Planifier des analyses avec Microsoft Defender for Endpoint sur macOS

  • S’applique à: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Les scans antivirus programmés permettent de garantir que les appareils macOS sont scannés régulièrement sans dépendre des utilisateurs pour lancer les scans. Les administrateurs de sécurité peuvent configurer des scans rapides horaires ou quotidiens ainsi que des scans rapides ou complets hebdomadaires, et utiliser plusieurs plannings sur le même appareil. Utilisez ces instructions pour déployer des plannings de balayage via un profil de gestion d’appareil mobile (MDM) ou les configurer localement avec l’outil mdatp en ligne de commande.

Prerequisites

Comprenez les options de scan programmé

En plus de commencer les scans à la demande, programmez les scans à intervalles réguliers ou à des moments précis. Par exemple, planifiez un scan rapide au début de chaque journée de travail et un scan complet une fois par semaine.

Defender for Endpoint prend en charge des plannings horaires, quotidiens et hebdomadaires. Les planifications horaires et quotidiennes exécutent des analyses rapides. Les plannings hebdomadaires peuvent effectuer des scans rapides ou complets. Vous pouvez configurer les trois types de planning simultanément. Consultez l’exemple d’analyse quotidienne et hebdomadaire et l’exemple d’analyse horaire, quotidienne et hebdomadaire.

Programmer les scans avec un profil de configuration

Utilisez les dictionnaires features et scheduledScan dans un profil de configuration Defender for Endpoint pour créer des analyses planifiées.

Les exemples de Microsoft Intune et Jamf Pro utilisent le XML de la liste de propriétés Apple. Sauvegardez les profils Intune avec l’extension .xml et les fichiers de liste de propriétés Jamf Pro avec l’extension .plist. Pour plus d’informations sur le format XML, consultez la référence du fichier Apple Information Property List.

Utilisez les paramètres suivants pour définir les plannings de balayage :

Conseil

Les planifications sont basées sur le fuseau horaire local de l’appareil.

Setting Description Values Par défaut
features.scheduledScan Ça active ou désactive la fonction de scan programmé. enabled, disabled disabled lorsqu’aucune configuration quotidienne ou hebdomadaire n’est présente
dailyConfiguration.interval Effectue un balayage rapide basé sur des intervalles toutes les heures spécifiées. 0 jusqu’à 24. 0 désactive les scans par intervalles. 0
dailyConfiguration.timeOfDay Effectue un scan rapide quotidien au nombre de minutes indiqué après minuit. 0 à 1440 0
weeklyConfiguration.dayOfWeek Précise quand un scan hebdomadaire est effectué. 0: Jamais
1: Dimanche
2: Lundi
3: Mardi
4: Mercredi
5: Jeudi
6: Vendredi
7: Samedi
8: Tous les jours		 0
weeklyConfiguration.timeOfDay Effectue un scan hebdomadaire au nombre de minutes indiqué après minuit. 0 à 1440 Schéma du profil : 0
mdatp Interface en ligne de commande : 120
weeklyConfiguration.scanType Précise le type de balayage hebdomadaire. quick, full quick
ignoreExclusions Précise si le balayage planifié ignore les exclusions configurées. true, false false
lowPriorityScheduledScan Effectue des analyses programmées avec une priorité CPU réduite. Le scan peut prendre plus de temps à être terminé. true, false false
checkForDefinitionsUpdate Vérifie les mises à jour du renseignement de sécurité avant de commencer un scan programmé. true, false false
randomizeScanStartTime Randomise les heures de début des scans quotidiens et hebdomadaires jusqu’au nombre d’heures spécifié. 0 à 23 0
runScanWhenIdle Cela retarde un scan complet hebdomadaire jusqu’à ce que l’appareil soit inactif. true, false false

Les paramètres quotidiens interval et timeOfDay créent des planifications d’analyse rapide indépendantes. Si vous configurez les deux réglages, plusieurs scans rapides peuvent être effectués chaque jour.

Exemple 1 : Planifiez un scan rapide quotidien et un scan complet hebdomadaire

Les profils suivants montrent un scan rapide quotidien et un scan complet hebdomadaire le mercredi. Les deux profils ignorent les exclusions et utilisent une planification à faible priorité.

Utilisez la table des paramètres de balayage planifié pour remplacer les temps exemples par les valeurs requises par votre organisation.

