Ustaw preferencje programu Ochrona punktu końcowego w usłudze Microsoft Defender w systemie macOS

Możesz używać profilu konfiguracyjnego, aby konsekwentnie zarządzać preferencjami Ochrona punktu końcowego w usłudze Microsoft Defender na zarządzanych urządzeniach macOS. Zarządzane preferencje mają pierwszeństwo przed preferencjami skonfigurowanymi lokalnie na urządzeniu i wymagają uprawnień administratora do zmiany lokalnie.

Ten artykuł jest przeznaczony dla administratorów bezpieczeństwa, którzy wdrażają profile konfiguracyjne za pomocą Microsoft Intune, Jamf Pro lub innego rozwiązania do zarządzania urządzeniami mobilnymi (MDM). Dostarcza informacje referencyjne oraz przykładowe profile do konfiguracji Defender Antivirus, ochrony dostarczanej w chmurze, interfejsu użytkownika, wykrywania i reagowania na punkty końcowe (EDR) oraz ochrony przed manipulacją.

Zanim skonfigurujesz preferencje, zapoznaj się z wymaganiami wstępnymi dla Defender for Endpoint na macOS. Pełne workflowy wdrożeniowe można znaleźć w artykule Deploy Ochrona punktu końcowego w usłudze Microsoft Defender on macOS. Aby skonfigurować preferencje lokalnie z interfejsu wiersza poleceń, zobacz Konfiguruj z wiersza poleceń.

Struktura profilu konfiguracji

Profil konfiguracyjny wykorzystuje XML z listy właściwości Apple składającej się z par klucz-wartość. Każdy klawisz to nazwa preferencyjna. Wartości mogą być proste, takie jak liczba, lub złożone, takie jak zagnieżdżona lista preferencji. Zapisz lub przesłaj XML w formacie wymaganym przez Twoje narzędzie zarządzające.

Najwyższy poziom profilu konfiguracyjnego obejmuje preferencje i słowniki dotyczące funkcji Defender for Endpoint, silnika antywirusowego, ochrony dostarczanej w chmurze, interfejsu użytkownika, wykrywania i reagowania na punkty końcowe (EDR) oraz ochrony przed manipulacją.

Preferencje funkcji

Użyj słownika features do zarządzania poszczególnymi funkcjami Defender for Endpoint.

Konfiguruj monitorowanie zachowań

Określ, czy monitorowanie zachowania i blokowanie jest włączone na urządzeniu.

Preferencje aparatu antywirusowego

Użyj słownika antivirusEngine do zarządzania preferencjami Defender Antivirus.

Poziom egzekwowania dla silnika antywirusowego

Określ poziom egzekwowania silnika antywirusowego:

• real_time (domyślnie): Włącz ochronę w czasie rzeczywistym i skanuj pliki w momencie ich dostępu.
• on_demand: Wyłącz ochronę w czasie rzeczywistym i skanuj pliki tylko na żądanie.
• passive: Wyłącz ochronę w czasie rzeczywistym i automatyczne usuwanie zagrożeń, włącz skanowanie na żądanie i aktualizacje wywiadu bezpieczeństwa oraz ukryj ikonę menu statusu.

Skonfiguruj funkcję obliczania skrótów plików

Określ, czy Defender for Endpoint oblicza skróty dla plików skanowanych. Obliczenia skrótu plików poprawiają dopasowanie do reguł wskaźników plików, ale mogą wpływać na wydajność urządzenia. Na macOS ta funkcja obsługuje skrypty oraz pliki Mach-O 32-bitowe i 64-bitowe, począwszy od wersji silnika 1.1.20000.2. Aby uzyskać więcej informacji, zobacz Tworzenie wskaźników dla plików.

Uruchamianie skanowania po zaktualizowaniu definicji

Określ, czy rozpocząć skanowanie procesu po pobraniu nowych aktualizacji inteligencji bezpieczeństwa na urządzeniu. Włączenie tego ustawienia powoduje uruchomienie skanowania antywirusowego w uruchomionych procesach urządzenia.

Skanuj archiwa (tylko skanowanie antywirusowe na żądanie)

Określ, czy skanować archiwa podczas skanowania antywirusowego na żądanie.

Stopień równoległości skanowania na żądanie

Określ liczbę wątków używanych do skanowania na żądanie. Ta wartość wpływa na zużycie CPU i czas skanowania.

Zasada scalania wykluczeń

Określ, czy łączyć wykluczenia zdefiniowane przez administratora i przez użytkownika, czy używać tylko wykluczeń zdefiniowanych przez administratora. Zastosowanie admin_only do zapobiegania definiowaniu wykluczeń przez lokalnych użytkowników.

