Planen von Überprüfungen mit Microsoft Defender for Endpoint unter macOS

  • Gilt für:: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Geplante Antivirenscans helfen sicherzustellen, dass macOS-Geräte regelmäßig gescannt werden, ohne dass die Nutzer Scans starten müssen. Sicherheitsadministratoren können stündliche oder tägliche Schnellscans sowie wöchentliche schnelle oder vollständige Scans konfigurieren und mehrere Zeitpläne auf demselben Gerät verwenden. Nutzen Sie diese Anleitung, um Scanpläne über ein Mobile Device Management (MDM)-Profil bereitzustellen oder sie lokal mit dem mdatp Kommandozeilen-Tool zu konfigurieren.

Voraussetzungen

Verstehen Sie die geplanten Scan-Optionen

Neben dem Start von Scans auf Abruf sollten Sie die Scans in regelmäßigen Abständen oder zu bestimmten Zeiten planen. Planen Sie zum Beispiel zu Beginn jedes Arbeitstages einen schnellen Scan und einmal pro Woche einen vollständigen Scan.

Defender for Endpoint unterstützt Stunden-, Tages- und Wochenpläne. Bei stündlicher und täglicher Planung werden schnelle Scans durchgeführt. Wochenpläne können schnelle oder vollständige Scans durchführen. Du kannst alle drei Zeitplantypen gleichzeitig konfigurieren. Sehen Sie sich das Beispiel für tägliche und wöchentliche Überprüfungen sowie das Beispiel für stündliche, tägliche und wöchentliche Überprüfungen an.

Scans mit einem Konfigurationsprofil planen

Verwenden Sie die Wörterbücher scheduledScan und features in einem Defender for Endpoint-Konfigurationsprofil, um geplante Scans zu erstellen.

Die Beispiele von Microsoft Intune und Jamf Pro verwenden Apple-Property-List-XML. Speichere Intune-Profile mit der .xml Erweiterung und Jamf Pro-Property-Listen mit der Erweiterung .plist . Weitere Informationen zum XML-Format finden Sie in der Apple Information Property List Dateireferenz.

Verwenden Sie die folgenden Einstellungen, um die Scan-Pläne zu definieren:

Tipp

Zeitpläne basieren auf der lokalen Zeitzone des Geräts.

Einstellung Description Werte Vorgabe
features.scheduledScan Schaltet die geplante Scan-Funktion ein oder aus. enabled, disabled disabled wenn keine tägliche oder wöchentliche Konfiguration vorhanden ist
dailyConfiguration.interval Führt alle festgelegten Stunden einen intervallbasierten Schnellscan durch. 0 bis 24. 0 deaktiviert intervallbasierte Scans. 0
dailyConfiguration.timeOfDay Führt täglich einen Schnellscan um die angegebene Anzahl von Minuten nach Mitternacht durch. 0 bis 1440 0
weeklyConfiguration.dayOfWeek Gibt an, wann ein wöchentlicher Scan durchgeführt wird. 0: Niemals
1: Sonntag
2: Montag
3: Dienstag
4: Mittwoch
5: Donnerstag
6: Freitag
7: Samstag
8: Jeden Tag		 0
weeklyConfiguration.timeOfDay Führt einen wöchentlichen Scan bei der festgelegten Anzahl von Minuten nach Mitternacht durch. 0 bis 1440 Profilschema: 0
mdatp Kommandozeilen-Schnittstelle: 120
weeklyConfiguration.scanType Spezifiziert den wöchentlichen Scan-Typ. quick, full quick
ignoreExclusions Spezifiziert, ob der geplante Scan konfigurierte Ausschlüsse ignoriert. true, false false
lowPriorityScheduledScan Führt geplante Scans mit reduzierter CPU-Priorität durch. Der Scan könnte länger dauern. true, false false
checkForDefinitionsUpdate Überprüft Sicherheitsinformationen vor Beginn eines geplanten Scans. true, false false
randomizeScanStartTime Randomisiert die täglichen und wöchentlichen Scan-Startzeiten um bis zur festgelegten Stundenanzahl. 0 bis 23 0
runScanWhenIdle Verzögert einen wöchentlichen vollständigen Scan, bis das Gerät ungenutzt ist. true, false false

Die Tages- interval und timeOfDay Einstellungen erstellen unabhängige Schnellscan-Pläne. Wenn du beide Einstellungen einstellst, kann es sein, dass täglich mehr als ein Schnellscan durchgeführt wird.

Beispiel 1: Planen Sie einen täglichen Schnellscan und einen wöchentlichen vollständigen Scan

Die folgenden Profile zeigen einen täglichen Schnellscan und einen wöchentlichen vollständigen Scan am Mittwoch. Beide Profile ignorieren Ausschlüsse und verwenden eine Planung mit niedriger Priorität.

