Развертывание Microsoft Defender для конечной точки в macOS с помощью Microsoft Intune

Область применения:

• Microsoft Defender для конечной точки в macOS
• Microsoft Defender для конечной точки (план 1)
• Microsoft Defender для конечной точки (план 2)
• Microsoft Defender для бизнеса

В этой статье описывается развертывание Microsoft Defender для конечной точки в macOS с помощью Microsoft Intune.

Предварительные требования и требования к системе

Прежде чем приступить к работе, ознакомьтесь с описанием необходимых компонентов и системных требований для текущей версии программного обеспечения на странице main Microsoft Defender для конечной точки на macOS.

Обзор

В следующей таблице приведены шаги, необходимые для развертывания Microsoft Defender для конечной точки на компьютерах Mac и управления ими с помощью Microsoft Intune. Более подробные инструкции см. в следующей таблице.

Шаг	Имя примера файла	Идентификатор пакета
Утверждение расширения системы	sysext.mobileconfig	Н/Д
Политика расширения сети	netfilter.mobileconfig	Н/Д
Полный доступ к диску	fulldisk.mobileconfig	com.microsoft.wdav.epsext
параметры конфигурации Microsoft Defender для конечной точки Если вы планируете запустить антивирусную программу сторонних разработчиков на Mac, задайте для trueзначение passiveMode .	MDE_MDAV_and_exclusion_settings_Preferences.xml	com.microsoft.wdav
Фоновые службы	background_services.mobileconfig	Недоступно
Настройка уведомлений Microsoft Defender для конечной точки	notif.mobileconfig	com.microsoft.wdav.tray
Параметры специальных возможностей	accessibility.mobileconfig	com.microsoft.dlp.daemon
Bluetooth	bluetooth.mobileconfig	com.microsoft.dlp.agent
Настройка автоматического обновления (Майкрософт)	com.microsoft.autoupdate2.mobileconfig	com.microsoft.autoupdate2
Управление устройствами	DeviceControl.mobileconfig	Н/Д
Защита от потери данных	DataLossPrevention.mobileconfig	Н/Д
Скачивание пакета подключения	WindowsDefenderATPOnboarding__MDATP_wdav.atp.xml	com.microsoft.wdav.atp
Развертывание Microsoft Defender для конечной точки в приложении macOS	Wdav.pkg	Недоступно

Create профили конфигурации системы

Далее необходимо создать профили конфигурации системы, которые Microsoft Defender для конечной точки. В Центре администрирования Microsoft Intune откройтепрофили конфигурацииустройств>.

Шаг 1. Утверждение расширений системы

1. В центре администрирования Intune перейдите в раздел Устройства и в разделе Управление устройствами выберите Конфигурация.

2. В разделе Профили конфигурации выберите Create Профиль.

   Этот профиль необходим для Big Sur (11) или более поздней версии. Он игнорируется в более старых версиях macOS, так как они используют расширение ядра.

3. На вкладке Политики выберите Create>Новая политика.

4. В разделе Платформа выберите macOS.

5. В поле Тип профиля выберите Шаблоны.

6. В разделе Имя шаблона выберите Расширения, а затем Create.

7. На вкладке Основные сведенияназовите профиль. Например, SysExt-prod-macOS-Default-MDE. Затем выберите Далее.

8. Нажмите кнопку Далее.

9. На вкладке Параметры конфигурации разверните узел Расширения системы и добавьте следующие записи в раздел Разрешенные системные расширения :

   Идентификатор пакета	Идентификатор команды
   com.microsoft.wdav.epsext	UBF8T346G9
   com.microsoft.wdav.netext	UBF8T346G9

   

   Нажмите кнопку Далее.

10. На вкладке Назначения назначьте профиль группе, в которой находятся устройства macOS и (или) пользователи, или выберите параметры Добавить всех пользователей и Добавить все устройства . Нажмите кнопку Далее.

11. Просмотрите профиль конфигурации. Нажмите Создать.

