Configura Microsoft Defender per endpoint su macOS con Jamf Pro

Puoi utilizzare Jamf Pro, una piattaforma di gestione dei dispositivi mobili (MDM) di terze parti per dispositivi Apple, per distribuire e gestire Microsoft Defender per endpoint su dispositivi macOS di proprietà dell'organizzazione.

Jamf Pro è un prodotto separato che non fa parte di Defender per Endpoint e non è incluso con Defender per gli abbonamenti Endpoint. Per utilizzare queste procedure, la tua organizzazione necessita di un abbonamento separato a Jamf Pro. Per informazioni su prodotti e abbonamenti, vedi Jamf Pro. Se la tua organizzazione non usa Jamf Pro, puoi distribuire Defender for Endpoint con Microsoft Intune oppure usare un'altra soluzione MDM.

Le procedure configurano le impostazioni di onboarding, antivirus e rilevamento e risposta degli endpoint (EDR), notifiche, Microsoft AutoUpdate, Full Disk Access, estensioni di sistema, estensioni di rete, servizi in background, permessi Bluetooth e distribuzione dei pacchetti.

Prerequisiti

Prima di configurare le policy di Defender for Endpoint in Jamf Pro, assicurati di soddisfare i seguenti requisiti:

• Consulta i prerequisiti di Defender for Endpoint su macOS, inclusi licenze, versioni supportate di macOS e connettività di rete.
• Verifica che la tua organizzazione abbia un abbonamento Jamf Pro e che tu abbia il permesso di creare profili di configurazione, policy, pacchetti, script e gruppi di computer intelligenti.
• Configura i gruppi di dispositivi macOS in Jamf Pro.

Passo 1: Scarica i pacchetti Defender for Endpoint

Per scaricare i pacchetti di onboarding e installazione, segui questi passaggi:

1. Nella pagina Onboarding del portale Microsoft Defender su https://security.microsoft.com/securitysettings/endpoints/onboarding, configura le seguenti impostazioni:

   • Passo 1: Seleziona un sistema operativo per avviare la distribuzione: Seleziona macOS.
   • Tipo di connettività: Seleziona Streamlined. Prima di proseguire, verifica che dispositivi e rete soddisfino i requisiti di connettività semplificata.
   • Metodo di distribuzione: Seleziona Mobile Gestione dispositivi / Microsoft Intune.

2. Seleziona Scarica pacchetto di onboarding e salva GatewayWindowsDefenderATPOnboardingPackage.zip in una posizione facile da trovare.

3. Estrarre il contenuto di GatewayWindowsDefenderATPOnboardingPackage.zip. Nel pacchetto estratto, apri la jamf cartella, che contiene WindowsDefenderATPOnboarding.plist.

4. Seleziona Scarica il pacchetto di installazione e salva wdav.pkg da usare nel Passaggio 12: Distribuisci Microsoft Defender per endpoint su macOS.

Passaggio 2: Creare un profilo di configurazione in Jamf Pro usando il pacchetto di onboarding

Crea e assegna un profilo di configurazione Jamf Pro che contenga le informazioni di onboarding di Defender for Endpoint. Per le istruzioni attuali di Jamf Pro, vedi Distribuire profili di configurazione personalizzati del computer utilizzando il payload Application & Custom Settings.

Usa questi valori specifici di Defender:

• File di configurazione: Nel pacchetto di onboarding estratto, usa jamf\WindowsDefenderATPOnboarding.plist.
• Nome: immettere un nome descrittivo, ad esempio MDE onboarding for macOS.
• Descrizione: Inserisci una descrizione, come MDE EDR onboarding for macOS.
• Categoria: Seleziona una categoria definita dall'organizzazione, oppure lascia questo valore impostato a None.
• Metodo di distribuzione: seleziona Install Automatically.
• Livello: Seleziona Computer Level.
• Payload: seleziona Impostazioni Applicazione e Personalizzate, e carica la lista delle proprietà.
• Dominio di preferenze: Inserite com.microsoft.wdav.atp.
• Scope: Seleziona il gruppo computer che contiene i dispositivi macOS di destinazione.

Passaggio 3: Configurare le impostazioni di Microsoft Defender per endpoint

Configura le impostazioni antivirus ed EDR sia nel portale Microsoft Defender che su Jamf Pro.

Configura le policy nel portale Microsoft Defender

Prima di iniziare, completare la configurazione descritta in Configurare Microsoft Defender per endpoint in Intune.

Usare il portale di Microsoft Defender per creare e assegnare criteri di sicurezza macOS ai dispositivi.

