Scans plannen met Microsoft Defender voor Eindpunt in macOS

  • Van toepassing op: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Geplande antivirusscans helpen ervoor te zorgen dat macOS-apparaten regelmatig worden gescand zonder dat gebruikers scannen starten. Beveiligingsbeheerders kunnen uurlijkse of dagelijkse snelle scans en wekelijkse snelle of volledige scans configureren, en meerdere schema's op hetzelfde apparaat gebruiken. Gebruik deze richtlijn om scanschema's te implementeren via een Mobile Device Management (MDM)-profiel of configureer ze lokaal met de mdatp commandoregeltool.

Prerequisites

Begrijp de opties voor geplande scans

Naast het starten van scans op aanvraag, plant ook scans in op regelmatige intervallen of specifieke tijden. Plan bijvoorbeeld een snelle scan aan het begin van elke werkdag en één keer per week een volledige scan.

Defender for Endpoint ondersteunt uur-, dag- en wekelijkse schema's. Uur- en dagschema’s voeren snelle scans uit. Wekelijkse schema's kunnen snelle of volledige scans uitvoeren. Je kunt alle drie de schematypen tegelijk configureren. Bekijk het voorbeeld van een dagelijkse en wekelijkse scan en het voorbeeld van een uurlijkse, dagelijkse en wekelijkse scan.

Scans plannen met een configuratieprofiel

Gebruik de features en scheduledScan woordenboeken in een configuratieprofiel van Defender for Endpoint om geplande scans te maken.

De voorbeelden van Microsoft Intune en Jamf Pro gebruiken Apple property list XML. Sla Intune-profielen op met de .xml extensie en Jamf Pro-propertylijsten met de .plist extensie. Voor meer informatie over het XML-formaat, zie de Apple Information Property List-bestandsreferentie.

Gebruik de volgende instellingen om de scanschema's te definiëren:

Tip

Planningen zijn gebaseerd op de lokale tijdzone van het apparaat.

Configuratie Description Values Default
features.scheduledScan Zet de geplande scanfunctie aan of uit. enabled, disabled disabled wanneer er geen dagelijkse of wekelijkse configuratie aanwezig is
dailyConfiguration.interval Voert elke gespecificeerde hoeveelheid uren een intervalgebaseerde quick scan uit. 0 tot en met 24. 0 schakelt intervalgebaseerde scans uit. 0
dailyConfiguration.timeOfDay Voert dagelijks een snelle scan uit op het opgegeven aantal minuten na middernacht. 0 tot en met 1440 0
weeklyConfiguration.dayOfWeek Geeft aan wanneer er wekelijks een scan wordt uitgevoerd. 0: Nooit
1: Zondag
2: Maandag
3: Dinsdag
4: Woensdag
5: Donderdag
6: Vrijdag
7: Zaterdag
8: Elke dag		 0
weeklyConfiguration.timeOfDay Voert wekelijks een scan uit op het opgegeven aantal minuten na middernacht. 0 tot en met 1440 Profielschema: 0
mdatp opdrachtregelinterface: 120
weeklyConfiguration.scanType Specificeert het type wekelijkse scan. quick, full quick
ignoreExclusions Specificeert of de geplande scan geconfigureerde uitsluitingen negeert. true, false false
lowPriorityScheduledScan Voert geplande scans uit met verminderde CPU-prioriteit. De scan kan langer duren om te voltooien. true, false false
checkForDefinitionsUpdate Controleert op updates van beveiligingsinlichtingen voordat een geplande scan wordt gestart. true, false false
randomizeScanStartTime Randomiseert de starttijden van dagelijkse en wekelijkse scans tot het gespecificeerde aantal uren. 0 tot en met 23 0
runScanWhenIdle Vertraagt een wekelijkse volledige scan totdat het apparaat inactief is. true, false false

De dagelijkse interval en timeOfDay instellingen maken onafhankelijke quick scan-schema's. Als je beide instellingen instelt, kan er elke dag meer dan één snelle scan draaien.

Voorbeeld 1: Plan een dagelijkse snelle scan en een wekelijkse volledige scan

De volgende profielen tonen een dagelijkse snelle scan en een wekelijkse volledige scan op woensdag. Beide profielen negeren uitsluitingen en gebruiken planningsschema met lage prioriteit.

Gebruik de geplande scaninstellingentabel om de voorbeeldtijden te vervangen door de waarden die je organisatie vereist.