Шаг 2. Фильтр сети

В рамках возможностей обнаружения конечных точек и реагирования Microsoft Defender для конечной точки в macOS проверяет трафик сокета и передает эти сведения на портал Microsoft 365 Defender. Следующая политика позволяет сетевому расширению выполнять эту функцию.

Скачайте netfilter.mobileconfig из репозитория GitHub.

Чтобы настроить сетевой фильтр, выполните следующие действия:

1. В разделе Профили конфигурации выберите Create Профиль.

2. В разделе Платформа выберите macOS.

3. В поле Тип профиля выберите Шаблоны.

4. В разделе Имя шаблона выберите Пользовательский.

5. Нажмите Создать.

6. На вкладке Основные сведенияназовите профиль. Например, NetFilter-prod-macOS-Default-MDE. Затем выберите Далее.

7. На вкладке Параметры конфигурации введите имя пользовательского профиля конфигурации . Например, NetFilter-prod-macOS-Default-MDE.

8. Выберите канал развертывания и нажмите кнопку Далее.

9. Нажмите кнопку Далее.

10. На вкладке Назначения назначьте профиль группе, в которой находятся устройства macOS и (или) пользователи, или Все пользователи и все устройства.

11. Просмотрите профиль конфигурации. Нажмите Создать.

Шаг 3. Полный доступ к диску

Примечание.

Начиная с macOS Catalina (10.15) или более поздней версии, чтобы обеспечить конфиденциальность для конечных пользователей, она создала FDA (полный доступ к диску). Включение TCC (управление прозрачностью, согласием &) с помощью решения для мобильных Управление устройствами, такого как Intune, устраняет риск того, что Defender для конечной точки потеря авторизации полного доступа к диску будет работать должным образом.

Этот профиль конфигурации предоставляет полный доступ к диску Microsoft Defender для конечной точки. Если вы ранее настроили Microsoft Defender для конечной точки через Intune, рекомендуется обновить развертывание с помощью этого профиля конфигурации.

Скачайте fulldisk.mobileconfig из репозитория GitHub.

Чтобы настроить полный доступ к диску, выполните следующие действия.

1. В Центре администрирования Intune в разделе Профили конфигурации выберите Create Профиль.

2. В разделе Платформа выберите macOS.

3. В поле Тип профиля выберите Шаблоны.

4. В разделе Имя шаблона выберите Пользовательский. Затем выберите Create

5. Нажмите Создать.

6. На вкладке Основные сведенияназовите профиль. Например, Background_Services-prod-macOS-Default-MDE.

7. Нажмите кнопку Далее.

8. На вкладке Параметры конфигурации введите имя пользовательского профиля конфигурации . Например, background_services.mobileconfig.

9. Выберите канал развертывания и нажмите кнопку Далее.

10. Выберите файл профиля конфигурации.

11. На вкладке Назначения назначьте профиль группе, в которой находятся устройства macOS и (или) пользователи, или Все пользователи и все устройства.

12. Просмотрите профиль конфигурации. Нажмите Создать.

Примечание.

Полный доступ к диску, предоставленный через профиль конфигурации Apple MDM, не отражается в разделе Параметры системы => Конфиденциальность & Безопасность => Полный доступ к диску.

Шаг 4. Фоновые службы

Предостережение

MacOS 13 (Ventura) содержит новые улучшения конфиденциальности. Начиная с этой версии приложения по умолчанию не могут выполняться в фоновом режиме без явного согласия. Microsoft Defender для конечной точки должна выполняться управляющая программа в фоновом режиме. Этот профиль конфигурации предоставляет разрешения фоновой службы для Microsoft Defender для конечной точки. Если вы ранее настроили Microsoft Defender для конечной точки через Microsoft Intune, рекомендуется обновить развертывание с помощью этого профиля конфигурации.

Скачайте background_services.mobileconfig из репозитория GitHub.

Чтобы настроить фоновые службы, выполните следующие действия.

1. В разделе Профили конфигурации выберите Create Профиль.

2. В разделе Платформа выберите macOS.

3. В поле Тип профиля выберите Шаблоны.

4. В разделе Имя шаблона выберите Пользовательский, а затем Create.

