Microsoft Defender voor Eindpunt implementeren in macOS met Microsoft Intune

Gebruik Microsoft Intune om Microsoft Defender voor Eindpunt te implementeren op beheerde macOS-apparaten. Maak de vereiste configuratieprofielen aan, deploy de app en het onboardingpakket, en verifieer de deployment. Voordat je begint, bekijk eerst de vereisten en systeemvereisten.

De procedures in dit artikel vereisen Microsoft Intune. Intune is een apart product dat geen deel uitmaakt van Defender for Endpoint en niet in alle abonnementen zit. Je hebt een abonnement nodig dat Intune bevat, of je kunt het apart kopen. Voor licentie-informatie, zie Microsoft Intune-licenties. Om deze methode te vergelijken met Jamf Pro, een andere oplossing voor mobiel apparaatbeheer of handmatige implementatie, zie Deploy Defender for Endpoint op macOS.

Vereisten en systeemvereisten

Bekijk voordat je begint de Defender for Endpoint over de vereisten van macOS, inclusief de product-, beheerders-, systeem-, machtigings- en netwerkvereisten. Voor productmogelijkheden en verificatie van gedeelde implementaties, zie Microsoft Defender voor Eindpunt op macOS.

Overzicht van implementatie

De volgende tabel vat de profielen en pakketten samen die zijn gebruikt om Defender for Endpoint op macOS met Intune te implementeren.

Systeemconfiguratieprofielen maken

Maak de systeemconfiguratieprofielen aan die Microsoft Defender voor Eindpunt nodig heeft.

De meeste stappen in deze sectie gebruiken een aangepast macOS-configuratieprofiel. Voor gedetailleerde instructies, zie Aangepaste instellingen toevoegen aan Apple-apparaten in Microsoft Intune (link opent in een nieuw tabblad).

Wanneer u in een stap wordt gevraagd een aangepast configuratieprofiel te maken, gebruikt u op het tabblad Beleid van de pagina https://intune.microsoft.com/#view/Microsoft_Intune_DeviceSettings/DevicesMenu/~/configuration in het Microsoft Intune-beheercentrum op , door Maken>Nieuw beleid te selecteren, de volgende algemene instellingen:

• Platform: Selecteer macOS.
• Profieltype: Selecteer Sjablonen.
• Sjabloonnaam: Selecteer Aangepast.

Configureer in de Custom wizard de volgende instellingen:

• Configuratie-instellingen : Gebruik de profielspecifieke instellingen die in elke toepasselijke stap worden beschreven.
• Tabblad Toewijzingen : Wijs het profiel toe aan de gebruikers- of apparaatgroepen die het zouden moeten ontvangen. Je kunt ook scope-tags toevoegen en groepen uitsluiten van de opdracht.

Stap 1: systeemextensies goedkeuren

Gebruik de Intune-instellingencatalogus om de vereiste systeemextensies goed te keuren. Voor gedetailleerde instructies, zie Approve Microsoft Defender voor Eindpunt macOS-extensies met behulp van de Intune-instellingencatalogus.

Configureer in de gids Profiel maken de volgende instellingen op het tabblad Configuratie-instellingen :

• Systeemconfiguratie>Systeemuitbreidingen>Toegestane systeemuitbreidingen:
  • Toegestane systeemuitbreidingen: Voeg com.microsoft.wdav.netext en com.microsoft.wdav.epsext toe.
  • Team-id: voer in UBF8T346G9.
• Systeemconfiguratie>Systeemuitbreidingen>Toegestane typen systeemuitbreidingen:
  • Toegestane typen systeemextensies: Voeg EndpointSecurity en Network toe.
  • Team-id: voer in UBF8T346G9.

Stap 2: Netwerkfilter

Defender for Endpoint gebruikt de netwerkextensie voor inspectie van netwerkinhoud. Het netwerkfilterprofiel stelt de extensie in staat socketverkeer te inspecteren.

Download netfilter.mobileconfig uit de opslagplaats voor Defender for Endpoint-macOS-configuratieprofielen.