Open een teksteditor en gebruik het Intune-profiel of de Jamf Pro-propertylijst als leidraad.

Voor Microsoft Intune

Het volgende voorbeeld definieert een volledig Intune-configuratieprofiel dat een dagelijkse snelle scan en een wekelijkse volledige scan mogelijk maakt.

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
    <key>PayloadUUID</key>
    <string>C4E6A782-0C8D-44AB-A025-EB893987A295</string>
    <key>PayloadType</key>
    <string>Configuration</string>
    <key>PayloadOrganization</key>
    <string>Microsoft</string>
    <key>PayloadIdentifier</key>
    <string>C4E6A782-0C8D-44AB-A025-EB893987A295</string>
    <key>PayloadDisplayName</key>
    <string>Microsoft Defender for Endpoint settings</string>
    <key>PayloadDescription</key>
    <string>Microsoft Defender for Endpoint configuration settings</string>
    <key>PayloadVersion</key>
    <integer>1</integer>
    <key>PayloadEnabled</key>
    <true/>
    <key>PayloadRemovalDisallowed</key>
    <true/>
    <key>PayloadScope</key>
    <string>System</string>
    <key>PayloadContent</key>
    <array>
        <dict>
            <key>PayloadUUID</key>
            <string>99DBC2BC-3B3A-46A2-A413-C8F9BB9A7295</string>
            <key>PayloadType</key>
            <string>com.microsoft.wdav</string>
            <key>PayloadOrganization</key>
            <string>Microsoft</string>
            <key>PayloadIdentifier</key>
            <string>99DBC2BC-3B3A-46A2-A413-C8F9BB9A7295</string>
            <key>PayloadDisplayName</key>
            <string>Microsoft Defender for Endpoint configuration settings</string>
            <key>PayloadDescription</key>
            <string/>
            <key>PayloadVersion</key>
            <integer>1</integer>
            <key>PayloadEnabled</key>
            <true/>
            <key>features</key>
            <dict>
                <key>scheduledScan</key>
                <string>enabled</string>
            </dict>
            <key>scheduledScan</key>
            <dict>
                <key>ignoreExclusions</key>
                <true/>
                <key>lowPriorityScheduledScan</key>
                <true/>
                <key>dailyConfiguration</key>
                <dict>
                    <key>timeOfDay</key>
                    <integer>880</integer>
                </dict>
                <key>weeklyConfiguration</key>
                <dict>
                    <key>dayOfWeek</key>
                    <integer>4</integer>
                    <key>timeOfDay</key>
                    <integer>885</integer>
                    <key>scanType</key>
                    <string>full</string>
                </dict>
            </dict>
        </dict>
    </array>
</dict>
</plist>

Sla het bestand op als com.microsoft.wdav.xml.

Voor Jamf Pro en compatibele MDM-oplossingen

De volgende vastgoedlijst stelt een dagelijkse snelle scan en wekelijkse volledige scan in voor Jamf Pro en andere MDM-oplossingen die vastgoedlijsten accepteren. Sla de inhoud op als com.microsoft.wdav.plist.

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
    <key>features</key>
    <dict>
        <key>scheduledScan</key>
        <string>enabled</string>
    </dict>
    <key>scheduledScan</key>
    <dict>
        <key>ignoreExclusions</key>
        <true/>
        <key>lowPriorityScheduledScan</key>
        <true/>
        <key>dailyConfiguration</key>
        <dict>
            <key>timeOfDay</key>
            <integer>885</integer>
        </dict>
        <key>weeklyConfiguration</key>
        <dict>
            <key>dayOfWeek</key>
            <integer>4</integer>
            <key>timeOfDay</key>
            <integer>880</integer>
            <key>scanType</key>
            <string>full</string>
        </dict>
    </dict>
</dict>
</plist>

Sla het bestand op als com.microsoft.wdav.plist.

Controleer nadat je het profiel hebt uitgerold of de geplande scan als beheerde voorkeur is geconfigureerd door het volgende commando uit te voeren:

mdatp health --details scheduled_scan

Controleer in de resultaten of de geplande scan managed meldt.

Voorbeeld 2: Plan intervalgebaseerde en dagelijkse snelle scans en een wekelijkse volledige scan

De volgende profielen tonen een intervalgebaseerde snelle scan, een dagelijkse snelle scan en een wekelijkse volledige scan op woensdag.