Wykluczenia skanowania

Określ pliki, foldery, rozszerzenia lub procesy, które należy wykluczyć ze skanowania. Tablica exclusions może zawierać wiele wpisów w dowolnej kolejności.

Typ wykluczenia

Określ zawartość wykluczoną ze skanowania według typu.

Ścieżka do wykluczonej zawartości

Określ zawartość wykluczoną ze skanowania za pomocą pełnej ścieżki pliku.

Obsługiwane typy wykluczeń

Defender for Endpoint na macOS obsługuje następujące typy wykluczeń skanowania antywirusowego:

Wykluczenia plików, folderów i procesów obsługują następujące symbole wieloznaczne:

Typ ścieżki wykluczenia skanowania (plik lub katalog)

We wpisie wykluczenia skanowania antywirusowego użyj isDirectory, aby wskazać, czy wartość path odnosi się do pliku czy katalogu.

Wykluczenie skanowania: rozszerzenie pliku

W wpisie wykluczenia w skanowaniu antywirusowym używamy extension do wykluczenia plików według rozszerzenia pliku.

Wykluczenie skanowania: nazwa procesu lub ścieżka

W wpisie wykluczenia skanowania antywirusowego używamy name do wykluczenia procesu oraz wszystkich plików otwartych przez ten proces ze skanowania. Określmy proces według nazwy, np. cat, lub jego pełnej ścieżki, np. /bin/cat.

Dozwolone zagrożenia

Określ po nazwie zagrożenia, które Defender for Endpoint pozwala uruchamiać.

Niedozwolone akcje zagrożeń

Ogranicz działania, które lokalni użytkownicy mogą podejmować po wykryciu zagrożeń. Akcje z tej listy nie pojawiają się w interfejsie użytkownika.

Ustawienia typu zagrożenia

Określ, w jaki sposób niektóre typy zagrożeń są obsługiwane przez Microsoft Defender dla punktu końcowego na macOS.

Typ zagrożenia

Określ typy zagrożeń.

Akcja do wykonania

Określ, jakie działania należy podjąć, gdy zostanie wykryte zagrożenie typu zidentyfikowanego przez key ustawienie. Wybierz jedną z następujących opcji:

• audit: Urządzenie nie jest chronione przed tym typem zagrożenia, ale Defender for Endpoint rejestruje zagrożenie.
• block: Defender for Endpoint blokuje zagrożenie i powiadamia Cię w interfejsie użytkownika oraz w portalu Microsoft Defender.
• off: Urządzenie nie jest chronione przed tym typem zagrożenia, a Defender for Endpoint nie rejestruje zagrożenia.

Zasady scalania ustawień typu zagrożenia

Określ, czy łączyć ustawienia zagrożeń zdefiniowanych przez administratora i zdefiniowanych przez użytkownika, czy używać wyłącznie ustawień zdefiniowanych przez administratora. Zastosowanie admin_only do zapobiegania definiowaniu ustawień typów zagrożeń przez użytkowników lokalnych.

Przechowywanie historii skanowania antywirusowego (w dniach)

Określ, ile dni należy zachować wyniki w historii skanowania na urządzeniu. Gdy wyniki wygasną, Defender for Endpoint usuwa wyniki skanowania z historii i usuwa powiązane pliki z kwarantanną z dysku.

Maksymalna liczba elementów w historii skanowania antywirusowego

Określ maksymalną liczbę wpisów do zachowania w historii skanowania. Wpisy obejmują wszystkie skany na żądanie wykonywane w przeszłości i wszystkie wykrycia antywirusowe.

Preferencje ochrony dostarczanej w chmurze

Konfiguruj chmurowe funkcje ochrony Ochrona punktu końcowego w usłudze Microsoft Defender na macOS.

Konfiguruj ochronę dostarczaną przez chmurę

Określ, czy włączyć ochronę dostarczaną przez chmurę na urządzeniu. Zachowaj tę funkcję włączoną dla lepszej ochrony.

Poziom kolekcji diagnostycznej

Określ poziom danych diagnostycznych, które Defender for Endpoint wysyła do Microsoftu. Dane diagnostyczne pomagają utrzymać produkt bezpiecznym i aktualnym, diagnozować i naprawiać problemy oraz ulepszać produkt.

