Bereitstellen von Microsoft Defender for Endpoint unter macOS mit Microsoft Intune

Verwenden Sie Microsoft Intune, um Microsoft Defender for Endpoint auf verwalteten macOS-Geräten bereitzustellen. Erstelle die erforderlichen Konfigurationsprofile, bereite die App und das Onboarding-Paket aus und verifiziere die Bereitstellung. Bevor Sie beginnen, überprüfen Sie die Voraussetzungen und Systemanforderungen.

Die Verfahren in diesem Artikel erfordern Microsoft Intune. Intune ist ein separates Produkt, das nicht Teil von Defender for Endpoint ist und nicht in allen Abonnements enthalten ist. Du brauchst ein Abonnement, das Intune beinhaltet, oder du kannst es separat kaufen. Für Lizenzinformationen siehe Microsoft Intune Lizenzierung. Um diese Methode mit Jamf Pro, einer weiteren Lösung für mobile Geräteverwaltung oder manueller Bereitstellung, zu vergleichen, siehe Deploy Defender for Endpoint auf macOS.

Voraussetzungen und Systemanforderungen

Bevor Sie beginnen, prüfen Sie die Defender for Endpoint-Voraussetzungen für macOS, einschließlich Produkt-, Administrator-, System-, Berechtigungs- und Netzwerkanforderungen. Für Produktfunktionen und Verifizierung der gemeinsamen Bereitstellung siehe Microsoft Defender for Endpoint auf macOS.

Bereitstellungsübersicht

Die folgende Tabelle fasst die Profile und Pakete zusammen, die zur Bereitstellung von Defender for Endpoint unter macOS mit Intune verwendet wurden.

Erstellen von Systemkonfigurationsprofilen

Erstellen Sie die Systemkonfigurationsprofile, die Microsoft Defender for Endpoint benötigt.

Die meisten Schritte in diesem Abschnitt verwenden ein benutzerdefiniertes macOS-Konfigurationsprofil. Für ausführliche Anweisungen siehe Benutzerdefinierte Einstellungen zu Apple-Geräten hinzufügen in Microsoft Intune (Link öffnet sich in einem neuen Tab).

Wenn ein Schritt Ihnen sagt, ein benutzerdefiniertes Konfigurationsprofil zu erstellen, verwenden Sie unter dem Reiter Richtlinien der Geräte | Konfigurationsseite im Microsoft Intune Admin Center unter https://intune.microsoft.com/#view/Microsoft_Intune_DeviceSettings/DevicesMenu/~/configuration, indem Sie unter "Neue Richtlinieerstellen>" auswählen, diese gängigen Einstellungen:

• Plattform: Wählen Sie macOS aus.
• Profiltyp: Wählen Sie Vorlagen aus.
• Vorlagenname: Wählen Sie Benutzerdefiniert aus.

Im Custom-Wizard konfigurieren Sie die folgenden Einstellungen:

• Tab Konfigurationseinstellungen : Verwenden Sie die profilspezifischen Einstellungen, die in jedem entsprechenden Schritt beschrieben sind.
• Tab Zuweisungen : Weisen Sie das Profil dem Benutzer oder den Gerätegruppen zu, die es erhalten sollten. Du kannst auch Scope-Tags hinzufügen und Gruppen aus der Zuweisung ausschließen.

Schritt 1: Genehmigen von Systemerweiterungen

Verwenden Sie den Intune-Einstellungskatalog, um die erforderlichen Systemerweiterungen zu genehmigen. Ausführliche Anweisungen finden Sie unter Genehmigen von Microsoft Defender for Endpoint-macOS-Erweiterungen mithilfe des Intune-Einstellungskatalogs.

