Solucionar problemas de extensiones de sistema de Microsoft Defender para punto de conexión en macOS

  • Se aplica a: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Microsoft Defender para punto de conexión utiliza la seguridad de punto de conexión y las extensiones del sistema de redes para proteger los dispositivos macOS. Si macOS no aprueba o inicia una extensión, la protección en tiempo real, la inspección de eventos de red o funciones relacionadas podrían no estar disponibles.

Utiliza los síntomas y comandos de este artículo para identificar problemas de extensión y perfil. Luego utiliza la guía específica de despliegue para corregir la configuración.

Identificar los síntomas de extensión del sistema

El escudo de Microsoft Defender en la barra de menú de macOS puede mostrar una insignia x cuando Defender para Endpoint requiere atención.

Captura de pantalla de la barra de menús de macOS con una insignia x en el Microsoft Defender Shield.

Selecciona el escudo para abrir el menú Defender. La opción Acción necesaria indica que Defender requiere configuración o aprobación del usuario.

Captura de pantalla del menú de Microsoft Defender con la opción de acción necesaria seleccionada.

Seleccione Acción necesaria para abrir la página de Virus y protección contra amenazas. La página podría mostrar que Microsoft Defender necesita atención y un botón de Arreglar.

Captura de pantalla de la página de Microsoft Defender Virus y protección contra amenazas con el botón Arreglar.

Ejecuta el siguiente comando en Terminal para revisar el estado general de salud de Defender:

mdatp health

Cuando las extensiones o permisos no están listos, la salida puede informar de un estado inestable, protección no disponible o ausencia de Acceso Completo al Disco:

healthy                            : false
health_issues                    : ["no active event provider", "network event provider not running", "full disk access has not been granted"]
...
real_time_protection_enabled    : true
real_time_protection_available: false
...
full_disk_access_enabled        : false

La siguiente captura de pantalla muestra un resultado poco saludable con subsistemas de protección no disponibles y acceso completo al disco desactivado:

Captura de pantalla de la salida de salud de mdatp que muestra subsistemas de protección no disponibles y acceso completo al disco desactivado.

Para descripciones de los campos de salud, véase Solucionar problemas de salud de agentes con Defender for Endpoint en macOS.

Diagnosticar las extensiones del sistema

En las versiones compatibles de macOS, un perfil de gestión de dispositivos móviles (MDM) o un administrador local debe aprobar las extensiones del sistema antes de que puedan ejecutarse. Defender for Endpoint utiliza Microsoft Team ID UBF8T346G9 y las siguientes extensiones del sistema:

  • Extensión de seguridad de punto de conexión: com.microsoft.wdav.epsext.
  • Extensión de red: com.microsoft.wdav.netext.

Utiliza los siguientes comandos para determinar si las extensiones están instaladas, aprobadas y en funcionamiento:

  1. Enumera las extensiones registradas del sistema:

    systemextensionsctl list

    Captura de pantalla de la salida systemextensionsctl que muestra ambas extensiones de Defender esperando la aprobación del usuario.

    El [activated waiting for user] estado indica que macOS instaló las extensiones pero está esperando la aprobación local. Una extensión activa y en buen estado genera informes [activated enabled].

  2. Revise los detalles de estado de la extensión del sistema específica de Defender:

    mdatp health --details system_extensions

    Cuando las extensiones están instaladas pero no aprobadas ni listas, la salida puede asemejarse al siguiente ejemplo:

    network_extension_enabled                 : false
network_extension_installed                 : true
endpoint_security_extension_ready           : false
endpoint_security_extension_installed        : true

La siguiente captura de pantalla muestra ambas extensiones instaladas, pero la extensión de red no está habilitada y la extensión de seguridad del endpoint no está lista:

Captura de pantalla de la salud de la extensión del sistema de Defender mostrando extensiones instaladas que no están activadas o listas.

El resultado del estado de la extensión no identifica todos los permisos necesarios de macOS. Por ejemplo, mdatp health puede informar por separado que no se concede el acceso completo al disco. Revisa las extensiones del sistema y los permisos de macOS necesarios para que tengas activadas las funciones de Defender y Microsoft Purview.

Resolver problemas de extensión y permisos

Utiliza el procedimiento de tu método de despliegue para aprobar las extensiones y conceder los permisos necesarios:

Para despliegues gestionados, despliega perfiles de configuración del sistema antes que el paquete de aplicación Defender. Esta secuencia permite a macOS aprobar las extensiones y permisos sin depender de las indicaciones del usuario.

