Richten Sie die Richtlinien für Microsoft Defender for Endpoint auf macOS in Jamf Pro ein

Dieser Artikel führt Sie durch das Erstellen der Jamf Pro-Konfigurationsprofile und -Richtlinien, die zum Bereitstellen und Verwalten von Microsoft Defender for Endpoint unter macOS erforderlich sind. Die Schritte umfassen Onboarding-, Antivirus- und EDR-Einstellungen, Benachrichtigungen, Microsoft AutoUpdate, Volldatenträgerzugriff, Systemerweiterungen, Netzwerkerweiterungen, Hintergrunddienste, Bluetooth-Berechtigungen und Paketbereitstellung. IT-Administratoren, die macOS-Geräte über Jamf Pro verwalten, sollten diese Schritte ausführen, um sicherzustellen, dass Defender für Endpunkt vollständig konfiguriert und geschützt ist.

Schritt 1: Abrufen des Microsoft Defender for Endpoint Onboarding-Pakets

1. Navigieren Sie im Microsoft Defender Portal zu Einstellungen>Endpunkte>Onboarding.

2. Wählen Sie macOS als Betriebssystem und Mobile Geräteverwaltung/Microsoft Intune als Bereitstellungsmethode aus.

   

3. Wählen Sie Onboarding-Paket herunterladen (WindowsDefenderATPOnboardingPackage.zip) aus.

4. Extrahieren Sie WindowsDefenderATPOnboardingPackage.zip.

5. Kopieren Sie die Datei an Ihren bevorzugten Speicherort. Beispiel: C:\Users\JaneDoe_or_JohnDoe.contoso\Downloads\WindowsDefenderATPOnboardingPackage_macOS_MDM_contoso\Jamf\WindowsDefenderATPOnboarding.plist.

Schritt 2: Erstellen eines Konfigurationsprofils in Jamf Pro mithilfe des Onboardingpakets

1. Suchen Sie die WindowsDefenderATPOnboarding.plist Datei, die Sie in Schritt 1 extrahiert haben.

   

2. Melden Sie sich bei Jamf Pro an, navigieren Sie zu Computer>Konfigurationsprofile, und wählen Sie Neu aus.

   

3. Geben Sie auf der Registerkarte Allgemein die folgenden Details an:

   • Name: MDE onboarding for macOS
   • Beschreibung: MDE EDR onboarding for macOS
   • Kategorie: None
   • Verteilungsmethode: Install Automatically
   • Ebene: Computer Level

4. Navigieren Sie zur Seite Anwendungs- & Benutzerdefinierte Einstellungen , wählen Sie Hochladen und dann Hinzufügen aus.

   

5. Wählen Sie Datei hochladen (PLIST-Datei) aus, und geben Sie dann unter Einstellungsdomäne ein com.microsoft.wdav.atp.

   

   

6. Wählen Sie Öffnen und dann die Onboardingdatei aus.

   

7. Wählen Sie Hochladen aus.

   

8. Wählen Sie die Registerkarte Bereich aus.

   

9. Wählen Sie die Zielcomputer aus.

   

   

10. Klicken Sie auf Speichern.

    

    

11. Wählen Sie Fertig aus.

    

    

Schritt 3: Die Einstellungen für Microsoft Defender for Endpoint konfigurieren

Verwenden Sie diesen Schritt, um Anti-Malware- und EDR-Richtlinien über das Microsoft Defender Portal oder Jamf zu konfigurieren.

3a. Festlegen von Richtlinien über Microsoft Defender Portal

Verwenden Sie das Microsoft Defender-Portal, um MacOS-Sicherheitsrichtlinien für Ihre Geräte zu erstellen und zuzuweisen.

Bevor Sie beginnen, führen Sie das unter "Konfigurieren Microsoft Defender for Endpoint in Intune" beschriebene Setup aus.

1. Wechseln Sie im Microsoft Defender-Portal zu Konfigurationsverwaltung>Endpunktsicherheitsrichtlinien>Mac-Richtlinien>Neue Richtlinie erstellen.

2. Wählen Sie unter Plattform auswählenmacOS aus.

3. Wählen Sie unter Vorlage auswählen eine Vorlage aus und dann Richtlinie erstellen.

4. Geben Sie einen Namen und eine Beschreibung für die Richtlinie an, und wählen Sie dann Weiter aus.

5. Weisen Sie auf der Registerkarte Zuweisungen das Profil einer Gruppe zu, in der sich die macOS-Geräte und/oder -Benutzer befinden, oder Alle Benutzer und Alle Geräte.

