改ざん防止を使用して macOS のセキュリティ設定を保護する

適用対象: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

macOS の改ざん防止は、承認されていないユーザーがセキュリティ設定に望ましくない変更を加えるのを防ぐのに役立ちます。改ざん防止は、macOS でのMicrosoft Defender for Endpointの不正な削除を防ぐのに役立ちます。改ざん防止は、重要なセキュリティファイル、プロセス、および構成設定が改ざんされるのを防ぐのにも役立ちます。

重要

macOS のMicrosoft Defender for Endpointでは、Microsoft Defender ポータルで構成されている改ざん防止設定が既定値として使用されます。改ざん防止を適用するには、Microsoft Intuneや Jamf などのモバイルデバイス管理 (MDM) ソリューションを使用して設定を構成します。

MDM ポリシーが適用されると、ポータル設定とローカル構成の両方よりも優先されます。

MDM 経由で改ざん防止設定が適用されていない場合、ローカル管理者は、次のコマンドを使用して手動で設定を変更できます: sudo mdatp config tamper-protection enforcement-level --value (chosen mode)。

"改ざん防止" 設定は、次のモードで設定できます。

モード	説明
無効	改ざん防止は完全にオフです。
監査	改ざん操作はログに記録されますが、ブロックされません。このモードは、インストール後の既定値です。
ブロック	改ざん防止が有効です。改ざん操作はブロックされます。

改ざん防止が監査モードまたはブロックモードに設定されている場合、次の結果が予想されます。

監査モード:

Defender for Endpoint エージェントをアンインストールするためのアクションがログに記録されます (監査済み)
Defender for Endpoint ファイルの編集/変更がログに記録されます (監査済み)
Defender for Endpoint の場所での新しいファイルの作成がログに記録されます (監査済み)
Defender for Endpoint ファイルの削除がログに記録されます (監査済み)
Defender for Endpoint ファイルの名前変更がログに記録されます (監査済み)

ブロックモード:

Defender for Endpoint エージェントをアンインストールするアクションがブロックされている
Defender for Endpoint ファイルの編集/変更がブロックされる
Defender for Endpoint の場所での新しいファイルの作成がブロックされている
Defender for Endpoint ファイルの削除がブロックされている
Defender for Endpoint ファイルの名前変更がブロックされている
エージェントを停止するコマンド (wdavdaemon) が失敗する

ブロックされたアクションに応答するシステムメッセージの例を次に示します。

操作がブロックされたポップアップメッセージのスクリーンショット。

改ざん防止を構成するには、適用レベルを disabled、 audit、または blockに設定します。

注:

モードの変更はすぐに適用されます。
初期構成時に JAMF を使用した場合は、JAMF も使用して構成を更新する必要があります。

開始する前に

次の要件が満たされていることを確認してください。

サポートされている macOS バージョン: Big Sur (11 以降)
Defender for Endpoint に必要な最小バージョン: 101.70.19
適切なロールが割り当てられている ( ロールベースのアクセス制御のロールの作成と管理に関するページを参照)

重要

Microsoft では、アクセス許可が可能な限りで少ないロールを使用することをお勧めします。これにより、組織のセキュリティが向上します。グローバル管理者は高い特権を持つロールであり、既存のロールを使用できない場合の緊急時に限定する必要があります。

強くお勧めする設定:

システム整合性保護 (SIP) が有効になっています。詳細については、「システム整合性保護の無効化と有効化」を参照してください。
モバイルデバイス管理 (MDM) ツールを使用して、Microsoft Defender for Endpointを構成します。
Defender for Endpoint に フルディスクアクセス の承認があることを確認します。

注:

SIP が有効になっていて、MDM 経由で行われるすべての構成は必須ではありませんが、完全にセキュリティで保護されたデバイスには必要です。それ以外の場合、ローカル管理者は macOS が管理する改ざんの変更を行うことができます。たとえば、Intune などのモバイル デバイス管理ソリューションを使用して TCC (透明性、同意 & 制御) を有効にすると、セキュリティ管理者がローカル管理者によるフルディスクアクセス承認を取り消すリスクがなくなります。

macOS デバイスで改ざん防止を構成する

Microsoft Defenderは、これらの設定を次の順序で評価します。優先度の高い設定が構成されている場合、残りの設定は無視されます。

マネージド構成プロファイル (tamperProtection/enforcementLevel 設定):
- JAMF
- Intune
手動構成 ( mdatp config tamper-protection enforcement-level --value { disabled|audit|block }を使用)
Microsoft Defender ポータルで改ざん防止が有効になっている場合は、"ブロック" モードが使用されます。
Microsoft Defender ポータルで改ざん防止が無効になっている場合:
- 有効なライセンスを持つデバイスの既定値は "監査" モードです。
- ライセンスのないデバイスは、既定では "無効" モードです。

