适用于 macOS 上 Microsoft Defender for Endpoint 的资源

使用mdatp命令行工具配置 Microsoft Defender for Endpoint，运行扫描，管理检测到的威胁，并检查 macOS 设备上的产品健康状况。 你还可以收集诊断信息，启用命令自动补全，管理隔离文件，并卸载 Defender for Endpoint。

有关产品需求和部署方法，请参见 macOS 上的 Microsoft Defender for Endpoint 和macOS 上的 Microsoft Defender for Endpoint 的前提条件。

收集诊断信息

如果可以重现问题，请提高日志记录级别，运行系统一段时间，然后将日志记录级别还原到默认值。

1. 将日志级别设置为 debug：

   mdatp log level set --level debug
   

   Log level configured successfully
   

2. 重现问题。

3. 创建一个包含 Defender for Endpoint 诊断日志的 .zip 存档文件。 命令成功后显示归档路径：

   提示

   默认情况下，诊断日志保存到 /Library/Application Support/Microsoft/Defender/wdavdiag/。 要使用另一个目录，请在命令中添加 --path [directory]，并将 [directory] 替换为目标目录。

   sudo mdatp diagnostic create
   

   Diagnostic file created: "/Library/Application Support/Microsoft/Defender/wdavdiag/932e68a8-8f2e-4ad0-a7f2-65eb97c0de01.zip"
   

4. 将日志级别恢复到默认值： info

   mdatp log level set --level info
   

   Log level configured successfully
   

查看安装日志

如果安装失败，安装人员可能只报告一般故障。 详细信息见 /Library/Logs/Microsoft/mdatp/install.log。 在你开启 Microsoft 支持案件时，请附上这个文件。

更多故障排除指南，请参见 macOS 上 Microsoft Defender for Endpoint 安装问题的故障排除。

从命令行进行配置

配置输出格式

命令行工具支持表格输出和 JSON 输出。 使用命令时，请使用以下全局选项之一：

• --output json
• --output table

支持的命令

下表列出了常见场景下的命令。 要查看您已安装产品版本支持的完整命令列表，请在终端中运行 mdatp help 。

组	场景	命令
配置	开启或关闭被动模式	mdatp config passive-mode --value [enabled/disabled]
配置	开启或关闭实时保护	mdatp config real-time-protection --value [enabled/disabled]
配置	开启或关闭行为监测	mdatp config behavior-monitoring --value [enabled/disabled]
配置	开启或关闭云保护	mdatp config cloud --value [enabled/disabled]
配置	开启或关闭云诊断	mdatp config cloud-diagnostic --value [enabled/disabled]
配置	开启或关闭自动样本提交	mdatp config cloud-automatic-sample-submission --value [enabled/disabled]
配置	屏蔽、审计或关闭潜在的不需要的应用保护	mdatp threat policy set --type potentially_unwanted_application --action [block\|audit\|off]
配置	添加或移除某个进程的杀毒排除	mdatp exclusion process [add\|remove] --path [path-to-process] mdatp exclusion process [add\|remove] --name [process-name]
配置	添加或删除文件的防病毒排除项	mdatp exclusion file [add/remove] --path [path-to-file]
配置	为目录添加或删除防病毒排除项	mdatp exclusion folder [add/remove] --path [path-to-directory]
配置	添加或删除文件扩展名的防病毒排除项	mdatp exclusion extension [add/remove] --name [extension]
配置	列出所有防病毒排除项	mdatp exclusion list
配置	配置按需扫描的并行度	mdatp config maximum-on-demand-scan-threads --value [numerical-value-between-1-and-64]
配置	安全情报更新后，开启或关闭扫描	mdatp config scan-after-definition-update --value [enabled/disabled]
配置	按需扫描时，请开启或关闭档案扫描	mdatp config scan-archives --value [enabled/disabled]
配置	开启或关闭文件哈希计算	mdatp config enable-file-hash-computation --value [enabled/disabled]
保护	扫描路径	mdatp scan custom --path [path] [--ignore-exclusions]
保护	运行快速扫描	mdatp scan quick
保护	执行全面扫描	mdatp scan full
保护	取消正在进行的按需扫描	mdatp scan cancel
保护	请求安全智能更新	mdatp definitions update
配置	向允许列表添加威胁名称	mdatp threat allowed add --name [threat-name]
配置	从允许列表中删除威胁名称	mdatp threat allowed remove --name [threat-name]
配置	列出所有允许的威胁名称	mdatp threat allowed list
防护历史记录	打印完整的保护历史记录	mdatp threat list
防护历史记录	获取威胁详细信息	mdatp threat get --id [threat-id]
隔离管理	列出所有隔离的文件	mdatp threat quarantine list
隔离管理	从隔离区中删除所有文件	mdatp threat quarantine remove-all
隔离管理	将检测为威胁的文件添加到隔离区	mdatp threat quarantine add --id [threat-id]
隔离管理	从隔离区中删除检测到威胁的文件	mdatp threat quarantine remove --id [threat-id]
隔离管理	从隔离区恢复文件。 在早于 101.23092.0012 的 Defender for Endpoint 版本中可用。	mdatp threat quarantine restore --id [threat-id] --path [destination-folder]
隔离管理	使用威胁 ID 从隔离区恢复文件。 在 Defender for Endpoint 版本 101.23092.0012 或更高版本中可用。	mdatp threat quarantine restore threat-id --id [threat-id] --destination-path [destination-folder]
隔离管理	使用其原始路径从隔离区恢复文件。 在 Defender for Endpoint 版本 101.23092.0012 或更高版本中可用。	mdatp threat quarantine restore threat-path --path [threat-original-path] --destination-path [destination-folder]
网络保护配置	配置网络保护执行级别	mdatp config network-protection enforcement-level --value [block\|audit\|disabled]
网络保护管理	确认网络保护是否成功启动	mdatp health --field network_protection_status
设备控制管理	查看设备控制是否被启用及其默认强制级别	mdatp device-control policy preferences list
设备控制管理	查看主动设备控制规则	mdatp device-control policy rules list
设备控制管理	查看设备控制策略引用的组	mdatp device-control policy groups list
配置	开启或关闭数据丢失防护	mdatp config data_loss_prevention --value [enabled/disabled]
诊断	更改日志级别	mdatp log level set --level [error\|warning\|info\|debug]
诊断	生成诊断日志	mdatp diagnostic create --path [directory]
运行状况	检查产品运行状况	mdatp health
运行状况	检查特定的产品属性，例如 healthy、 licensed或 engine_version	mdatp health --field [attribute]
EDR	设置设备标签。 仅支持 GROUP。	mdatp edr tag set --name GROUP --value [name]
EDR	移除设备上的组标签	mdatp edr tag remove --tag-name [name]
EDR	添加组ID	mdatp edr group-ids --group-id [group]

