Wdrażanie Ochrona punktu końcowego w usłudze Microsoft Defender na macOS za pomocą usługi Microsoft Intune

Użyj Microsoft Intune do wdrożenia Ochrona punktu końcowego w usłudze Microsoft Defender na zarządzanych urządzeniach macOS. Stwórz wymagane profile konfiguracyjne, wdroż aplikację i pakiet onboardingowy oraz zweryfikowaj wdrożenie. Zanim zaczniesz, zapoznaj się z wymaganiami wstępnymi i wymaganiami systemowymi.

Procedury opisane w tym artykule wymagają Microsoft Intune. Intune to osobny produkt, który nie jest częścią Defender for Endpoint i nie jest uwzględniony we wszystkich subskrypcjach. Potrzebujesz subskrypcji zawierającej Intune lub możesz ją kupić osobno. Informacje o licencjonowaniu można znaleźć w Microsoft Intune licensing. Aby porównać tę metodę z Jamf Pro, innym rozwiązaniem do zarządzania urządzeniami mobilnymi lub ręcznym wdrożeniem, zobacz Deploy Defender for Endpoint na macOS.

Wymagania wstępne i wymagania systemowe

Zanim zaczniesz, zapoznaj się z wymaganiami wstępnymi Defender for Endpoint dla macOS, w tym produktem, administratorem, systemem, uprawnieniami i wymaganiami sieciowymi. Aby poznać możliwości produktu i weryfikację współtworzonych wdrożeń, zobacz Ochrona punktu końcowego w usłudze Microsoft Defender na macOS.

Omówienie wdrożenia

Poniższa tabela podsumowuje profile i pakiety użyte do wdrożenia Defender for Endpoint na macOS z użyciem Intune.

Tworzenie profilów konfiguracji systemu

Stwórz profile konfiguracyjne systemu, których potrzebuje Ochrona punktu końcowego w usłudze Microsoft Defender.

Większość kroków w tej sekcji wykorzystuje niestandardowy profil konfiguracyjny macOS. Szczegółowe instrukcje znajdziesz w artykule Dodaj niestandardowe ustawienia do urządzeń Apple w Microsoft Intune (link otwiera się w nowej karcie).

Gdy w danym kroku pojawi się polecenie utworzenia niestandardowego profilu konfiguracji, na karcie Zasady na stronie Urządzenia | Konfiguracja w centrum administracyjnym Microsoft Intune pod adresem https://intune.microsoft.com/#view/Microsoft_Intune_DeviceSettings/DevicesMenu/~/configuration, wybierając Utwórz>Nowe zasady, użyj następujących wspólnych ustawień:

• Platforma: wybierz pozycję macOS.
• Typ profilu: wybierz pozycję Szablony.
• Nazwa szablonu: Wybierz Custom.

W kreatorze Dostosowywanie skonfiguruj następujące ustawienia:

• Zakładka ustawień konfiguracji : Używaj ustawień specyficznych dla profilu opisanych w każdym odpowiednim kroku.
• Zakładka Przypisania : Przypisz profil użytkownikom lub grupom urządzeń, które powinny go otrzymać. Możesz także dodać tagi zakresu i wykluczyć grupy z przypisania.

Krok 1. Zatwierdzanie rozszerzeń systemu

Użyj katalogu ustawień Intune, aby zatwierdzić wymagane rozszerzenia systemowe. Szczegółowe instrukcje można znaleźć w artykule Zatwierdzaj rozszerzenia macOS w Ochrona punktu końcowego w usłudze Microsoft Defender korzystając z katalogu ustawień Intune.

W kreatorze tworzenia profilu skonfiguruj następujące ustawienia na zakładce Ustawienia konfiguracji :

• Konfiguracja> systemu Rozszerzenia> systemu Dozwolone rozszerzenia systemu:
  • Dozwolone rozszerzenia systemu: Dodaj com.microsoft.wdav.epsext i com.microsoft.wdav.netext.
  • Identyfikator zespołu: wprowadź UBF8T346G9.
• Konfiguracja> systemu Rozszerzenia> systemu Dozwolone typy rozszerzeń systemu:
  • Dozwolone typy rozszerzeń systemowych: Dodaj Network i EndpointSecurity.
  • Identyfikator zespołu: wprowadź UBF8T346G9.

Krok 2. Filtr sieci

Defender for Endpoint korzysta z rozszerzenia sieciowego do inspekcji treści sieciowej. Profil filtrów sieciowych pozwala rozszerzeniu na inspekcję ruchu socketów.

Pobierz netfilter.mobileconfig z repozytorium profili konfiguracyjnych macOS w Defender for Endpoint.

