Schützen von macOS-Sicherheitseinstellungen mit Manipulationsschutz

Der Manipulationsschutz in macOS verhindert, dass unerwünschte Änderungen an Den Sicherheitseinstellungen von nicht autorisierten Benutzern vorgenommen werden. Manipulationsschutz trägt dazu bei, das nicht autorisierte Entfernen von Microsoft Defender for Endpoint unter macOS zu verhindern. Der Manipulationsschutz verhindert außerdem, dass wichtige Sicherheitsdateien, Prozesse und Konfigurationseinstellungen manipuliert werden.

Sie können die Einstellung "Manipulationsschutz" in den folgenden Modi festlegen:

Wenn der Manipulationsschutz auf den Überwachungs- oder Blockmodus festgelegt ist, können Sie die folgenden Ergebnisse erwarten:

Überwachungsmodus:

• Aktionen zum Deinstallieren des Defender für Endpunkt-Agents werden protokolliert (überwacht)
• Bearbeitung/Änderung von Defender für Endpunkt-Dateien werden protokolliert (überwacht)
• Die Erstellung neuer Dateien unter dem Speicherort von Defender für Endpunkt wird protokolliert (überwacht)
• Das Löschen von Defender für Endpunkt-Dateien wird protokolliert (überwacht)
• Das Umbenennen von Defender für Endpunkt-Dateien wird protokolliert (überwacht)

Blockmodus:

• Aktionen zum Deinstallieren des Defender für Endpunkt-Agents sind blockiert
• Die Bearbeitung/Änderung von Defender für Endpunkt-Dateien wird blockiert
• Die Erstellung neuer Dateien unter dem Speicherort von Defender für Endpunkt ist blockiert.
• Das Löschen von Defender für Endpunkt-Dateien ist blockiert.
• Das Umbenennen von Defender für Endpunkt-Dateien ist blockiert.
• Fehler bei Befehlen zum Beenden des Agents (wdavdaemon)

Hier sehen Sie ein Beispiel für eine Systemnachricht als Reaktion auf eine blockierte Aktion:

Sie können den Manipulationsschutz konfigurieren, indem Sie die Erzwingungsebene auf disabled, , auditoder block.

Bevor Sie beginnen

Stellen Sie sicher, dass folgende Anforderungen erfüllt sind:

• Unterstützte macOS-Versionen: Big Sur (11) oder höher
• Erforderliche Mindestversion für Defender für Endpunkt: 101.70.19
• Ihnen ist eine entsprechende Rolle zugewiesen (siehe Erstellen und Verwalten von Rollen für die rollenbasierte Zugriffssteuerung).

Dringend empfohlene Einstellungen:

• Systemintegritätsschutz (SIP) aktiviert. Weitere Informationen finden Sie unter Deaktivieren und Aktivieren des Systemintegritätsschutzes.

• Verwenden Sie ein Mdm-Tool (Mobile Device Management), um Microsoft Defender for Endpoint zu konfigurieren.

• Stellen Sie sicher, dass Defender für Endpunkt über die Vollzugriffsautorisierung verfügt .

  Hinweis

  Sowohl die Aktivierung von SIP als auch die gesamte Konfiguration über MDM ist nicht obligatorisch, ist aber für ein vollständig gesichertes Gerät erforderlich. Andernfalls kann ein lokaler Administrator Manipulationsänderungen vornehmen, die von macOS verwaltet werden. Wenn Sie beispielsweise TCC (Transparenz, Zustimmung & Kontrolle) über eine Mobile Geräteverwaltung-Lösung wie Intune aktivieren, entfällt das Risiko, dass ein Sicherheitsadministrator die Vollzugriffsautorisierung durch einen lokalen Administrator widerruft.

