Programar análisis con Microsoft Defender para punto de conexión en macOS

  • Se aplica a: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Los escaneos antivirus programados ayudan a garantizar que los dispositivos macOS se escaneen regularmente sin depender de los usuarios para iniciar los escaneos. Los administradores de seguridad pueden configurar escaneos rápidos cada hora o diaria y escaneos rápidos o completos semanales, y usar múltiples horarios en el mismo dispositivo. Utiliza esta guía para desplegar los horarios de escaneo a través de un perfil de gestión de dispositivos móviles (MDM) o configurarlos localmente con la mdatp herramienta de línea de comandos.

Prerequisites

Entiende las opciones de escaneo programado

Además de iniciar los escaneos bajo demanda, programa los escaneos para que se realicen a intervalos regulares o en momentos específicos. Por ejemplo, programa un escaneo rápido al inicio de cada jornada laboral y un escaneo completo una vez a la semana.

Defender para Endpoint admite programaciones por hora, diarias y semanales. Las programaciones por hora y por día ejecutan análisis rápidos. Las programaciones semanales pueden ejecutar análisis rápidos o completos. Puedes configurar los tres tipos de horario simultáneamente. Consulte el ejemplo de examen diario y semanal y el ejemplo de examen por hora, diario y semanal.

Programar escaneos con un perfil de configuración

Utiliza los diccionarios features y scheduledScan en un perfil de configuración de Defender for Endpoint para crear análisis programados.

Los ejemplos de Microsoft Intune y Jamf Pro utilizan XML de la lista de propiedades de Apple. Guarda los perfiles de Intune con la .xml extensión y las listas de propiedades de Jamf Pro con la .plist extensión. Para más información sobre el formato XML, consulte la referencia del archivo Apple Information Property List.

Utiliza los siguientes ajustes para definir los horarios de escaneo:

Sugerencia

Las programaciones se basan en la zona horaria local del dispositivo.

Configuración Description Values Predeterminado
features.scheduledScan Activa o desactiva la función de escaneo programado. enabled, disabled disabled cuando no hay configuración diaria o semanal
dailyConfiguration.interval Realiza un escaneo rápido basado en intervalos cada número de horas especificado. 0 hasta 24. 0 Desactiva los escaneos basados en intervalos. 0
dailyConfiguration.timeOfDay Realiza un escaneo rápido diario al número de minutos especificado después de la medianoche. De 0 a 1440 0
weeklyConfiguration.dayOfWeek Especifica cuándo se realiza un escaneo semanal. 0: Nunca
1: Domingo
2: Lunes
3: Martes
4: Miércoles
5: Jueves
6: Viernes
7: Sábado
8: Todos los días		 0
weeklyConfiguration.timeOfDay Realiza un escaneo semanal al número especificado de minutos después de la medianoche. De 0 a 1440 Esquema del perfil: 0
mdatp Interfaz de línea de comandos: 120
weeklyConfiguration.scanType Especifica el tipo de escaneo semanal. quick, full quick
ignoreExclusions Especifica si el escaneo programado ignora exclusiones configuradas. true, false false
lowPriorityScheduledScan Realiza escaneos programados con prioridad reducida de CPU. El escaneo puede tardar más en completarse. true, false false
checkForDefinitionsUpdate Comprueba actualizaciones de inteligencia de seguridad antes de comenzar un escaneo programado. true, false false
randomizeScanStartTime Aleatoriza los tiempos de inicio del escaneo diario y semanal hasta el número de horas especificado. De 0 a 23 0
runScanWhenIdle Retrasa un escaneo completo semanal hasta que el dispositivo está inactivo. true, false false

Los ajustes diarios interval y timeOfDay crean programaciones independientes de análisis rápido. Si configuras ambos ajustes, puede que se realice más de un escaneo rápido cada día.

Ejemplo 1: Programa un escaneo rápido diario y un escaneo completo semanal

Los siguientes perfiles muestran un escaneo rápido diario y un escaneo completo semanal los miércoles. Ambos perfiles ignoran exclusiones y utilizan programación de baja prioridad.

Utiliza la tabla de ajustes de escaneo programado para reemplazar los tiempos de ejemplo por los valores requeridos por tu organización.

