macOS 上 適用於端點的 Microsoft Defender 的資源

適用於:

想要體驗適用於端點的 Microsoft Defender 嗎? 注册免費試用版。

收集診斷資訊

如果您可以重現問題,請增加記錄層級、執行系統一段時間,然後將記錄層級還原為預設值。

  1. 增加記錄層級:

    mdatp log level set --level debug
    
    Log level configured successfully
    
  2. 重現問題。

  3. 執行 sudo mdatp diagnostic create 以備份 適用於端點的 Microsoft Defender 記錄。 檔案會儲存在 .zip 封存內。 此命令也會在作業成功之後列印備份的檔案路徑。

    提示

    根據預設,診斷記錄會儲存至 /Library/Application Support/Microsoft/Defender/wdavdiag/。 若要變更儲存診斷記錄的目錄,請傳遞 --path [directory] 至下列命令,並將 [directory] 取代為所需的目錄。

    sudo mdatp diagnostic create
    
    Diagnostic file created: "/Library/Application Support/Microsoft/Defender/wdavdiag/932e68a8-8f2e-4ad0-a7f2-65eb97c0de01.zip"
    
  4. 還原記錄層級。

    mdatp log level set --level info
    
    Log level configured successfully
    

記錄安裝問題

如果在安裝期間發生錯誤,安裝程式只會報告一般失敗。 詳細的記錄會儲存至 /Library/Logs/Microsoft/mdatp/install.log。 如果您在安裝期間遇到問題,請在開啟支援案例時傳送此檔案給我們,以便協助診斷原因。

如需安裝問題的進一步疑難解答,請參閱針對macOS上 適用於端點的 Microsoft Defender的安裝問題進行疑難解答

從命令行進行設定

支援的輸出類型

支援資料表和 JSON 格式輸出類型。 每個命令都有預設的輸出行為。 您可以使用下列命令,以慣用的輸出格式修改輸出:

-output json

-output table

您可以使用命令列來完成重要工作,例如控制產品設定和觸發隨選掃描:

Group 案例 命令
組態 在被動模式中開啟/關閉防病毒軟體 mdatp config passive-mode --value [enabled/disabled]
組態 開啟/關閉實時保護 mdatp config real-time-protection --value [enabled/disabled]
組態 開啟/關閉行為監視 mdatp config behavior-monitoring --value [enabled/disabled]
組態 開啟/關閉雲端保護 mdatp config cloud --value [enabled/disabled]
組態 開啟/關閉產品診斷 mdatp config cloud-diagnostic --value [enabled/disabled]
組態 開啟/關閉自動提交範例 mdatp config cloud-automatic-sample-submission --value [enabled/disabled]
組態 開啟/稽核/關閉 PUA 保護 mdatp threat policy set --type potentially_unwanted_application -- action [block/audit/off
組態 新增/移除進程的防病毒軟體排除 mdatp exclusion process [add/remove] --path [path-to-process]mdatp exclusion process [add\|remove] --name [process-name]
組態 新增/移除檔案的防病毒軟體排除專案 mdatp exclusion file [add/remove] --path [path-to-file]
組態 新增/移除目錄的防病毒軟體排除 mdatp exclusion folder [add/remove] --path [path-to-directory]
組態 新增/移除擴展名的防病毒軟體排除專案 mdatp exclusion extension [add/remove] --name [extension]
組態 列出所有防病毒軟體排除專案 mdatp exclusion list
組態 設定隨選掃描的平行處理原則程度 mdatp config maximum-on-demand-scan-threads --value [numerical-value-between-1-and-64]
組態 在安全性情報更新之後開啟/關閉掃描 mdatp config scan-after-definition-update --value [enabled/disabled]
組態 只開啟/關閉封存掃描 (視需要掃描) mdatp config scan-archives --value [enabled/disabled]
組態 開啟/關閉檔案哈希計算 mdatp config enable-file-hash-computation --value [enabled/disabled]
保護 掃描路徑 mdatp scan custom --path [path] [--ignore-exclusions]
保護 執行快速掃描 mdatp scan quick
保護 執行完整掃描 mdatp scan full
保護 取消進行中的隨選掃描 mdatp scan cancel
保護 要求安全性情報更新 mdatp definitions update
組態 將威脅名稱新增至允許的清單 mdatp threat allowed add --name [threat-name]
組態 從允許的清單中移除威脅名稱 mdatp threat allowed remove --name [threat-name]
組態 列出所有允許的威脅名稱 mdatp threat allowed list
保護歷程記錄 列印完整的保護歷程記錄 mdatp threat list
保護歷程記錄 取得威脅詳細數據 mdatp threat get --id [threat-id]
隔離管理 列出所有隔離的檔案 mdatp threat quarantine list
隔離管理 從隔離區移除所有檔案 mdatp threat quarantine remove-all
隔離管理 將偵測到的檔案新增至隔離區的威脅 mdatp threat quarantine add --id [threat-id]
隔離管理 從隔離區移除偵測到為威脅的檔案 mdatp threat quarantine remove --id [threat-id]
隔離管理 從隔離區還原檔案。 適用於端點的Defender 版本101.23092.0012之前提供。 mdatp threat quarantine restore --id [threat-id] --path [destination-folder]
隔離管理 使用威脅標識碼從隔離區還原檔案。 適用於端點的 Defender 版本 101.23092.0012 或更新版本中提供。 mdatp threat restore threat-id --id [threat-id] --destination-path [destination-folder]
隔離管理 使用威脅原始路徑從隔離區還原檔案。 適用於端點的 Defender 版本 101.23092.0012 或更新版本中提供。 mdatp threat restore threat-path --path [threat-original-path] --destination-path [destination-folder]
網路保護設定 設定網路保護強制層級 mdatp config network-protection enforcement-level --value [Block/Audit/Disabled]
網路保護管理 檢查網路保護是否已成功啟動 mdatp health --field network_protection_status
裝置控制管理 裝置控制項是否已啟用,預設強制執行是什麼? mdatp device-control policy preferences list
裝置控制管理 已啟用哪些裝置控制原則? mdatp device-control policy rules list
裝置控制管理 已啟用哪些裝置控制原則群組? mdatp device-control policy groups list
組態 開啟/關閉數據外泄防護 mdatp config data_loss_prevention --value [enabled/disabled]
診斷 變更記錄層級 mdatp log level set --level [error/warning/info/verbose]
診斷 產生診斷記錄 mdatp diagnostic create --path [directory]
健康情況 檢查產品的健康情況 mdatp health
健康情況 檢查特定產品屬性 mdatp health --field [attribute: healthy/licensed/engine_version...]
EDR 根) (EDR 清單排除專案 mdatp edr exclusion list [processes|paths|extensions|all]
EDR 設定/移除標記,僅支援 GROUP mdatp edr tag set --name GROUP --value [name]
EDR 從裝置移除群組標籤 mdatp edr tag remove --tag-name [name]
EDR 新增群組標識碼 mdatp edr group-ids --group-id [group]