Konfigurieren des Manipulationsschutzes auf macOS-Geräten

Microsoft Defender wertet diese Einstellungen in der folgenden Reihenfolge aus. Wenn eine Einstellung mit höherer Priorität konfiguriert ist, werden die übrigen ignoriert:

1. Verwaltetes Konfigurationsprofil (Einstellung tamperProtection/enforcementLevel):

   • JAMF
   • Intune

2. Manuelle Konfiguration (mit mdatp config tamper-protection enforcement-level --value { disabled|audit|block })

3. Wenn der Manipulationsschutz im Microsoft Defender-Portal aktiviert ist, wird der Modus "Blockieren" verwendet.

4. Wenn der Manipulationsschutz im Microsoft Defender-Portal deaktiviert ist:

   • Geräte mit einer gültigen Lizenz verwenden standardmäßig den Überwachungsmodus.
   • Für Geräte ohne Lizenz wird standardmäßig der Modus "deaktiviert" verwendet.

Überprüfen der Geräteintegrität und -lizenz

Führen Sie den folgenden Integritätsprüfungsbefehl aus, um zu überprüfen, ob Defender für Endpunkt fehlerfrei und ordnungsgemäß auf dem Gerät lizenziert ist:

mdatp health

healthy                                     : true
health_issues                               : []
licensed                                    : true
...
tamper_protection                           : "audit"

tamper_protection gibt die effektive Erzwingungsstufe an.

Manuelle Konfiguration

Im block Modus verhindert manipulationsschutz aktiv nicht autorisierte Änderungen an Defender für Endpunkteinstellungen, Dateien und Prozesse. Führen Sie die folgenden Schritte aus, um den Blockmodus manuell zu aktivieren:

1. Verwenden Sie den folgenden Befehl, um in den Blockmodus zu wechseln:

     sudo mdatp config tamper-protection enforcement-level --value block
   

   

   Hinweis

   Sie müssen ein verwaltetes Konfigurationsprofil (bereitgestellt über MDM) auf Produktionsgeräten verwenden. Wenn ein lokaler Administrator den Manipulationsschutzmodus über eine manuelle Konfiguration geändert hat, kann er ihn auch jederzeit in einen weniger restriktiven Modus ändern. Wenn der Manipulationsschutzmodus über ein verwaltetes Profil festgelegt wurde, kann nur ein Sicherheitsadministrator dies rückgängig machen.

2. Überprüfen Sie das Ergebnis.

healthy                                     : true
health_issues                               : []
licensed                                    : true
engine_version                              : "1.1.19300.3"
app_version                                 : "101.70.19"
org_id                                      : "..."
log_level                                   : "info"
machine_guid                                : "..."
release_ring                                : "InsiderFast"
product_expiration                          : Dec 29, 2022 at 09:48:37 PM
cloud_enabled                               : true
cloud_automatic_sample_submission_consent   : "safe"
cloud_diagnostic_enabled                    : false
passive_mode_enabled                        : false
real_time_protection_enabled                : true
real_time_protection_available              : true
real_time_protection_subsystem              : "endpoint_security_extension"
network_events_subsystem                    : "network_filter_extension"
device_control_enforcement_level            : "audit"
tamper_protection                           : "block"
automatic_definition_update_enabled         : true
definitions_updated                         : Jul 06, 2022 at 01:57:03 PM
definitions_updated_minutes_ago             : 5
definitions_version                         : "1.369.896.0"
definitions_status                          : "up_to_date"
edr_early_preview_enabled                   : "disabled"
edr_device_tags                             : []
edr_group_ids                               : ""
edr_configuration_version                   : "20.199999.main.2022.07.05.02-ac10b0623fd381e28133debe14b39bb2dc5b61af"
edr_machine_id                              : "..."
conflicting_applications                    : []
network_protection_status                   : "stopped"
data_loss_prevention_status                 : "disabled"
full_disk_access_enabled                    : true

Beachten Sie, dass jetzt tamper_protection auf blockfestgelegt ist.