Maak een aangepast configuratieprofiel aan door gebruik te maken van de veelgebruikte instellingen zoals beschreven in Create system configuration profiles. Gebruik deze profielspecifieke instellingen:

• Basis-tab:
  • Naam: Voer een beschrijvende naam in, zoals macOS network filter.
• Configuratie-instellingen :
  • Configuratieprofielnaam: Voer een beschrijvende naam in voor het profiel.
  • Deployment-kanaal: Selecteer Apparaat-kanaal.
  • Configuratieprofielbestand: Selecteer het netfilter.mobileconfig bestand dat je hebt gedownload.

Stap 3: Volledige schijftoegang

Download fulldisk.mobileconfig uit de Defender for Endpoint-repository voor macOS-configuratieprofielen.

Maak een aangepast configuratieprofiel aan door gebruik te maken van de veelgebruikte instellingen zoals beschreven in Create system configuration profiles. Gebruik deze profielspecifieke instellingen:

• tabblad Basis:
  • Naam: Voer een beschrijvende naam in, zoals macOS full disk access.
• Configuratie-instellingen :
  • Configuratieprofielnaam: Voer een beschrijvende naam in voor het profiel.
  • Deployment-kanaal: Selecteer Apparaat-kanaal.
  • Configuratieprofielbestand: Selecteer het fulldisk.mobileconfig bestand dat je hebt gedownload.

Stap 4: Achtergrondservices

Download background_services.mobileconfig uit de opslagplaats voor macOS-configuratieprofielen van Defender for Endpoint.

Maak een aangepast configuratieprofiel aan door gebruik te maken van de veelgebruikte instellingen zoals beschreven in Create system configuration profiles. Gebruik deze profielspecifieke instellingen:

• tabblad Basis:
  • Naam: Voer een beschrijvende naam in, zoals macOS background services.
• Configuratie-instellingen :
  • Configuratieprofielnaam: Voer een beschrijvende naam in voor het profiel.
  • Deployment-kanaal: Selecteer Apparaat-kanaal.
  • Configuratieprofielbestand: Selecteer het background_services.mobileconfig bestand dat je hebt gedownload.

Stap 5: Meldingen

Dit profiel stelt Defender for Endpoint en Microsoft AutoUpdate in staat meldingen weer te geven.

Download notif.mobileconfig vanuit de opslagplaats voor macOS-configuratieprofielen van Defender for Endpoint.

Om meldingen voor gebruikers te verbergen, wijzig ShowInNotificationCenter van true in false voor de betreffende app in notif.mobileconfig.

Maak een aangepast configuratieprofiel aan door gebruik te maken van de veelgebruikte instellingen zoals beschreven in Create system configuration profiles. Gebruik deze profielspecifieke instellingen:

• Basis-tabblad:
  • Naam: Voer een beschrijvende naam in, zoals macOS notifications consent.
• Configuratie-instellingen :
  • Configuratieprofielnaam: Voer een beschrijvende naam in voor het profiel.
  • Deployment-kanaal: Selecteer Apparaat-kanaal.
  • Configuratieprofielbestand: Selecteer het notif.mobileconfig bestand dat je hebt gedownload.

Stap 6: Toegankelijkheidsinstellingen

Dit profiel verleent toegankelijkheidstoestemming aan de com.microsoft.dlp.daemon component.

Download accessibility.mobileconfig uit de opslagplaats voor macOS-configuratieprofielen van Defender for Endpoint.

Maak een aangepast configuratieprofiel aan door gebruik te maken van de veelgebruikte instellingen zoals beschreven in Create system configuration profiles. Gebruik deze profielspecifieke instellingen:

• tabblad Basis:
  • Naam: Voer een beschrijvende naam in, zoals macOS accessibility settings.
• Configuratie-instellingen :
  • Configuratieprofielnaam: Voer een beschrijvende naam in voor het profiel.
  • Deployment-kanaal: Selecteer Apparaat-kanaal.
  • Configuratieprofielbestand: Selecteer het accessibility.mobileconfig bestand dat je hebt gedownload.

Stap 7: Bluetooth-rechten (optioneel)

Download bluetooth.mobileconfig uit de GitHub-repository.