デバイスの正常性とライセンスを確認する

エンドポイントのDefenderが正常であり、デバイスで正しくライセンスされていることを確認するには、次の正常性チェックコマンドを実行します。

mdatp health

healthy                                     : true
health_issues                               : []
licensed                                    : true
...
tamper_protection                           : "audit"

tamper_protection は、有効な適用レベルを報告します。

手動構成

block モードでは、改ざん防止によって、エンドポイントの設定、ファイル、およびプロセスのDefenderに対する未承認の変更がアクティブに防止されます。ブロックモードを手動で有効にするには、次の手順に従います。

ブロックモードに切り替えるには、次のコマンドを使用します。
```
  sudo mdatp config tamper-protection enforcement-level --value block
```
注:

運用デバイスでマネージド構成プロファイル (MDM 経由でデプロイ) を使用する必要があります。ローカル管理者が手動構成を使用して改ざん防止モードを変更した場合は、いつでも制限の厳しいモードに変更できます。マネージドプロファイルを介して改ざん防止モードが設定されている場合は、セキュリティ管理者のみが元に戻すことができます。
結果を確認します。

healthy                                     : true
health_issues                               : []
licensed                                    : true
engine_version                              : "1.1.19300.3"
app_version                                 : "101.70.19"
org_id                                      : "..."
log_level                                   : "info"
machine_guid                                : "..."
release_ring                                : "InsiderFast"
product_expiration                          : Dec 29, 2022 at 09:48:37 PM
cloud_enabled                               : true
cloud_automatic_sample_submission_consent   : "safe"
cloud_diagnostic_enabled                    : false
passive_mode_enabled                        : false
real_time_protection_enabled                : true
real_time_protection_available              : true
real_time_protection_subsystem              : "endpoint_security_extension"
network_events_subsystem                    : "network_filter_extension"
device_control_enforcement_level            : "audit"
tamper_protection                           : "block"
automatic_definition_update_enabled         : true
definitions_updated                         : Jul 06, 2022 at 01:57:03 PM
definitions_updated_minutes_ago             : 5
definitions_version                         : "1.369.896.0"
definitions_status                          : "up_to_date"
edr_early_preview_enabled                   : "disabled"
edr_device_tags                             : []
edr_group_ids                               : ""
edr_configuration_version                   : "20.199999.main.2022.07.05.02-ac10b0623fd381e28133debe14b39bb2dc5b61af"
edr_machine_id                              : "..."
conflicting_applications                    : []
network_protection_status                   : "stopped"
data_loss_prevention_status                 : "disabled"
full_disk_access_enabled                    : true

tamper_protectionが block に設定されていることに注意してください。

JAMF を使用して改ざん防止を構成する

JAMF を使用してブロックモードで改ざん防止を有効にするには、Microsoft Defender for EndpointtamperProtectionに次の設定を追加します。

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
  <dict>
    <key>tamperProtection</key>
    <dict>
      <key>enforcementLevel</key>
      <string>block</string>
    </dict>
  </dict>
</plist>

注:

Microsoft Defender for Endpointの構成プロファイルが既にある場合は、設定を追加する必要があります。 2 つ目の構成プロファイルを作成しないでください。

Intune で改ざん防止を構成する

Intune では、設定カタログまたはカスタムプロファイルを使用して改ざん防止を構成できます。

Intune 設定カタログを使用して改ざん防止を構成する

改ざん防止構成を追加する新しい設定カタログプロファイルを作成することも、既存のプロファイルに改ざん防止の構成を追加することもできます。 [適用レベル] の設定は、カテゴリ "Microsoft Defender" とサブカテゴリ "改ざん防止" にあります。その後、目的のレベルを選択します。

Intune カスタムプロファイルを使用して改ざん防止を構成する

設定カタログを使用する代わりに、カスタムプロファイルを使用して改ざん防止を構成できます。詳細については、「macOS でMicrosoft Defender for Endpointの基本設定を設定する」を参照してください。