Open een teksteditor en gebruik het Intune-profiel of de Jamf Pro property list als leidraad.

Voor Microsoft Intune

Het volgende voorbeeld verpakt de geplande scaninstellingen in een compleet Intune-configuratieprofiel.

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
     <key>PayloadUUID</key>
     <string>C4E6A782-0C8D-44AB-A025-EB893987A295</string>
     <key>PayloadType</key>
     <string>Configuration</string>
     <key>PayloadOrganization</key>
     <string>Microsoft</string>
     <key>PayloadIdentifier</key>
     <string>C4E6A782-0C8D-44AB-A025-EB893987A295</string>
     <key>PayloadDisplayName</key>
     <string>Microsoft Defender for Endpoint settings</string>
     <key>PayloadDescription</key>
     <string>Microsoft Defender for Endpoint configuration settings</string>
     <key>PayloadVersion</key>
     <integer>1</integer>
     <key>PayloadEnabled</key>
     <true/>
     <key>PayloadRemovalDisallowed</key>
     <true/>
     <key>PayloadScope</key>
     <string>System</string>
     <key>PayloadContent</key>
     <array>
       <dict>
           <key>PayloadUUID</key>
           <string>99DBC2BC-3B3A-46A2-A413-C8F9BB9A7295</string>
           <key>PayloadType</key>
           <string>com.microsoft.wdav</string>
           <key>PayloadOrganization</key>
           <string>Microsoft</string>
           <key>PayloadIdentifier</key>
           <string>99DBC2BC-3B3A-46A2-A413-C8F9BB9A7295</string>
           <key>PayloadDisplayName</key>
           <string>Microsoft Defender for Endpoint configuration settings</string>
           <key>PayloadDescription</key>
           <string/>
           <key>PayloadVersion</key>
           <integer>1</integer>
           <key>PayloadEnabled</key>
           <true/>
    <key>features</key>
    <dict>
        <key>scheduledScan</key>
        <string>enabled</string>
    </dict>
<key>scheduledScan</key>
<dict>
    <key>ignoreExclusions</key>
    <true/>
    <key>lowPriorityScheduledScan</key>
    <true/>
    <key>dailyConfiguration</key>
    <dict>
        <key>timeOfDay</key>
        <integer>885</integer>
        <key>interval</key>
        <integer>1</integer>
    </dict>
    <key>weeklyConfiguration</key>
    <dict>
        <key>dayOfWeek</key>
        <integer>4</integer>
        <key>timeOfDay</key>
        <integer>880</integer>
        <key>scanType</key>
        <string>full</string>
        </dict>
        </dict>
    </dict>
</array>
</dict>
</plist>

Sla het bestand op als com.microsoft.wdav.xml.

Voor Jamf Pro en compatibele MDM-oplossingen

De volgende property list configureert interval-gebaseerde, dagelijkse en wekelijkse scans voor Jamf Pro en andere MDM-oplossingen die property lists accepteren. Sla de inhoud op als com.microsoft.wdav.plist.

<?xml version="1.0" encoding="UTF-8"?><!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
    <plist version="1.0">
    <dict>
        <key>features</key>
        <dict>
            <key>scheduledScan</key>
            <string>enabled</string>
        </dict>
    <key>scheduledScan</key>
    <dict>
        <key>ignoreExclusions</key>
        <true/>
        <key>lowPriorityScheduledScan</key>
        <true/>
        <key>dailyConfiguration</key>
        <dict>
            <key>timeOfDay</key>
            <integer>885</integer>
            <key>interval</key>
            <integer>1</integer>
        </dict>
        <key>weeklyConfiguration</key>
        <dict>
            <key>dayOfWeek</key>
            <integer>4</integer>
            <key>timeOfDay</key>
            <integer>880</integer>
            <key>scanType</key>
            <string>full</string>
            </dict>
            </dict>
        </dict>
    </plist>

Sla het bestand op als com.microsoft.wdav.plist.

Rol het configuratieprofiel uit

Implementeren met Microsoft Intune

Microsoft Intune is het aanbevolen hulpprogramma voor het configureren en distribueren van Defender voor eindpuntfuncties naar apparaten. Intune is echter een afzonderlijk product dat geen deel uitmaakt van Defender voor Eindpunt en niet is opgenomen in alle abonnementen. Als u Intune wilt gebruiken, hebt u een abonnement nodig dat het bevat of kunt u het afzonderlijk kopen als een zelfstandig abonnement of invoegtoepassing. Als u geen Intune hebt, kunt u een van de andere methoden in dit artikel gebruiken. Zie Microsoft Intune licenties voor meer informatie.