Per istruzioni dettagliate, vedi Crea una policy di sicurezza per endpoint (il link si apre in una nuova scheda).

Quando crei una policy nella scheda politiche macOS della pagina Endpoint Security Policy nel portale Defender a https://security.microsoft.com/policy-inventory?osPlatform=Mac, usa queste impostazioni specifiche:

• Seleziona la piattaforma: seleziona macOS.
• Seleziona il modello: Seleziona uno dei seguenti valori, a seconda delle impostazioni che vuoi configurare:
  • Antivirus Microsoft Defender
  • Rilevamento e risposta degli endpoint

Nella wizard di creazione delle policy, usa queste impostazioni:

• Scheda Impostazioni di configurazione : Configura le impostazioni che vuoi gestire con questo profilo.
• Scheda Assegnazioni: Le limitazioni del gruppo di assegnazione si applicano ai dispositivi gestiti tramite Defender per la gestione delle impostazioni di sicurezza degli endpoint. Per informazioni dettagliate, vedere il passaggio Assegnazioni.

Per altre informazioni sulla gestione delle impostazioni di sicurezza, vedere gli articoli seguenti:

• Gestire Microsoft Defender per endpoint nei dispositivi con Microsoft Intune
• Gestire le impostazioni di sicurezza per Windows, macOS e Linux in modo nativo in Defender per endpoint

Configurare le policy in Jamf Pro

Usa l'interfaccia grafica (GUI) di Jamf Pro per configurare singoli Defender per le impostazioni dell'endpoint. In alternativa, usa il metodo legacy per creare un file di property list (.plist) in un editor di testo e carica il file su Jamf Pro.

• Usa il valore com.microsoft.wdav esatto come Dominio di Preferenze. Defender for Endpoint utilizza questo dominio e com.microsoft.wdav.ext per caricare le impostazioni gestite.
• Usalo com.microsoft.wdav.ext solo quando usi il metodo GUI e devi configurare un'impostazione che non è ancora disponibile nello schema.

Configurare le impostazioni di Defender usando l'interfaccia utente grafica di Jamf Pro

Usare questo metodo per importare lo schema JSON di Defender in Jamf Pro e configurare le impostazioni tramite l'interfaccia utente grafica.

1. Scarica il file Defender for Endpoint schema.json dal repository Microsoft Defender per endpoint GitHub. Jamf Pro utilizza lo schema per popolare le impostazioni di configurazione disponibili nell'interfaccia grafica:

   curl -o ~/Documents/schema.json https://raw.githubusercontent.com/microsoft/mdatp-xplat/master/macos/schema/schema.json
   

2. Segui le istruzioni Jamf per distribuire un profilo di configurazione personalizzato del computer. Usa questi valori specifici di Defender:

   • Nome: immettere un nome descrittivo, ad esempio MDATP MDAV configuration settings.
   • Categoria: Seleziona una categoria definita dall'organizzazione, oppure lascia questo valore impostato a None.
   • Livello: Seleziona Computer Level.
   • Metodo di distribuzione: seleziona Install Automatically.
   • Payload: Seleziona applicazioni e impostazioni> personalizzateapplicazioni esterne.
   • Fonte: seleziona Schema personalizzato e carica schema.json.
   • Dominio di preferenze: Inserite com.microsoft.wdav.
   • Proprietà del dominio delle preferenze: seleziona le impostazioni che desideri che Jamf Pro gestisca. Le impostazioni non selezionate restano disponibili per gli utenti da configurare localmente.
   • Scope: Seleziona il gruppo computer che contiene i dispositivi macOS di destinazione.

Microsoft Defender per endpoint aggiunge nuove impostazioni nel tempo. Le nuove impostazioni di Defender for Endpoint vengono aggiunte allo schema e una nuova versione viene pubblicata su GitHub. Per ottenere gli aggiornamenti, scaricare uno schema aggiornato e modificare il profilo di configurazione esistente. Nella scheda Application & Custom Settings (Impostazioni personalizzate ) selezionare Edit schema (Modifica schema).

Configurare le impostazioni Defender usando il metodo legacy

Usa questo metodo legacy per creare manualmente una plist di configurazione in un editor di testo e caricarla su Jamf Pro.

