мобильными устройствами (MDM). Следующие настройки регулируют канал обновления и опции обновления, доступные локальным пользователям.

Установка имени канала

Полное определение предпочтений см. ChannelName.

Канал определяет тип и частоту обновлений, предлагаемых через MAU. Устройства, назначенные в Beta, получают новые функции Defender for Endpoint раньше, чем устройства, назначенные в Preview и Current.

Current Канал содержит самую стабильную версию продукта и является стандартным. Если ChannelName отсутствует или неверно, MAU использует Current.

Важно!

До версии автоматическое обновление (Майкрософт) 4.29 (ноябрь 2020) каналы использовали другие названия:

• Beta был назван InsiderFast.
• Preview был назван External.
• Current был назван Production.

Совет

Назначьте небольшой набор тестовых устройств в Beta или Preview, чтобы оценить новые функции и предоставить раннюю обратную связь перед более широким развертыванием.

• Домен:com.microsoft.autoupdate2
• Ключ: ChannelName
• Тип данных: строка.
• Поддерживаемые значения Defender for Endpoint:
  • Beta: Получает новейшие возможности, находящиеся в разработке. Используйте этот канал только для тестирования и сообщения о проблемах.
  • Preview: Получает предварительный просмотр официальных релизов.
  • Current: Получает официальные релизы и является каналом по умолчанию.

Предупреждение

Глобальная ChannelName настройка меняет канал для всех приложений, обновлённых через MAU. Чтобы изменить только канал Defender для Endpoint, замените [channel-name] на Beta, Previewили Current, и затем выполните следующую команду:

defaults write com.microsoft.autoupdate2 Applications -dict-add "/Applications/Microsoft Defender.app" " { 'Application ID' = 'WDAV00' ; 'App Domain' = 'com.microsoft.wdav' ; ChannelName = '[channel-name]' ; }"

Администраторы также могут развернуть параметры для каждого приложения, используя специфичный для Defender профиль конфигурации в примерах конфигураций Deploy.

Управление ручной проверкой обновлений

Полное определение предпочтений см. EnableCheckForUpdatesButton.

Предпочтения определяют, EnableCheckForUpdatesButton могут ли локальные пользователи начать проверку обновления или выбрать «Обновить всё » в пользовательском интерфейсе MAU.

• Домен:com.microsoft.autoupdate2
• Ключ: EnableCheckForUpdatesButton
• Тип данных: логический
• Возможные значения:
  • true (по умолчанию): Включает ручное обновление.
  • false: Отключает ручное управление обновлением.

Управление выбором канала обновления

Полное определение предпочтений см. DisableInsiderCheckbox.

Историческое DisableInsiderCheckbox предпочтение определяет, могут ли локальные пользователи выбрать Beta канал или Preview в пользовательском интерфейсе MAU.

• Домен:com.microsoft.autoupdate2
• Ключ: DisableInsiderCheckbox
• Тип данных: логический
• Возможные значения:
  • false (по умолчанию): Позволяет пользователям выбрать канал обновления.
  • true: Отключает выбор канала обновления.

Развертывание примеров профилей конфигурации

Используйте один из следующих примеров профилей, основанных на вашем MDM-решении и на том, хотите ли вы настроить глобальный MAU-канал или канал, специфичный для Defender. Глобальные примеры:

• Назначьте устройство на канал Current .
• Автоматически скачивайте и устанавливайте обновления.
• Включите ручное управление обновлением в пользовательском интерфейсе MAU.
• Позвольте пользователям выбрать канал обновления.

Предупреждение

Изучите и адаптируйте эти примерные настройки перед развертыванием профиля в продакшене.

Jamf Pro.

Jamf Pro — это отдельный сторонний продукт, который не входит в Defender for Endpoint и не входит в подписку Defender for Endpoint. Чтобы пользоваться Jamf Pro, вашей организации нужна отдельная подписка на Jamf Pro. Для информации о продуктах и подписках см. Jamf Pro. Если ваша организация не использует Jamf Pro, используйте другой способ настройки из этой статьи, если он доступен.

Для Jamf Pro используйте следующий список свойств для настройки глобальных настроек MAU в домене com.microsoft.autoupdate2 предпочтений:

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
    <key>ChannelName</key>
    <string>Current</string>
    <key>HowToCheck</key>
    <string>AutomaticDownload</string>
    <key>EnableCheckForUpdatesButton</key>
    <true/>
    <key>DisableInsiderCheckbox</key>
    <false/>
</dict>
</plist>

Intune

Microsoft Intune — это рекомендуемое средство для настройки и развертывания функций Microsoft Defender для конечной точки на устройствах. Однако Intune — это отдельный продукт, который не является частью Defender for Endpoint и включён не во все подписки. Чтобы использовать Intune, вам нужна подписка, в которую входит Intune, или вы можете приобрести Intune отдельно как отдельную подписку или дополнение. Если у вас нет Intune, можно использовать любой из других методов в этой статье. Дополнительные сведения см. в разделе Лицензирование Microsoft Intune.