   Weitere Informationen zum Verwalten von Sicherheitseinstellungen finden Sie in den folgenden Artikeln:

   • Verwalten von Microsoft Defender for Endpoint auf Geräten mit Microsoft Intune

   • Verwalten von Sicherheitseinstellungen für Windows, macOS und Linux nativ in Defender für Endpunkt

3b. Festlegen von Richtlinien mithilfe von Jamf

Sie können entweder jamf Pro GUI verwenden, um einzelne Einstellungen der Microsoft Defender for Endpoint-Konfiguration zu bearbeiten, oder die Legacymethode verwenden, indem Sie eine Konfigurations-Plist in einem Text-Editor erstellen und in Jamf Pro hochladen.

Sie müssen exact com.microsoft.wdav als Einstellungsdomäne verwenden. Microsoft Defender for Endpoint verwendet nur diesen Namen und com.microsoft.wdav.ext, um seine verwalteten Einstellungen zu laden. (Die com.microsoft.wdav.ext Version kann in seltenen Fällen verwendet werden, wenn Sie die GUI-Methode bevorzugen, aber auch eine Einstellung konfigurieren müssen, die dem Schema noch nicht hinzugefügt wurde.)

Konfigurieren von Defender Einstellungen mithilfe der Jamf Pro-GUI

Verwenden Sie diese Methode, um das JSON-Schema Defender in Jamf Pro zu importieren und Einstellungen über die GUI zu konfigurieren.

1. Laden Sie die Microsoft Defender for Endpoint schema.json Datei aus dem GitHub Repository Defender herunter, und speichern Sie sie lokal. Jamf Pro verwendet dieses Schema, um die verfügbaren Konfigurationseinstellungen in der GUI aufzufüllen:

   curl -o ~/Documents/schema.json https://raw.githubusercontent.com/microsoft/mdatp-xplat/master/macos/schema/schema.json
   

2. Erstellen Sie ein neues Konfigurationsprofil. Wechseln Sie unter Computer zu Konfigurationsprofile, und geben Sie dann auf der Registerkarte Allgemein die folgenden Details an:

   

   • Name: MDATP MDAV configuration settings
   • Beschreibung: <blank\>
   • Kategorie: None (default)
   • Ebene: Computer Level (default)
   • Verteilungsmethode: Install Automatically (default)

3. Scrollen Sie nach unten zur Registerkarte Anwendungs- & Benutzerdefinierte Einstellungen , wählen Sie Externe Anwendungen aus, wählen Sie Hinzufügen aus, und verwenden Sie dann Benutzerdefiniertes Schema als Quelle für die Einstellungsdomäne.

   

4. Geben Sie für die Domäne „Preference Domain“ com.microsoft.wdav ein, wählen Sie Schema hinzufügen aus, und laden Sie anschließend die schema.json Datei hoch, die Sie zuvor aus Defenders GitHub-Repository heruntergeladen haben. Klicken Sie auf Speichern.

   

5. Sie können alle unterstützten Konfigurationseinstellungen für Microsoft Defender for Endpoint unter Eigenschaften der Präferenzdomäne einsehen. Wählen Sie Eigenschaften hinzufügen/entfernen aus, um die Einstellungen auszuwählen, die verwaltet werden sollen, und klicken Sie dann auf OK , um Ihre Änderungen zu speichern. (Nicht ausgewählte Einstellungen sind nicht in der verwalteten Konfiguration enthalten, ein Endbenutzer kann diese Einstellungen auf seinen Computern konfigurieren.)

   

6. Ändern Sie die Werte der Einstellungen in die gewünschten Werte. Sie können Weitere Informationen auswählen, um die Dokumentation für eine bestimmte Einstellung abzurufen. (Sie können Plist-Vorschau auswählen, um zu überprüfen, welche Konfigurations-Plist vorhanden ist. Wählen Sie Formular-Editor aus, um zum visuellen Editor zurüxckzukehren.)