Verwenden Sie die Tabelle der geplanten Scan-Einstellungen , um die Beispielzeiten durch die von Ihrer Organisation geforderten Werte zu ersetzen.

Öffnen Sie einen Texteditor und verwenden Sie das Intune-Profil oder die Jamf Pro-Property-Liste als Leitfaden.

Für Microsoft Intune

Das folgende Beispiel definiert ein vollständiges Intune-Konfigurationsprofil, das einen täglichen Schnellscan und einen wöchentlichen vollständigen Scan ermöglicht.

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
    <key>PayloadUUID</key>
    <string>C4E6A782-0C8D-44AB-A025-EB893987A295</string>
    <key>PayloadType</key>
    <string>Configuration</string>
    <key>PayloadOrganization</key>
    <string>Microsoft</string>
    <key>PayloadIdentifier</key>
    <string>C4E6A782-0C8D-44AB-A025-EB893987A295</string>
    <key>PayloadDisplayName</key>
    <string>Microsoft Defender for Endpoint settings</string>
    <key>PayloadDescription</key>
    <string>Microsoft Defender for Endpoint configuration settings</string>
    <key>PayloadVersion</key>
    <integer>1</integer>
    <key>PayloadEnabled</key>
    <true/>
    <key>PayloadRemovalDisallowed</key>
    <true/>
    <key>PayloadScope</key>
    <string>System</string>
    <key>PayloadContent</key>
    <array>
        <dict>
            <key>PayloadUUID</key>
            <string>99DBC2BC-3B3A-46A2-A413-C8F9BB9A7295</string>
            <key>PayloadType</key>
            <string>com.microsoft.wdav</string>
            <key>PayloadOrganization</key>
            <string>Microsoft</string>
            <key>PayloadIdentifier</key>
            <string>99DBC2BC-3B3A-46A2-A413-C8F9BB9A7295</string>
            <key>PayloadDisplayName</key>
            <string>Microsoft Defender for Endpoint configuration settings</string>
            <key>PayloadDescription</key>
            <string/>
            <key>PayloadVersion</key>
            <integer>1</integer>
            <key>PayloadEnabled</key>
            <true/>
            <key>features</key>
            <dict>
                <key>scheduledScan</key>
                <string>enabled</string>
            </dict>
            <key>scheduledScan</key>
            <dict>
                <key>ignoreExclusions</key>
                <true/>
                <key>lowPriorityScheduledScan</key>
                <true/>
                <key>dailyConfiguration</key>
                <dict>
                    <key>timeOfDay</key>
                    <integer>880</integer>
                </dict>
                <key>weeklyConfiguration</key>
                <dict>
                    <key>dayOfWeek</key>
                    <integer>4</integer>
                    <key>timeOfDay</key>
                    <integer>885</integer>
                    <key>scanType</key>
                    <string>full</string>
                </dict>
            </dict>
        </dict>
    </array>
</dict>
</plist>

Speichern Sie die Datei als com.microsoft.wdav.xml.

Für Jamf Pro und kompatible MDM-Lösungen

Die folgende Immobilienliste konfiguriert einen täglichen Schnellscan und einen wöchentlichen vollständigen Scan für Jamf Pro und andere MDM-Lösungen, die Immobilienlisten akzeptieren. Speichere den Inhalt als com.microsoft.wdav.plist.

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
    <key>features</key>
    <dict>
        <key>scheduledScan</key>
        <string>enabled</string>
    </dict>
    <key>scheduledScan</key>
    <dict>
        <key>ignoreExclusions</key>
        <true/>
        <key>lowPriorityScheduledScan</key>
        <true/>
        <key>dailyConfiguration</key>
        <dict>
            <key>timeOfDay</key>
            <integer>885</integer>
        </dict>
        <key>weeklyConfiguration</key>
        <dict>
            <key>dayOfWeek</key>
            <integer>4</integer>
            <key>timeOfDay</key>
            <integer>880</integer>
            <key>scanType</key>
            <string>full</string>
        </dict>
    </dict>
</dict>
</plist>

Speichern Sie die Datei als com.microsoft.wdav.plist.

Nachdem Sie das Profil bereitgestellt haben, überprüfen Sie, ob der geplante Scan als verwaltete Präferenz konfiguriert ist, indem Sie folgenden Befehl ausführen:

mdatp health --details scheduled_scan

Vergewissern Sie sich in den Ergebnissen, dass der geplante Scan managed meldet.

Beispiel 2: Planen Sie intervallbasierte und tägliche Schnellscans sowie einen wöchentlichen vollständigen Scan

Die folgenden Profile zeigen einen intervallbasierten Schnellscan, einen täglichen Schnellscan und einen wöchentlichen vollständigen Scan am Mittwoch.