Konfigurowanie poziomu bloku chmury

Określ, jak agresywnie Defender for Endpoint blokuje i skanuje podejrzane pliki:

• normal: Użyj domyślnego poziomu blokowania.
• moderate: Wydawaj decyzje tylko w przypadku wykryć o wysokim poziomie pewności.
• high: Agresywnie blokuj nieznane pliki przy optymalizacji wydajności. Ten poziom zwiększa ryzyko zablokowania plików nieszkodliwych.
• high_plus: Agresywnie blokuj nieznane pliki i stosuj dodatkowe środki ochronne. Ten poziom może wpływać na wydajność urządzenia.
• zero_tolerance: Zablokuj wszystkie nieznane programy.

Konfiguruj automatyczne wysyłanie próbek

Określ, które podejrzane próbki mogące zawierać zagrożenia są wysyłane do Microsoftu:

• none: Nie wysyłaj podejrzanych próbek automatycznie.
• safe: Automatycznie przesyłaj tylko podejrzane próbki, które nie zawierają danych osobowych. Jest to wartość domyślna.
• all: Automatycznie przesyłaj wszystkie podejrzane próbki.

Konfiguruj automatyczne aktualizacje wywiadu bezpieczeństwa

Określ, czy automatycznie instalować aktualizacje inteligencji bezpieczeństwa.

Czas trwania aktualizacji analizy zabezpieczeń (w dniach)

Określ liczbę dni, po których ostatnie zainstalowane aktualizacje wywiadu bezpieczeństwa są uznawane za przestarzałe.

Interwał aktualizacji analizy zabezpieczeń (w sekundach)

Określ, jak często Defender for Endpoint sprawdza aktualizacje inteligencji bezpieczeństwa, w ciągu kilku sekund.

Serwer proxy dla komunikacji z usługą Defender dla punktu końcowego

Konfiguruj proxy dla komunikacji w chmurze Defender for Endpoint. Jeśli nie skonfigurujesz tego ustawienia, Defender for Endpoint korzysta z systemowego proxy.

Preferencje interfejsu użytkownika

Zarządzaj preferencjami interfejsu użytkownika aplikacji Ochrona punktu końcowego w usłudze Microsoft Defender na urządzeniach z systemem macOS.

Konfiguruj ikonę menu statusu

Określ, czy ma być wyświetlana lub ukrywana ikona menu stanu w prawym górnym rogu ekranu.

Konfiguruj opcję informacji zwrotnej

Określ, czy użytkownicy mogą przesyłać opinie do Microsoft, wybierając Pomoc>w wysyłaniu opinii.

Kontrolowanie logowania do wersji użytkownika Microsoft Defender

Określ, czy użytkownicy mogą zalogować się do wersji konsumenta Microsoft Defender.

Preferencje wykrywania i reagowania punktów końcowych

Zarządzanie preferencjami dla komponentu wykrywania i reagowania na punkty końcowe (EDR) w Ochrona punktu końcowego w usłudze Microsoft Defender na macOS.

Tagi urządzeń

Określ nazwę tagu i wartość. Tag GROUP dodaje określoną wartość do strony urządzenia w portalu Microsoft Defender, gdzie można go użyć do filtrowania i grupowania urządzeń.

Typ tagu

Określ typ tagu.

Wartość tagu

Określ wartość tagu.

Identyfikator grupy

Określ identyfikator grupy EDR.

Ochrona przed manipulacją

Zarządzaj preferencjami dla komponentu ochrony przed manipulacją w Ochrona punktu końcowego w usłudze Microsoft Defender na macOS.

Poziom wymuszania

Określ poziom egzekwowania ochrony przed manipulacją.

• disabled: Wyłącz ochronę przed manipulacją. Defender for Endpoint nie blokuje ani nie zgłasza prób manipulacji.
• audit: Zgłaszaj próby manipulacji do chmury bez ich blokowania.
• block: Blokuj i zgłaszaj próby naruszenia w chmurze.

Wykluczenia

Zdefiniuj procesy, które mogą modyfikować zasoby Microsoft Defender bez uznania za manipulację. Określmy path, teamId, signingId, lub kombinację tych wartości. Możesz też określić args, aby dokładniej zidentyfikować dozwolony proces.

Ścieżka

Określ dokładną ścieżkę pliku wykonywalnego procesu.

Identyfikator zespołu

Podaj identyfikator zespołu Apple producenta.

Identyfikator podpisywania

Określ ID podpisu Apple dla pakietu.

Argumenty procesu

Określ argumenty, które w połączeniu z innymi wartościami identyfikują proces.

Zalecany profil konfiguracji

Zalecany profil konfiguracyjny stanowi bazę najczęściej stosowanych ustawień ochrony. Zarówno lista właściwości Jamf Pro, jak i profil XML Intune w poniższych sekcjach stosują te ustawienia.