   

7. Wählen Sie die Registerkarte Bereich aus.

   

8. Wählen Sie Contosos Maschinengruppe aus. Wählen Sie Hinzufügen und dann Speichern aus.

   

   

9. Wählen Sie Fertig aus. Das neue Konfigurationsprofil wird angezeigt.

   

Microsoft Defender for Endpoint fügt im Laufe der Zeit neue Einstellungen hinzu. Neue Defender für Endpunkteinstellungen werden dem Schema hinzugefügt, und eine neue Version wird in GitHub veröffentlicht. Um Updates zu erhalten, laden Sie ein aktualisiertes Schema herunter, und bearbeiten Sie Ihr vorhandenes Konfigurationsprofil. Wählen Sie auf der Registerkarte Application & Custom Settings (Benutzerdefinierte Einstellungen ) die Option Edit schema (Schema bearbeiten) aus.

Konfigurieren von Defender Einstellungen mithilfe der Legacymethode

Verwenden Sie die Legacymethode, um eine Konfigurations-Plist manuell in einem Texteditor zu erstellen und in Jamf Pro hochzuladen.

1. Verwenden Sie die folgenden Microsoft Defender for Endpoint Konfigurationseinstellungen:

   • enableRealTimeProtection
   • passiveMode (Diese Einstellung ist standardmäßig nicht aktiviert. Wenn Sie beabsichtigen, Nicht-Microsoft-Antivirensoftware auf dem Mac auszuführen, legen Sie sie auf truefest.
   • exclusions
   • excludedPath
   • excludedFileExtension
   • excludedFileName
   • exclusionsMergePolicy
   • allowedThreats (Das Beispiel enthält EICAR. Wenn Sie ein Proof of Concept ausführen, entfernen Sie ihn, insbesondere wenn Sie EICAR testen.)
   • disallowedThreatActions
   • potentially_unwanted_application
   • archive_bomb
   • cloudService
   • automaticSampleSubmission
   • tags
   • hideStatusMenuIcon

   Weitere Informationen finden Sie unter Eigenschaftenliste für das vollständige Jamf-Konfigurationsprofil.

     <?xml version="1.0" encoding="UTF-8"?>
     <!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
     <plist version="1.0">
     <dict>
         <key>antivirusEngine</key>
         <dict>
             <key>enableRealTimeProtection</key>
             <true/>
             <key>passiveMode</key>
             <false/>
             <key>exclusions</key>
             <array>
                 <dict>
                     <key>$type</key>
                     <string>excludedPath</string>
                     <key>isDirectory</key>
                     <false/>
                     <key>path</key>
                     <string>/var/log/system.log</string>
                 </dict>
                 <dict>
                     <key>$type</key>
                     <string>excludedPath</string>
                     <key>isDirectory</key>
                     <true/>
                     <key>path</key>
                     <string>/home</string>
                 </dict>
                 <dict>
                     <key>$type</key>
                     <string>excludedFileExtension</string>
                     <key>extension</key>
                     <string>pdf</string>
                 </dict>
                 <dict>
                     <key>$type</key>
                     <string>excludedFileName</string>
                     <key>name</key>
                     <string>cat</string>
                 </dict>
             </array>
             <key>exclusionsMergePolicy</key>
             <string>merge</string>
             <key>allowedThreats</key>
             <array>
                 <string>EICAR-Test-File (not a virus)</string>
             </array>
             <key>disallowedThreatActions</key>
             <array>
                 <string>allow</string>
                 <string>restore</string>
             </array>
             <key>threatTypeSettings</key>
             <array>
                 <dict>
                     <key>key</key>
                     <string>potentially_unwanted_application</string>
                     <key>value</key>
                     <string>block</string>
                 </dict>
                 <dict>
                     <key>key</key>
                     <string>archive_bomb</string>
                     <key>value</key>
                     <string>audit</string>
                 </dict>
             </array>
             <key>threatTypeSettingsMergePolicy</key>
             <string>merge</string>
         </dict>
         <key>cloudService</key>
         <dict>
             <key>enabled</key>
             <true/>
             <key>diagnosticLevel</key>
             <string>optional</string>
             <key>automaticSampleSubmission</key>
             <true/>
         </dict>
         <key>edr</key>
         <dict>
             <key>tags</key>
             <array>
                 <dict>
                     <key>key</key>
                     <string>GROUP</string>
                     <key>value</key>
                     <string>ExampleTag</string>
                 </dict>
             </array>
         </dict>
         <key>userInterface</key>
         <dict>
             <key>hideStatusMenuIcon</key>
             <false/>
         </dict>
     </dict>
     </plist>
   

2. Speichern Sie die Datei als MDATP_MDAV_configuration_settings.plist.

3. Öffnen Sie im Jamf Pro-Dashboard Computer und die zugehörigen Konfigurationsprofile. Wählen Sie Neu aus, und wechseln Sie zur Registerkarte Allgemein .