Maak een aangepast configuratieprofiel aan door gebruik te maken van de veelgebruikte instellingen zoals beschreven in Create system configuration profiles. Gebruik deze profielspecifieke instellingen:

• Basis-tabblad:
  • Naam: Voer een beschrijvende naam in, zoals macOS Bluetooth consent.
• Configuratie-instellingen :
  • Configuratieprofielnaam: Voer een beschrijvende naam in voor het profiel.
  • Deployment-kanaal: Selecteer Apparaat-kanaal.
  • Configuratieprofielbestand: Selecteer het bluetooth.mobileconfig bestand dat je hebt gedownload.

Stap 8: Microsoft AutoUpdate

Dit profiel configureert Microsoft AutoUpdate om Defender for Endpoint bij te werken. Selecteer een van de volgende updatekanalen:

• Beta
• Preview
• Current

Zie Updates implementeren voor Microsoft Defender voor Eindpunt op macOS voor meer informatie.

Download com.microsoft.autoupdate2.mobileconfig uit de Microsoft AutoUpdate-instellingenrepository.

Maak een aangepast configuratieprofiel aan door gebruik te maken van de veelgebruikte instellingen zoals beschreven in Create system configuration profiles. Gebruik deze profielspecifieke instellingen:

• Basis-tab:
  • Naam: Voer een beschrijvende naam in, zoals macOS Microsoft AutoUpdate.
• Configuratie-instellingen :
  • Configuratieprofielnaam: Voer een beschrijvende naam in voor het profiel.
  • Deployment-kanaal: Selecteer Apparaat-kanaal.
  • Configuratieprofielbestand: Selecteer het com.microsoft.autoupdate2.mobileconfig bestand dat je hebt gedownload.

Stap 9: configuratie-instellingen voor Microsoft Defender voor Eindpunt

Configureer antimalware- en EDR-beleidsregels door gebruik te maken van het Microsoft Defender-portaal in stap 9a of het Microsoft Intune admin center in stap 9b.

9a. Stel beleidsregels in in het Microsoft Defender-portaal

Als uw organisatie endpoint-beveiligingsbeleid beheert in het Microsoft Defender-portaal, kunt u antivirus- en endpoint-detectie- en -responsinstellingen (EDR) configureren met dezelfde endpointbeveiligingsbeleid die Intune gebruikt.

Voor gedetailleerde instructies, zie Maak een endpointbeveiligingsbeleid aan of Bewerk een endpointbeveiligingsbeleid (links openen in nieuwe tabbladen).

Voordat je de beleidsregels aanmaakt, configureer je de verbinding tussen Microsoft Defender voor Eindpunt en Intune.

Wanneer je het endpoint security Antivirus-beleid aanmaakt op het tabblad macOS policies van de pagina Endpoint security policies in het Defender-portaal op https://security.microsoft.com/policy-inventory?osPlatform=Mac, gebruik deze specifieke instellingen:

• Selecteer platform: Selecteer macOS.
• Sjabloon selecteren: selecteer Microsoft Defender Antivirus.

Configureer de antivirusinstellingen die door je organisatie vereist zijn. Maak vervolgens een nieuw beleid aan met de volgende instellingen:

• Selecteer platform: Selecteer macOS.
• Selecteer sjabloon: Selecteer Detectie en respons op eindpunten.

9b. Set policies in Microsoft Intune

Als u dit profiel wilt maken, kopieert u de code voor het Intune aanbevolen profiel (aanbevolen) of het Intune volledige profiel (voor geavanceerde scenario's) en slaat u het bestand op als com.microsoft.wdav.xml.

Maak een aangepast configuratieprofiel aan door gebruik te maken van de veelgebruikte instellingen zoals beschreven in Create system configuration profiles. Gebruik deze profielspecifieke instellingen:

• tabblad Basis:
  • Naam: Voer een beschrijvende naam in, zoals macOS Microsoft Defender preferences.
• Configuratie-instellingen :
  • Configuratieprofielnaam: Enter com.microsoft.wdav.
  • Deployment-kanaal: Selecteer Apparaat-kanaal.
  • Configuratieprofielbestand: Selecteer het com.microsoft.wdav.xml bestand dat je hebt aangemaakt.