Utwórz niestandardowy profil konfiguracyjny , używając popularnych ustawień opisanych w sekcji Utwórz profile konfiguracyjne systemu. Użyj tych ustawień specyficznych dla profilu:

• karta Podstawy:
  • Nazwa: wprowadź opisową nazwę, na przykład macOS network filter.
• Zakładka ustawień konfiguracji :
  • Nazwa profilu konfiguracyjnego: Wprowadź opisową nazwę profilu.
  • Kanał wdrożenia: Wybierz kanał urządzenia.
  • Plik profilu konfiguracyjnego: Wybierz plik, netfilter.mobileconfig który pobrałeś.

Krok 3. Pełny dostęp do dysku

Pobierz fulldisk.mobileconfig z repozytorium profili konfiguracyjnych macOS w Defender for Endpoint.

Utwórz niestandardowy profil konfiguracyjny , używając popularnych ustawień opisanych w sekcji Utwórz profile konfiguracyjne systemu. Użyj tych ustawień specyficznych dla profilu:

• karta Podstawy:
  • Nazwa: wprowadź opisową nazwę, na przykład macOS full disk access.
• Zakładka ustawień konfiguracji :
  • Nazwa profilu konfiguracyjnego: Wprowadź opisową nazwę profilu.
  • Kanał wdrożenia: Wybierz kanał urządzenia.
  • Plik profilu konfiguracyjnego: Wybierz plik, fulldisk.mobileconfig który pobrałeś.

Krok 4. Usługi w tle

Pobierz background_services.mobileconfig z repozytorium profili konfiguracyjnych macOS Defender for Endpoint.

Utwórz niestandardowy profil konfiguracyjny , używając popularnych ustawień opisanych w sekcji Utwórz profile konfiguracyjne systemu. Użyj tych ustawień specyficznych dla profilu:

• karta Podstawy:
  • Nazwa: wprowadź opisową nazwę, na przykład macOS background services.
• Zakładka ustawień konfiguracji :
  • Nazwa profilu konfiguracyjnego: Wprowadź opisową nazwę profilu.
  • Kanał wdrożenia: Wybierz kanał urządzenia.
  • Plik profilu konfiguracyjnego: Wybierz plik, background_services.mobileconfig który pobrałeś.

Krok 5. Powiadomienia

Ten profil pozwala Defender for Endpoint oraz Microsoft AutoUpdate wyświetlać powiadomienia.

Pobierz notif.mobileconfig z repozytorium profili konfiguracyjnych macOS w Defender for Endpoint.

Aby ukryć powiadomienia przed użytkownikami, zmień ShowInNotificationCenter z true na false dla odpowiedniej aplikacji w notif.mobileconfig.

Utwórz niestandardowy profil konfiguracyjny , używając popularnych ustawień opisanych w sekcji Utwórz profile konfiguracyjne systemu. Użyj tych ustawień specyficznych dla profilu:

• karta Podstawy:
  • Nazwa: wprowadź opisową nazwę, na przykład macOS notifications consent.
• Zakładka ustawień konfiguracji :
  • Nazwa profilu konfiguracyjnego: Wprowadź opisową nazwę profilu.
  • Kanał wdrożenia: Wybierz kanał urządzenia.
  • Plik profilu konfiguracyjnego: Wybierz plik, notif.mobileconfig który pobrałeś.

Krok 6. Ustawienia ułatwień dostępu

Ten profil przyznaje komponentowi com.microsoft.dlp.daemon uprawnienia do dostępności.

Pobierz accessibility.mobileconfig z repozytorium profili konfiguracyjnych macOS w Defender for Endpoint.

Utwórz niestandardowy profil konfiguracyjny , używając popularnych ustawień opisanych w sekcji Utwórz profile konfiguracyjne systemu. Użyj tych ustawień specyficznych dla profilu:

• karta Podstawy:
  • Nazwa: wprowadź opisową nazwę, na przykład macOS accessibility settings.
• Zakładka ustawień konfiguracji :
  • Nazwa profilu konfiguracyjnego: Wprowadź opisową nazwę profilu.
  • Kanał wdrożenia: Wybierz kanał urządzenia.
  • Plik profilu konfiguracyjnego: Wybierz plik, accessibility.mobileconfig który pobrałeś.

Krok 7: Uprawnienia Bluetooth (opcjonalnie)

Pobierz bluetooth.mobileconfig z repozytorium GitHub.