注:

Intune構成の場合は、新しいプロファイル構成ファイルを作成して改ざん防止構成を追加するか、これらのパラメーターを既存の構成に追加できます。目的のレベルを選択します。

次の例は、MDM を介して macOS デバイスでブロックモードで改ざん保護を有効にする完全な Intune カスタム構成プロファイルを示しています。

<?xml version="1.0" encoding="utf-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1">
    <dict>
        <key>PayloadUUID</key>
        <string>C4E6A782-0C8D-44AB-A025-EB893987A295</string>
        <key>PayloadType</key>
        <string>Configuration</string>
        <key>PayloadOrganization</key>
        <string>Microsoft</string>
        <key>PayloadIdentifier</key>
        <string>com.microsoft.wdav</string>
        <key>PayloadDisplayName</key>
        <string>Microsoft Defender for Endpoint settings</string>
        <key>PayloadDescription</key>
        <string>Microsoft Defender for Endpoint configuration settings</string>
        <key>PayloadVersion</key>
        <integer>1</integer>
        <key>PayloadEnabled</key>
        <true/>
        <key>PayloadRemovalDisallowed</key>
        <true/>
        <key>PayloadScope</key>
        <string>System</string>
        <key>PayloadContent</key>
        <array>
            <dict>
                <key>PayloadUUID</key>
                <string>99DBC2BC-3B3A-46A2-A413-C8F9BB9A7295</string>
                <key>PayloadType</key>
                <string>com.microsoft.wdav</string>
                <key>PayloadOrganization</key>
                <string>Microsoft</string>
                <key>PayloadIdentifier</key>
                <string>com.microsoft.wdav</string>
                <key>PayloadDisplayName</key>
                <string>Microsoft Defender for Endpoint configuration settings</string>
                <key>PayloadDescription</key>
                <string/>
                <key>PayloadVersion</key>
                <integer>1</integer>
                <key>PayloadEnabled</key>
                <true/>
                <key>tamperProtection</key>
                <dict>
                             <key>enforcementLevel</key>
                             <string>block</string>
                </dict>
            </dict>
        </array>
    </dict>
</plist>

Intune で改ざん防止の状態を確認する

次のコマンドを実行して、改ざん防止の状態を確認します。

mdatp health --field tamper_protection

改ざん防止がオンの場合、 mdatp health --field tamper_protection の出力には "ブロック" が表示されます。

ブロックモードでの改ざん防止のスクリーンショット。

また、完全な mdatp health を実行し、出力で "tamper_protection" を探すこともできます。

改ざん防止の状態の詳細については、 mdatp health --details tamper_protectionを実行します。

改ざん防止機能を確認する

改ざん防止が有効になっていることを確認するには、さまざまな方法があります。

ブロックモードを確認する

Microsoft Defender ポータルで改ざんアラートが発生する

ブロックモードと監査モードを確認する

ブロックモードと監査モードの両方で改ざん防止アクティビティを確認するには、次のインジケーターを使用します。

高度なハンティングを使用すると、改ざんアラートが表示されます
改ざんイベントは、ローカルデバイスログにあります。 sudo grep -F '[{tamperProtection}]' /Library/Logs/Microsoft/mdatp/microsoft_defender_core.log

改ざん防止ログのスクリーンショット。

DIY シナリオ

改ざん防止が一般的な改ざんの試行をブロックするかどうかをテストするには、次の do-it自分のシナリオを使用します。

改ざん防止が "ブロック" に設定されている場合は、さまざまな方法で Defender for Endpoint をアンインストールします。たとえば、アプリタイルをごみ箱にドラッグするか、コマンドラインを使用して改ざん防止をアンインストールします。
Defender for Endpoint プロセス (kill) を停止してみてください。
たとえば、Defender for Endpoint ファイル (悪意のあるユーザーが実行する操作と同様) を削除、名前変更、変更、移動してみてください。
- /Applications/Microsoft Defender.app/
- /Library/LaunchDaemons/com.microsoft.fresno.plist
- /Library/LaunchDaemons/com.microsoft.fresno.uninstall.plist
- /Library/LaunchAgents/com.microsoft.wdav.tray.plist
- /Library/Managed Preferences/com.microsoft.wdav.ext.plist
- /Library/Managed Preferences/mdatp_managed.json
- /Library/Managed Preferences/com.microsoft.wdav.atp.plist
- /Library/Managed Preferences/com.microsoft.wdav.atp.offboarding.plist
- /usr/local/bin/mdatp