Zie Voorkeuren instellen voor Microsoft Defender voor Eindpunt in macOS voor meer informatie.

Zie voor meer informatie over het beheren van beveiligingsinstellingen:

• Microsoft Defender voor Eindpunt op apparaten beheren met Microsoft Intune
• Beveiligingsinstellingen voor Windows, macOS en Linux systeemeigen beheren in Defender voor Eindpunt

Stap 10: Netwerkbeveiliging voor Microsoft Defender voor Eindpunt in macOS (optioneel)

Configureer netwerkbescherming in het Microsoft Defender Antivirus-beleid of het Defender for Endpoint-voorkeurenprofiel dat je in stap 9 hebt aangemaakt.

Voor eisen, configuratieopties en verificatiestappen, zie Netwerkbescherming voor macOS.

Stap 11: Apparaatbeheer voor Microsoft Defender voor Eindpunt op macOS (optioneel)

Apparaatbeheer vereist volledige schijftoegang voor com.microsoft.dlp.daemon en aparte instellingen en beleidsregels voor Apparaatbeheer. Het fulldisk.mobileconfig profiel in stap 3 bevat de vereiste volledige schijftoegangsrecht.

Voor eisen en configuratie-instructies, zie Device Control for macOS.

Stap 12: Microsoft Defender-toepassing publiceren

Publiceer de Microsoft Defender-app op apparaten die zijn ingeschreven bij Intune. Voor gedetailleerde instructies, zie Voeg Microsoft Defender voor Eindpunt toe aan macOS-apparaten met Microsoft Intune (link opent in een nieuw tabblad).

Op de Apps | Alle apps-pagina in het Microsoft Intune beheercentrum op https://intune.microsoft.com/#view/Microsoft_Intune_DeviceSettings/AppsMenu/~/allApps, selecteer Aanmaken. Selecteer in het deelvenster App-type selecteren, onder Microsoft Defender voor Eindpunt, macOS.

Configureer in de Gids Applicatie toevoegen de volgende instellingen:

• App-informatietabblad : Houd de standaardwaarden bij.
• Toewijzingen-tabblad : Wijs de app toe aan de gebruikers- of apparaatgroepen die deze zouden moeten ontvangen.

Stap 13: het onboardingpakket voor Microsoft Defender voor Eindpunt downloaden

Het onboardingpakket downloaden vanuit de Microsoft Defender-portal:

1. Op de Onboarding-pagina in het Microsoft Defender-portaal op https://security.microsoft.com/securitysettings/endpoints/onboarding, configureer je de volgende instellingen:

   1. Selecteer besturingssysteem om het onboardingproces te starten: Selecteer macOS.

   2. Connectiviteitstype: Verifiëren dat Streamlined is geselecteerd.

   3. Implementatiemethode: Selecteer Mobile Apparaatbeheer / Microsoft Intune.

      

2. Selecteer Onboardingpakket downloaden en sla GatewayWindowsDefenderATPOnboardingPackage.zip op.

3. Haal de inhoud van het ZIP-bestand uit zodat je het via Intune kunt uitrolen WindowsDefenderATPOnboarding.xml :

   unzip GatewayWindowsDefenderATPOnboardingPackage.zip
   

   Archive:  GatewayWindowsDefenderATPOnboardingPackage.zip
   warning:  GatewayWindowsDefenderATPOnboardingPackage.zip appears to use backslashes as path separators
    inflating: intune/kext.xml
    inflating: intune/WindowsDefenderATPOnboarding.xml
    inflating: jamf/WindowsDefenderATPOnboarding.plist
   

Stap 14: Rol het Microsoft Defender voor Eindpunt onboardingpakket uit voor macOS

Dit profiel bevat licentiegegevens voor Microsoft Defender voor Eindpunt.

