macOS 上Microsoft Defender for Endpoint的隐私
适用于：
希望体验 Microsoft Defender for Endpoint？ 注册免费试用版。
Microsoft 致力于为你提供在 macOS 上使用 Microsoft Defender for Endpoint 时选择数据收集和使用方式所需的信息和控件。
本主题介绍产品中可用的隐私控件、如何使用策略设置来管理这些控件，以及有关收集的数据事件的更多详细信息。
macOS 上Microsoft Defender for Endpoint中的隐私控件概述
本部分介绍Microsoft Defender for Endpoint在 macOS 上收集的不同类型的数据的隐私控制。
诊断数据
诊断数据用于保持Microsoft Defender for Endpoint安全和最新、检测、诊断和修复问题，以及改进产品。
某些诊断数据是必需的，而某些诊断数据是可选的。 我们允许你选择是否通过使用隐私控件（如组织的策略设置）向我们发送必需或可选的诊断数据。
Microsoft Defender for Endpoint客户端软件有两个级别的诊断数据可供选择：
必需：帮助保持Microsoft Defender for Endpoint安全、最新并在安装设备上按预期执行所需的最低数据。
可选：其他数据可帮助 Microsoft 进行产品改进，并提供增强的信息来帮助检测、诊断和修正问题。
默认情况下，仅向 Microsoft 发送所需的诊断数据。
云提供的保护数据
云提供的保护用于通过访问云中的最新保护数据来提供更高、更快的保护。
启用云提供的保护服务是可选的，但强烈建议启用该服务，因为它在终结点上和网络中提供针对恶意软件的重要保护。
示例数据
示例数据用于通过发送 Microsoft 可疑样本来改进产品的保护功能，以便对其进行分析。 启用自动示例提交是可选的。
启用此功能并且收集的示例可能包含个人信息时，系统会提示用户同意。
通过策略设置管理隐私控件
如果你是 IT 管理员，则可能需要在企业级别配置这些控件。
在 macOS 上设置Microsoft Defender for Endpoint首选项中详细介绍了上一部分所述的各类数据的隐私控制。
与任何新策略设置一样，应在受限的受控环境中仔细测试这些设置，以确保在组织中更广泛地实施策略设置之前，配置的设置具有所需的效果。
诊断数据事件
本部分介绍哪些诊断数据被视为必需诊断数据，哪些诊断数据被视为可选诊断数据，以及所收集的事件和字段的说明。
所有事件通用的数据字段
一些关于事件的信息是所有事件所共有的，这与类别或数据子类型无关。
以下字段被视为所有事件的通用字段：
| 字段 | 说明 |
|---|---|
| 平台 | 运行应用的平台的广泛分类。 允许 Microsoft 确定问题可能发生在哪些平台上，以便正确确定问题的优先级。 |
| machine_guid | 与设备关联的唯一标识符。 允许 Microsoft 确定问题是否正在影响一组选择的安装以及受影响的用户数。 |
| sense_guid | 与设备关联的唯一标识符。 允许 Microsoft 确定问题是否正在影响一组选择的安装以及受影响的用户数。 |
| org_id | 与设备所属企业关联的唯一标识符。 允许 Microsoft 确定问题是否正在影响一组选定企业以及受影响的企业数量。 |
| 主机 名 | 本地设备名称 (不带 DNS 后缀) 。 允许 Microsoft 确定问题是否正在影响一组选择的安装以及受影响的用户数。 |
| product_guid | 产品的唯一标识符。 允许 Microsoft 区分影响产品不同口味的问题。 |
| app_version | macOS 应用程序上的Microsoft Defender for Endpoint版本。 允许 Microsoft 确定显示问题的产品的哪些版本，以便正确确定问题的优先级。 |
| sig_version | 安全智能数据库的版本。 允许 Microsoft 确定哪些安全智能版本显示问题，以便正确确定问题的优先级。 |
| supported_compressions | 应用程序支持的压缩算法列表，例如 ['gzip']。 允许 Microsoft 了解在与应用程序通信时可以使用哪些类型的压缩。 |
| release_ring | 响铃设备与 (例如 Insider Fast、Insider Slow、Production) 。 允许 Microsoft 确定可能出现问题的发布，以便正确确定问题的优先级。 |
必需诊断数据
所需的诊断数据是帮助保持Microsoft Defender for Endpoint安全、最新并在安装设备上按预期执行所需的最小数据。
所需的诊断数据有助于识别可能与设备或软件配置相关的Microsoft Defender for Endpoint问题。 例如，它可以帮助确定Microsoft Defender for Endpoint功能在特定操作系统版本、新引入的功能上是否更频繁地崩溃，或者是否禁用了某些Microsoft Defender for Endpoint功能。 所需的诊断数据可帮助 Microsoft 更快地检测、诊断和修复这些问题，从而减少对用户或组织的影响。
软件安装和清单数据事件
Microsoft Defender for Endpoint安装/卸载：
将会收集以下字段：
| 字段 | 说明 |
|---|---|
| correlation_id | 与安装关联的唯一标识符。 |
| version | 包的版本。 |
| severity | 消息的严重性 (例如信息) 。 |
| code | 描述操作的代码。 |
| text | 与产品安装关联的其他信息。 |