Im Wizard Profil erstellen konfigurieren Sie die folgenden Einstellungen im Tab Konfigurationseinstellungen :

• Systemkonfiguration>Systemerweiterungen>Erlaubte Systemerweiterungen:
  • Erlaubte Systemerweiterungen: Fügen Sie com.microsoft.wdav.netext und com.microsoft.wdav.epsext hinzu.
  • Teambezeichner: Geben Sie ein UBF8T346G9.
• Systemkonfiguration>Systemerweiterungen>Erlaubte Systemerweiterungstypen:
  • Erlaubte Systemerweiterungstypen: Fügen Sie EndpointSecurity und Network hinzu.
  • Teambezeichner: Geben Sie ein UBF8T346G9.

Schritt 2: Netzwerkfilter

Defender for Endpoint verwendet die Netzwerkerweiterung zur Inspektion von Netzwerkinhalten. Das Netzwerkfilterprofil ermöglicht es der Erweiterung, den Socket-Verkehr zu inspizieren.

Laden Sie netfilter.mobileconfig aus dem macOS-Konfigurationsprofil-Repository von Defender for Endpoint herunter.

Erstellen Sie ein benutzerdefiniertes Konfigurationsprofil unter Verwendung der gängigen Einstellungen, die unter Systemkonfigurationsprofile erstellen beschrieben sind. Verwenden Sie diese profilspezifischen Einstellungen:

• Grundlagen-Registerkarte:
  • Name: Geben Sie einen beschreibenden Namen ein, wie zum Beispiel macOS network filter.
• Tab Konfigurationseinstellungen :
  • Name des Konfigurationsprofils: Geben Sie einen beschreibenden Namen für das Profil ein.
  • Bereitstellungskanal: Gerätekanal auswählen.
  • Konfigurationsprofildatei: Wählen Sie die netfilter.mobileconfig Datei aus, die Sie heruntergeladen haben.

Schritt 3: Vollständiger Datenträgerzugriff

Laden Sie fulldisk.mobileconfig aus dem macOS-Konfigurationsprofil-Repository von Defender for Endpoint herunter.

Erstellen Sie ein benutzerdefiniertes Konfigurationsprofil unter Verwendung der gängigen Einstellungen, die unter Systemkonfigurationsprofile erstellen beschrieben sind. Verwenden Sie diese profilspezifischen Einstellungen:

• Grundlagen-Registerkarte:
  • Name: Geben Sie einen beschreibenden Namen ein, wie zum Beispiel macOS full disk access.
• Tab Konfigurationseinstellungen :
  • Name des Konfigurationsprofils: Geben Sie einen beschreibenden Namen für das Profil ein.
  • Bereitstellungskanal: Gerätekanal auswählen.
  • Konfigurationsprofildatei: Wählen Sie die fulldisk.mobileconfig Datei aus, die Sie heruntergeladen haben.

Schritt 4: Hintergrunddienste

Laden Sie background_services.mobileconfig aus dem Repository für macOS-Konfigurationsprofile von Defender für Endpoint herunter.

Erstellen Sie ein benutzerdefiniertes Konfigurationsprofil unter Verwendung der gängigen Einstellungen, die unter Systemkonfigurationsprofile erstellen beschrieben sind. Verwenden Sie diese profilspezifischen Einstellungen:

• Registerkarte Grundlagen:
  • Name: Geben Sie einen beschreibenden Namen ein, wie zum Beispiel macOS background services.
• Tab Konfigurationseinstellungen :
  • Name des Konfigurationsprofils: Geben Sie einen beschreibenden Namen für das Profil ein.
  • Bereitstellungskanal: Gerätekanal auswählen.
  • Konfigurationsprofildatei: Wählen Sie die background_services.mobileconfig Datei aus, die Sie heruntergeladen haben.

Schritt 5: Benachrichtigungen

Dieses Profil ermöglicht es Defender for Endpoint und Microsoft AutoUpdate, Benachrichtigungen anzuzeigen.

Laden Sie notif.mobileconfig aus dem macOS-Konfigurationsprofil-Repository von Defender for Endpoint herunter.

Um Benachrichtigungen für Benutzer auszublenden, ändern Sie ShowInNotificationCenter für die betreffende App in notif.mobileconfig von true auf false.