Ouvrez un éditeur de texte et utilisez le profil Intune ou la liste des propriétés Jamf Pro comme guide.

Pour Microsoft Intune

L’exemple suivant définit un profil de configuration Intune complet qui permet un scan rapide quotidien et un scan complet hebdomadaire.

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
    <key>PayloadUUID</key>
    <string>C4E6A782-0C8D-44AB-A025-EB893987A295</string>
    <key>PayloadType</key>
    <string>Configuration</string>
    <key>PayloadOrganization</key>
    <string>Microsoft</string>
    <key>PayloadIdentifier</key>
    <string>C4E6A782-0C8D-44AB-A025-EB893987A295</string>
    <key>PayloadDisplayName</key>
    <string>Microsoft Defender for Endpoint settings</string>
    <key>PayloadDescription</key>
    <string>Microsoft Defender for Endpoint configuration settings</string>
    <key>PayloadVersion</key>
    <integer>1</integer>
    <key>PayloadEnabled</key>
    <true/>
    <key>PayloadRemovalDisallowed</key>
    <true/>
    <key>PayloadScope</key>
    <string>System</string>
    <key>PayloadContent</key>
    <array>
        <dict>
            <key>PayloadUUID</key>
            <string>99DBC2BC-3B3A-46A2-A413-C8F9BB9A7295</string>
            <key>PayloadType</key>
            <string>com.microsoft.wdav</string>
            <key>PayloadOrganization</key>
            <string>Microsoft</string>
            <key>PayloadIdentifier</key>
            <string>99DBC2BC-3B3A-46A2-A413-C8F9BB9A7295</string>
            <key>PayloadDisplayName</key>
            <string>Microsoft Defender for Endpoint configuration settings</string>
            <key>PayloadDescription</key>
            <string/>
            <key>PayloadVersion</key>
            <integer>1</integer>
            <key>PayloadEnabled</key>
            <true/>
            <key>features</key>
            <dict>
                <key>scheduledScan</key>
                <string>enabled</string>
            </dict>
            <key>scheduledScan</key>
            <dict>
                <key>ignoreExclusions</key>
                <true/>
                <key>lowPriorityScheduledScan</key>
                <true/>
                <key>dailyConfiguration</key>
                <dict>
                    <key>timeOfDay</key>
                    <integer>880</integer>
                </dict>
                <key>weeklyConfiguration</key>
                <dict>
                    <key>dayOfWeek</key>
                    <integer>4</integer>
                    <key>timeOfDay</key>
                    <integer>885</integer>
                    <key>scanType</key>
                    <string>full</string>
                </dict>
            </dict>
        </dict>
    </array>
</dict>
</plist>

Enregistrez le fichier sous com.microsoft.wdav.xml.

Pour Jamf Pro et solutions MDM compatibles

La liste des propriétés suivante configure un scan rapide quotidien et un scan complet hebdomadaire pour Jamf Pro et d’autres solutions MDM acceptant les listes de propriétés. Enregistrez le contenu sous com.microsoft.wdav.plist.

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
    <key>features</key>
    <dict>
        <key>scheduledScan</key>
        <string>enabled</string>
    </dict>
    <key>scheduledScan</key>
    <dict>
        <key>ignoreExclusions</key>
        <true/>
        <key>lowPriorityScheduledScan</key>
        <true/>
        <key>dailyConfiguration</key>
        <dict>
            <key>timeOfDay</key>
            <integer>885</integer>
        </dict>
        <key>weeklyConfiguration</key>
        <dict>
            <key>dayOfWeek</key>
            <integer>4</integer>
            <key>timeOfDay</key>
            <integer>880</integer>
            <key>scanType</key>
            <string>full</string>
        </dict>
    </dict>
</dict>
</plist>

Enregistrez le fichier sous com.microsoft.wdav.plist.

Après avoir déployé le profil, vérifiez que le scan programmé est configuré comme une préférence gérée en exécutant la commande suivante :

mdatp health --details scheduled_scan

Dans les résultats, vérifiez que le scan programmé indique managed.

Exemple 2 : Programmez des scans rapides par intervalles et quotidiens ainsi qu’un scan complet hebdomadaire

Les profils suivants présentent un scan rapide basé sur des intervalles, un scan rapide quotidien et un scan complet hebdomadaire le mercredi.

