mdatpコマンドラインツールを使って、Microsoft Defender for Endpointの設定、スキャンの実行、検出された脅威の管理、macOSデバイスでの製品健康状態の確認を行います。 診断情報の収集、コマンドの自動補完の有効化、隔離されたファイルの管理、Defender for Endpointのアンインストールも可能です。
製品要件および展開方法については、「macOS上のMicrosoft Defender for EndpointおよびmacOSの『Microsoft Defender for Endpoint』のPrerequisitesを参照してください。
診断情報の収集
問題を再現できる場合は、ログ レベルを上げ、しばらくシステムを実行してから、ログ レベルを既定に復元します。
ログレベルを
debugに設定します:mdatp log level set --level debugLog level configured successfully問題を再現します。
Defender for Endpoint の診断ログを含む
.zipアーカイブを作成します。 コマンドは成功後にアーカイブパスを表示します:ヒント
既定では、診断ログは
/Library/Application Support/Microsoft/Defender/wdavdiag/に保存されます。 別のディレクトリを使う場合は、コマンドに--path [directory]を追加し、[directory]を宛先に置き換えてください。sudo mdatp diagnostic createDiagnostic file created: "/Library/Application Support/Microsoft/Defender/wdavdiag/932e68a8-8f2e-4ad0-a7f2-65eb97c0de01.zip"ログレベルをデフォルトの値に戻す
info:mdatp log level set --level infoLog level configured successfully
インストールログの確認
インストールが失敗した場合、設置者は一般的な故障のみを報告することがあります。 詳細な情報は /Library/Logs/Microsoft/mdatp/install.logでご覧いただけます。 Microsoftのサポートケースを開く際には、このファイルを含めてください。
さらなるトラブルシューティングのガイダンスについては、「macOS上のMicrosoft Defender for Endpointのインストール問題のトラブルシューティング」をご覧ください。
コマンド ラインから構成する
出力フォーマットの設定
コマンドラインツールはテーブル出力とJSON出力をサポートしています。 以下のいずれかのグローバルオプションをコマンドで使用してください:
--output json--output table
サポートされているコマンド
以下の表は、一般的なシナリオに対するコマンドを示しています。 インストール済みの製品バージョンでサポートされているコマンドの完全なリストを見るには、ターミナルで mdatp help を実行してください。
| グループ | シナリオ | コマンド |
|---|---|---|
| 構成 | パッシブモードのオンまたはオフを切り替えてください | mdatp config passive-mode --value [enabled/disabled] |
| 構成 | リアルタイム保護のオン・オフを切り替えてください | mdatp config real-time-protection --value [enabled/disabled] |
| 構成 | 行動モニタリングのオン・オフを切り替えてください | mdatp config behavior-monitoring --value [enabled/disabled] |
| 構成 | クラウドプロテクションのオン・オフを切り替えてください | mdatp config cloud --value [enabled/disabled] |
| 構成 | クラウド診断のオン・オフを切り替えてください | mdatp config cloud-diagnostic --value [enabled/disabled] |
| 構成 | 自動サンプル提出のオン・オフを切り替えてください | mdatp config cloud-automatic-sample-submission --value [enabled/disabled] |
| 構成 | 不要なアプリケーション保護をブロック、監査、またはオフにする | mdatp threat policy set --type potentially_unwanted_application --action [block\|audit\|off] |
| 構成 | プロセスに対してウイルス対策の除外を追加または削除する | mdatp exclusion process [add\|remove] --path [path-to-process] |
| 構成 | ファイルのアンチウイルス除外を追加または削除する | mdatp exclusion file [add/remove] --path [path-to-file] |
| 構成 | ディレクトリのアンチウイルス除外を追加または削除する | mdatp exclusion folder [add/remove] --path [path-to-directory] |
| 構成 | ファイル拡張子に対してアンチウイルス除外を追加または削除する | mdatp exclusion extension [add/remove] --name [extension] |
| 構成 | すべてのウイルス対策の除外を一覧表示する | mdatp exclusion list |
| 構成 | オンデマンド スキャンの並列処理の程度を構成する | mdatp config maximum-on-demand-scan-threads --value [numerical-value-between-1-and-64] |