Erstellen Sie ein benutzerdefiniertes Konfigurationsprofil unter Verwendung der gängigen Einstellungen, die unter Systemkonfigurationsprofile erstellen beschrieben sind. Verwenden Sie diese profilspezifischen Einstellungen:

• Registerkarte Grundlagen:
  • Name: Geben Sie einen beschreibenden Namen ein, wie zum Beispiel macOS notifications consent.
• Tab Konfigurationseinstellungen :
  • Name des Konfigurationsprofils: Geben Sie einen beschreibenden Namen für das Profil ein.
  • Bereitstellungskanal: Gerätekanal auswählen.
  • Konfigurationsprofildatei: Wählen Sie die notif.mobileconfig Datei aus, die Sie heruntergeladen haben.

Schritt 6: Einstellungen für Barrierefreiheit

Dieses Profil gewährt der com.microsoft.dlp.daemon Komponente die Zugänglichkeitsberechtigung.

Laden Sie accessibility.mobileconfig aus dem macOS-Konfigurationsprofil-Repository von Defender for Endpoint herunter.

Erstellen Sie ein benutzerdefiniertes Konfigurationsprofil unter Verwendung der gängigen Einstellungen, die unter Systemkonfigurationsprofile erstellen beschrieben sind. Verwenden Sie diese profilspezifischen Einstellungen:

• Grundlagen-Registerkarte:
  • Name: Geben Sie einen beschreibenden Namen ein, wie zum Beispiel macOS accessibility settings.
• Tab Konfigurationseinstellungen :
  • Name des Konfigurationsprofils: Geben Sie einen beschreibenden Namen für das Profil ein.
  • Bereitstellungskanal: Gerätekanal auswählen.
  • Konfigurationsprofildatei: Wählen Sie die accessibility.mobileconfig Datei aus, die Sie heruntergeladen haben.

Schritt 7: Bluetooth-Berechtigungen (optional)

Lade bluetooth.mobileconfig aus dem GitHub-Repository herunter.

Erstellen Sie ein benutzerdefiniertes Konfigurationsprofil unter Verwendung der gängigen Einstellungen, die unter Systemkonfigurationsprofile erstellen beschrieben sind. Verwenden Sie diese profilspezifischen Einstellungen:

• Registerkarte Grundlagen:
  • Name: Geben Sie einen beschreibenden Namen ein, wie zum Beispiel macOS Bluetooth consent.
• Tab Konfigurationseinstellungen :
  • Name des Konfigurationsprofils: Geben Sie einen beschreibenden Namen für das Profil ein.
  • Bereitstellungskanal: Gerätekanal auswählen.
  • Konfigurationsprofildatei: Wählen Sie die bluetooth.mobileconfig Datei aus, die Sie heruntergeladen haben.

Schritt 8: Microsoft AutoUpdate

Dieses Profil konfiguriert Microsoft AutoUpdate, um Defender for Endpoint zu aktualisieren. Wählen Sie einen der folgenden Aktualisierungskanäle aus:

• Beta
• Preview
• Current

Weitere Informationen finden Sie unter Bereitstellen von Updates für Microsoft Defender for Endpoint unter macOS.

Laden Sie com.microsoft.autoupdate2.mobileconfig aus dem Microsoft AutoUpdate-Einstellungsrepository herunter.

Erstellen Sie ein benutzerdefiniertes Konfigurationsprofil unter Verwendung der gängigen Einstellungen, die unter Systemkonfigurationsprofile erstellen beschrieben sind. Verwenden Sie diese profilspezifischen Einstellungen:

• Grundlagen-Registerkarte:
  • Name: Geben Sie einen beschreibenden Namen ein, wie zum Beispiel macOS Microsoft AutoUpdate.
• Tab Konfigurationseinstellungen :
  • Name des Konfigurationsprofils: Geben Sie einen beschreibenden Namen für das Profil ein.
  • Bereitstellungskanal: Gerätekanal auswählen.
  • Konfigurationsprofildatei: Wählen Sie die com.microsoft.autoupdate2.mobileconfig Datei aus, die Sie heruntergeladen haben.