Microsoft Defender for Endpoint配置：
将会收集以下字段：
| 字段 | 说明 |
|---|---|
| antivirus_engine.enable_real_time_protection | 是否在设备上启用实时保护。 |
| antivirus_engine.passive_mode | 是否在设备上启用被动模式。 |
| cloud_service.enabled | 是否在设备上启用了云提供的保护。 |
| cloud_service.timeout | 应用程序与Microsoft Defender for Endpoint云通信时超时。 |
| cloud_service.heartbeat_interval | 产品发送到云的连续检测信号之间的间隔。 |
| cloud_service.service_uri | 用于与云通信的 URI。 |
| cloud_service.diagnostic_level | 设备的诊断级别 (必需、可选) 。 |
| cloud_service.automatic_sample_submission | 是否打开自动示例提交。 |
| cloud_service.automatic_definition_update_enabled | 是否打开自动定义更新。 |
| edr.early_preview | 设备是否应运行 EDR 早期预览功能。 |
| edr.group_id | 检测和响应组件使用的组标识符。 |
| edr.tags | 用户定义的标记。 |
| 特征。[可选功能名称] | 预览功能的列表，以及它们是否已启用。 |
产品和服务使用情况数据事件
安全智能更新报告：
将会收集以下字段：
| 字段 | 说明 |
|---|---|
| from_version | 原始安全智能版本。 |
| to_version | 新的安全智能版本。 |
| status | 指示成功或失败的更新的状态。 |
| using_proxy | 更新是否通过代理完成。 |
| error | 更新失败时出现错误代码。 |
| reason | 更新后的字段时出现错误消息。 |
所需诊断数据的产品和服务性能数据事件
意外的应用程序退出 (崩溃) ：
收集应用程序意外退出时应用程序的系统信息和状态。
将会收集以下字段：
| 字段 | 说明 |
|---|---|
| v1_crash_count | 客户端计算机上每小时发生 V1 引擎进程崩溃的次数 |
| v2_crash_count | V2 引擎进程每小时在客户端计算机上崩溃的次数 |
| EDR_crash_count | 客户端计算机上每小时 EDR 进程崩溃的次数 |
内核扩展统计信息：
将会收集以下字段：
| 字段 | 说明 |
|---|---|
| version | macOS 上Microsoft Defender for Endpoint的版本。 |
| instance_id | 内核扩展启动时生成的唯一标识符。 |
| trace_level | 内核扩展的跟踪级别。 |
| 子系统 | 用于实时保护的基础子系统。 |
| ipc.connects | 内核扩展接收的连接请求数。 |
| ipc.rejects | 内核扩展拒绝的连接请求数。 |
| ipc.connected | 内核扩展是否有任何活动连接。 |
支持数据
诊断日志：
诊断日志仅在用户同意的情况下收集，作为反馈提交功能的一部分。 以下文件作为支持日志的一部分收集：
- /Library/Logs/Microsoft/mdatp/ 下的所有文件
- /Library/Application Support/Microsoft/Defender/ 下由 macOS 上的Microsoft Defender for Endpoint创建和使用的文件子集
- macOS 上Microsoft Defender for Endpoint使用的 /Library/Managed Preferences 下的文件子集
- /Library/Logs/Microsoft/autoupdate.log
- $HOME/Library/Preferences/com.microsoft.autoupdate2.plist
可选诊断数据
可选诊断数据 是可帮助 Microsoft 改进产品的其他数据，并提供增强的信息来帮助检测、诊断和修复问题。
如果你选择向我们发送可选诊断数据，则还需要包括必需的诊断数据。
可选诊断数据的示例包括 Microsoft 收集有关产品配置的数据 (例如设备) 上设置的排除项数，以及产品性能 (有关产品) 组件性能的聚合度量值。
可选诊断数据的软件设置和清单数据事件
Microsoft Defender for Endpoint配置：
将会收集以下字段：
| 字段 | 说明 |
|---|---|
| connection_retry_timeout | 与云通信时连接重试超时。 |
| file_hash_cache_maximum | 产品缓存的大小。 |
| crash_upload_daily_limit | 每天上传的崩溃日志限制。 |
| antivirus_engine.exclusions[].is_directory | 排除扫描是否为目录。 |
| antivirus_engine.exclusions[].path | 从扫描中排除的路径。 |
| antivirus_engine.exclusions[].extension | 从扫描中排除的扩展。 |
| antivirus_engine.exclusions[].name | 从扫描中排除的文件的名称。 |
| antivirus_engine.scan_cache_maximum | 产品缓存的大小。 |