5. На вкладке Основные сведенияназовите профиль. Например, BackgroundServices-prod-macOS-Default-MDE.

6. Нажмите кнопку Далее.

7. На вкладке Параметры конфигурации введите имя пользовательского профиля конфигурации . Например, background_services.mobileconfig.

8. Выберите канал развертывания.

9. Нажмите кнопку Далее.

10. Выберите файл профиля конфигурации.

11. На вкладке Назначения назначьте профиль группе, в которой находятся устройства macOS и (или) пользователи, или Все пользователи и все устройства.

12. Просмотрите профиль конфигурации. Нажмите Создать.

Шаг 5. Уведомления

Этот профиль используется для Microsoft Defender для конечной точки в macOS и автоматического обновления Майкрософт для отображения уведомлений в пользовательском интерфейсе.

Скачайте notif.mobileconfig из репозитория GitHub.

Чтобы отключить уведомления для конечных пользователей, можно изменить параметр Show NotificationCenter с true на falseв notif.mobileconfig.

Чтобы настроить уведомления, выполните следующие действия.

1. В разделе Профили конфигурации выберите Create Профиль.

2. В разделе Платформа выберите macOS.

3. В поле Тип профиля выберите Шаблоны.

4. В разделе Имя шаблона выберите Пользовательский.

5. Нажмите Создать.

6. На вкладке Основные сведенияназовите профиль. Например, BackgroundServices-prod-macOS-Default-MDE.

7. Нажмите кнопку Далее.

8. На вкладке Параметры конфигурации введите имя пользовательского профиля конфигурации . Например, Notif.mobileconfig.

9. Выберите канал развертывания и нажмите кнопку Далее.

10. Выберите файл профиля конфигурации.

11. На вкладке Назначения назначьте профиль группе, в которой находятся устройства macOS и (или) пользователи, или Все пользователи и все устройства.

12. Просмотрите профиль конфигурации. Нажмите Создать.

Шаг 6. Параметры специальных возможностей

Этот профиль используется для предоставления Microsoft Defender для конечной точки в macOS доступа к параметрам специальных возможностей в Apple macOS High Sierra (10.13.6) и более поздней версии.

Скачайте accessibility.mobileconfig из репозитория GitHub.

1. В разделе Профили конфигурации выберите Create Профиль.

2. В разделе Платформа выберите macOS.

3. В поле Тип профиля выберите Шаблоны.

4. В разделе Имя шаблона выберите Пользовательский.

5. Нажмите Создать.

6. На вкладке Основные сведенияназовите профиль. Например, Accessibility-prod-macOS-Default-MDE.

7. Нажмите кнопку Далее.

8. На вкладке Параметры конфигурации введите имя пользовательского профиля конфигурации . Например, Accessibility.mobileconfig.

9. Выберите канал развертывания.

10. Нажмите кнопку Далее.

11. Выберите файл профиля конфигурации.

12. На вкладке Назначения назначьте профиль группе, в которой находятся устройства macOS и (или) пользователи, или Все пользователи и все устройства.

13. Просмотрите профиль конфигурации. Нажмите Создать.

Шаг 7. Разрешения Bluetooth

Предостережение

macOS 14 (Sonoma) содержит новые улучшения конфиденциальности. Начиная с этой версии, по умолчанию приложения не могут получить доступ к Bluetooth без явного согласия. Microsoft Defender для конечной точки использует его при настройке политик Bluetooth для управления устройствами.

Скачайте bluetooth.mobileconfig из репозитория GitHub и используйте тот же рабочий процесс, что и для параметров специальных возможностей выше, чтобы включить доступ по Bluetooth.

Примечание.

Bluetooth, предоставленный через профиль конфигурации Apple MDM, не отображается в разделе Параметры системы => Конфиденциальность & Безопасность => Bluetooth.