Utwórz niestandardowy profil konfiguracyjny , używając popularnych ustawień opisanych w sekcji Utwórz profile konfiguracyjne systemu. Użyj tych ustawień specyficznych dla profilu:

• zakładka Podstawowe:
  • Nazwa: wprowadź opisową nazwę, na przykład macOS Bluetooth consent.
• Zakładka ustawień konfiguracji :
  • Nazwa profilu konfiguracyjnego: Wprowadź opisową nazwę profilu.
  • Kanał wdrożenia: Wybierz kanał urządzenia.
  • Plik profilu konfiguracyjnego: Wybierz plik, bluetooth.mobileconfig który pobrałeś.

Krok 8. Autoupdate firmy Microsoft

Ten profil konfiguruje Microsoft AutoUpdate, aby zaktualizować Defender for Endpoint. Wybierz jeden z następujących kanałów aktualizacji:

• Beta
• Preview
• Current

Aby uzyskać więcej informacji, zobacz temat Wdrażanie aktualizacji usługi Ochrona punktu końcowego w usłudze Microsoft Defender w systemie macOS.

Pobierz com.microsoft.autoupdate2.mobileconfig z repozytorium ustawień Microsoft AutoUpdate.

Utwórz niestandardowy profil konfiguracyjny , używając popularnych ustawień opisanych w sekcji Utwórz profile konfiguracyjne systemu. Użyj tych ustawień specyficznych dla profilu:

• karta Podstawowe:
  • Nazwa: wprowadź opisową nazwę, na przykład macOS Microsoft AutoUpdate.
• Zakładka ustawień konfiguracji :
  • Nazwa profilu konfiguracyjnego: Wprowadź opisową nazwę profilu.
  • Kanał wdrożenia: Wybierz kanał urządzenia.
  • Plik profilu konfiguracyjnego: Wybierz plik, com.microsoft.autoupdate2.mobileconfig który pobrałeś.

Krok 9: Ustawienia konfiguracji Ochrona punktu końcowego w usłudze Microsoft Defender

Konfiguruj polityki antymalware i EDR, korzystając z portalu Microsoft Defender w kroku 9a lub centrum administracyjnego Microsoft Intune w kroku 9b.

9a. Ustaw polityki w portalu Microsoft Defender

Jeśli Twoja organizacja zarządza politykami bezpieczeństwa punktów końcowych w portalu Microsoft Defender, możesz skonfigurować ustawienia antywirusa oraz wykrywania i reagowania na punkty końcowe (EDR) z tymi samymi politykami bezpieczeństwa punktów końcowych, które stosuje Intune.

Szczegółowe instrukcje można znaleźć w artykule Utworzenie polityki bezpieczeństwa punktu końcowego lub Edytuj politykę bezpieczeństwa punktów końcowych (linki otwierają się w nowych zakładkach).

Zanim utworzysz polityki, skonfiguruj połączenie między Ochrona punktu końcowego w usłudze Microsoft Defender a Intune.

Gdy tworzysz zasady zabezpieczeń punktów końcowych Antivirus na karcie macOS policies na stronie Endpoint security policies w portalu Defender pod adresem https://security.microsoft.com/policy-inventory?osPlatform=Mac, użyj następujących ustawień:

• Wybierz platformę: Wybierz macOS.
• Wybierz szablon: wybierz pozycję Microsoft Defender Antivirus.

Skonfiguruj ustawienia antywirusa wymagane przez Twoją organizację. Następnie stwórz kolejną politykę z następującymi ustawieniami:

• Wybierz platformę: Wybierz macOS.
• Wybierz szablon: Wybierz Wykrywanie zagrożeń i reagowanie na nie na punktach końcowych.

9b. Ustaw polityki w Microsoft Intune

Aby utworzyć ten profil, skopiuj kod zalecanego profilu Intune (zalecany) lub pełnego profilu Intune (w przypadku scenariuszy zaawansowanych) i zapisz plik jako com.microsoft.wdav.xml.

Utwórz niestandardowy profil konfiguracyjny, używając popularnych ustawień opisanych w sekcji Utwórz profile konfiguracyjne systemu. Użyj tych ustawień specyficznych dla profilu:

• karta Podstawy:
  • Nazwa: wprowadź opisową nazwę, na przykład macOS Microsoft Defender preferences.
• Zakładka ustawień konfiguracji :
  • Nazwa profilu konfiguracyjnego: Wprowadź com.microsoft.wdav.
  • Kanał wdrożenia: Wybierz kanał urządzenia.
  • Plik profilu konfiguracyjnego: Wybierz plik, com.microsoft.wdav.xml który stworzyłeś.

Aby uzyskać więcej informacji, zobacz Ustaw preferencje dla Ochrona punktu końcowego w usłudze Microsoft Defender na komputerach Mac.