   

4. Geben Sie auf der Registerkarte Allgemein die folgenden Details an:

   • Name: MDATP MDAV configuration settings
   • Beschreibung: <blank>
   • Kategorie: None (default)
   • Verteilungsmethode: Install Automatically (default)
   • Ebene: Computer Level (default)

5. Wählen Sie unter Anwendungs- & Benutzerdefinierte Einstellungen die Option Konfigurieren aus.

   

   

6. Wählen Sie Datei hochladen (PLIST-Datei) aus.

   

7. Geben Sie unter Einstellungsdomänecom.microsoft.wdav ein, und wählen Sie dann PLIST-Datei hochladen aus.

   

8. Wählen Sie Datei auswählen aus.

   

9. Wählen Sie die MDATP_MDAV_configuration_settings.plist und dann Öffnen aus.

   

10. Wählen Sie Hochladen aus.

    

    

    Hinweis

    Wenn Sie die Intune-Datei hochladen, erhalten Sie die folgende Fehlermeldung:

    

11. Klicken Sie auf Speichern.

    

12. Die Datei wird hochgeladen.

    

    

13. Wählen Sie die Registerkarte Bereich aus.

    

14. Wählen Sie Contosos Maschinengruppe aus. Wählen Sie Hinzufügen und dann Speichern aus.

    

    

15. Wählen Sie Fertig aus. Das neue Konfigurationsprofil wird angezeigt.

    

Schritt 4: Konfigurieren von Benachrichtigungseinstellungen

1. Wählen Sie im Jamf Pro-Dashboard Computer und dann Konfigurationsprofile aus.

2. Wählen Sie Neu aus, und geben Sie dann auf der Registerkarte Allgemein für Optionen die folgenden Details an:

   • Name: MDATP MDAV Notification settings

   • Beschreibung: macOS 11 (Big Sur) or later

   • Kategorie: None *(default)*

   • Verteilungsmethode: Install Automatically *(default)*

   • Ebene: Computer Level *(default)*

     

3. Wählen Sie auf der Registerkarte Benachrichtigungendie Option Hinzufügen aus, und geben Sie die folgenden Werte an:

   • Bundle-ID: com.microsoft.wdav.tray
   • Kritische Warnungen: Wählen Sie Deaktivieren aus.
   • Benachrichtigungen: Wählen Sie Aktivieren aus.
   • Bannerwarnungstyp: Wählen Sie Einschließen und Temporär(Standard) aus.
   • Benachrichtigungen auf dem Sperrbildschirm: Wählen Sie Ausblenden aus.
   • Benachrichtigungen in der Mitteilungszentrale: Wählen Sie Anzeige
   • Symbol der Badge-App: Wählen Sie Anzeigen aus.

   

4. Wählen Sie auf der Registerkarte Benachrichtigungen die Option Ein weiteres Mal hinzufügen aus, und scrollen Sie dann nach unten zu Neue Benachrichtigungseinstellungen.

   • Bundle-ID: com.microsoft.autoupdate.fba

5. Verwenden Sie die gleichen Werte aus dem vorherigen Schritt für die verbleibenden Einstellungen.

   

   Sie haben jetzt zwei Benachrichtigungseinträge: eine für Bundle-ID: com.microsoft.wdav.tray und eine für Bundle-ID: com.microsoft.autoupdate.fba. Sie können Benachrichtigungseinstellungen an Ihre Anforderungen anpassen. Beide Bundle-IDs müssen jedoch genau mit den hier gezeigten Werten übereinstimmen, und der Schalter "Einschließen" muss für Benachrichtigungenaktiviert sein.

6. Wählen Sie die Registerkarte Bereich und dann Hinzufügen aus.

   

7. Wählen Sie Contosos Maschinengruppe aus. Wählen Sie Hinzufügen und dann Speichern aus.

   

   

8. Wählen Sie Fertig aus. Das neue Konfigurationsprofil sollte angezeigt werden.

   

Schritt 5: Konfigurieren von Microsoft AutoUpdate (MAU)

Microsoft AutoUpdate (MAU) hält Microsoft Anwendungen unter macOS auf dem neuesten Stand, einschließlich Microsoft Defender for Endpoint. Konfigurieren Sie die folgenden Einstellungen, um zu verwalten, wie Updates an Ihre Geräte übermittelt werden.