1. Includi le seguenti impostazioni di Defender for Endpoint nella lista proprietà:

   • enableRealTimeProtection
   • passiveMode(Questa impostazione è disattivata di default. Se prevedi di eseguire un antivirus non Microsoft su Mac, impostalo su true.)
   • exclusions
   • excludedPath
   • excludedFileExtension
   • excludedFileName
   • exclusionsMergePolicy
   • allowedThreats (L'esempio include EICAR. Rimuovi la voce EICAR per una prova di concetto, specialmente se intendi usare EICAR per verificare la protezione.)
   • disallowedThreatActions
   • potentially_unwanted_application
   • archive_bomb
   • cloudService
   • automaticSampleSubmission
   • tags
   • hideStatusMenuIcon

   Per altre informazioni, vedere Elenco delle proprietà per il profilo di configurazione completo jamf.

     <?xml version="1.0" encoding="UTF-8"?>
     <!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
     <plist version="1.0">
     <dict>
         <key>antivirusEngine</key>
         <dict>
             <key>enableRealTimeProtection</key>
             <true/>
             <key>passiveMode</key>
             <false/>
             <key>exclusions</key>
             <array>
                 <dict>
                     <key>$type</key>
                     <string>excludedPath</string>
                     <key>isDirectory</key>
                     <false/>
                     <key>path</key>
                     <string>/var/log/system.log</string>
                 </dict>
                 <dict>
                     <key>$type</key>
                     <string>excludedPath</string>
                     <key>isDirectory</key>
                     <true/>
                     <key>path</key>
                     <string>/home</string>
                 </dict>
                 <dict>
                     <key>$type</key>
                     <string>excludedFileExtension</string>
                     <key>extension</key>
                     <string>pdf</string>
                 </dict>
                 <dict>
                     <key>$type</key>
                     <string>excludedFileName</string>
                     <key>name</key>
                     <string>cat</string>
                 </dict>
             </array>
             <key>exclusionsMergePolicy</key>
             <string>merge</string>
             <key>allowedThreats</key>
             <array>
                 <string>EICAR-Test-File (not a virus)</string>
             </array>
             <key>disallowedThreatActions</key>
             <array>
                 <string>allow</string>
                 <string>restore</string>
             </array>
             <key>threatTypeSettings</key>
             <array>
                 <dict>
                     <key>key</key>
                     <string>potentially_unwanted_application</string>
                     <key>value</key>
                     <string>block</string>
                 </dict>
                 <dict>
                     <key>key</key>
                     <string>archive_bomb</string>
                     <key>value</key>
                     <string>audit</string>
                 </dict>
             </array>
             <key>threatTypeSettingsMergePolicy</key>
             <string>merge</string>
         </dict>
         <key>cloudService</key>
         <dict>
             <key>enabled</key>
             <true/>
             <key>diagnosticLevel</key>
             <string>optional</string>
             <key>automaticSampleSubmission</key>
             <true/>
         </dict>
         <key>edr</key>
         <dict>
             <key>tags</key>
             <array>
                 <dict>
                     <key>key</key>
                     <string>GROUP</string>
                     <key>value</key>
                     <string>ExampleTag</string>
                 </dict>
             </array>
         </dict>
         <key>userInterface</key>
         <dict>
             <key>hideStatusMenuIcon</key>
             <false/>
         </dict>
     </dict>
     </plist>
   

2. Salvare il file come MDATP_MDAV_configuration_settings.plist.

3. Segui le istruzioni Jamf per distribuire un profilo di configurazione personalizzato del computer. Usa questi valori specifici di Defender:

   • Nome: immettere un nome descrittivo, ad esempio MDATP MDAV configuration settings.
   • Categoria: Seleziona una categoria definita dall'organizzazione, oppure lascia questo valore impostato a None.
   • Metodo di distribuzione: seleziona Install Automatically.
   • Livello: Seleziona Computer Level.
   • Payload: seleziona Impostazioni Applicazione e Personalizzate e carica MDATP_MDAV_configuration_settings.plist.
   • Dominio di preferenze: Inserite com.microsoft.wdav.
   • Scope: Seleziona il gruppo computer che contiene i dispositivi macOS di destinazione.

Passo 4: Configura le impostazioni delle notifiche

Crea un profilo di configurazione Jamf Pro che consenta le notifiche da Defender for Endpoint e Microsoft AutoUpdate.

1. Scarica notif.mobileconfig.

2. Segui le istruzioni di Jamf per caricare un profilo di configurazione.

3. Definire l'ambito del profilo nel gruppo di computer che contiene i dispositivi macOS di destinazione.

Il profilo consente banner, badge, suoni e notifiche del Centro Notifiche. Nasconde le notifiche nella schermata di blocco e disabilita gli avvisi critici per questi ID del bundle:

• com.microsoft.wdav.tray
• com.microsoft.autoupdate2

Passaggio 5: Configurare Microsoft AutoUpdate (MAU)

Microsoft AutoUpdate (MAU) mantiene aggiornate le applicazioni Microsoft in macOS, incluse le Microsoft Defender per endpoint. Configurare le impostazioni seguenti per gestire la modalità di distribuzione degli aggiornamenti ai dispositivi.