Maak een aangepast configuratieprofiel aan door gebruik te maken van de veelgebruikte instellingen zoals beschreven in Create system configuration profiles. Gebruik deze profielspecifieke instellingen:

• tabblad Basis:
  • Naam: Voer een beschrijvende naam in, zoals Microsoft Defender voor Eindpunt onboarding for macOS.
• Configuratie-instellingen :
  • Configuratieprofielnaam: Voer een beschrijvende naam in voor het profiel.
  • Deployment-kanaal: Selecteer Apparaat-kanaal.
  • Configuratieprofielbestand: Selecteer het WindowsDefenderATPOnboarding.xml bestand dat je uit het onboardingpakket hebt gehaald.

Stap 15: Controleer apparaat- en configuratiestatus

Stap 15a. Status weergeven

Gebruik het beleidsrapport in het Intune-beheercentrum om de check-instatus van apparaten en gebruikers te bekijken:

1. Op de Apparaten | Configuratiepagina in het Intune beheercentrum op https://intune.microsoft.com/#view/Microsoft_Intune_DeviceSettings/DevicesMenu/~/configuration, selecteer een beleid.

2. Selecteer bij apparaat- en gebruikersstatus'Bekijk rapport'.

Stap 15b. Registreer een clientapparaat

Gebruik Bedrijfsportal om het macOS-apparaat in te melden:

1. Volg de stappen in Je Mac registreren met Intune Bedrijfsportal.

2. Controleer na voltooiing van de inschrijving of het apparaat staat vermeld op de pagina Alle apparaten in het Intune beheercentrum op https://intune.microsoft.com/#view/Microsoft_Intune_Devices/DevicesMenu/~/allDevices.

Stap 15c. Status van clientapparaat controleren

Controleer de profielen en app op het beheerde apparaat:

1. Nadat de configuratieprofielen zijn uitgerold, open je Systeeminstellingen>AlgemeenDevice>Management op het macOS-apparaat.

2. Controleer of de configuratieprofielen voor je implementatie aanwezig en geïnstalleerd zijn:

   • accessibility.mobileconfig, indien ingezet.
   • background_services.mobileconfig
   • bluetooth.mobileconfig, indien ingezet.
   • com.microsoft.autoupdate2.mobileconfig
   • fulldisk.mobileconfig
   • Management Profile, dat is het Intune-systeemprofiel.
   • WindowsDefenderATPOnboarding.xml, het onboardingpakket voor Defender for Endpoint.
   • netfilter.mobileconfig
   • notif.mobileconfig

3. Controleer of het Microsoft Defender-icoon in de menubalk verschijnt.

   

Stap 16: Verifieer antimalwaredetectie

Voer een antivirusdetectietest uit om te verifiëren dat het apparaat is geïnstalleerd en correct rapporteert.

Stap 17: Verifieer EDR-detectie

Voer een EDR-detectietest uit om te verifiëren dat endpointdetectie en respons correct werken en rapporteren.

Stap 18: Microsoft Purview Endpoint Data Loss Prevention voor macOS (sterk aanbevolen)

Om het apparaat te onboarden naar Microsoft Purview en Endpoint Data Loss Prevention (DLP) te configureren, zie Begin met Endpoint DLP.

Problemen oplossen

• Probleem: Defender for Endpoint meldt dat er geen licentie is gevonden.
• Oorzaak: De onboarding van het apparaat is niet voltooid.
• Oplossing: Download het onboardingpakket zoals beschreven in stap 13 en rol het uit zoals beschreven in stap 14.

Installatieproblemen registreren

Zie Logging installatieproblemen om het logboek te vinden dat de installer automatisch aanmaakt wanneer er een fout optreedt.

Zie voor informatie over procedures voor probleemoplossing:

• Problemen met systeemextensie in Microsoft Defender voor Eindpunt in macOS oplossen
• Installatieproblemen voor Microsoft Defender voor Eindpunt in macOS oplossen
• Licentieproblemen voor Microsoft Defender voor Eindpunt in macOS oplossen
• Verbindingsproblemen met de cloud oplossen voor Microsoft Defender voor Eindpunt in macOS
• Prestatieproblemen voor Microsoft Defender voor Eindpunt in macOS oplossen

Verwijder Defender for Endpoint

Zie Defender for Endpoint op macOS verwijderen voor instructies.