Шаг 8. Автоматическое обновления (Майкрософт)

Этот профиль используется для обновления Microsoft Defender для конечной точки в macOS с помощью автоматического обновления Майкрософт (MAU). Если вы развертываете Microsoft Defender для конечной точки в macOS, вы можете получить обновленную версию приложения (обновление платформы), которые находятся в разных каналах, упомянутых здесь:

• Бета-версия (insiders-Fast)
• Текущий канал (предварительная версия, insiders-Slow)
• Текущий канал (рабочая среда)

Дополнительные сведения см. в статье Развертывание обновлений для Microsoft Defender для конечной точки в macOS.

Скачайте AutoUpdate2.mobileconfig из репозитория GitHub.

Примечание.

Пример AutoUpdate2.mobileconfig из репозитория GitHub имеет значение Current Channel (Production).

1. В разделе Профили конфигурации выберите Create Профиль.

2. В разделе Платформа выберите macOS.

3. В поле Тип профиля выберите Шаблоны.

4. В разделе Имя шаблона выберите Пользовательский.

5. Нажмите Создать.

6. На вкладке Основные сведенияназовите профиль. Например, MDATP onboarding for MacOSи нажмите кнопку Далее.

7. На вкладке Параметры конфигурации введите имя пользовательского профиля конфигурации . Например, com.microsoft.autoupdate2.mobileconfig.

8. Выберите канал развертывания.

9. Нажмите кнопку Далее.

10. Выберите файл профиля конфигурации.

11. На вкладке Назначения назначьте профиль группе, в которой находятся устройства macOS и (или) пользователи, или Все пользователи и все устройства.

12. Просмотрите профиль конфигурации. Нажмите Создать.

Шаг 9. Microsoft Defender для конечной точки параметров конфигурации

На этом шаге мы рассмотрим параметры, которые позволяют настроить политики защиты от вредоносных программ и EDR с помощью портала Microsoft Defender и Microsoft Intune.

Настройка политик с помощью портала Microsoft Defender

Прежде чем задавать политики безопасности с помощью Microsoft Defender, перейдите к разделу Настройка Microsoft Defender для конечной точки в Intune.

На портале Microsoft Defender:

1. Перейдите в раздел Настройка управления политиками>>безопасности конечных точекПолитики> Mac Create новая политика.

2. В разделе Выбор платформы выберите macOS.

3. В разделе Выбор шаблона выберите шаблон и выберите Create Политика.

4. Введите имя и описание политики.

5. Нажмите кнопку Далее.

6. На вкладке Назначения назначьте профиль группе, в которой находятся устройства macOS и (или) пользователи, или Все пользователи и все устройства.

Дополнительные сведения об управлении параметрами безопасности см. в разделе:

• Управление Microsoft Defender для конечной точки на устройствах с Microsoft Intune
• Управление параметрами безопасности для Windows, macOS и Linux в собственном коде в Defender для конечной точки

Настройка политик с помощью Microsoft Intune

Вы можете управлять параметрами безопасности для Microsoft Defender для конечной точки в macOS в разделе Параметры в Microsoft Intune.

Дополнительные сведения см. в разделе Настройка параметров для Microsoft Defender для конечной точки на Mac.

Шаг 10. Защита сети для Microsoft Defender для конечной точки в macOS

На портале Microsoft Defender:

1. Перейдите в раздел Настройка управления политиками>>безопасности конечных точекПолитики> Mac Create новая политика.

2. В разделе Выбор платформы выберите macOS.

3. В разделе Выбор шаблона выберите Microsoft Defender Антивирусная программа и политика Create.

   

4. На вкладке Основные сведения введите имя и описание политики. Нажмите кнопку Далее.

   

5. На вкладке Параметры конфигурации в разделе Защита сети выберите уровень принудительного применения. Нажмите кнопку Далее.

   

6. На вкладке Назначения назначьте профиль группе, в которой находятся устройства macOS и (или) пользователи, или Все пользователи и все устройства.

   

7. Просмотрите политику в разделе Просмотр и Create и нажмите кнопку Сохранить.

Совет

Вы также можете настроить защиту сети, добавив сведения из раздела Защита сети, чтобы предотвратить подключения macOS к неверным сайтам в mobileconig из шага 8.