1. Utilizzare le seguenti impostazioni di configurazione di Microsoft Defender per endpoint:

   <?xml version="1.0" encoding="UTF-8"?>
   <!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
   <plist version="1.0">
   <dict>
    <key>ChannelName</key>
    <string>Current</string>
    <key>HowToCheck</key>
    <string>AutomaticDownload</string>
    <key>EnableCheckForUpdatesButton</key>
    <true/>
    <key>DisableInsiderCheckbox</key>
    <false/>
    <key>SendAllTelemetryEnabled</key>
    <true/>
   </dict>
   </plist>
   

2. Salva l'elenco delle proprietà come MDATP_MDAV_MAU_settings.plist.

3. Segui le istruzioni Jamf per distribuire un profilo di configurazione personalizzato del computer. Usa questi valori specifici di Defender:

   • Nome: immettere un nome descrittivo, ad esempio MDATP MDAV MAU settings.
   • Categoria: Seleziona una categoria definita dall'organizzazione, oppure lascia questo valore impostato a None.
   • Metodo di distribuzione: seleziona Install Automatically.
   • Livello: Seleziona Computer Level.
   • Payload: seleziona Impostazioni Applicazione e Personalizzate e carica MDATP_MDAV_MAU_settings.plist.
   • Dominio di preferenze: Inserite com.microsoft.autoupdate2.
   • Scope: Seleziona il gruppo computer che contiene i dispositivi macOS di destinazione.

Per descrizioni delle impostazioni disponibili e dei valori supportati, consulta le preferenze Microsoft AutoUpdate.

Passo 6: Concedere l'accesso completo al disco a Microsoft Defender per endpoint

Crea un profilo di configurazione Jamf Pro che conceda l'accesso completo al disco a Defender for Endpoint.

1. Scarica fulldisk.mobileconfig.

2. Segui le istruzioni di Jamf per caricare un profilo di configurazione.

3. Limita il profilo al gruppo di computer che contiene i dispositivi macOS di destinazione.

Il profilo concede SystemPolicyAllFiles l'accesso a questi ID del bundle:

• com.microsoft.wdav
• com.microsoft.wdav.epsext
• com.microsoft.dlp.daemon

Passo 7: Approva le estensioni di sistema per Microsoft Defender per endpoint

Crea un profilo di configurazione Jamf Pro che approvi le estensioni di sistema Defender for Endpoint.

1. Scarica sysext.mobileconfig.

2. Segui le istruzioni di Jamf per caricare un profilo di configurazione.

3. Limita il profilo al gruppo di computer che contiene i dispositivi macOS di destinazione.

Il profilo utilizza Microsoft Team ID UBF8T346G9 per approvare queste estensioni di sistema:

• com.microsoft.wdav.epsext
• com.microsoft.wdav.netext

Passo 8: Configura l'estensione di rete

L'estensione di rete Defender for Endpoint ispeziona il traffico di rete per supportare la Protezione di Rete, il filtraggio dei contenuti web e indicatori di rete personalizzati.

1. Scarica netfilter.mobileconfig.

2. Segui le istruzioni di Jamf per caricare un profilo di configurazione.

3. Limita il profilo al gruppo di computer che contiene i dispositivi macOS di destinazione.

Il profilo configura questi valori specifici di Defender:

• Nome del filtro: Microsoft Defender Content Filter
• Identificatore: com.microsoft.wdav
• Ordine dei filtri: Inspector
• Filtro a presa: com.microsoft.wdav.netext
• Microsoft Team ID:UBF8T346G9

Passo 9: Configura i servizi in background

Scarica background_services.mobileconfig dal repository dei profili mobileconfig di Microsoft Defender per endpoint per macOS.

Segui le istruzioni Jamf per caricare un profilo di configurazione e applica il profilo al gruppo computer che contiene i dispositivi macOS di destinazione.

Passo 10: Concedere permessi Bluetooth

Scaricare bluetooth.mobileconfig dal repository dei profili mobileconfig per macOS di Microsoft Defender per endpoint.