1. Verwenden Sie die folgenden Microsoft Defender for Endpoint Konfigurationseinstellungen:

   <?xml version="1.0" encoding="UTF-8"?>
   <!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
   <plist version="1.0">
   <dict>
    <key>ChannelName</key>
    <string>Current</string>
    <key>HowToCheck</key>
    <string>AutomaticDownload</string>
    <key>EnableCheckForUpdatesButton</key>
    <true/>
    <key>DisableInsiderCheckbox</key>
    <false/>
    <key>SendAllTelemetryEnabled</key>
    <true/>
   </dict>
   </plist>
   

2. Speichern Sie es als MDATP_MDAV_MAU_settings.plist.

3. Wählen Sie im Jamf Pro-Dashboard Die Option Allgemein aus.

   

4. Geben Sie auf der Registerkarte Allgemein die folgenden Details an:

   • Name: MDATP MDAV MAU settings
   • Beschreibung: Microsoft AutoUpdate settings for MDATP for macOS
   • Kategorie: None (default)
   • Verteilungsmethode: Install Automatically (default)
   • Ebene: Computer Level (default)

5. Wählen Sie unter Anwendungs- & Benutzerdefinierte Einstellungendie Option Konfigurieren aus.

   

6. Wählen Sie Datei hochladen (PLIST-Datei) aus.

7. Geben Sie unter Präferenzdomänecom.microsoft.autoupdate2 ein, und wählen Sie dann PLIST-Datei hochladen aus.

   

8. Wählen Sie Datei auswählen aus.

   

9. Wählen Sie MDATP_MDAV_MAU_settings.plist aus.

   

10. Wählen Sie Hochladen aus.

    

11. Klicken Sie auf Speichern.

    

12. Wählen Sie die Registerkarte Bereich aus.

    

13. Klicken Sie auf Hinzufügen.

    

    

    

14. Wählen Sie Fertig aus.

    

Schritt 6: Gewähren des vollständigen Datenträgerzugriffs auf Microsoft Defender for Endpoint

Führen Sie die folgenden Schritte aus, um den Volldatenträgerzugriff auf Microsoft Defender for Endpoint über ein Jamf Pro-Konfigurationsprofil zu gewähren.

1. Wählen Sie im Jamf Pro-Dashboard Konfigurationsprofile aus.

   

2. Wählen Sie + Neu aus.

3. Geben Sie auf der Registerkarte Allgemein die folgenden Details an:

   • Name: MDATP MDAV - grant Full Disk Access to EDR and AV
   • Beschreibung: On macOS 11 (Big Sur) or later, the new Privacy Preferences Policy Control
   • Kategorie: None
   • Verteilungsmethode: Install Automatically
   • Ebene: Computer level

   

4. Wählen Sie in Richtliniensteuerung für Datenschutzeinstellungen konfigurieren die Option Konfigurieren aus.

   

5. Geben Sie unter Datenschutzeinstellungen-Richtliniensteuerung die folgenden Details ein:

   • Bezeichner: com.microsoft.wdav
   • Bezeichnertyp: Bundle ID
   • Codeanforderung: identifier "com.microsoft.wdav" and anchor apple generic and certificate 1[field.1.2.840.113635.100.6.2.6] /* exists */ and certificate leaf[field.1.2.840.113635.100.6.1.13] /* exists */ and certificate leaf[subject.OU] = UBF8T346G9

   

6. Wählen Sie + Hinzufügen aus.

   

   • Wählen Sie unter App oder Dienstdie Option SystemPolicyAllFiles aus.
   • Wählen Sie unter Zugriff die Option Zulassen aus.

7. Wählen Sie Speichern aus (nicht die unten rechts).

   

8. Wählen Sie das + Zeichen neben App Access aus, um einen neuen Eintrag hinzuzufügen.

   

9. Geben Sie die folgenden Details ein:

   • Bezeichner: com.microsoft.wdav.epsext
   • Bezeichnertyp: Bundle ID
   • Codeanforderung: identifier "com.microsoft.wdav.epsext" and anchor apple generic and certificate 1[field.1.2.840.113635.100.6.2.6] /* exists */ and certificate leaf[field.1.2.840.113635.100.6.1.13] /* exists */ and certificate leaf[subject.OU] = UBF8T346G9

10. Wählen Sie + Hinzufügen aus.

    

    • Wählen Sie unter App oder Dienstdie Option SystemPolicyAllFiles aus.
    • Wählen Sie unter Zugriff die Option Zulassen aus.