改ざん防止をオフにする

改ざん防止を無効にするには、次のいずれかの方法を使用します。

警告

改ざん防止を無効にすると、Microsoft Defender for Endpointへの未承認の変更に対する保護が軽減されます。承認されたトラブルシューティングまたはポリシーの変更に対してのみ改ざん防止を無効にし、できるだけ早く再度有効にします。

手動構成

コマンドラインから改ざん防止をローカルで無効にするには、次のコマンドを実行します。

sudo mdatp config tamper-protection enforcement-level --value disabled

JAMF

JAMF による改ざん防止を無効にするには、enforcementLevelでの値を "無効" に変更し、デバイスにプッシュします。

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
  <dict>
    <key>tamperProtection</key>
    <dict>
      <key>enforcementLevel</key>
      <string>disabled</string>
    </dict>
  </dict>
</plist>

Intune

Intune プロファイルに次の構成を追加します。

<?xml version="1.0" encoding="utf-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1">
    <dict>
        <key>PayloadUUID</key>
        <string>C4E6A782-0C8D-44AB-A025-EB893987A295</string>
        <key>PayloadType</key>
        <string>Configuration</string>
        <key>PayloadOrganization</key>
        <string>Microsoft</string>
        <key>PayloadIdentifier</key>
        <string>com.microsoft.wdav</string>
        <key>PayloadDisplayName</key>
        <string>Microsoft Defender for Endpoint settings</string>
        <key>PayloadDescription</key>
        <string>Microsoft Defender for Endpoint configuration settings</string>
        <key>PayloadVersion</key>
        <integer>1</integer>
        <key>PayloadEnabled</key>
        <true/>
        <key>PayloadRemovalDisallowed</key>
        <true/>
        <key>PayloadScope</key>
        <string>System</string>
        <key>PayloadContent</key>
        <array>
            <dict>
                <key>PayloadUUID</key>
                <string>99DBC2BC-3B3A-46A2-A413-C8F9BB9A7295</string>
                <key>PayloadType</key>
                <string>com.microsoft.wdav</string>
                <key>PayloadOrganization</key>
                <string>Microsoft</string>
                <key>PayloadIdentifier</key>
                <string>com.microsoft.wdav</string>
                <key>PayloadDisplayName</key>
                <string>Microsoft Defender for Endpoint configuration settings</string>
                <key>PayloadDescription</key>
                <string/>
                <key>PayloadVersion</key>
                <integer>1</integer>
                <key>PayloadEnabled</key>
                <true/>
                <key>tamperProtection</key>
                <dict>
                  <key>enforcementLevel</key>
                  <string>disabled</string>
                </dict>
            </dict>
        </array>
    </dict>
</plist>

改ざん防止の除外を構成する

注:

バージョン 101.98.71 以降で使用できます。

改ざん防止により、macOS プロセスがMicrosoft Defenderの資産に変更を加えたり、Microsoft Defenderのプロセスを停止したりできなくなります。保護された資産には、インストールファイルと構成ファイルが含まれます。

内部的には、Microsoft Defenderでは、特定の状況で特定の macOS プロセスに例外が発生します。たとえば、改ざん防止によってパッケージの信頼性が検証された場合、macOS は Defender のパッケージをアップグレードできます。 Microsoft Defenderでは、特定のシナリオで MDM 関連のプロセスも除外されます。たとえば、macOS MDM プロセスは、Microsoft Defenderのマネージド構成ファイルを置き換えることができます。

セキュリティ管理者が、すべてまたは一部の管理対象デバイスで Defender を再起動する必要がある場合があります。通常、これは、リモートデバイス (または他の MDM ベンダーに対して同様の操作) でスクリプトを実行する JAMF のポリシーを作成して実行することによって行われます。

これらのポリシーによって開始された操作のマーキングを回避するために、Microsoft Defenderは JAMF とIntuneの MDM ポリシープロセスを検出し、それらの MDM ポリシープロセスから改ざん操作を許可します。同時に、ターミナルからローカルで開始されている場合、改ざん防止によって同じスクリプトがMicrosoft Defender再起動されなくなります。