Konfigurieren des Manipulationsschutzes mit JAMF

Um den Manipulationsschutz im Blockmodus über JAMF zu aktivieren, fügen Sie Ihrem Microsoft Defender for Endpoint tamperProtection die folgenden Einstellungen hinzu:

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
  <dict>
    <key>tamperProtection</key>
    <dict>
      <key>enforcementLevel</key>
      <string>block</string>
    </dict>
  </dict>
</plist>

Konfigurieren des Manipulationsschutzes mit Intune

Sie können den Manipulationsschutz in Intune mithilfe des Einstellungskatalogs oder eines benutzerdefinierten Profils konfigurieren.

Konfigurieren des Manipulationsschutzes mithilfe des Intune-Einstellungskatalogs

Sie können ein neues Einstellungskatalogprofil erstellen, um die Manipulationsschutzkonfiguration hinzuzufügen, oder Sie können die Manipulationsschutzkonfiguration zu einem vorhandenen Profil hinzufügen. Die Einstellung "Erzwingungsstufe" befindet sich in der Kategorie "Microsoft Defender" und unter der Unterkategorie "Manipulationsschutz". Wählen Sie anschließend die gewünschte Ebene aus.

Konfigurieren des Manipulationsschutzes mithilfe eines benutzerdefinierten Intune-Profils

Statt den Einstellungskatalog zu verwenden, können Sie den Manipulationsschutz über ein benutzerdefiniertes Profil konfigurieren. Weitere Informationen finden Sie unter Festlegen von Einstellungen für Microsoft Defender for Endpoint unter macOS.

Das folgende Beispiel zeigt ein vollständiges benutzerdefiniertes Intune-Konfigurationsprofil, das den Manipulationsschutz im Sperrmodus auf macOS-Geräten über MDM ermöglicht:

<?xml version="1.0" encoding="utf-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1">
    <dict>
        <key>PayloadUUID</key>
        <string>C4E6A782-0C8D-44AB-A025-EB893987A295</string>
        <key>PayloadType</key>
        <string>Configuration</string>
        <key>PayloadOrganization</key>
        <string>Microsoft</string>
        <key>PayloadIdentifier</key>
        <string>com.microsoft.wdav</string>
        <key>PayloadDisplayName</key>
        <string>Microsoft Defender for Endpoint settings</string>
        <key>PayloadDescription</key>
        <string>Microsoft Defender for Endpoint configuration settings</string>
        <key>PayloadVersion</key>
        <integer>1</integer>
        <key>PayloadEnabled</key>
        <true/>
        <key>PayloadRemovalDisallowed</key>
        <true/>
        <key>PayloadScope</key>
        <string>System</string>
        <key>PayloadContent</key>
        <array>
            <dict>
                <key>PayloadUUID</key>
                <string>99DBC2BC-3B3A-46A2-A413-C8F9BB9A7295</string>
                <key>PayloadType</key>
                <string>com.microsoft.wdav</string>
                <key>PayloadOrganization</key>
                <string>Microsoft</string>
                <key>PayloadIdentifier</key>
                <string>com.microsoft.wdav</string>
                <key>PayloadDisplayName</key>
                <string>Microsoft Defender for Endpoint configuration settings</string>
                <key>PayloadDescription</key>
                <string/>
                <key>PayloadVersion</key>
                <integer>1</integer>
                <key>PayloadEnabled</key>
                <true/>
                <key>tamperProtection</key>
                <dict>
                             <key>enforcementLevel</key>
                             <string>block</string>
                </dict>
            </dict>
        </array>
    </dict>
</plist>

Überprüfen des Manipulationsschutzstatus in Intune

Überprüfen Sie den status Manipulationsschutz, indem Sie den folgenden Befehl ausführen:

mdatp health --field tamper_protection

Die Ausgabe von mdatp health --field tamper_protection "Blockieren", wenn der Manipulationsschutz aktiviert ist:

Sie können auch vollständig mdatp health ausführen und in der Ausgabe nach dem "tamper_protection" suchen.