| 構成 | セキュリティ情報の更新後にスキャンをオンまたはオフに切り替える | mdatp config scan-after-definition-update --value [enabled/disabled] |
| 構成 | オンデマンドスキャンのためにアーカイブスキャンをオンまたはオフにしてください | mdatp config scan-archives --value [enabled/disabled] |
| 構成 | ファイルのハッシュ計算をオンまたはオフに切り替える | mdatp config enable-file-hash-computation --value [enabled/disabled] |
| 保護 | パスをスキャンする | mdatp scan custom --path [path] [--ignore-exclusions] |
| 保護 | クイック スキャンを実行する | mdatp scan quick |
| 保護 | フル スキャンを実行する | mdatp scan full |
| 保護 | 進行中のオンデマンド スキャンを取り消す | mdatp scan cancel |
| 保護 | セキュリティ インテリジェンスの更新プログラムを要求する | mdatp definitions update |
| 構成 | 許可リストに脅威名を追加する | mdatp threat allowed add --name [threat-name] |
| 構成 | 許可されたリストから脅威名を削除する | mdatp threat allowed remove --name [threat-name] |
| 構成 | 許可されているすべての脅威名を一覧表示する | mdatp threat allowed list |
| 保護の履歴 | 完全な保護履歴を印刷する | mdatp threat list |
| 保護の履歴 | 脅威の詳細を取得する | mdatp threat get --id [threat-id] |
| 検疫管理 | 検疫されたすべてのファイルを一覧表示する | mdatp threat quarantine list |
| 検疫管理 | 検疫からすべてのファイルを削除する | mdatp threat quarantine remove-all |
| 検疫管理 | 脅威として検出されたファイルを検疫に追加する | mdatp threat quarantine add --id [threat-id] |
| 検疫管理 | 脅威として検出されたファイルを検疫から削除する | mdatp threat quarantine remove --id [threat-id] |
| 検疫管理 | 隔離からファイルを復元してください。
101.23092.0012年以前のエンドポイントバージョンでDefenderに提供されています。 |
mdatp threat quarantine restore --id [threat-id] --path [destination-folder] |
| 検疫管理 | 脅威IDを使って隔離からファイルを復元します。 Defender for Endpoint バージョン 101.23092.0012 以降で使用できます。 |
mdatp threat quarantine restore threat-id --id [threat-id] --destination-path [destination-folder] |
| 検疫管理 | 元のパスを使って隔離からファイルを復元します。 Defender for Endpoint バージョン 101.23092.0012 以降で使用できます。 |
mdatp threat quarantine restore threat-path --path [threat-original-path] --destination-path [destination-folder] |
| ネットワーク保護構成 | ネットワーク保護の強制レベルを設定する | mdatp config network-protection enforcement-level --value [block\|audit\|disabled] |
| ネットワーク保護管理 | ネットワーク保護が正常に開始されたか確認してください | mdatp health --field network_protection_status |
| デバイス制御の管理 | デバイス制御が有効かどうか、およびデフォルトの強制レベルを確認してください | mdatp device-control policy preferences list |
| デバイス制御の管理 | アクティブデバイス制御ルールの表示 | mdatp device-control policy rules list |
| デバイス制御の管理 | デバイス制御ポリシーで参照されるグループを見る | mdatp device-control policy groups list |
| 構成 | データ損失防止のオンまたはオフを切り替えてください | mdatp config data_loss_prevention --value [enabled/disabled] |
| 診断 | ログ レベルを変更する | mdatp log level set --level [error\|warning\|info\|debug] |
| 診断 | 診断ログを生成する | mdatp diagnostic create --path [directory] |
| 健全性 | 製品の正常性を確認する | mdatp health |
| 健全性 |
healthy、licensed、またはengine_versionなどの特定の製品属性を確認します |
mdatp health --field [attribute] |
| EDR | デバイスタグを設定してください。