Ouvrez un éditeur de texte et utilisez le profil Intune ou la liste des propriétés Jamf Pro comme guide.

Pour Microsoft Intune

L’exemple suivant regroupe les paramètres de balayage planifié dans un profil de configuration Intune complet.

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
     <key>PayloadUUID</key>
     <string>C4E6A782-0C8D-44AB-A025-EB893987A295</string>
     <key>PayloadType</key>
     <string>Configuration</string>
     <key>PayloadOrganization</key>
     <string>Microsoft</string>
     <key>PayloadIdentifier</key>
     <string>C4E6A782-0C8D-44AB-A025-EB893987A295</string>
     <key>PayloadDisplayName</key>
     <string>Microsoft Defender for Endpoint settings</string>
     <key>PayloadDescription</key>
     <string>Microsoft Defender for Endpoint configuration settings</string>
     <key>PayloadVersion</key>
     <integer>1</integer>
     <key>PayloadEnabled</key>
     <true/>
     <key>PayloadRemovalDisallowed</key>
     <true/>
     <key>PayloadScope</key>
     <string>System</string>
     <key>PayloadContent</key>
     <array>
       <dict>
           <key>PayloadUUID</key>
           <string>99DBC2BC-3B3A-46A2-A413-C8F9BB9A7295</string>
           <key>PayloadType</key>
           <string>com.microsoft.wdav</string>
           <key>PayloadOrganization</key>
           <string>Microsoft</string>
           <key>PayloadIdentifier</key>
           <string>99DBC2BC-3B3A-46A2-A413-C8F9BB9A7295</string>
           <key>PayloadDisplayName</key>
           <string>Microsoft Defender for Endpoint configuration settings</string>
           <key>PayloadDescription</key>
           <string/>
           <key>PayloadVersion</key>
           <integer>1</integer>
           <key>PayloadEnabled</key>
           <true/>
    <key>features</key>
    <dict>
        <key>scheduledScan</key>
        <string>enabled</string>
    </dict>
<key>scheduledScan</key>
<dict>
    <key>ignoreExclusions</key>
    <true/>
    <key>lowPriorityScheduledScan</key>
    <true/>
    <key>dailyConfiguration</key>
    <dict>
        <key>timeOfDay</key>
        <integer>885</integer>
        <key>interval</key>
        <integer>1</integer>
    </dict>
    <key>weeklyConfiguration</key>
    <dict>
        <key>dayOfWeek</key>
        <integer>4</integer>
        <key>timeOfDay</key>
        <integer>880</integer>
        <key>scanType</key>
        <string>full</string>
        </dict>
        </dict>
    </dict>
</array>
</dict>
</plist>

Enregistrez le fichier sous com.microsoft.wdav.xml.

Pour Jamf Pro et solutions MDM compatibles

La liste de propriétés suivante configure des scans basés sur des intervalles, quotidiens et hebdomadaires pour Jamf Pro et d’autres solutions MDM acceptant les listes de propriétés. Enregistrez le contenu sous com.microsoft.wdav.plist.

<?xml version="1.0" encoding="UTF-8"?><!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
    <plist version="1.0">
    <dict>
        <key>features</key>
        <dict>
            <key>scheduledScan</key>
            <string>enabled</string>
        </dict>
    <key>scheduledScan</key>
    <dict>
        <key>ignoreExclusions</key>
        <true/>
        <key>lowPriorityScheduledScan</key>
        <true/>
        <key>dailyConfiguration</key>
        <dict>
            <key>timeOfDay</key>
            <integer>885</integer>
            <key>interval</key>
            <integer>1</integer>
        </dict>
        <key>weeklyConfiguration</key>
        <dict>
            <key>dayOfWeek</key>
            <integer>4</integer>
            <key>timeOfDay</key>
            <integer>880</integer>
            <key>scanType</key>
            <string>full</string>
            </dict>
            </dict>
        </dict>
    </plist>

Enregistrez le fichier sous com.microsoft.wdav.plist.