Führen Sie aus, um erweiterte Informationen zum manipulationssicheren status zu erfahrenmdatp health --details tamper_protection.

Überprüfen der Funktionen zum Schutz vor Manipulationen

Sie können auf verschiedene Weise überprüfen, ob der Manipulationsschutz aktiviert ist.

Überprüfen des Blockmodus

Manipulationswarnung wird im Microsoft Defender-Portal ausgelöst

Überprüfen des Blockmodus und der Überwachungsmodi

Verwenden Sie die folgenden Indikatoren, um manipulationsschutzaktivitäten sowohl im Block- als auch im Überwachungsmodus zu überprüfen:

• Bei Verwendung der erweiterten Suche werden Manipulationswarnungen angezeigt.
• Manipulationsereignisse finden Sie in den Protokollen des lokalen Geräts: sudo grep -F '[{tamperProtection}]' /Library/Logs/Microsoft/mdatp/microsoft_defender_core.log

DIY-Szenarien

Verwenden Sie die folgenden do-it-yourself-Szenarien, um zu testen, ob der Manipulationsschutz häufige Manipulationsversuche blockiert:

• Wenn der Manipulationsschutz auf "blockieren" festgelegt ist, versuchen Sie verschiedene Methoden zum Deinstallieren von Defender für Endpunkt. Ziehen Sie beispielsweise die App-Kachel in den Papierkorb, oder deinstallieren Sie den Manipulationsschutz über die Befehlszeile.

• Versuchen Sie, den Defender für Endpunkt-Prozess zu beenden (beenden).

• Versuchen Sie, Defender für Endpunkt-Dateien zu löschen, umzubenennen, zu ändern und zu verschieben (ähnlich wie ein böswilliger Benutzer), z. B.:

  • /Applications/Microsoft Defender.app/
  • /Library/LaunchDaemons/com.microsoft.fresno.plist
  • /Library/LaunchDaemons/com.microsoft.fresno.uninstall.plist
  • /Library/LaunchAgents/com.microsoft.wdav.tray.plist
  • /Library/Managed Preferences/com.microsoft.wdav.ext.plist
  • /Library/Managed Preferences/mdatp_managed.json
  • /Library/Managed Preferences/com.microsoft.wdav.atp.plist
  • /Library/Managed Preferences/com.microsoft.wdav.atp.offboarding.plist
  • /usr/local/bin/mdatp

Deaktivieren des Manipulationsschutzes

Sie können den Manipulationsschutz mit einer der folgenden Methoden deaktivieren.

Manuelle Konfiguration

Führen Sie den folgenden Befehl aus, um den Manipulationsschutz lokal über die Befehlszeile zu deaktivieren:

sudo mdatp config tamper-protection enforcement-level --value disabled

JAMF

Um den Manipulationsschutz über JAMF zu deaktivieren, ändern Sie den enforcementLevel Wert in Ihrem Konfigurationsprofil in "deaktiviert", und übertragen Sie ihn an das Gerät:

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
  <dict>
    <key>tamperProtection</key>
    <dict>
      <key>enforcementLevel</key>
      <string>disabled</string>
    </dict>
  </dict>
</plist>

Intune

Fügen Sie die folgende Konfiguration in Ihrem Intune-Profil hinzu:

<?xml version="1.0" encoding="utf-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1">
    <dict>
        <key>PayloadUUID</key>
        <string>C4E6A782-0C8D-44AB-A025-EB893987A295</string>
        <key>PayloadType</key>
        <string>Configuration</string>
        <key>PayloadOrganization</key>
        <string>Microsoft</string>
        <key>PayloadIdentifier</key>
        <string>com.microsoft.wdav</string>
        <key>PayloadDisplayName</key>
        <string>Microsoft Defender for Endpoint settings</string>
        <key>PayloadDescription</key>
        <string>Microsoft Defender for Endpoint configuration settings</string>
        <key>PayloadVersion</key>
        <integer>1</integer>
        <key>PayloadEnabled</key>
        <true/>
        <key>PayloadRemovalDisallowed</key>
        <true/>
        <key>PayloadScope</key>
        <string>System</string>
        <key>PayloadContent</key>
        <array>
            <dict>
                <key>PayloadUUID</key>
                <string>99DBC2BC-3B3A-46A2-A413-C8F9BB9A7295</string>
                <key>PayloadType</key>
                <string>com.microsoft.wdav</string>
                <key>PayloadOrganization</key>
                <string>Microsoft</string>
                <key>PayloadIdentifier</key>
                <string>com.microsoft.wdav</string>
                <key>PayloadDisplayName</key>
                <string>Microsoft Defender for Endpoint configuration settings</string>
                <key>PayloadDescription</key>
                <string/>
                <key>PayloadVersion</key>
                <integer>1</integer>
                <key>PayloadEnabled</key>
                <true/>
                <key>tamperProtection</key>
                <dict>
                  <key>enforcementLevel</key>
                  <string>disabled</string>
                </dict>
            </dict>
        </array>
    </dict>
</plist>

Konfigurieren von Manipulationsschutzausschlüssen

Manipulationsschutz verhindert, dass ein macOS-Prozess Änderungen an den Ressourcen Microsoft Defender vornimmt oder die Prozesse von Microsoft Defender beendet. Zu den geschützten Ressourcen gehören Installations- und Konfigurationsdateien.

Intern macht Microsoft Defender unter bestimmten Umständen Ausnahmen für bestimmte macOS-Prozesse. Beispielsweise kann macOS das Defender-Paket aktualisieren, wenn der Manipulationsschutz die Echtheit der Pakete überprüft. Microsoft Defender schließt auch MDM-bezogene Prozesse in bestimmten Szenarien aus. Beispielsweise kann der macOS-MDM-Prozess die verwalteten Konfigurationsdateien Microsoft Defender ersetzen.

Es gibt Situationen, in denen ein Sicherheitsadministrator Defender auf allen oder einigen verwalteten Geräten neu starten muss. In der Regel erfolgt dies durch Erstellen und Ausführen einer JAMF-Richtlinie, die ein Skript auf Remotegeräten ausführt (oder ähnliche Vorgänge für andere MDM-Anbieter).

Um zu vermeiden, dass diese richtlinieninitiierte Vorgänge markiert werden, erkennt Microsoft Defender diese MDM-Richtlinienprozesse für JAMF und Intune und lässt Manipulationsvorgänge zu. Gleichzeitig verhindert der Manipulationsschutz, dass dasselbe Skript Microsoft Defender neu gestartet wird, wenn es lokal über ein Terminal gestartet wird.

Diese Richtlinienausführungsprozesse sind jedoch herstellerspezifisch. Obwohl Microsoft Defender integrierte Ausschlüsse für JAMF und Intune bereitstellt, kann es diese Ausschlüsse nicht für alle möglichen MDM-Anbieter bereitstellen. Stattdessen kann ein Sicherheitsadministrator eigene Ausschlüsse zum Manipulationsschutz hinzufügen. Ausschlüsse können nur über das MDM-Profil und nicht über die lokale Konfiguration erfolgen.

Um einen Manipulationsschutzausschluss zu konfigurieren, bestimmen Sie zuerst den Pfad zum MDM-Hilfsprozess, der Richtlinien ausführt. Sie können dies tun, indem Sie die Dokumentation des MDM-Anbieters befolgen. Sie können auch eine Manipulation mit einer Testrichtlinie initiieren, eine Warnung im Sicherheitsportal erhalten, die Hierarchie der Prozesse untersuchen, die den Angriff initiiert haben, und den Prozess auswählen, der wie ein MDM-Hilfskandidat aussieht.