Öffnen Sie einen Texteditor und verwenden Sie das Intune-Profil oder die Jamf Pro-Property-Liste als Leitfaden.

Für Microsoft Intune

Das folgende Beispiel packt die geplanten Scan-Einstellungen in ein vollständiges Intune-Konfigurationsprofil.

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
     <key>PayloadUUID</key>
     <string>C4E6A782-0C8D-44AB-A025-EB893987A295</string>
     <key>PayloadType</key>
     <string>Configuration</string>
     <key>PayloadOrganization</key>
     <string>Microsoft</string>
     <key>PayloadIdentifier</key>
     <string>C4E6A782-0C8D-44AB-A025-EB893987A295</string>
     <key>PayloadDisplayName</key>
     <string>Microsoft Defender for Endpoint settings</string>
     <key>PayloadDescription</key>
     <string>Microsoft Defender for Endpoint configuration settings</string>
     <key>PayloadVersion</key>
     <integer>1</integer>
     <key>PayloadEnabled</key>
     <true/>
     <key>PayloadRemovalDisallowed</key>
     <true/>
     <key>PayloadScope</key>
     <string>System</string>
     <key>PayloadContent</key>
     <array>
       <dict>
           <key>PayloadUUID</key>
           <string>99DBC2BC-3B3A-46A2-A413-C8F9BB9A7295</string>
           <key>PayloadType</key>
           <string>com.microsoft.wdav</string>
           <key>PayloadOrganization</key>
           <string>Microsoft</string>
           <key>PayloadIdentifier</key>
           <string>99DBC2BC-3B3A-46A2-A413-C8F9BB9A7295</string>
           <key>PayloadDisplayName</key>
           <string>Microsoft Defender for Endpoint configuration settings</string>
           <key>PayloadDescription</key>
           <string/>
           <key>PayloadVersion</key>
           <integer>1</integer>
           <key>PayloadEnabled</key>
           <true/>
    <key>features</key>
    <dict>
        <key>scheduledScan</key>
        <string>enabled</string>
    </dict>
<key>scheduledScan</key>
<dict>
    <key>ignoreExclusions</key>
    <true/>
    <key>lowPriorityScheduledScan</key>
    <true/>
    <key>dailyConfiguration</key>
    <dict>
        <key>timeOfDay</key>
        <integer>885</integer>
        <key>interval</key>
        <integer>1</integer>
    </dict>
    <key>weeklyConfiguration</key>
    <dict>
        <key>dayOfWeek</key>
        <integer>4</integer>
        <key>timeOfDay</key>
        <integer>880</integer>
        <key>scanType</key>
        <string>full</string>
        </dict>
        </dict>
    </dict>
</array>
</dict>
</plist>

Speichern Sie die Datei als com.microsoft.wdav.xml.

Für Jamf Pro und kompatible MDM-Lösungen

Die folgende Eigenschaftsliste konfiguriert intervallbasierte, tägliche und wöchentliche Scans für Jamf Pro und andere MDM-Lösungen, die Eigenschaftslisten akzeptieren. Speichere den Inhalt als com.microsoft.wdav.plist.

<?xml version="1.0" encoding="UTF-8"?><!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
    <plist version="1.0">
    <dict>
        <key>features</key>
        <dict>
            <key>scheduledScan</key>
            <string>enabled</string>
        </dict>
    <key>scheduledScan</key>
    <dict>
        <key>ignoreExclusions</key>
        <true/>
        <key>lowPriorityScheduledScan</key>
        <true/>
        <key>dailyConfiguration</key>
        <dict>
            <key>timeOfDay</key>
            <integer>885</integer>
            <key>interval</key>
            <integer>1</integer>
        </dict>
        <key>weeklyConfiguration</key>
        <dict>
            <key>dayOfWeek</key>
            <integer>4</integer>
            <key>timeOfDay</key>
            <integer>880</integer>
            <key>scanType</key>
            <string>full</string>
            </dict>
            </dict>
        </dict>
    </plist>

Speichern Sie die Datei als com.microsoft.wdav.plist.

Setzen Sie das Konfigurationsprofil bereit

Bereitstellen mit Microsoft Intune

Microsoft Intune ist das empfohlene Werkzeug zum Konfigurieren und Verteilen von Microsoft Defender for Endpoint-Funktionen auf Geräten. Intune ist jedoch ein separates Produkt, das nicht Teil von Defender für Endpunkt ist und nicht in allen Abonnements enthalten ist. Um Intune zu verwenden, benötigen Sie ein Abonnement, das es enthält, oder Sie können es separat als eigenständiges Abonnement oder Add-On kaufen. Wenn Sie nicht über Intune verfügen, können Sie eine der anderen Methoden in diesem Artikel verwenden. Weitere Informationen finden Sie unter Microsoft Intune-Lizenzierung.