Ti serve almeno un certificato di firma nel portachiavi di macOS. Un certificato autofirmato è sufficiente. Elenca le identità di firma del codice disponibili per trovare il nome del certificato:

> /usr/bin/security find-identity -p codesigning -v

  1) 70E46A47F552EA8D58521DAC1E7F5144BA3012BC "DevCert"
  2) 67FC43F3FAB77662BB7688C114585BAA37CA8175 "Mac Developer: John Doe (1234XX234)"
  3) E142DFD879E5EB60FA249FB5B24CEAE3B370394A "Apple Development: Jane Doe 7XX7778888)"
  4) 21DE31645BBF1D9F5C46E82E87A6968111E41C75 "Apple Development: me@example.com (8745XX123)"
     4 valid identities found

Scegli una delle identità di firma elencate e indica il nome del certificato citato come -N parametro. Il comando firma il profilo di configurazione Bluetooth in modo che Jamf Pro non ne modifichi il payload:

/usr/bin/security cms -S -N "DevCert" -i bluetooth.mobileconfig -o bluetooth-signed.mobileconfig

Segui le istruzioni di Jamf per caricare un profilo di configurazione. Carica bluetooth-signed.mobileconfig e assegna il profilo al gruppo di computer che contiene i dispositivi macOS di destinazione.

Passaggio 11: Pianificare le analisi con Microsoft Defender per endpoint in macOS

Per configurare scansioni rapide o complete ricorrenti, consulta Programmare scansioni con Microsoft Defender per endpoint su macOS.

Passaggio 12: Distribuire Microsoft Defender per endpoint su macOS

Caricare il pacchetto Microsoft Defender per endpoint in Jamf Pro e creare un criterio di distribuzione per distribuirlo ai dispositivi macOS.

Per le istruzioni aggiornate di Jamf Pro, consulta Distribuzione dei pacchetti. Usa questi valori specifici di Defender:

• Pacchetto: carica il wdav.pkg file che hai scaricato nel Passo 1.
• Nome visualizzato: Inserisci un nome descrittivo, come Microsoft Defender per endpoint.
• File manifesto: Lascia questo valore vuoto. Defender for Endpoint non richiede un file manifest.
• Opzioni e limitazioni: Defender for Endpoint non richiede valori specifici. Configura queste impostazioni in base ai requisiti di distribuzione dei pacchetti della tua organizzazione.
• Attivazione dei criteri: selezionare Verifica ricorrente.
• Payload dei pacchetti: Aggiungi il pacchetto Defender for Endpoint e configuralo per l'installazione.
• Ambito: Seleziona il gruppo di computer smart descritto in Crea un gruppo di computer smart per dispositivi con profili Defender.
• Autoservizio: Opzionalmente, rendere disponibile la polizza in Autoservizio per l'installazione su richiesta.

Creare un gruppo di computer smart per dispositivi con profili Defender

Installa i profili di configurazione richiesti sui dispositivi registrati prima di installare il pacchetto Defender for Endpoint. Jamf Pro di solito invia immediatamente i profili di configurazione, ma le policy si attivano quando il dispositivo effettua il check-in. Il rilascio del profilo potrebbe essere ritardato, ad esempio, quando un dispositivo viene bloccato.

Per far rispettare l'ordine di distribuzione corretto, crea un gruppo di computer smart per i dispositivi che hanno ricevuto un profilo di configurazione Defender for Endpoint. Assegna la policy del pacchetto a quel gruppo in modo che Jamf Pro installi Defender for Endpoint solo dopo che il profilo è presente.

Per le istruzioni attuali di Jamf Pro, vedi Creare un gruppo intelligente. Usa queste impostazioni specifiche di Defender:

• Aggiungi un criterio Nome profilo a ogni profilo di configurazione richiesto di Defender for Endpoint.
• Combina i criteri del profilo con AND così che il gruppo includa solo i dispositivi che hanno ricevuto tutti i profili richiesti.
• Definire l'ambito dei criteri del pacchetto Defender per endpoint in questo gruppo di computer smart.

Verificare l'ambito del profilo di configurazione per tutti i profili di Defender

Jamf Pro richiede un telescopio per ogni profilo di configurazione. Assicurati che ogni dispositivo che riceve il pacchetto Defender for Endpoint riceva anche tutti i profili applicabili:

• Onboarding (Passo 2)
• Impostazioni di Defender for Endpoint (Passaggio 3)
• Notifiche (Passo 4)
• Microsoft AutoUpdate (Passo 5)
• Accesso completo al disco (Passo 6)
• Estensioni di sistema (Passo 7)
• Estensione della rete (Passo 8)
• Servizi di background (Passo 9)
• Permessi Bluetooth (Passo 10)