Для Intune используйте следующий полный профиль конфигурации для настройки глобальных настроек MAU:

<?xml version="1.0" encoding="utf-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1">
    <dict>
        <key>PayloadUUID</key>
        <string>B762FF60-6ACB-4A72-9E72-459D00C936F3</string>
        <key>PayloadType</key>
        <string>Configuration</string>
        <key>PayloadOrganization</key>
        <string>Microsoft</string>
        <key>PayloadIdentifier</key>
        <string>com.microsoft.autoupdate2</string>
        <key>PayloadDisplayName</key>
        <string>Microsoft AutoUpdate settings</string>
        <key>PayloadDescription</key>
        <string>Microsoft AutoUpdate configuration settings</string>
        <key>PayloadVersion</key>
        <integer>1</integer>
        <key>PayloadEnabled</key>
        <true/>
        <key>PayloadRemovalDisallowed</key>
        <true/>
        <key>PayloadScope</key>
        <string>System</string>
        <key>PayloadContent</key>
        <array>
            <dict>
            <key>PayloadUUID</key>
            <string>5A6F350A-CC2C-440B-A074-68E3F34EBAE9</string>
            <key>PayloadType</key>
            <string>com.microsoft.autoupdate2</string>
            <key>PayloadOrganization</key>
            <string>Microsoft</string>
            <key>PayloadIdentifier</key>
            <string>com.microsoft.autoupdate2</string>
            <key>PayloadDisplayName</key>
            <string>Microsoft AutoUpdate configuration settings</string>
            <key>PayloadDescription</key>
            <string/>
            <key>PayloadVersion</key>
            <integer>1</integer>
            <key>PayloadEnabled</key>
            <true/>
            <key>ChannelName</key>
            <string>Current</string>
            <key>HowToCheck</key>
            <string>AutomaticDownload</string>
            <key>EnableCheckForUpdatesButton</key>
            <true/>
            <key>DisableInsiderCheckbox</key>
            <false/>
            </dict>
        </array>
    </dict>
</plist>

Настройте канал, ориентированный на Defender, с помощью Intune

Чтобы оставить другие приложения Microsoft в их текущих каналах и назначить Defender for Endpoint на Current, используйте следующий профиль вместо предыдущего глобального профиля. Для настройки глобального канала и специфичного для Defender оверрайда объедините оба параметра в одном управляемом профиле.

<?xml version="1.0" encoding="utf-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1">
    <dict>
        <key>PayloadUUID</key>
        <string>B762FF60-6ACB-4A72-9E72-459D00C936F3</string>
        <key>PayloadType</key>
        <string>Configuration</string>
        <key>PayloadOrganization</key>
        <string>Microsoft</string>
        <key>PayloadIdentifier</key>
        <string>com.microsoft.autoupdate2</string>
        <key>PayloadDisplayName</key>
        <string>Microsoft AutoUpdate settings</string>
        <key>PayloadDescription</key>
        <string>Microsoft AutoUpdate configuration settings</string>
        <key>PayloadVersion</key>
        <integer>1</integer>
        <key>PayloadEnabled</key>
        <true/>
        <key>PayloadRemovalDisallowed</key>
        <true/>
        <key>PayloadScope</key>
        <string>System</string>
        <key>PayloadContent</key>
        <array>
            <dict>
            <key>PayloadUUID</key>
            <string>5A6F350A-CC2C-440B-A074-68E3F34EBAE9</string>
            <key>PayloadType</key>
            <string>com.microsoft.autoupdate2</string>
            <key>PayloadOrganization</key>
            <string>Microsoft</string>
            <key>PayloadIdentifier</key>
            <string>com.microsoft.autoupdate2</string>
            <key>PayloadDisplayName</key>
            <string>Microsoft AutoUpdate configuration settings</string>
            <key>PayloadDescription</key>
            <string/>
            <key>PayloadVersion</key>
            <integer>1</integer>
            <key>PayloadEnabled</key>
            <true/>
            <key>Applications</key>
            <dict>
                <key>/Applications/Microsoft Defender.app</key>
                <dict>
                    <key>App Domain</key>
                    <string>com.microsoft.wdav</string>
                    <key>Application ID</key>
                    <string>WDAV00</string>
                    <key>ChannelName</key>
                    <string>Current</string>
                </dict>
            </dict>
            </dict>
        </array>
    </dict>
</plist>

Разверните соответствующий профиль, используя поддерживаемую процедуру для вашего метода управления:

• Jamf Pro: следуйте инструкциям для развертывания пользовательского профиля конфигурации компьютера. Загрузите список свойств Jamf Pro и установите домен предпочтений на com.microsoft.autoupdate2.
• Microsoft Intune: Выполните инструкции из шага 8: автоматическое обновление (Майкрософт), чтобы развернуть выбранный профиль полной конфигурации как пользовательский профиль канала устройства.

Чтобы назначить другой канал для Defender for Endpoint, добавьте ChannelName ключ под записью Defender в Applications словаре. Поддерживаемые значения Defender для Endpoint — Beta, Preview, и Current.

Для полной информации о предпочтениях смотрите в разделе Настройки автоматическое обновление (Майкрософт).

Следующий шаг

• Обновляйте приложения Microsoft для Mac с помощью msupdate