如何啟用自動完成

若要在bash中啟用自動完成,請執行下列命令並重新啟動終端機會話:

echo "source /Applications/Microsoft\ Defender.app/Contents/Resources/Tools/mdatp_completion.bash" >> ~/.bash_profile

若要在 zsh 中啟用自動完成:

  • 檢查裝置上是否已啟用自動完成:

    cat ~/.zshrc | grep autoload
    
  • 如果上述命令未產生任何輸出,您可以使用下列命令來啟用自動完成:

    echo "autoload -Uz compinit && compinit" >> ~/.zshrc
    
  • 執行下列命令,以在macOS上啟用 適用於端點的 Microsoft Defender的自動完成,並重新啟動終端機會話:

    sudo mkdir -p /usr/local/share/zsh/site-functions
    
    sudo ln -svf "/Applications/Microsoft Defender.app/Contents/Resources/Tools/mdatp_completion.zsh" /usr/local/share/zsh/site-functions/_mdatp
    

用戶端 適用於端點的 Microsoft Defender 隔離目錄

/Library/Application Support/Microsoft/Defender/quarantine/ 包含所隔離的 mdatp檔案。 這些檔案會以威脅追蹤標識碼命名。 目前的 trackingId 會以 mdatp threat list顯示。

卸載

有數種方式可以在macOS上卸載 適用於端點的 Microsoft Defender。 雖然 JAMF 上提供集中管理的卸載,但尚無法供 Microsoft Intune 使用。

在macOS上卸載所有 適用於端點的 Microsoft Defender都需要下列專案:

  1. 建立裝置標籤,並將已解除委任的標籤命名為 ,並將它指派給卸載macOS Microsoft Defender的macOS。

  2. 建立 裝置群組 並將它命名 (例如已 解除委任的macOS) ,並指派應該能夠看到它們的使用者 群組

    注意:如果您不想在「裝置清查」中看到這些裝置已淘汰 180 天,步驟 1 和步驟 2 是選擇性的。

  3. 拿掉包含 竄改保護 或透過手動設定的「設定喜好設定」原則。

  4. 將每個 離線非 Windows 裝置的每個裝置離線

  5. 卸載 macOS 應用程式的 適用於端點的 Microsoft Defender

  6. 如果使用 MDM 來設定裝置,請從系統擴充原則的群組中移除裝置。

互動式卸載

  • 啟 Finder > 應用程式。 以滑鼠右鍵按兩下 [適用於端點的 Microsoft Defender],然後選取 [移至垃圾桶]

從命令行

  • sudo '/Library/Application Support/Microsoft/Defender/uninstall/uninstall'

使用 JAMF Pro

若要在macOS上使用 JAMF Pro 卸載 適用於端點的 Microsoft Defender 上傳下架配置檔。

下架配置檔應該在不進行任何修改的情況下上傳,並將 [喜好設定功能變數名稱] 設定為 com.microsoft.wdav.atp.offboarding,如下圖所示:

JAMF 下架畫面的螢幕快照

注意

如果您無法在 Mac 上卸載適用於端點的 Defender,而且您在報告中看到 Microsoft Defender 端點安全性延伸模組的專案,請遵循下列步驟:

  1. 重新安裝 Microsoft Defender 應用程式。
  2. Microsoft Defender.app 拖曳至垃圾桶
  3. 執行此命令: sudo /Library/Application Support/Microsoft/Defender/uninstall/install_helper execute --path '/Library/Application Support/Microsoft/Defender/uninstall/uninstall' --args --post-uninstall-hook
  4. 重新開機裝置。

Microsoft Defender 入口網站

偵測到威脅時,您的安全性小組可以檢視偵測,並視需要在 Microsoft Defender 入口網站中的裝置上採取回應動作 (https://security.microsoft.com) 。 Microsoft Defender 結合中央位置中的威脅保護、偵測、調查和回應。 如需詳細資訊,請參閱下列資源:

提示

想要深入了解? Engage 技術社群中的Microsoft安全性社群:適用於端點的 Microsoft Defender 技術社群。