Schritt 9: Die Konfigurationseinstellungen für Microsoft Defender for Endpoint

Konfigurieren Sie Antimalware- und EDR-Richtlinien, indem Sie entweder das Microsoft Defender-Portal in Schritt 9a oder das Microsoft Intune-Verwaltungszentrum in Schritt 9b verwenden.

9a. Setze Richtlinien im Microsoft Defender-Portal

Wenn Ihre Organisation Endpunkt-Sicherheitsrichtlinien im Microsoft Defender-Portal verwaltet, können Sie Antivirus- und Endpunkt-Erkennungs- und -Reaktionseinstellungen (EDR) mit denselben Endpunktsicherheitsrichtlinien konfigurieren, die Intune verwendet.

Für detaillierte Anweisungen siehe Erstelle einer Endpunkt-Sicherheitsrichtlinie oder Bearbeiten einer Endpunkt-Sicherheitsrichtlinie (Links werden in neuen Tabs geöffnet).

Bevor Sie die Richtlinien erstellen, konfigurieren Sie die Verbindung zwischen Microsoft Defender for Endpoint und Intune.

Wenn Sie im Defender-Portal unter https://security.microsoft.com/policy-inventory?osPlatform=Mac die Endpunktsicherheitsrichtlinie Antivirus auf der Registerkarte macOS-Richtlinien der Seite Endpunktsicherheitsrichtlinien erstellen, verwenden Sie diese spezifischen Einstellungen:

• Plattform auswählen: macOS auswählen.
• Vorlage auswählen: Wählen Sie Microsoft Defender Antivirus aus.

Konfigurieren Sie die von Ihrer Organisation geforderten Antiviren-Einstellungen. Erstellen Sie dann eine weitere Richtlinie mit folgenden Einstellungen:

• Plattform auswählen: macOS auswählen.
• Vorlage auswählen: Wähle Endpunkterkennung und -antwort.

9b. Richtlinien in Microsoft Intune festlegen

Kopieren Sie zum Erstellen dieses Profils den Code für das Intune empfohlene Profil (empfohlen) oder das Intune vollständige Profil (für erweiterte Szenarien), und speichern Sie die Datei als com.microsoft.wdav.xml.

Erstellen Sie ein benutzerdefiniertes Konfigurationsprofil unter Verwendung der gängigen Einstellungen, die unter Systemkonfigurationsprofile erstellen beschrieben sind. Verwenden Sie diese profilspezifischen Einstellungen:

• Grundlagen-Registerkarte:
  • Name: Geben Sie einen beschreibenden Namen ein, wie zum Beispiel macOS Microsoft Defender preferences.
• Tab Konfigurationseinstellungen :
  • Name des Konfigurationsprofils: Enter com.microsoft.wdav.
  • Bereitstellungskanal: Gerätekanal auswählen.
  • Konfigurationsprofildatei: Wählen Sie die com.microsoft.wdav.xml Datei aus, die Sie erstellt haben.

Weitere Informationen finden Sie unter Festlegen von Einstellungen für Microsoft Defender for Endpoint unter macOS.

Weitere Informationen zum Verwalten von Sicherheitseinstellungen finden Sie unter:

• Verwalten von Microsoft Defender for Endpoint auf Geräten mit Microsoft Intune
• Verwalten von Sicherheitseinstellungen für Windows, macOS und Linux nativ in Defender für Endpunkt

Schritt 10: Netzwerkschutz für Microsoft Defender for Endpoint unter macOS (optional)

Konfigurieren Sie den Netzwerkschutz in der Microsoft Defender Antivirus-Richtlinie oder im Defender for Endpoint-Präferenzprofil, das Sie in Schritt 9 erstellt haben.

Für Anforderungen, Konfigurationsoptionen und Verifikationsschritte siehe Netzwerkschutz für macOS.