ただし、これらのポリシー実行プロセスはベンダー固有です。 Microsoft Defenderは JAMF とIntuneに組み込みの除外を提供しますが、可能なすべての MDM ベンダーにこれらの除外を提供することはできません。代わりに、セキュリティ管理者は、改ざん防止に独自の除外を追加できます。除外は、ローカル構成ではなく MDM プロファイルを介してのみ実行できます。

改ざん防止の除外を構成するには、まず、ポリシーを実行する MDM ヘルパープロセスへのパスを決定します。これを行うには、MDM ベンダーのドキュメントに従います。テストポリシーの改ざんを開始し、セキュリティポータルでアラートを取得し、攻撃を開始したプロセスの階層を検査し、MDM ヘルパー候補のように見えるプロセスを選択することもできます。

MDM ヘルパープロセスのパスを特定したら、改ざん防止の除外を構成するための選択肢がいくつかあります。

パス自体によって。これは最も簡単で(このパスを既に持っています)、それを行うための最も安全な方法です。つまり、推奨されていません。
codesign -dv --verbose=4 path_to_helperを実行して、実行可能ファイル (TeamIdentifier または署名識別子) から署名 ID を取得します ([識別子] と [TeamIdentifier] を探します。後者は Apple 独自のツールでは使用できません)。
または、これらの属性の組み合わせを使用します。

たとえば、改ざん防止の除外に必要な署名識別子と TeamIdentifier を取得するには、 codesignを使用して MDM ヘルパー実行可能ファイルを調べます。

codesign -dv --verbose=4 /usr/bin/ruby

出力には、MDM プロファイルで除外を構成するために使用できる Identifier と TeamIdentifier の値が表示されます。

Executable=/usr/bin/ruby
Identifier=com.apple.ruby
Format=Mach-O universal (x86_64 arm64e)
CodeDirectory v=20400 size=583 flags=0x0(none) hashes=13+2 location=embedded
Platform identifier=14
VersionPlatform=1
VersionMin=852992
VersionSDK=852992
Hash type=sha256 size=32
CandidateCDHash sha256=335c10d40db9417d80db87f658f6565018a4c3d6
CandidateCDHashFull sha256=335c10d40db9417d80db87f658f6565018a4c3d65ea3b850fc76c59e0e137e20
Hash choices=sha256
CMSDigest=335c10d40db9417d80db87f658f6565018a4c3d65ea3b850fc76c59e0e137e20
CMSDigestType=2
Executable Segment base=0
Executable Segment limit=16384
Executable Segment flags=0x1
Page size=4096
Launch Constraints:
  None
CDHash=335c10d40db9417d80db87f658f6565018a4c3d6
Signature size=4442
Authority=Software Signing
Authority=Apple Code Signing Certification Authority
Authority=Apple Root CA
Signed Time=Apr 15, 2023 at 4:45:52 AM
Info.plist=not bound
TeamIdentifier=not set
Sealed Resources=none
Internal requirements count=1 size=64

次の例は、ブロックモードで改ざん保護を有効にし、プロセスの除外を追加する JAMF 構成プロファイルを示しています。特定のプロセスが改ざん防止によってブロックされる操作を実行できるようにする必要がある場合は、MDM 経由でこのプロファイルを展開します。 JAMF の場合など、基本設定を構成します。

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
  <dict>
    <key>tamperProtection</key>
    <dict>
      <key>enforcementLevel</key>
      <string>block</string>
      <key>exclusions</key>
      <array>
        <dict>
          <key>path</key>
          <string>/usr/bin/ruby</string>
          <key>teamId</key>
          <string/>
          <key>signingId</key>
          <string>com.apple.ruby</string>
          <key>args</key>
          <array>
            <string>/usr/local/bin/global_mdatp_restarted.rb</string>
          </array>
        </dict>
      </array>
    </dict>
  </dict>
</plist>

セキュリティ管理者が使用するスクリプトだけでなく、 任意のスクリプトを実行できるため、コンパイルされた実行可能ファイルではなくスクリプトインタープリター (上の例の Ruby など) を除外しても安全ではないことに注意してください。