启用命令行自动补全

要在 Bash 中启用自动补全，请将 Defender for Endpoint 的完成脚本添加到你的 Bash 配置文件中，然后重启终端会话：

echo "source /Applications/Microsoft\ Defender.app/Contents/Resources/Tools/mdatp_completion.bash" >> ~/.bash_profile

要在 Z shell（zsh）中启用自动补全，请按照以下步骤操作：

1. 检查设备上是否启用了自动完成：

   cat ~/.zshrc | grep autoload
   

2. 如果命令没有输出，请在你的 zsh 配置文件中启用自动补全：

   echo "autoload -Uz compinit && compinit" >> ~/.zshrc
   

3. 创建完成目录并链接 Defender for Endpoint 完成脚本：

   sudo mkdir -p /usr/local/share/zsh/site-functions
   
   sudo ln -svf "/Applications/Microsoft Defender.app/Contents/Resources/Tools/mdatp_completion.zsh" /usr/local/share/zsh/site-functions/_mdatp
   

管理客户端隔离目录

Defender for Endpoint 将隔离文件存储在 /Library/Application Support/Microsoft/Defender/quarantine/. 文件名使用威胁追踪ID。 要查看当前的追踪ID，请运行 mdatp threat list。 用 mdatp threat quarantine 命令管理隔离文件，而不是直接修改文件。

卸载 Defender for Endpoint

在卸载Defender for Endpoint之前，先将设备卸载，并移除或更新管理该设备的策略。 有关可选的设备停用标签、防篡改要求、停用包和系统扩展策略清理，请参见 停用 Mac 设备。

你可以交互式卸载应用，也可以直接从命令行卸载。 如果你使用 Jamf Pro 管理设备，请先部署卸载配置文件，再移除应用程序。 目前 Microsoft Intune 不支持集中管理卸载功能。

交互式卸载

在Finder中，打开应用程序，Ctrl-点击Microsoft Defender，然后选择“移动到垃圾桶”。

从命令行卸载

在终端运行 sudo '/Library/Application Support/Microsoft/Defender/uninstall/uninstall' 。

卸载前先通过 Jamf Pro 解除管理

Jamf Pro 是一个独立的第三方产品，不包含在 Defender for Endpoint 中，也不包含在 Defender for Endpoint 订阅中。 要使用 Jamf Pro，您的组织需要单独订阅 Jamf Pro。 有关产品和订阅信息，请参见 Jamf Pro。 如果您的组织不使用 Jamf Pro，请使用本文中其他配置方法（如有的话）。

若要在删除应用程序之前通过 Jamf Pro 卸载设备，请按照 Jamf 说明上传配置文件。 上传 Defender for Endpoint 卸载配置文件而不进行修改，并将首选项域设置为 com.microsoft.wdav.atp.offboarding。

注意

如果您卸载 Defender for Endpoint 遇到困难，且报告中包含 Microsoft Defender 端点安全扩展的相关内容，请按照以下步骤操作：

1. 重新安装Microsoft Defender应用。

2. 将Microsoft Defender.app 拖到回收站。

3. 在终端中运行以下命令：

   sudo '/Library/Application Support/Microsoft/Defender/uninstall/install_helper' execute --path '/Library/Application Support/Microsoft/Defender/uninstall/uninstall' --args --post-uninstall-hook
   

4. 重启设备。

使用 Microsoft Defender 门户

使用 Microsoft Defender 门户来审查检测结果并对设备采取响应措施。 有关详细信息，请参阅以下资源：

• 终结点检测和响应概述
• 技术社区博客：macOS 的 EDR 功能现已发布
• Microsoft Defender门户概述