Schritt 11: Gerätesteuerung für Microsoft Defender for Endpoint unter macOS (optional)

Die Gerätesteuerung erfordert Vollzugriff auf die Festplatte für com.microsoft.dlp.daemon sowie separate Einstellungen und Richtlinien für die Gerätesteuerung. Das Profil fulldisk.mobileconfig in Schritt 3 enthält die erforderliche vollständige Festplattenzugriffsberechtigung.

Für Anforderungen und Konfigurationsanweisungen siehe Device Control for macOS.

Schritt 12: Veröffentlichen der Microsoft Defender Anwendung

Veröffentlichen Sie die Microsoft Defender-App auf Geräte, die bei Intune registriert sind. Für detaillierte Anweisungen siehe Microsoft Defender for Endpoint hinzufügen zu macOS-Geräten mit Microsoft Intune (Link öffnet sich in einem neuen Tab).

Auf der Seite Apps | Alle Apps im Microsoft Intune Admin Center unter https://intune.microsoft.com/#view/Microsoft_Intune_DeviceSettings/AppsMenu/~/allApps wählen Sie Erstellen. Wählen Sie im Bereich „App-Typ auswählen“ unter Microsoft Defender for EndpointmacOS aus.

Im App-Hinzufügen-Assistenten konfigurieren Sie die folgenden Einstellungen:

• Registerkarte „App-Informationen“: Behalten Sie die Standardwerte bei.
• Tab Zuweisungen : Weisen Sie die App den Benutzer- oder Gerätegruppen zu, die sie erhalten sollten.

Schritt 13: Herunterladen des Microsoft Defender for Endpoint Onboarding-Pakets

So laden Sie das Onboardingpaket aus dem Microsoft Defender-Portal herunter:

1. Auf der Onboarding-Seite im Microsoft Defender-Portal unter https://security.microsoft.com/securitysettings/endpoints/onboarding, konfigurieren Sie die folgenden Einstellungen:

   1. Betriebssystem auswählen, um den Onboarding-Prozess zu starten: Wähle macOS aus.

   2. Konnektivitätstyp: Verify Streamlined ist ausgewählt.

   3. Bereitstellungsmethode: Wählen Sie Mobile Geräteverwaltung / Microsoft Intune.

      

2. Wählen Sie Onboarding-Paket herunterladen und speichern GatewayWindowsDefenderATPOnboardingPackage.zip.

3. Extrahieren Sie den Inhalt der ZIP-Datei, damit Sie WindowsDefenderATPOnboarding.xml über Intune bereitstellen können:

   unzip GatewayWindowsDefenderATPOnboardingPackage.zip
   

   Archive:  GatewayWindowsDefenderATPOnboardingPackage.zip
   warning:  GatewayWindowsDefenderATPOnboardingPackage.zip appears to use backslashes as path separators
    inflating: intune/kext.xml
    inflating: intune/WindowsDefenderATPOnboarding.xml
    inflating: jamf/WindowsDefenderATPOnboarding.plist
   

Schritt 14: Bereitstellen Sie das Microsoft Defender for Endpoint-Onboarding-Paket für macOS bereit

Dieses Profil enthält Lizenzinformationen für Microsoft Defender for Endpoint.

Erstellen Sie ein benutzerdefiniertes Konfigurationsprofil unter Verwendung der gängigen Einstellungen, die unter Systemkonfigurationsprofile erstellen beschrieben sind. Verwenden Sie diese profilspezifischen Einstellungen:

• Registerkarte Grundlagen:
  • Name: Geben Sie einen beschreibenden Namen ein, wie zum Beispiel Microsoft Defender for Endpoint onboarding for macOS.
• Tab Konfigurationseinstellungen :
  • Name des Konfigurationsprofils: Geben Sie einen beschreibenden Namen für das Profil ein.
  • Bereitstellungskanal: Gerätekanal auswählen.
  • Konfigurationsprofildatei: Wählen Sie die WindowsDefenderATPOnboarding.xml Datei aus, die Sie aus dem Onboarding-Paket extrahiert haben.