リスクを最小限に抑えるために、スクリプトインタープリターを使用して特定のスクリプトのみを実行できるように、追加の args を使用することをお勧めします。上の例では、 /usr/bin/ruby /usr/local/bin/global_mdatp_restarted.rb のみが Defender の再起動を許可されています。ただし、たとえば、 /usr/bin/ruby /Library/Application Support/Global Manager/global_mdatp_restarted.rb や /usr/bin/ruby /usr/local/bin/global_mdatp_restarted.rb $USER は許可されません。

警告

常に最も制限の厳しい条件を使用して、予期しない攻撃を防ぎます。

構成の問題のトラブルシューティング

問題: 改ざん防止が無効として報告される

コマンドを実行 mdatp health 、オンボーディング後に有効にして 1 時間以上経過した場合でも、改ざん防止が無効になっていることを報告する場合は、次のコマンドを実行して、有効モード、構成ソース、マネージド除外などの詳細な改ざん防止の状態を取得することで、適切な構成があるかどうかを確認できます。

mdatp health --details tamper_protection

次の出力例は、現在の改ざん防止モード、構成ソース、およびポリシーによって提供されるマネージド除外を示しています。 tamper_protectionとconfiguration_sourceが目的の構成と一致することを確認します。

tamper_protection                           : "audit"
exclusions                                  : [{"path":"/usr/bin/ruby","team_id":"","signing_id":"com.apple.ruby","args":["/usr/local/bin/global_mdatp_restarted.rb"]}] [managed]
feature_enabled_protection                  : true
feature_enabled_portal                      : true
configuration_source                        : "local"
configuration_local                         : "audit"
configuration_portal                        : "block"
configuration_default                       : "audit"
configuration_is_managed                    : false

tamper_protection は有効モードです。このモードが使用するモードの場合は、すべて設定されます。
configuration_source は、改ざん防止の適用レベルの設定方法を示します。改ざん防止の構成方法と一致する必要があります。 (マネージドプロファイルを使用してそのモードを設定し、 configuration_source に何か異なる情報が表示された場合は、プロファイルの構成が誤っている可能性が最も高いでしょう)。
- mdm - マネージドプロファイルを使用して構成されます。セキュリティ管理者のみが、プロファイルの更新プログラムを使用して変更できます。
- local - mdatp config コマンドを使用して構成されている
- portal - セキュリティポータルで設定された既定の適用レベル
- defaults - 構成されていない場合、既定のモードが使用されます
feature_enabled_protectionが false の場合、organizationに対して改ざん防止は有効になりません (Defender が "ライセンス済み" と報告しない場合に発生します)
feature_enabled_portalが false の場合、セキュリティポータルを使用した既定のモードの設定はまだ有効になっていません。
configuration_local configuration_portal、configuration_defaultは、対応する構成チャネルが使用された場合に使用されるモードを示します。 (たとえば、MDM プロファイルを使用して "ブロック" モードに改ざん防止を構成し、configuration_defaultaudit通知します。これは、プロファイルを削除し、モードがmdatp configまたは Security Portal を使用して設定されていない場合にのみ、既定のモード (audit) を使用します)。

注:

バージョン 101.98.71 より前の同じ情報を取得するには、Microsoft Defenderのログを検査する必要があります。 Defender コアログで最新の改ざん防止機能の状態エントリを確認するには、次のコマンドを実行します。

$ sudo grep -F '[{tamperProtection}]: Feature state:' /Library/Logs/Microsoft/mdatp/microsoft_defender_core.log | tail -n 1

フィードバック

このページはお役に立ちましたか?

Last updated on 2026-08-05

改ざん防止を使用して macOS のセキュリティ設定を保護する

開始する前に

macOS デバイスで改ざん防止を構成する

デバイスの正常性とライセンスを確認する

手動構成

JAMF を使用して改ざん防止を構成する

Intune で改ざん防止を構成する

Intune 設定カタログを使用して改ざん防止を構成する

Intune カスタム プロファイルを使用して改ざん防止を構成する

Intune で改ざん防止の状態を確認する

改ざん防止機能を確認する

ブロック モードを確認する

ブロック モードと監査モードを確認する

DIY シナリオ

改ざん防止をオフにする

手動構成

JAMF

Intune

改ざん防止の除外を構成する

構成の問題のトラブルシューティング

問題: 改ざん防止が無効として報告される

フィードバック

その他のリソース

Intune カスタムプロファイルを使用して改ざん防止を構成する

ブロックモードを確認する

ブロックモードと監査モードを確認する