Шаг 11. Управление устройствами для Microsoft Defender для конечной точки в macOS

Чтобы настроить управление устройствами для Microsoft Defender для конечной точки в macOS, выполните следующие действия:

• Управление устройствами для macOS
• Развертывание управления устройствами и управление ими с помощью Intune

Шаг 12. Защита от потери данных (DLP) для конечной точки

Чтобы настроить защиту от потери данных (DLP) Purview для конечной точки в macOS, выполните действия, описанные в разделе Подключение и отключение устройств macOS в решениях соответствия требованиям с помощью Microsoft Intune.

Шаг 13. Проверка состояния PList(.mobileconfig)

После завершения настройки профиля вы сможете просмотреть состояние политик.

Просмотр состояния

После того как изменения Intune будут распространены на зарегистрированные устройства, вы увидите их в разделе Мониторинг>состояния устройства:

Настройка клиентского устройства

Для устройства Mac достаточно стандартной установки Корпоративный портал.

1. Подтвердите управление устройствами.

   

   Выберите Открыть системные параметры, найдите Профиль управления в списке и выберите Утвердить.... Ваш профиль управления будет отображаться как Проверенный:

   

2. Нажмите кнопку Продолжить и завершите регистрацию.

   Теперь вы можете зарегистрировать больше устройств. Вы также можете зарегистрировать их позже, после завершения настройки системы подготовки и пакетов приложений.

3. В Intune откройте Управление устройствами>>все устройства. Здесь вы можете увидеть ваше устройство среди перечисленных:

   

Проверка состояния клиентского устройства

1. После развертывания профилей конфигурации на устройствах откройтепрофилисистемных параметров> на устройстве Mac.

   

   

2. Убедитесь, что следующие профили конфигурации присутствуют и установлены. Профиль управления должен быть Intune системным профилем. Wdav-config и wdav-kext — это профили конфигурации системы, которые были добавлены в Intune:

   

3. Вы также увидите значок Microsoft Defender для конечной точки в правом верхнем углу.

   

Шаг 14. Публикация приложения

Этот шаг позволяет развернуть Microsoft Defender для конечной точки на зарегистрированных компьютерах.

1. В Центре администрирования Microsoft Intune откройте Приложения.

   

2. Выберите По платформе>macOS>Добавить.

3. В разделе Тип приложения выберите macOS. Выберите Выбрать.

   

4. В разделе Сведения о приложении оставьте значения по умолчанию и нажмите кнопку Далее.

   

5. На вкладке Назначения нажмите Далее.

   

6. Проверка и Create. Вы можете перейти на страницу Приложения>по платформе>macOS , чтобы просмотреть его в списке всех приложений.

   

Дополнительные сведения см. в статье Добавление Microsoft Defender для конечной точки на устройства macOS с помощью Microsoft Intune.

Важно!

Для успешной настройки системы необходимо создать и развернуть профили конфигурации в указанном выше порядке (шаг 1–13).

Шаг 15. Скачивание пакета подключения

Чтобы скачать пакеты подключения с портала Microsoft 365 Defender, выполните следующие действия:

1. На портале Microsoft 365 Defender перейдите в раздел Параметры Конечные>>точкиПодключениеуправления устройствами>.

2. Задайте для операционной системы значение macOS, а метод развертывания — Mobile Управление устройствами или Microsoft Intune.

   

3. Выберите Скачать пакет подключения. Сохраните его как WindowsDefenderATPOnboardingPackage.zip в том же каталоге.

4. Извлеките содержимое файла .zip:

unzip WindowsDefenderATPOnboardingPackage.zip

Archive:  WindowsDefenderATPOnboardingPackage.zip
warning:  WindowsDefenderATPOnboardingPackage.zip appears to use backslashes as path separators
  inflating: intune/kext.xml
  inflating: intune/WindowsDefenderATPOnboarding.xml
  inflating: jamf/WindowsDefenderATPOnboarding.plist

Шаг 16. Развертывание пакета подключения

Этот профиль содержит сведения о лицензии для Microsoft Defender для конечной точки.

Чтобы развернуть пакет подключения, выполните следующие действия:

1. В разделе Профили конфигурации выберите Create Профиль.