Abre un editor de texto y usa el perfil de Intune o la lista de propiedades de Jamf Pro como guía.

Para Microsoft Intune

El siguiente ejemplo define un perfil completo de configuración de Intune que permite un escaneo rápido diario y un escaneo completo semanal.

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
    <key>PayloadUUID</key>
    <string>C4E6A782-0C8D-44AB-A025-EB893987A295</string>
    <key>PayloadType</key>
    <string>Configuration</string>
    <key>PayloadOrganization</key>
    <string>Microsoft</string>
    <key>PayloadIdentifier</key>
    <string>C4E6A782-0C8D-44AB-A025-EB893987A295</string>
    <key>PayloadDisplayName</key>
    <string>Microsoft Defender for Endpoint settings</string>
    <key>PayloadDescription</key>
    <string>Microsoft Defender for Endpoint configuration settings</string>
    <key>PayloadVersion</key>
    <integer>1</integer>
    <key>PayloadEnabled</key>
    <true/>
    <key>PayloadRemovalDisallowed</key>
    <true/>
    <key>PayloadScope</key>
    <string>System</string>
    <key>PayloadContent</key>
    <array>
        <dict>
            <key>PayloadUUID</key>
            <string>99DBC2BC-3B3A-46A2-A413-C8F9BB9A7295</string>
            <key>PayloadType</key>
            <string>com.microsoft.wdav</string>
            <key>PayloadOrganization</key>
            <string>Microsoft</string>
            <key>PayloadIdentifier</key>
            <string>99DBC2BC-3B3A-46A2-A413-C8F9BB9A7295</string>
            <key>PayloadDisplayName</key>
            <string>Microsoft Defender for Endpoint configuration settings</string>
            <key>PayloadDescription</key>
            <string/>
            <key>PayloadVersion</key>
            <integer>1</integer>
            <key>PayloadEnabled</key>
            <true/>
            <key>features</key>
            <dict>
                <key>scheduledScan</key>
                <string>enabled</string>
            </dict>
            <key>scheduledScan</key>
            <dict>
                <key>ignoreExclusions</key>
                <true/>
                <key>lowPriorityScheduledScan</key>
                <true/>
                <key>dailyConfiguration</key>
                <dict>
                    <key>timeOfDay</key>
                    <integer>880</integer>
                </dict>
                <key>weeklyConfiguration</key>
                <dict>
                    <key>dayOfWeek</key>
                    <integer>4</integer>
                    <key>timeOfDay</key>
                    <integer>885</integer>
                    <key>scanType</key>
                    <string>full</string>
                </dict>
            </dict>
        </dict>
    </array>
</dict>
</plist>

Guarde el archivo como com.microsoft.wdav.xml.

Para Jamf Pro y las soluciones MDM compatibles

La siguiente lista de propiedades configura un escaneo rápido diario y un escaneo completo semanal para Jamf Pro y otras soluciones MDM que aceptan listas de propiedades. Guarda el contenido como com.microsoft.wdav.plist.

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
    <key>features</key>
    <dict>
        <key>scheduledScan</key>
        <string>enabled</string>
    </dict>
    <key>scheduledScan</key>
    <dict>
        <key>ignoreExclusions</key>
        <true/>
        <key>lowPriorityScheduledScan</key>
        <true/>
        <key>dailyConfiguration</key>
        <dict>
            <key>timeOfDay</key>
            <integer>885</integer>
        </dict>
        <key>weeklyConfiguration</key>
        <dict>
            <key>dayOfWeek</key>
            <integer>4</integer>
            <key>timeOfDay</key>
            <integer>880</integer>
            <key>scanType</key>
            <string>full</string>
        </dict>
    </dict>
</dict>
</plist>

Guarde el archivo como com.microsoft.wdav.plist.

Después de desplegar el perfil, verifica que el escaneo programado esté configurado como una preferencia gestionada ejecutando el siguiente comando:

mdatp health --details scheduled_scan

En los resultados, comprueba que el análisis programado informa de managed.

Ejemplo 2: Programa escaneos rápidos diarios y basados en intervalos y un escaneo completo semanal

Los siguientes perfiles muestran un escaneo rápido basado en intervalos, un escaneo rápido diario y un escaneo completo semanal los miércoles.