11. Wählen Sie Speichern aus (nicht die unten rechts).

    

12. Wählen Sie die Registerkarte Bereich aus.

    

13. Wählen Sie + Hinzufügen aus.

    

14. Wählen Sie Computergruppen und unter Gruppenname die Option MachineGroup von Contoso aus.

    

15. Klicken Sie auf Hinzufügen. Klicken Sie dann auf Speichern.

16. Wählen Sie Fertig aus.

    

    

Alternativ können Sie fulldisk.mobileconfig herunterladen und in Jamf-Konfigurationsprofile hochladen, wie unter Bereitstellen von benutzerdefinierten Konfigurationsprofilen mit Jamf Pro|Methode 2: Hochladen eines Konfigurationsprofils in Jamf Pro.

Schritt 7: Genehmigen von Systemerweiterungen für Microsoft Defender for Endpoint

Führen Sie die folgenden Schritte aus, um die Microsoft Defender for Endpoint Systemerweiterungen in Jamf Pro zu genehmigen.

1. Wählen Sie unter Konfigurationsprofiledie Option + Neu aus.

   

2. Geben Sie auf der Registerkarte Allgemein die folgenden Details an:

   • Name: MDATP MDAV System Extensions
   • Beschreibung: MDATP system extensions
   • Kategorie: None
   • Verteilungsmethode: Install Automatically
   • Ebene: Computer Level

   

3. Wählen Sie unter Systemerweiterungendie Option Konfigurieren aus.

   

4. Geben Sie unter Systemerweiterungen die folgenden Details ein:

   • Anzeigename: Microsoft Corp. System Extensions
   • Systemerweiterungstypen: Allowed System Extensions
   • Teambezeichner: UBF8T346G9
   • Zulässige Systemerweiterungen:
     • com.microsoft.wdav.epsext
     • com.microsoft.wdav.netext

   

5. Wählen Sie die Registerkarte Bereich aus.

   

6. Wählen Sie + Hinzufügen aus.

7. Wählen Sie computergruppen> unter Gruppenname> die Option Computergruppe von Contoso aus.

8. Wählen Sie + Hinzufügen aus.

   

9. Klicken Sie auf Speichern.

   

10. Wählen Sie Fertig aus.

    

Schritt 8: Konfigurieren der Netzwerkerweiterung

Im Rahmen der Endpunkterkennungs- und -antwortfunktionen untersucht Microsoft Defender for Endpoint unter macOS den Socketdatenverkehr und meldet diese Informationen an das Microsoft Defender-Portal.

1. Wählen Sie im Jamf Pro-Dashboard Computer und dann Konfigurationsprofile aus.

2. Wählen Sie Neu aus, und geben Sie die folgenden Details unter Optionen ein:

3. Geben Sie auf der Registerkarte Allgemein die folgenden Werte an:

   • Name: Microsoft Defender Network Extension
   • Beschreibung: macOS 11 (Big Sur) or later
   • Kategorie: None *(default)*
   • Verteilungsmethode: Install Automatically *(default)*
   • Ebene: Computer Level *(default)*

4. Geben Sie auf der Registerkarte Inhaltsfilter die folgenden Werte an:

   • Filtername: Microsoft Defender Content Filter
   • Bezeichner: com.microsoft.wdav
   • Lassen Sie Dienstadresse, Organisation, Benutzername, Kennwort, Zertifikat leer (Einschließen ist nicht ausgewählt)
   • Filterreihenfolge: Inspector
   • Socketfilter: com.microsoft.wdav.netext
   • Festgelegte Anforderung für Socketfilter: identifier "com.microsoft.wdav.netext" and anchor apple generic and certificate 1[field.1.2.840.113635.100.6.2.6] /* exists */ and certificate leaf[field.1.2.840.113635.100.6.1.13] /* exists */ and certificate leaf[subject.OU] = UBF8T346G9
   • Lassen Sie die Felder des Netzwerkfilters leer (Einschließen ist nicht ausgewählt)

   Stellen Sie sicher, dass Bezeichner auf com.microsoft.wdav festgelegt ist, Socket Filter auf com.microsoft.wdav.netext festgelegt ist und Socket Filter Designated Requirement der in der vorherigen Liste gezeigten Code-Signatur-Anforderung entspricht.