Déploie le profil de configuration

Déployer avec Microsoft Intune

Microsoft Intune est l’outil recommandé pour configurer et distribuer les fonctionnalités de Defender for Endpoint sur les appareils. Toutefois, Intune est un produit distinct qui ne fait pas partie de Defender pour point de terminaison et qui n'est pas inclus dans tous les abonnements. Pour utiliser Intune, vous avez besoin d’un abonnement qui l’inclut, ou vous pouvez l’acheter séparément en tant qu’abonnement ou module complémentaire autonome. Si vous n’avez pas Intune, vous pouvez utiliser l’une des autres méthodes de cet article. Pour plus d’informations, consultez Gestion des licences Microsoft Intune.

Pour créer et déployer le profil de configuration personnalisé dans Intune, voir Définir des politiques dans Microsoft Intune. Utilisez com.microsoft.wdav comme nom de profil de configuration, sélectionnez le canal de l’appareil, puis téléchargez le .xml fichier.

Déploiement avec Jamf Pro

Jamf Pro est un produit tiers distinct qui ne fait pas partie de Defender for Endpoint et n'est pas inclus dans les abonnements Defender for Endpoint. Pour utiliser Jamf Pro, votre organisation a besoin d’un abonnement distinct à Jamf Pro. Pour les informations sur les produits et abonnements, voir Jamf Pro. Si votre organisation n’utilise pas Jamf Pro, utilisez une autre méthode de configuration dans cet article, si disponible.

Pour le flux de travail maintenu de Defender for Endpoint, voir Déployer Microsoft Defender for Endpoint sur macOS avec Jamf Pro.

Suivez les instructions Jamf pour déployer un profil de configuration personnalisé de l’ordinateur. Utilisez soit la liste de propriétés de l’Exemple 1 soit de l’Exemple 2, et définissez le domaine de préférence à com.microsoft.wdav.

Pour une solution MDM qui prend en charge les charges utiles par liste de propriétés, suivez les instructions du fournisseur et les instructions de déploiement du profil dans Deploy Microsoft Defender for Endpoint sur macOS avec une autre solution MDM.

Après le déploiement du profil de Jamf Pro, vérifiez la configuration de balayage programmée en exécutant la commande suivante :

mdatp health --details scheduled_scan

Dans les résultats, vérifiez que le scan programmé indique managed.

Configurez les scans programmés avec la ligne de commande mdatp

Utilisez l’outil en ligne de commande Microsoft Defender for Endpoint (mdatp) pour configurer les analyses planifiées localement depuis le Terminal. La configuration en ligne de commande est surtout utile pour les tests ou les appareils individuels. Utilisez un profil MDM pour les déploiements gérés.

Activez la fonction de scan programmé :

sudo mdatp config scheduled-scan settings feature --value enabled

Configurez les scans rapides basés sur les intervalles :

sudo mdatp config scheduled-scan quick-scan hourly-interval --value <arg>

Capture d’écran de l’aide de la commande mdatp hourly interval montrant les valeurs de 0 à 24 heures.

Configurez un scan rapide quotidien :

sudo mdatp config scheduled-scan quick-scan time-of-day --value <arg>

Capture d’écran de l’aide à la commande de scan quotidienne mdatp montrant les minutes après minuit de 0 à 14h40.

Configurez un scan hebdomadaire :

sudo mdatp config scheduled-scan weekly-scan --day-of-week <arg> --time-of-day <arg> --scan-type <arg>

Capture d’écran de l’aide à la commande de scan hebdomadaire mdatp montrant le jour, l’heure et les options de type de scan.

Vous pouvez également configurer des mises à jour de renseignement de sécurité et des exécutions à faible priorité :

  • Pour vérifier les mises à jour de renseignement de sécurité avant les scans programmés :

    sudo mdatp config scheduled-scan settings check-for-definitions --value true

  • Pour utiliser des threads de faible priorité pour l’analyse planifiée :

    sudo mdatp config scheduled-scan settings low-priority --value true

Vérifiez que les scans programmés ont été exécutés

Pour répertorier les analyses planifiées terminées et leurs résultats, exécutez mdatp scan list:

Capture d’écran de la commande mdatp scan list saisie dans Terminal.

Capture d’écran d’un scan rapide terminé montrant un état réussi, la durée, les fichiers scannés et les menaces détectées.

Important

Si l’appareil est en veille à l’heure prévue, l’analyse s’exécute une fois l’appareil réactivé. Si l’appareil est éteint, le balayage s’exécute à l’heure prévue suivante.

  • Dernière mise à jour :