Abre un editor de texto y usa el perfil de Intune o la lista de propiedades de Jamf Pro como guía.

Para Microsoft Intune

El siguiente ejemplo empaqueta la configuración de escaneo programado en un perfil de configuración completo de Intune.

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
     <key>PayloadUUID</key>
     <string>C4E6A782-0C8D-44AB-A025-EB893987A295</string>
     <key>PayloadType</key>
     <string>Configuration</string>
     <key>PayloadOrganization</key>
     <string>Microsoft</string>
     <key>PayloadIdentifier</key>
     <string>C4E6A782-0C8D-44AB-A025-EB893987A295</string>
     <key>PayloadDisplayName</key>
     <string>Microsoft Defender for Endpoint settings</string>
     <key>PayloadDescription</key>
     <string>Microsoft Defender for Endpoint configuration settings</string>
     <key>PayloadVersion</key>
     <integer>1</integer>
     <key>PayloadEnabled</key>
     <true/>
     <key>PayloadRemovalDisallowed</key>
     <true/>
     <key>PayloadScope</key>
     <string>System</string>
     <key>PayloadContent</key>
     <array>
       <dict>
           <key>PayloadUUID</key>
           <string>99DBC2BC-3B3A-46A2-A413-C8F9BB9A7295</string>
           <key>PayloadType</key>
           <string>com.microsoft.wdav</string>
           <key>PayloadOrganization</key>
           <string>Microsoft</string>
           <key>PayloadIdentifier</key>
           <string>99DBC2BC-3B3A-46A2-A413-C8F9BB9A7295</string>
           <key>PayloadDisplayName</key>
           <string>Microsoft Defender for Endpoint configuration settings</string>
           <key>PayloadDescription</key>
           <string/>
           <key>PayloadVersion</key>
           <integer>1</integer>
           <key>PayloadEnabled</key>
           <true/>
    <key>features</key>
    <dict>
        <key>scheduledScan</key>
        <string>enabled</string>
    </dict>
<key>scheduledScan</key>
<dict>
    <key>ignoreExclusions</key>
    <true/>
    <key>lowPriorityScheduledScan</key>
    <true/>
    <key>dailyConfiguration</key>
    <dict>
        <key>timeOfDay</key>
        <integer>885</integer>
        <key>interval</key>
        <integer>1</integer>
    </dict>
    <key>weeklyConfiguration</key>
    <dict>
        <key>dayOfWeek</key>
        <integer>4</integer>
        <key>timeOfDay</key>
        <integer>880</integer>
        <key>scanType</key>
        <string>full</string>
        </dict>
        </dict>
    </dict>
</array>
</dict>
</plist>

Guarde el archivo como com.microsoft.wdav.xml.

Para Jamf Pro y las soluciones MDM compatibles

La siguiente lista de propiedades configura escaneos basados en intervalos, diarios y semanales para Jamf Pro y otras soluciones MDM que aceptan listas de propiedades. Guarda el contenido como com.microsoft.wdav.plist.

<?xml version="1.0" encoding="UTF-8"?><!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
    <plist version="1.0">
    <dict>
        <key>features</key>
        <dict>
            <key>scheduledScan</key>
            <string>enabled</string>
        </dict>
    <key>scheduledScan</key>
    <dict>
        <key>ignoreExclusions</key>
        <true/>
        <key>lowPriorityScheduledScan</key>
        <true/>
        <key>dailyConfiguration</key>
        <dict>
            <key>timeOfDay</key>
            <integer>885</integer>
            <key>interval</key>
            <integer>1</integer>
        </dict>
        <key>weeklyConfiguration</key>
        <dict>
            <key>dayOfWeek</key>
            <integer>4</integer>
            <key>timeOfDay</key>
            <integer>880</integer>
            <key>scanType</key>
            <string>full</string>
            </dict>
            </dict>
        </dict>
    </plist>

Guarde el archivo como com.microsoft.wdav.plist.