Nachdem Sie den Pfad des MDM-Hilfsprozesses identifiziert haben, haben Sie einige Optionen zum Konfigurieren eines Manipulationsschutzausschlusses:

• Durch den Pfad selbst. Dies ist die einfachste (Sie haben diesen Pfad bereits) und die am wenigsten sichere Möglichkeit, dies zu tun, mit anderen Worten, nicht empfohlen.
• Indem Sie die Signatur-ID aus der ausführbaren Datei abrufen, entweder TeamIdentifier oder Signaturbezeichner, indem Sie ausführen codesign -dv --verbose=4 path_to_helper (suchen Sie nach Bezeichner und TeamIdentifier, letzteres ist für apple-eigene Tools nicht verfügbar).)
• Oder indem Sie eine Kombination dieser Attribute verwenden.

Um beispielsweise den Signierbezeichner und TeamIdentifier zu erhalten, der für einen Manipulationsschutzausschluss erforderlich ist, überprüfen Sie die ausführbare MDM-Hilfsdatei mit codesign:

codesign -dv --verbose=4 /usr/bin/ruby

Die Ausgabe zeigt die werte und Identifier die TeamIdentifier Sie zum Konfigurieren des Ausschlusses in Ihrem MDM-Profil verwenden können:

Executable=/usr/bin/ruby
Identifier=com.apple.ruby
Format=Mach-O universal (x86_64 arm64e)
CodeDirectory v=20400 size=583 flags=0x0(none) hashes=13+2 location=embedded
Platform identifier=14
VersionPlatform=1
VersionMin=852992
VersionSDK=852992
Hash type=sha256 size=32
CandidateCDHash sha256=335c10d40db9417d80db87f658f6565018a4c3d6
CandidateCDHashFull sha256=335c10d40db9417d80db87f658f6565018a4c3d65ea3b850fc76c59e0e137e20
Hash choices=sha256
CMSDigest=335c10d40db9417d80db87f658f6565018a4c3d65ea3b850fc76c59e0e137e20
CMSDigestType=2
Executable Segment base=0
Executable Segment limit=16384
Executable Segment flags=0x1
Page size=4096
Launch Constraints:
  None
CDHash=335c10d40db9417d80db87f658f6565018a4c3d6
Signature size=4442
Authority=Software Signing
Authority=Apple Code Signing Certification Authority
Authority=Apple Root CA
Signed Time=Apr 15, 2023 at 4:45:52 AM
Info.plist=not bound
TeamIdentifier=not set
Sealed Resources=none
Internal requirements count=1 size=64

Das folgende Beispiel zeigt ein JAMF-Konfigurationsprofil, das den Manipulationsschutz im Blockmodus ermöglicht und einen Prozessausschluss hinzufügt. Stellen Sie dieses Profil über MDM bereit, wenn Sie zulassen müssen, dass ein bestimmter Prozess Vorgänge ausführt, die den Manipulationsschutz andernfalls blockieren würden. Konfigurieren Sie Einstellungen, z. B. für JAMF:

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
  <dict>
    <key>tamperProtection</key>
    <dict>
      <key>enforcementLevel</key>
      <string>block</string>
      <key>exclusions</key>
      <array>
        <dict>
          <key>path</key>
          <string>/usr/bin/ruby</string>
          <key>teamId</key>
          <string/>
          <key>signingId</key>
          <string>com.apple.ruby</string>
          <key>args</key>
          <array>
            <string>/usr/local/bin/global_mdatp_restarted.rb</string>
          </array>
        </dict>
      </array>
    </dict>
  </dict>
</plist>

Beachten Sie, dass das Ausschließen eines Skriptinterpreters (wie Ruby aus dem obigen Beispiel) anstelle einer kompilierten ausführbaren Datei nicht sicher ist, da er jedes Beliebige Skript ausführen kann, nicht nur das Skript, das ein Sicherheitsadministrator verwendet.