GROUP のみがサポートされています。 |
mdatp edr tag set --name GROUP --value [name] |
| EDR | デバイスからグループタグを削除してください | mdatp edr tag remove --tag-name [name] |
| EDR | グループIDを追加してください | mdatp edr group-ids --group-id [group] |
コマンドラインの自動補完を有効にする
Bashでオートコンプリートを有効にするには、Defender for Endpointの完了スクリプトをBashプロフィールに追加し、ターミナルセッションを再起動してください:
echo "source /Applications/Microsoft\ Defender.app/Contents/Resources/Tools/mdatp_completion.bash" >> ~/.bash_profile
Zシェル(zsh)でオートコンプリートを有効にするには、以下の手順に従ってください:
デバイスでオートコンプリートが有効になっているかどうかを確認します。
cat ~/.zshrc | grep autoloadコマンドで出力が出ない場合は、zshプロファイルでオートコンプリートを有効にしてください:
echo "autoload -Uz compinit && compinit" >> ~/.zshrc完了ディレクトリを作成し、Defender for Endpointの完了スクリプトをリンクします:
sudo mkdir -p /usr/local/share/zsh/site-functions sudo ln -svf "/Applications/Microsoft Defender.app/Contents/Resources/Tools/mdatp_completion.zsh" /usr/local/share/zsh/site-functions/_mdatp
クライアント隔離ディレクトリの管理
Defender for Endpointは隔離されたファイルを/Library/Application Support/Microsoft/Defender/quarantine/に保存します。 ファイル名は脅威追跡IDを使用します。 現在の追跡IDを見るには mdatp threat listを実行してください。 ファイルを直接編集するのではなく、隔離されたファイルを管理するには mdatp threat quarantine コマンドを使うと良いでしょう。
Defender for Endpointをアンインストールしてください
Defender for Endpointをアンインストールする前に、まずデバイスをオフボードし、管理ポリシーを削除または更新してください。 オプションのデバイスリタイアメントタグ、改ざん防止要件、オフボーディングパッケージ、システム拡張ポリシーのクリーンアップについては、 Offboard Macデバイスを参照してください。
アプリはインタラクティブにアンインストールすることも、コマンドラインからも可能です。 Jamf Proでデバイスを管理している場合は、アプリケーションを削除する前にオフボーディングプロファイルを展開してください。 現在、Microsoft Intuneでは中央管理アンインストール機能が利用できません。
インタラクティブなアンインストール
Finderでアプリケーションを開き、ControlでMicrosoft Defenderをクリックし、「Move to Trash」を選択します。
コマンドラインからアンインストールする
ターミナルで sudo '/Library/Application Support/Microsoft/Defender/uninstall/uninstall' を実行してください。
アンインストールする前に、Jamf Proでオフボードします
Jamf Proは別のサードパーティ製品で、Defender for Endpointの一部ではなく、Defender for Endpointのサブスクリプションにも含まれていません。 Jamf Proを使用するには、組織内で別のJamf Proサブスクリプションが必要です。 製品およびサブスクリプション情報については、 Jamf Proをご覧ください。 もし御社でJamf Proを使用していない場合は、この記事の別の設定方法を使ってください。
アプリケーションを削除する前にJamf Pro経由でデバイスをオフボードするには、Jamfの指示に従って 設定プロファイルをアップロードしてください。 エンドポイントのオフボーディングプロファイルのDefenderを変更せずにアップロードし、プリファレンスドメインをcom.microsoft.wdav.atp.offboardingに設定してください。
注:
Defender for Endpointのアンインストールに問題があり、報告にMicrosoft Defender Endpoint Security Extensionの項目が含まれている場合は、以下の手順に従ってください。
Microsoft Defender アプリを再インストールします。
Microsoft Defender.appをごみ箱にドラッグします。
ターミナルで次のコマンドを実行します。
sudo '/Library/Application Support/Microsoft/Defender/uninstall/install_helper' execute --path '/Library/Application Support/Microsoft/Defender/uninstall/uninstall' --args --post-uninstall-hookデバイスを再起動します。
Microsoft Defender ポータルを使用する
Microsoft Defenderポータルを使って検出を確認し、デバイスに対して対応措置を取ることができます。 詳細については、次のリソースを参照してください。