Desplegar el perfil de configuración

Implementación con Microsoft Intune

Microsoft Intune es la herramienta recomendada para configurar y distribuir las funcionalidades de Defender for Endpoint en los dispositivos. Sin embargo, Intune es un producto independiente que no forma parte de Defender para punto de conexión y no se incluye en todas las suscripciones. Para usar Intune, necesita una suscripción que la incluya o puede comprarla por separado como una suscripción independiente o un complemento. Si no tiene Intune, puede usar cualquiera de los otros métodos de este artículo. Para obtener más información, consulte Licencias de Microsoft Intune.

Para crear y desplegar el perfil de configuración personalizado en Intune, consulte Establecer políticas en Microsoft Intune. Úsalo com.microsoft.wdav como nombre del perfil de configuración, selecciona el canal de dispositivo y sube el .xml archivo.

Despliega con Jamf Pro

Jamf Pro es un producto de terceros independiente que no forma parte de Defender para Endpoint y no está incluido en las suscripciones de Defender para Endpoint. Para usar Jamf Pro, tu organización necesita una suscripción separada a Jamf Pro. Para información sobre productos y suscripciones, consulta Jamf Pro. Si tu organización no utiliza Jamf Pro, utiliza otro método de configuración en este artículo, si está disponible.

Para el flujo de trabajo mantenido de Defender for Endpoint, consulta Desplegar Microsoft Defender para punto de conexión en macOS con Jamf Pro.

Sigue las instrucciones de Jamf para desplegar un perfil de configuración personalizado del ordenador. Utiliza una de las listas de propiedades del Ejemplo 1 o del Ejemplo 2, y establece el dominio de preferencias en com.microsoft.wdav.

En el caso de una solución MDM que admita cargas útiles de listas de propiedades, siga las instrucciones del proveedor y la guía de implementación del perfil en Implementar Microsoft Defender para punto de conexión en macOS con otra solución MDM.

Después de que Jamf Pro despliegue el perfil, verifica la configuración de escaneo programada ejecutando el siguiente comando:

mdatp health --details scheduled_scan

En los resultados, comprueba que el análisis programado indique managed.

Configurar escaneos programados con la CLI mdatp

Utiliza la herramienta de línea de comandos Microsoft Defender para punto de conexión (mdatp) para configurar escaneos programados localmente desde Terminal. La configuración de línea de comandos es más útil para probar o para dispositivos individuales. Utiliza un perfil MDM para despliegues gestionados.

Activa la función de escaneo programado:

sudo mdatp config scheduled-scan settings feature --value enabled

Configura escaneos rápidos basados en intervalos:

sudo mdatp config scheduled-scan quick-scan hourly-interval --value <arg>

Captura de pantalla de ayuda con el comando intervalo horario mdatp que muestra valores desde 0 hasta 24 horas.

Configura un escaneo rápido diario:

sudo mdatp config scheduled-scan quick-scan time-of-day --value <arg>

Captura de pantalla de la ayuda del comando de análisis diario de mdatp que muestra los minutos después de la medianoche, del 0 al 1440.

Configura un escaneo semanal:

sudo mdatp config scheduled-scan weekly-scan --day-of-week <arg> --time-of-day <arg> --scan-type <arg>

Captura de pantalla de la ayuda con el comando de escaneo semanal mdatp que muestra las opciones de día, hora y tipo de escaneo.

También puedes configurar actualizaciones de inteligencia de seguridad y ejecuciones de baja prioridad:

  • Para comprobar si hay actualizaciones de inteligencia de seguridad antes de los escaneos programados:

    sudo mdatp config scheduled-scan settings check-for-definitions --value true

  • Para usar hilos de baja prioridad para el análisis programado:

    sudo mdatp config scheduled-scan settings low-priority --value true

Verifica que los escaneos programados hayan sido realizados

Para listar los análisis programados completados y sus resultados, ejecute mdatp scan list:

Captura de pantalla del comando mdatp scan list introducido en Terminal.

Captura de pantalla de un escaneo rápido completado mostrando un estado exitoso, duración, archivos escaneados y amenazas detectadas.

Importante

Si el dispositivo está en suspensión a la hora programada, el escaneo se ejecuta después de que el dispositivo se reanuda. Si el dispositivo está apagado, el escaneo se ejecuta a la siguiente hora programada.

  • Se actualizó por última vez el