Um das Risiko zu minimieren, empfehlen wir die Verwendung von extra args , damit nur bestimmte Skripts mit Skriptinterpretern ausgeführt werden können. Im obigen Beispiel ist es nur /usr/bin/ruby /usr/local/bin/global_mdatp_restarted.rb zulässig, Defender neu zu starten. Aber zum Beispiel /usr/bin/ruby /Library/Application Support/Global Manager/global_mdatp_restarted.rb sind oder sogar /usr/bin/ruby /usr/local/bin/global_mdatp_restarted.rb $USER nicht zulässig.

Behandeln von Konfigurationsproblemen

Problem: Manipulationsschutz wird als deaktiviert gemeldet

Wenn das Ausführen des Befehls mdatp health meldet, dass der Manipulationsschutz deaktiviert ist, auch wenn Sie ihn aktiviert haben und seit dem Onboarding mehr als eine Stunde vergangen ist, können Sie überprüfen, ob Sie über die richtige Konfiguration verfügen, indem Sie den folgenden Befehl ausführen, um den detaillierten Manipulationsschutzstatus abzurufen, einschließlich des effektiven Modus, der Konfigurationsquelle und verwalteter Ausschlüsse:

mdatp health --details tamper_protection

Die folgende Beispielausgabe zeigt den aktuellen Manipulationsschutzmodus, die Konfigurationsquelle und alle verwalteten Ausschlüsse, die von der Richtlinie bereitgestellt werden. Stellen Sie sicher, dass tamper_protection und configuration_source stimmen Sie mit Ihrer beabsichtigten Konfiguration überein:

tamper_protection                           : "audit"
exclusions                                  : [{"path":"/usr/bin/ruby","team_id":"","signing_id":"com.apple.ruby","args":["/usr/local/bin/global_mdatp_restarted.rb"]}] [managed]
feature_enabled_protection                  : true
feature_enabled_portal                      : true
configuration_source                        : "local"
configuration_local                         : "audit"
configuration_portal                        : "block"
configuration_default                       : "audit"
configuration_is_managed                    : false

• tamper_protection ist der effektive Modus. Wenn dieser Modus der Modus ist, den Sie verwenden möchten, sind Sie fertig.
• configuration_source gibt an, wie die Erzwingungsstufe für den Manipulationsschutz festgelegt wird. Sie muss mit der Konfiguration des Manipulationsschutzes übereinstimmen. (Wenn Sie den Modus über ein verwaltetes Profil festlegen und configuration_source etwas anderes anzeigt, haben Sie Ihr Profil höchstwahrscheinlich falsch konfiguriert.)
  • mdm : Sie wird über ein verwaltetes Profil konfiguriert. Nur ein Sicherheitsadministrator kann dies mit einem Update des Profils ändern!
  • local – Sie ist mit mdatp config dem Befehl konfiguriert.
  • portal – Im Sicherheitsportal festgelegte Standarderzwingungsstufe
  • defaults – nicht konfiguriert, der Standardmodus wird verwendet
• Wenn feature_enabled_protection false ist, ist der Manipulationsschutz für Ihre organization nicht aktiviert (dies geschieht, wenn Defender nicht "lizenziert" meldet).
• Wenn feature_enabled_portal false ist, ist das Festlegen des Standardmodus über das Sicherheitsportal für Sie noch nicht aktiviert.
• configuration_local, configuration_portalgibt configuration_default den Modus an, der verwendet werden würde, wenn der entsprechende Konfigurationskanal verwendet wird. (Als Beispiel können Sie den Manipulationsschutz über ein MDM-Profil für den "Block"-Modus konfigurieren und configuration_default Sie auditdarüber informieren. Dies bedeutet nur, dass der Standardmodus verwendet wird, mdatp config Ihr Profil entfernen und der Modus nicht mit audit oder über das Sicherheitsportal festgelegt wurde.

$ sudo grep -F '[{tamperProtection}]: Feature state:' /Library/Logs/Microsoft/mdatp/microsoft_defender_core.log | tail -n 1