Verifique la entrega de perfiles

Antes de solucionar problemas con perfiles individuales, revisa los requisitos compartidos de Defender para Endpoint en macOS.

Consulta la entrega del perfil MDM

Utiliza tu solución MDM para confirmar que los perfiles a nivel de dispositivo requeridos están asignados y entregados correctamente al dispositivo Mac afectado. En el dispositivo, abre Configuración del sistema, selecciona General y luego Administración de dispositivos para revisar los perfiles instalados.

Si usas Jamf Pro, sudo jamf policy activa las políticas aplicables. Para obtener información sobre los disparadores de políticas de Jamf y su ejecución, consulte Gestión de políticas.

Nota:

Utiliza nombres reconocibles para los perfiles de configuración de Defender para identificar su propósito y su anillo de despliegue. Por ejemplo, use FullDiskAccess (piloting) - macOS - Default - MDE.

Verifica los perfiles requeridos

Descarga los perfiles actuales mantenidos por Microsoft en lugar de recrear manualmente las cargas útiles. Este enfoque evita errores de escritura en identificadores de paquetes, IDs de equipo, requisitos de código y valores de carga útil.

Para ver la lista de perfiles y la finalidad de cada carga útil, consulte Revisar los perfiles de Defender mantenidos.

En Terminal, utiliza la siguiente sintaxis para descargar un perfil al directorio actual:

curl -O https://URL

Por ejemplo, descarga el perfil gestionado de extensiones del sistema:

curl -O https://raw.githubusercontent.com/microsoft/mdatp-xplat/master/macos/mobileconfig/profiles/sysext.mobileconfig

Revisa los perfiles de Defender mantenidos

El repositorio de perfiles de macOS de Defender for Endpoint contiene estos perfiles relevantes:

  • Aprobación de extensión del sistema: sysext.mobileconfig aprueba com.microsoft.wdav.epsext y com.microsoft.wdav.netext para el ID UBF8T346G9del equipo.
  • Filtro de red: netfilter.mobileconfig configura la extensión de red como el Filtro de Contenido de Microsoft Defender.
  • Acceso completo al disco: fulldisk.mobileconfig concede acceso a los componentes Defender requeridos.
  • Servicios en segundo plano: background_services.mobileconfig permite que los servicios de Defender se ejecuten en segundo plano.
  • Notificaciones: notif.mobileconfig configura las notificaciones de Defender y Microsoft AutoUpdate.
  • Accesibilidad: accessibility.mobileconfig concede acceso de Accesibilidad al demonio de prevención de pérdida de datos de Microsoft Purview cuando se utiliza esa capacidad.

No utilices la presencia de archivos en /Library/Managed Preferences como único criterio de comprobación para estas cargas útiles de Apple. Verifica la entrega de perfiles a través de la solución MDM, inspecciona los perfiles de configuración instalados y revisa la salida de salud de Defender.

Analizar perfiles instalados

El script de Microsoft analyze_profiles.py compara las cargas útiles de configuración instaladas con la plantilla de perfil de Defender mantenida. Informa de cargas útiles faltantes, duplicadas o no coincidentes y comprueba los perfiles de incorporación y de preferencias de Defender.

  1. Revisa el script en el directorio de herramientas MDM de macOS de Defender for Endpoint.

  2. Selecciona Raw para abrir https://raw.githubusercontent.com/microsoft/mdatp-xplat/master/macos/mdm/analyze_profiles.py.

  3. Desde el directorio donde quieres guardar analyze_profiles.py, descarga el script ejecutando el siguiente comando en Terminal:

    curl -O https://raw.githubusercontent.com/microsoft/mdatp-xplat/master/macos/mdm/analyze_profiles.py

  4. Ejecuta el script con permisos elevados usando uno de los siguientes métodos:

    • Ejecuta el script descargado:

      cd ~/Downloads

sudo python3 analyze_profiles.py

      O

    • Ejecuta el script directamente desde la web:

      curl -sS https://raw.githubusercontent.com/microsoft/mdatp-xplat/master/macos/mdm/analyze_profiles.py | sudo python3 -

Revisa cada problema reportado en el contexto de tu despliegue. El script puede informar de elecciones intencionadas de perfil que no requieren cambios.

Contenido relacionado

Enviar comentarios

Para enviar comentarios sobre productos desde la app de Defender, abre Ayuda y luego selecciona Enviar comentarios.

En el portal de Microsoft Defender en https://security.microsoft.com, selecciona Proporcionar comentarios.

  • Se actualizó por última vez el