   

5. Wählen Sie die Registerkarte Bereich aus.

   

6. Wählen Sie + Hinzufügen aus. Wählen Sie Computergruppen und dann unter Gruppenname die Option Computergruppe von Contoso aus. Wählen Sie dann + Hinzufügen aus.

   

7. Klicken Sie auf Speichern.

   

8. Wählen Sie Fertig aus.

   

Alternativ können Sie netfilter.mobileconfig herunterladen und in Jamf-Konfigurationsprofile hochladen, wie unter Bereitstellen von benutzerdefinierten Konfigurationsprofilen mit Jamf Pro beschrieben.

Schritt 9: Konfigurieren von Hintergrunddiensten

Laden Sie background_services.mobileconfig aus dem Repository für Microsoft Defender for Endpoint macOS-mobileconfig-Profile herunter.

Laden Sie die heruntergeladene mobileconfig-Datei in die Jamf-Konfigurationsprofile hoch gemäß Benutzerdefinierte Konfigurationsprofile mit Jamf Pro bereitstellen|Methode 2: Ein Konfigurationsprofils in Jamf Pro hochladen.

Schritt 10: Erteilen von Bluetooth-Berechtigungen

Laden Sie bluetooth.mobileconfig aus dem Repository für macOS-mobileconfig-Profile von Microsoft Defender for Endpoint herunter.

• Sie müssen mindestens ein Signaturzertifikat in Ihrem KeyChain installiert haben, selbst ein selbstsigniertes Zertifikat funktioniert. Um den Zertifikatnamen zu finden, den Sie zum Signieren des Konfigurationsprofils benötigen, führen Sie die verfügbaren Codesignaturidentitäten auf:

  > /usr/bin/security find-identity -p codesigning -v
  
    1) 70E46A47F552EA8D58521DAC1E7F5144BA3012BC "DevCert"
    2) 67FC43F3FAB77662BB7688C114585BAA37CA8175 "Mac Developer: John Doe (1234XX234)"
    3) E142DFD879E5EB60FA249FB5B24CEAE3B370394A "Apple Development: Jane Doe 7XX7778888)"
    4) 21DE31645BBF1D9F5C46E82E87A6968111E41C75 "Apple Development: me@example.com (8745XX123)"
       4 valid identities found
  

Wählen Sie eine der aufgeführten Signaturidentitäten aus, und geben Sie den an zitierten Zertifikatnamen als -N Parameter an:

/usr/bin/security cms -S -N "DevCert" -i bluetooth.mobileconfig -o bluetooth-signed.mobileconfig

Jetzt können Sie die generierte Datei „bluetooth-signed“ hochladen. Mobileconfig in Jamf Pro, wie in Bereitstellen von benutzerdefinierten Konfigurationsprofilen mit Jamf Pro|Methode 2: Hochladen eines Konfigurationsprofils zu Jamf Pro beschrieben.

Schritt 11: Planen von Überprüfungen mit Microsoft Defender for Endpoint unter macOS

Befolgen Sie die Anweisungen unter Planen von Überprüfungen mit Microsoft Defender for Endpoint unter macOS.

Schritt 12: Bereitstellen von Microsoft Defender for Endpoint unter macOS

Laden Sie das Microsoft Defender for Endpoint-Paket auf Jamf Pro hoch, und erstellen Sie eine Bereitstellungsrichtlinie, um es auf Ihre macOS-Geräte zu verteilen.

1. Navigieren Sie zu dem Ort, an dem Sie wdav.pkg gespeichert haben.

   

2. Benennen Sie es in wdav_MDM_Contoso_200329.pkg um.

   

3. Öffnen Sie das Dashboard von Jamf Pro.

   

4. Wählen Sie Ihren Computer aus, wählen Sie oben das Zahnradsymbol und dann Computerverwaltung aus.

   

5. Wählen Sie unter Paketedie Option + Neu aus.

   

6. Geben Sie auf der Registerkarte Allgemein unter Neues Paket die folgenden Details an:

   • Anzeigename: Lassen Sie ihn vorerst leer. Denn es wird zurückgesetzt, wenn Sie Ihr pkg auswählen.
   • Kategorie: None (default)
   • Dateiname: Choose File

   

7. Öffnen Sie die Datei, und verweisen Sie auf wdav.pkg oder wdav_MDM_Contoso_200329.pkg.

   

8. Klicken Sie auf Öffnen. Legen Sie den Anzeigenamen auf Microsoft Defender Erweiterter Schutz vor Bedrohungen und Microsoft Defender Antivirus fest.