Um das benutzerdefinierte Konfigurationsprofil in Intune zu erstellen und bereitzustellen, siehe Set policies in Microsoft Intune. Verwenden Sie com.microsoft.wdav als Konfigurationsprofilnamen, wählen Sie den Gerätekanal und laden Sie die .xml Datei hoch.

Einsatz mit Jamf Pro

Jamf Pro ist ein separates Drittanbieterprodukt, das nicht Teil von Defender for Endpoint ist und nicht in den Defender for Endpoint-Abonnements enthalten ist. Um Jamf Pro zu nutzen, benötigt Ihre Organisation ein separates Jamf Pro-Abonnement. Für Produkt- und Abonnementinformationen siehe Jamf Pro. Wenn Ihre Organisation Jamf Pro nicht nutzt, verwenden Sie eine andere Konfigurationsmethode in diesem Artikel, falls verfügbar.

Für den gepflegten Defender for Endpoint-Workflow siehe Deploy Microsoft Defender for Endpoint on macOS with Jamf Pro.

Folgen Sie den Jamf-Anweisungen, um ein benutzerdefiniertes Computerkonfigurationsprofil bereitzustellen. Verwenden Sie entweder die Eigenschaftsliste aus Beispiel 1 oder Beispiel 2 und setzen Sie die Präferenzdomäne auf com.microsoft.wdav.

Für eine MDM-Lösung, die Eigentumslisten-Payloads unterstützt, folgen Sie den Anweisungen des Anbieters und der Profilbereitstellungsanleitung in Deploy Microsoft Defender for Endpoint auf macOS mit einer anderen MDM-Lösung.

Nachdem Jamf Pro das Profil bereitgestellt hat, überprüfen Sie die geplante Scan-Konfiguration, indem Sie folgenden Befehl ausführen:

mdatp health --details scheduled_scan

Überprüfen Sie in den Ergebnissen, ob der geplante Scan managed meldet.

Konfigurieren Sie geplante Scans mit der mdatp-CLI

Verwenden Sie das Microsoft Defender for Endpoint Kommandozeilen-Tool (mdatp), um geplante Scans lokal vom Terminal aus zu konfigurieren. Die Kommandozeilenkonfiguration ist am nützlichsten für Tests oder einzelne Geräte. Verwenden Sie ein MDM-Profil für verwaltete Deployments.

Aktivieren Sie die Funktion des geplanten Scans:

sudo mdatp config scheduled-scan settings feature --value enabled

Intervallbasierte Schnellscans konfigurieren:

sudo mdatp config scheduled-scan quick-scan hourly-interval --value <arg>

Screenshot des mdatp-Stundenintervall-Befehls, der Werte von 0 bis 24 Stunden zeigt.

Konfigurieren Sie einen täglichen Schnellscan:

sudo mdatp config scheduled-scan quick-scan time-of-day --value <arg>

Screenshot der Hilfe zum täglichen mdatp-Scanbefehl, der Minuten nach Mitternacht von 0 bis 1440 anzeigt.

Konfigurieren Sie einen wöchentlichen Scan:

sudo mdatp config scheduled-scan weekly-scan --day-of-week <arg> --time-of-day <arg> --scan-type <arg>

Screenshot der Hilfe zum mdatp-Befehl für den wöchentlichen Scan mit Optionen für Tag, Uhrzeit und Scantyp.

Sie können auch Updates der Sicherheitsintelligenz und die Ausführung mit niedriger Priorität konfigurieren:

  • Um Sicherheitsinformationen vor geplanten Scans zu überprüfen:

    sudo mdatp config scheduled-scan settings check-for-definitions --value true

  • So verwenden Sie Threads mit niedriger Priorität für geplante Überprüfungen:

    sudo mdatp config scheduled-scan settings low-priority --value true

Überprüfen Sie, ob geplante Scans durchgeführt wurden

Um abgeschlossene geplante Scans und ihre Ergebnisse aufzulisten, führen Sie mdatp scan list aus:

Screenshot des mdatp-Scan-Listen-Befehls, der im Terminal eingegeben wurde.

Screenshot eines abgeschlossenen Schnellscans, der einen erfolgreichen Zustand, Dauer, gescannte Dateien und erkannte Bedrohungen zeigt.

Wichtig

Wenn sich das Gerät zum geplanten Zeitpunkt im Ruhezustand befindet, wird der Scan ausgeführt, sobald das Gerät den Ruhezustand beendet. Wenn das Gerät ausgeschaltet ist, läuft der Scan zur nächsten geplanten Zeit.

  • Zuletzt aktualisiert um