2. В разделе Платформа выберите macOS.

3. В поле Тип профиля выберите Шаблоны.

4. В разделе Имя шаблона выберите Пользовательский.

5. Нажмите Создать.

   

6. На вкладке Основные сведенияназовите профиль. Например, Autoupdate-prod-macOS-Default-MDE. Нажмите кнопку Далее.

   

7. На вкладке Параметры конфигурации введите имя пользовательского профиля конфигурации . Например, Autoupdate.mobileconfig.

8. Выберите канал развертывания.

9. Нажмите кнопку Далее.

10. Выберите файл профиля конфигурации.

    

11. На вкладке Назначения назначьте профиль группе, в которой находятся устройства macOS и (или) пользователи, или Все пользователи и все устройства.

    

12. Просмотрите профиль конфигурации. Нажмите Создать.

13. Откройтепрофили конфигурацииустройств>, чтобы просмотреть созданный профиль.

Шаг 17. Проверка обнаружения вредоносных программ

Ознакомьтесь со следующей статьей, чтобы проверить проверку обнаружения вредоносных программ: Антивирусная проверка для проверки подключений устройств и служб отчетов

Шаг 18. Проверка обнаружения EDR

Ознакомьтесь со следующей статьей, чтобы проверить проверку обнаружения EDR: Проверка обнаружения EDR для проверки подключения устройств и служб отчетов

Устранение неполадок

Проблема: лицензия не найдена.

Решение. Выполните действия, описанные в этой статье, чтобы создать профиль устройства с помощью WindowsDefenderATPOnboarding.xml.

Ведение журнала проблем с установкой

Сведения о том, как найти автоматически созданный журнал, созданный установщиком, при возникновении ошибки см. в разделе Проблемы с установкой журналов в журнале.

Сведения о процедурах устранения неполадок см. в следующих разделах:

• Устранение неполадок с расширением системы в Microsoft Defender для конечной точки в macOS
• Устранение неполадок с установкой Microsoft Defender для конечной точки в macOS
• Устранение проблем с лицензиями для Microsoft Defender для конечной точки в macOS
• Устранение проблем с подключением к облаку для Microsoft Defender для конечной точки в macOS
• Устранение проблем с производительностью Microsoft Defender для конечной точки в macOS

Удаления

Дополнительные сведения об удалении Microsoft Defender для конечной точки в macOS с клиентских устройств см. в разделе Удаление.

Рекомендуемое содержимое

Добавление Microsoft Defender для конечной точки на устройства macOS с помощью Microsoft Intune

Сведения о добавлении Microsoft Defender для конечной точки на устройства macOS с помощью Microsoft Intune.

Примеры политик управления устройствами для Intune
Узнайте, как использовать политики управления устройствами, используя примеры, которые можно использовать с Intune.

Настройка защитника Майкрософт для конечной точки на функциях iOS
Описывает развертывание Microsoft Defender для конечной точки в функциях iOS.

Развертывание Microsoft Defender для конечной точки в iOS с помощью Microsoft Intune
Описывает развертывание Microsoft Defender для конечной точки в iOS с помощью приложения.

Настройка Microsoft Defender для конечной точки в Microsoft Intune
Описывает подключение к Defender для конечной точки, подключение устройств, назначение соответствия уровням риска и политики условного доступа.

Устранение неполадок и ответы на вопросы, связанные с Microsoft Defender для конечной точки в iOS
Устранение неполадок и часто задаваемые вопросы — Microsoft Defender для конечной точки в iOS.

Настройка функций Microsoft Defender для конечной точки на Android
Описывает настройку Microsoft Defender для конечной точки в Android.

Управление Microsoft Defender для конечной точки на устройствах Android в Intune — Azure
Настройка защиты от веб-угроз в Microsoft Defender для конечной точки на устройствах Android, управляемых Microsoft Intune.

Совет

Хотите узнать больше? Engage с сообществом Microsoft Security в нашем техническом сообществе: Microsoft Defender для конечной точки Техническое сообщество.