| antivirus_engine.maximum_scan_threads | 用于扫描的最大线程数。 |
| antivirus_engine.threat_restoration_exclusion_time | 在再次检测到从隔离区还原的文件之前超时。 |
| antivirus_engine.threat_type_settings | 产品如何处理不同威胁类型的配置。 |
| filesystem_scanner.full_scan_directory | 完全扫描目录。 |
| filesystem_scanner.quick_scan_directory | 快速扫描中使用的目录列表。 |
| edr.latency_mode | 检测和响应组件使用的延迟模式。 |
| edr.proxy_address | 检测和响应组件使用的代理地址。 |
Microsoft 自动更新配置：
将会收集以下字段：
| 字段 | 说明 |
|---|---|
| how_to_check | 确定如何 (检查产品更新，例如自动或手动) 。 |
| channel_name | 更新与设备关联的通道。 |
| manifest_server | 用于下载更新的服务器。 |
| update_cache | 用于存储更新的缓存的位置。 |
产品和服务使用情况
诊断日志上传已启动报告
将会收集以下字段：
| 字段 | 说明 |
|---|---|
| sha256 | 支持日志的 SHA256 标识符。 |
| size | 支持日志的大小。 |
| original_path | 支持日志的路径始终 (/Library/Application Support/Microsoft/Defender/wdavdiag/) 下。 |
| format | 支持日志的格式。 |
| 元 | 有关支持日志内容的信息。 |
诊断日志上传已完成报告
将会收集以下字段：
| 字段 | 说明 |
|---|---|
| request_id | 支持日志上传请求的相关 ID。 |
| sha256 | 支持日志的 SHA256 标识符。 |
| blob_sas_uri | 应用程序用于上传支持日志的 URI。 |
产品和服务使用情况的产品和服务性能数据事件
意外的应用程序退出 (崩溃) ：
应用程序意外退出以及发生这种情况时的应用程序状态。
内核扩展统计信息：
将会收集以下字段：
| 字段 | 说明 |
|---|---|
| pkt_ack_timeout | 以下属性是聚合的数值，表示自内核扩展启动以来发生的事件计数。 |
| pkt_ack_conn_timeout | |
| ipc.ack_pkts | |
| ipc.nack_pkts | |
| ipc.send.ack_no_conn | |
| ipc.send.nack_no_conn | |
| ipc.send.ack_no_qsq | |
| ipc.send.nack_no_qsq | |
| ipc.ack.no_space | |
| ipc.ack.timeout | |
| ipc.ack.ackd_fast | |
| ipc.ack.ackd | |
| ipc.recv.bad_pkt_len | |
| ipc.recv.bad_reply_len | |
| ipc.recv.no_waiter | |
| ipc.recv.copy_failed | |
| ipc.kauth.vnode.mask | |
| ipc.kauth.vnode.read | |
| ipc.kauth.vnode.write | |
| ipc.kauth.vnode.exec | |
| ipc.kauth.vnode.del | |
| ipc.kauth.vnode.read_attr | |
| ipc.kauth.vnode.write_attr | |
| ipc.kauth.vnode.read_ex_attr | |
| ipc.kauth.vnode.write_ex_attr | |
| ipc.kauth.vnode.read_sec | |
| ipc.kauth.vnode.write_sec | |
| ipc.kauth.vnode.take_own | |
| ipc.kauth.vnode.link | |
| ipc.kauth.vnode.create | |
| ipc.kauth.vnode.move | |
| ipc.kauth.vnode.mount | |
| ipc.kauth.vnode.denied | |
| ipc.kauth.vnode.ackd_before_deadline | |
| ipc.kauth.vnode.missed_deadline | |
| ipc.kauth.file_op.mask | |
| ipc.kauth_file_op.open | |
| ipc.kauth.file_op.close | |
| ipc.kauth.file_op.close_modified | |
| ipc.kauth.file_op.move | |
| ipc.kauth.file_op.link | |
| ipc.kauth.file_op.exec | |
| ipc.kauth.file_op.remove | |
| ipc.kauth.file_op.unmount | |
| ipc.kauth.file_op.fork | |
| ipc.kauth.file_op.create |
资源
提示
想要了解更多信息？ Engage技术社区中的 Microsoft 安全社区：Microsoft Defender for Endpoint技术社区。