Ten profil konfiguracyjny (lub, w przypadku Jamf Pro, lista właściwości przesłana do ustawień niestandardowych) stosuje następujące ustawienia:

• Włącz ochronę w czasie rzeczywistym.
• Określ sposób obsługi następujących typów zagrożeń:
  • Blokuj potencjalnie niechciane aplikacje.
  • Monitoruj bomby archiwów, czyli pliki o wysokim stopniu kompresji, w dziennikach usługi Defender for Endpoint.
• Włącz automatyczne aktualizacje analizy zabezpieczeń.
• Włącz ochronę dostarczaną przez chmurę.
• Włącz automatyczne wysyłanie próbek.

Lista właściwości dla zalecanego profilu konfiguracji Jamf Pro

Użyj poniższej listy właściwości w Jamf Pro, aby uzyskać zalecany profil konfiguracyjny:

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
    <key>antivirusEngine</key>
    <dict>
        <key>enforcementLevel</key>
        <string>real_time</string>
        <key>threatTypeSettings</key>
        <array>
            <dict>
                <key>key</key>
                <string>potentially_unwanted_application</string>
                <key>value</key>
                <string>block</string>
            </dict>
            <dict>
                <key>key</key>
                <string>archive_bomb</string>
                <key>value</key>
                <string>audit</string>
            </dict>
        </array>
    </dict>
    <key>cloudService</key>
    <dict>
        <key>enabled</key>
        <true/>
        <key>automaticSampleSubmission</key>
        <true/>
        <key>automaticDefinitionUpdateEnabled</key>
        <true/>
    </dict>
    <key>tamperProtection</key>
    <dict>
        <key>enforcementLevel</key>
        <string>block</string>
    </dict>
</dict>
</plist>

Zalecany profil Intune

Użyj następującego kodu XML dla zalecanego profilu usługi Intune:

<?xml version="1.0" encoding="utf-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1">
    <dict>
        <key>PayloadUUID</key>
        <string>C4E6A782-0C8D-44AB-A025-EB893987A295</string>
        <key>PayloadType</key>
        <string>Configuration</string>
        <key>PayloadOrganization</key>
        <string>Microsoft</string>
        <key>PayloadIdentifier</key>
        <string>C4E6A782-0C8D-44AB-A025-EB893987A295</string>
        <key>PayloadDisplayName</key>
        <string>Microsoft Defender for Endpoint settings</string>
        <key>PayloadDescription</key>
        <string>Microsoft Defender for Endpoint configuration settings</string>
        <key>PayloadVersion</key>
        <integer>1</integer>
        <key>PayloadEnabled</key>
        <true/>
        <key>PayloadRemovalDisallowed</key>
        <true/>
        <key>PayloadScope</key>
        <string>System</string>
        <key>PayloadContent</key>
        <array>
            <dict>
                <key>PayloadUUID</key>
                <string>99DBC2BC-3B3A-46A2-A413-C8F9BB9A7295</string>
                <key>PayloadType</key>
                <string>com.microsoft.wdav</string>
                <key>PayloadOrganization</key>
                <string>Microsoft</string>
                <key>PayloadIdentifier</key>
                <string>99DBC2BC-3B3A-46A2-A413-C8F9BB9A7295</string>
                <key>PayloadDisplayName</key>
                <string>Microsoft Defender for Endpoint configuration settings</string>
                <key>PayloadDescription</key>
                <string/>
                <key>PayloadVersion</key>
                <integer>1</integer>
                <key>PayloadEnabled</key>
                <true/>
                <key>antivirusEngine</key>
                <dict>
                    <key>enforcementLevel</key>
                    <string>real_time</string>
                    <key>threatTypeSettings</key>
                    <array>
                        <dict>
                            <key>key</key>
                            <string>potentially_unwanted_application</string>
                            <key>value</key>
                            <string>block</string>
                        </dict>
                        <dict>
                            <key>key</key>
                            <string>archive_bomb</string>
                            <key>value</key>
                            <string>audit</string>
                        </dict>
                    </array>
                </dict>
                <key>cloudService</key>
                <dict>
                    <key>enabled</key>
                    <true/>
                    <key>automaticSampleSubmission</key>
                    <true/>
                    <key>automaticDefinitionUpdateEnabled</key>
                    <true/>
                    <key>definitionUpdateDue</key>
                    <integer>7</integer>
                </dict>
                <key>tamperProtection</key>
                <dict>
                    <key>enforcementLevel</key>
                    <string>block</string>
                </dict>
            </dict>
        </array>
    </dict>
</plist>

Przykład pełnego profilu konfiguracji

Poniższe szablony Jamf Pro i Intune pokazują rozszerzony zestaw preferencji Ochrona punktu końcowego w usłudze Microsoft Defender. Używaj ich jako przykładów dla zaawansowanych scenariuszy i uwzględnij tylko ustawienia wymagane przez Twoją organizację.