Schritt 15: Überprüfe den Gerät- und Konfigurationsstatus

Schritt 15a. Anzeigen des Status

Verwenden Sie den Richtlinienbericht im Intune-Verwaltungszentrum, um den Check-In-Status von Geräten und Benutzern anzuzeigen:

1. Auf den Geräten | Konfigurationsseite im Intune-Verwaltungszentrum unter https://intune.microsoft.com/#view/Microsoft_Intune_DeviceSettings/DevicesMenu/~/configuration, wählen Sie eine Richtlinie aus.

2. Wählen Sie unter Gerät- und Benutzer-Check-in-StatusBericht anzeigen.

Schritt 15b. Registrieren Sie ein Client-Gerät

Nutzen Sie das Unternehmensportal, um das macOS-Gerät anzumelden:

1. Befolgen Sie die Schritte in Enroll your Mac with Intune Unternehmensportal.

2. Nach Abschluss der Registrierung überprüfen Sie, ob das Gerät auf der Seite Alle Geräte im Intune-Verwaltungszentrum https://intune.microsoft.com/#view/Microsoft_Intune_Devices/DevicesMenu/~/allDevicesunter aufgeführt ist.

Schritt 15c. Überprüfen des Status des Clientgeräts

Verifiziere die Profile und die App auf dem verwalteten Gerät:

1. Nachdem die Konfigurationsprofile bereitgestellt wurden, öffnen Sie Systemeinstellungen>Allgemein>Geräteverwaltung auf dem macOS-Gerät.

2. Stellen Sie sicher, dass die Konfigurationsprofile für Ihre Bereitstellung vorhanden und installiert sind:

   • accessibility.mobileconfig, falls bereitgestellt.
   • background_services.mobileconfig
   • bluetooth.mobileconfig, falls bereitgestellt.
   • com.microsoft.autoupdate2.mobileconfig
   • fulldisk.mobileconfig
   • Management-Profil, das ist das Intune-Systemprofil.
   • WindowsDefenderATPOnboarding.xml, das das Defender for Endpoint-Onboarding-Paket ist.
   • netfilter.mobileconfig
   • notif.mobileconfig

3. Überprüfen Sie, dass das Microsoft Defender-Symbol in der Menüleiste erscheint.

   

Schritt 16: Antimalware-Erkennung überprüfen

Führe einen Antiviren-Erkennungstest durch, um zu überprüfen, ob das Gerät integriert ist und korrekt gemeldet wird.

Schritt 17: EDR-Erkennung überprüfen

Führen Sie einen EDR-Erkennungstest durch, um sicherzustellen, dass die Endpunkterkennung und -antwort korrekt funktionieren und gemeldet werden.

Schritt 18: Microsoft Purview Endpoint Data Loss Prevention für macOS (sehr empfohlen)

Um das Gerät in Microsoft Purview zu integrieren und Endpoint Data Loss Prevention (DLP) zu konfigurieren, siehe Starten Sie mit Endpoint DLP.

Problembehandlung

• Problem: Defender for Endpoint berichtet, dass keine Lizenz gefunden wurde.
• Ursache: Das Onboarding des Geräts ist nicht abgeschlossen.
• Lösung: Laden Sie das Onboarding-Paket wie in Schritt 13 beschrieben herunter und bereiten Sie es wie in Schritt 14 beschrieben aus.

Protokollierung von Installationsproblemen

Siehe Logging Installation issues, um das Protokoll zu finden, das der Installer automatisch erstellt, wenn ein Fehler auftritt.

Informationen zur Problembehandlung finden Sie unter:

• Behandeln von Problemen mit Systemerweiterungen in Microsoft Defender for Endpoint unter macOS
• Behandeln von Installationsproblemen für Microsoft Defender for Endpoint unter macOS
• Behandeln von Lizenzproblemen für Microsoft Defender for Endpoint unter macOS
• Behandeln von Problemen mit der Cloudkonnektivität für Microsoft Defender for Endpoint unter macOS
• Beheben von Leistungsproblemen bei Microsoft Defender for Endpoint unter macOS

Defender for Endpoint deinstallieren

Siehe Deinstall Defender for Endpoint auf macOS für Anweisungen.