Aby uzyskać więcej informacji na temat zarządzania ustawieniami zabezpieczeń, zobacz:

• Zarządzanie usługą Microsoft Defender dla punktów końcowych na urządzeniach za pomocą usługi Microsoft Intune
• Zarządzanie ustawieniami zabezpieczeń systemu Windows, macOS i Linux natywnie w usłudze Defender for Endpoint

Krok 10: Ochrona sieci w Microsoft Defender dla Punktu Końcowego na macOS (opcjonalnie)

Skonfiguruj ochronę sieci w polityce antywirusowej Microsoft Defender lub w profilu preferencji Defender for Endpoint, który stworzyłeś w kroku 9.

Wymagania, opcje konfiguracyjne i kroki weryfikacji można znaleźć w artykule Ochrona sieci dla macOS.

Krok 11: Kontrola urządzeń dla Microsoft Defender dla punktu końcowego na macOS (opcjonalnie)

Kontrola urządzeń wymaga pełnego dostępu do dysku dla com.microsoft.dlp.daemon oraz oddzielnych ustawień i zasad kontroli urządzeń. Profil fulldisk.mobileconfig w kroku 3 zawiera wymagane uprawnienia do pełnego dostępu do dysku.

Wymagania i instrukcje konfiguracyjne znajdują się w artykule Device Control for macOS.

Krok 12. Publikowanie aplikacji Microsoft Defender

Publikuj aplikację Microsoft Defender na urządzenia zarejestrowane w Intune. Szczegółowe instrukcje można znaleźć w artykule Dodaj Ochrona punktu końcowego w usłudze Microsoft Defender na urządzenia z macOS za pomocą Microsoft Intune (link otwiera się w nowej karcie).

Na stronie Aplikacje | Wszystkie aplikacje w centrum administracyjnym Microsoft Intune pod adresem https://intune.microsoft.com/#view/Microsoft_Intune_DeviceSettings/AppsMenu/~/allApps, wybierz Utwórz. W panelu Wybierz typ aplikacji, w sekcji Ochrona punktu końcowego w usłudze Microsoft Defender, wybierz macOS.

W kreatorze Dodaj aplikację skonfiguruj następujące ustawienia:

• Zakładka informacji o aplikacji: Zachowaj wartości domyślne.
• Zakładka Przydziałów : Przypisz aplikację do użytkowników lub grup urządzeń, które powinny ją otrzymać.

Krok 13: Pobierz pakiet wdrożeniowy Ochrona punktu końcowego w usłudze Microsoft Defender

Aby pobrać pakiet wdrożeniowy z portalu Microsoft Defender:

1. Na stronie Onboarding w portalu Microsoft Defender w , https://security.microsoft.com/securitysettings/endpoints/onboardingskonfiguruj następujące ustawienia:

   1. Wybierz system operacyjny, aby rozpocząć proces onboardingu: Wybierz macOS.

   2. Typ łączności: Sprawdź, czy Streamlined jest wybrany .

   3. Metoda wdrożenia: Wybierz Mobile Zarządzanie urządzeniami / Microsoft Intune.

      

2. Wybierz Pobierz pakiet wdrożeniowy, a następnie zapisz GatewayWindowsDefenderATPOnboardingPackage.zip.

3. Wyodrębnij zawartość pliku ZIP, aby można było wdrożyć WindowsDefenderATPOnboarding.xml za pomocą Intune:

   unzip GatewayWindowsDefenderATPOnboardingPackage.zip
   

   Archive:  GatewayWindowsDefenderATPOnboardingPackage.zip
   warning:  GatewayWindowsDefenderATPOnboardingPackage.zip appears to use backslashes as path separators
    inflating: intune/kext.xml
    inflating: intune/WindowsDefenderATPOnboarding.xml
    inflating: jamf/WindowsDefenderATPOnboarding.plist
   

Krok 14: Wdrożenie pakietu onboardingowego Ochrona punktu końcowego w usłudze Microsoft Defender dla macOS

Ten profil zawiera informacje licencyjne dotyczące Ochrona punktu końcowego w usłudze Microsoft Defender.

Utwórz niestandardowy profil konfiguracyjny , używając popularnych ustawień opisanych w sekcji Utwórz profile konfiguracyjne systemu. Użyj tych ustawień specyficznych dla profilu:

• karta Podstawy:
  • Nazwa: wprowadź opisową nazwę, na przykład Ochrona punktu końcowego w usłudze Microsoft Defender onboarding for macOS.
• Zakładka ustawień konfiguracji :
  • Nazwa profilu konfiguracyjnego: Wprowadź opisową nazwę profilu.
  • Kanał wdrożenia: Wybierz kanał urządzenia.
  • Plik profilu konfiguracyjnego: Wybierz plik, WindowsDefenderATPOnboarding.xml który rozpakowałeś z pakietu onboardingowego.