Om het aangepaste configuratieprofiel in Intune aan te maken en uit te rollen, zie Set-beleidsregels in Microsoft Intune. Gebruik com.microsoft.wdav als configuratieprofielnaam, selecteer het apparaatkanaal en upload het .xml bestand.

Uitrollen met Jamf Pro

Jamf Pro is een apart product van derden dat geen deel uitmaakt van Defender for Endpoint en niet is inbegrepen bij Defender for Endpoint-abonnementen. Om Jamf Pro te gebruiken, heeft uw organisatie een apart Jamf Pro-abonnement nodig. Voor product- en abonnementsinformatie, zie Jamf Pro. Als uw organisatie geen Jamf Pro gebruikt, gebruik dan een andere configuratiemethode in dit artikel, indien beschikbaar.

Voor de onderhouden Defender for Endpoint-workflow, zie Deploy Microsoft Defender voor Eindpunt on macOS with Jamf Pro.

Volg de Jamf-instructies om een aangepast computerconfiguratieprofiel te implementeren. Gebruik een van beide eigenschappenlijsten uit Voorbeeld 1 of Voorbeeld 2, en zet het voorkeurdomein op com.microsoft.wdav.

Voor een MDM-oplossing die property-list payloads ondersteunt, volg de instructies van de provider en de profielimplementatierichtlijnen in Deploy Microsoft Defender voor Eindpunt op macOS met een andere MDM-oplossing.

Nadat Jamf Pro het profiel heeft uitgerold, verifieer je de geplande scanconfiguratie door het volgende commando uit te voeren:

mdatp health --details scheduled_scan

Controleer in de resultaten of de geplande scan managed meldt.

Configureer geplande scans met de mdatp CLI

Gebruik de Microsoft Defender voor Eindpunt commandoregeltool (mdatp) om geplande scans lokaal vanaf Terminal te configureren. Configuratie via de opdrachtregel is het nuttigst voor tests of afzonderlijke apparaten. Gebruik een MDM-profiel voor beheerde deployments.

Schakel de geplande scanfunctie in:

sudo mdatp config scheduled-scan settings feature --value enabled

Configureer intervalgebaseerde snelle scans:

sudo mdatp config scheduled-scan quick-scan hourly-interval --value <arg>

Schermafbeelding van de help voor het mdatp-commando voor het uurlijk interval, met waarden van 0 t/m 24 uur.

Stel een dagelijkse snelle scan in:

sudo mdatp config scheduled-scan quick-scan time-of-day --value <arg>

Schermopname van de help voor de dagelijkse scanopdracht van mdatp, waarin minuten na middernacht van 0 tot en met 1440 worden weergegeven.

Stel een wekelijkse scan in:

sudo mdatp config scheduled-scan weekly-scan --day-of-week <arg> --time-of-day <arg> --scan-type <arg>

Schermafbeelding van de help voor de mdatp-opdracht voor wekelijkse scans, met opties voor dag, tijd en scantype.

Je kunt ook updates voor beveiligingsintelligentie en uitvoering met lage prioriteit configureren:

  • Om te controleren op updates van beveiligingsinlichtingen vóór geplande scans:

    sudo mdatp config scheduled-scan settings check-for-definitions --value true

  • Threads met lage prioriteit gebruiken voor gepland scannen:

    sudo mdatp config scheduled-scan settings low-priority --value true

Controleer of geplande scans zijn uitgevoerd

Als u voltooide geplande scans en hun resultaten wilt weergeven, voert u het volgende uit mdatp scan list:

Screenshot van het mdatp scanlijstcommando dat in Terminal is ingevoerd.

Screenshot van een voltooide snelle scan die een succesvolle toestand, duur, gescande bestanden en gedetecteerde dreigingen toont.

Belangrijk

Als het apparaat op het geplande tijdstip in de slaapstand staat, wordt de scan uitgevoerd nadat het apparaat weer actief wordt. Als het apparaat is uitgeschakeld, wordt de scan op het volgende geplande tijdstip uitgevoerd.

  • Laatst bijgewerkt om