   • Die Manifestdatei ist nicht erforderlich. Microsoft Defender for Endpoint funktioniert ohne Manifestdatei.
   • Registerkarte "Optionen": Standardwerte beibehalten.
   • Registerkarte "Einschränkungen": Standardwerte beibehalten.

   

9. Klicken Sie auf Speichern. Das Paket wird in Jamf Pro hochgeladen.

   

   Es kann einige Minuten dauern, bis das Paket für die Bereitstellung verfügbar ist.

   

10. Navigieren Sie zur Seite Richtlinien .

    

11. Wählen Sie + Neu aus, um eine neue Richtlinie zu erstellen.

    

12. Verwenden Sie in Allgemein für den AnzeigenamenMDATP Onboarding Contoso 200329 v100.86.92 or later.

    

13. Wählen Sie Wiederkehrendes Einchecken aus.

    

14. Klicken Sie auf Speichern. Wählen Sie dann Pakete und dannKonfigurieren aus.

    

15. Wählen Sie die Schaltfläche Hinzufügen neben Microsoft Defender Erweiterter Schutz vor Bedrohungen und Microsoft Defender Antivirus aus.

    

16. Klicken Sie auf Speichern.

    

Erstellen Sie eine intelligente Gruppe für Computer mit Microsoft Defender Profilen.

Für eine bessere Benutzerfreundlichkeit müssen Konfigurationsprofile für registrierte Computer vor dem Paket von Microsoft Defender installiert werden. In den meisten Fällen überträgt JamF Pro Konfigurationsprofile sofort, und diese Richtlinien werden erst nach einiger Zeit ausgeführt, das heißt beim Check-in. In einigen Fällen kann die Bereitstellung von Konfigurationsprofilen jedoch mit einer erheblichen Verzögerung bereitgestellt werden (das heißt, wenn der Computer eines Benutzers gesperrt ist).

Jamf Pro bietet eine Möglichkeit, die richtige Reihenfolge sicherzustellen. Sie können eine intelligente Gruppe für Computer erstellen, die bereits das Konfigurationsprofil Microsoft Defender erhalten haben, und das Paket von Microsoft Defender nur auf diesen Computern installieren (und sobald sie dieses Profil erhalten).

Führen Sie die folgenden Schritte aus, um die intelligente Gruppe zu erstellen und die Paketrichtlinie zu beschränken:

1. Erstellen Sie eine intelligente Gruppe. Öffnen Sie in einem neuen Browserfenster Smart Computers-Gruppen.

2. Wählen Sie Neu aus, und geben Sie Ihrer Gruppe einen Namen.

3. Wählen Sie auf der Registerkarte Kriterien die Option Hinzufügen und dann Erweiterte Kriterien anzeigen aus.

4. Wählen Sie Profilname als Kriterium aus, und verwenden Sie den Namen eines zuvor erstellten Konfigurationsprofils als Wert:

   

5. Klicken Sie auf Speichern.

6. Zurück zu dem Fenster, in dem Sie eine Paketrichtlinie konfigurieren.

7. Wählen Sie die Registerkarte Bereich aus.

   

8. Wählen Sie die Zielcomputer aus.

   

9. Wählen Sie unter Bereich die Option Hinzufügen aus.

   

10. Wechseln Sie zur Registerkarte Computergruppen . Suchen Sie die intelligente Gruppe, die Sie erstellt haben, und wählen Sie dann Hinzufügen aus.

    

11. Wenn Sie möchten, dass Benutzer Defender für Endpunkt freiwillig (oder bei Bedarf) installieren, wählen Sie Self-Service aus.

    

12. Wählen Sie Fertig aus.

    

    

Überprüfen Sie den Gültigkeitsbereich des Konfigurationsprofils für alle Defender-Profile

Jamf erfordert, dass Sie einen Satz von Computern für jedes Konfigurationsprofil definieren. Stellen Sie sicher, dass alle Computer, die das Defender Paket erhalten, auch alle diese Profile erhalten:

• Onboarding (Schritt 2)
• Defender für Endpunkteinstellungen (Schritt 3)
• Benachrichtigungen (Schritt 4)
• Microsoft AutoUpdate (Schritt 5)
• Vollständiger Datenträgerzugriff (Schritt 6)
• Systemerweiterungen (Schritt 7)
• Netzwerkerweiterung (Schritt 8)
• Hintergrunddienste (Schritt 9)
• Bluetooth-Berechtigungen (Schritt 10)