Krok 15: Sprawdź status urządzenia i konfiguracji

Krok 15a. Wyświetlanie stanu

Użyj raportu zasad w centrum administracyjnym Intune, aby wyświetlić stan zaewidencjonowania urządzeń i użytkowników:

1. Na stronie Urządzenia | Konfiguracja w centrum administracyjnym Intune pod adresem https://intune.microsoft.com/#view/Microsoft_Intune_DeviceSettings/DevicesMenu/~/configuration wybierz zasadę.

2. Po statusie zameldowania urządzenia i użytkownika wybierz Zobacz raport.

Krok 15b. Zarejestruj urządzenie klienckie

Użyj Portal firmy, aby zarejestrować urządzenie z macOS:

1. Postępuj zgodnie z instrukcjami w sekcji Zarejestruj swojego Maca w Intune Portal firmy.

2. Po zakończeniu rejestracji sprawdź, czy urządzenie jest wymienione na stronie Wszystkie urządzenia w centrum administracyjnym Intune pod adresem https://intune.microsoft.com/#view/Microsoft_Intune_Devices/DevicesMenu/~/allDevices.

Krok 15c. Weryfikowanie stanu urządzenia klienckiego

Sprawdź profile i aplikację na zarządzanym urządzeniu:

1. Po wdrożeniu profili konfiguracyjnych otwórz Ustawienia systemowe>Ogólne>Zarządzanie urządzeniem na urządzeniu Mac.

2. Sprawdź, czy profile konfiguracyjne dla Twojego wdrożenia są obecne i zainstalowane:

   • accessibility.mobileconfig, jeśli zostanie wdrożona.
   • background_services.mobileconfig
   • bluetooth.mobileconfig, jeśli zostanie wdrożona.
   • com.microsoft.autoupdate2.mobileconfig
   • fulldisk.mobileconfig
   • Profil Zarządzający, czyli profil systemowy Intune.
   • WindowsDefenderATPOnboarding.xml, czyli pakiet wdrożeniowy usługi Defender for Endpoint.
   • netfilter.mobileconfig
   • notif.mobileconfig

3. Sprawdź, czy ikona Microsoft Defender pojawia się w pasku menu.

   

Krok 16: Zweryfikowaj wykrywanie antymalware

Uruchom test wykrywania antywirusa , aby upewnić się, że urządzenie jest zainstalowane i raportuje poprawnie.

Krok 17: Zweryfikowanie wykrywania EDR

Uruchom test wykrywania EDR , aby zweryfikować, czy wykrywanie i reakcja na punkty końcowe działają i raportują poprawnie.

Krok 18: Microsoft Purview Endpoint Data Loss Prevention dla systemu macOS (zdecydowanie zalecane)

Aby wdrożyć urządzenie do Microsoft Purview i skonfigurować Endpoint Data Loss Prevention (DLP), zobacz: Rozpocznij z DLP dla Endpoint.

Rozwiązywanie problemów

• Problem: Defender for Endpoint zgłasza, że nie znaleziono żadnej licencji.
• Przyczyna: Konfigurowanie urządzenia nie zostało ukończone.
• Rozwiązanie: Pobierz pakiet onboardingowy opisany w kroku 13 i wdroż go zgodnie z krokiem 14.

Rejestrowanie problemów z instalacją

Zobacz Logowanie problemów z instalacją , aby znaleźć log, który instalator automatycznie tworzy po wystąpieniu błędu.

Aby uzyskać informacje na temat procedur rozwiązywania problemów, zobacz:

• Rozwiązywanie problemów z rozszerzeniami systemowymi w Ochrona punktu końcowego w usłudze Microsoft Defender na macOS
• Rozwiązywanie problemów z instalacją Microsoft Defender dla punktu końcowego na macOS
• Rozwiązywanie problemów z licencją usługi Ochrona punktu końcowego w usłudze Microsoft Defender w systemie macOS
• Rozwiązywanie problemów z połączeniem z chmurą w usłudze Ochrona punktu końcowego w usłudze Microsoft Defender w systemie macOS
• Rozwiązywanie problemów z wydajnością w programie Ochrona punktu końcowego w usłudze Microsoft Defender na komputerach Mac z systemem macOS

Odinstaluj Defender for Endpoint

Zobacz Odinstaluj Defender for Endpoint na macOS, aby uzyskać instrukcje.