Lista właściwości dla pełnego profilu konfiguracji Jamf Pro

Poniższa lista właściwości pokazuje rozszerzony profil konfiguracyjny Defender for Endpoint dla Jamf Pro, w tym silnik antywirusowy, usługę chmurową, EDR, ochronę przed manipulacją oraz preferencje interfejsu użytkownika:

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
    <key>antivirusEngine</key>
    <dict>
        <key>enforcementLevel</key>
        <string>real_time</string>
        <key>scanAfterDefinitionUpdate</key>
        <true/>
        <key>scanArchives</key>
        <true/>
        <key>maximumOnDemandScanThreads</key>
        <integer>2</integer>
        <key>exclusions</key>
        <array>
            <dict>
                <key>$type</key>
                <string>excludedPath</string>
                <key>isDirectory</key>
                <false/>
                <key>path</key>
                <string>/var/log/system.log</string>
            </dict>
            <dict>
                <key>$type</key>
                <string>excludedPath</string>
                <key>isDirectory</key>
                <true/>
                <key>path</key>
                <string>/home</string>
            </dict>
            <dict>
                <key>$type</key>
                <string>excludedPath</string>
                <key>isDirectory</key>
                <true/>
                <key>path</key>
                <string>/Users/*/git</string>
            </dict>
            <dict>
                <key>$type</key>
                <string>excludedFileExtension</string>
                <key>extension</key>
                <string>pdf</string>
            </dict>
            <dict>
                <key>$type</key>
                <string>excludedFileName</string>
                <key>name</key>
                <string>cat</string>
            </dict>
        </array>
        <key>exclusionsMergePolicy</key>
        <string>merge</string>
        <key>allowedThreats</key>
        <array>
            <string>EICAR-Test-File (not a virus)</string>
        </array>
        <key>disallowedThreatActions</key>
        <array>
            <string>allow</string>
            <string>restore</string>
        </array>
        <key>threatTypeSettings</key>
        <array>
            <dict>
                <key>key</key>
                <string>potentially_unwanted_application</string>
                <key>value</key>
                <string>block</string>
            </dict>
            <dict>
                <key>key</key>
                <string>archive_bomb</string>
                <key>value</key>
                <string>audit</string>
            </dict>
        </array>
        <key>threatTypeSettingsMergePolicy</key>
        <string>merge</string>
    </dict>
    <key>cloudService</key>
    <dict>
        <key>enabled</key>
        <true/>
        <key>diagnosticLevel</key>
        <string>optional</string>
        <key>automaticSampleSubmission</key>
        <true/>
        <key>automaticDefinitionUpdateEnabled</key>
        <true/>
        <key>cloudBlockLevel</key>
        <string>normal</string>
        <key>definitionUpdateDue</key>
        <integer>7</integer>
    </dict>
    <key>edr</key>
    <dict>
        <key>tags</key>
        <array>
            <dict>
                <key>key</key>
                <string>GROUP</string>
                <key>value</key>
                <string>ExampleTag</string>
            </dict>
        </array>
    </dict>
    <key>tamperProtection</key>
    <dict>
        <key>enforcementLevel</key>
        <string>block</string>
        <key>exclusions</key>
        <array>
        <dict>
            <key>path</key>
            <string>/bin/zsh</string>
            <key>teamId</key>
            <string/>
            <key>signingId</key>
            <string>com.apple.zsh</string>
            <key>args</key>
            <array>
            <string>/usr/local/bin/test.sh</string>
            </array>
        </dict>
        <dict>
            <key>path</key>
            <string>/usr/local/jamf/bin/jamf</string>
            <key>teamId</key>
            <string>483DWKW443</string>
            <key>signingId</key>
            <string>com.jamfsoftware.jamf</string>
        </dict>
        </array>
    </dict>
    <key>userInterface</key>
    <dict>
        <key>hideStatusMenuIcon</key>
        <false/>
        <key>userInitiatedFeedback</key>
        <string>enabled</string>
    </dict>
</dict>
</plist>

Intune pełny profil

Poniższy ładunek konfiguracji urządzenia mobilnego zawiera wszystkie dostępne ustawienia usługi Defender for Endpoint dla systemu macOS w profilu Intune gotowym do wdrożenia. Obejmuje on aparat antywirusowy, usługę w chmurze, EDR, ochronę przed naruszeniami i preferencje interfejsu użytkownika:

<?xml version="1.0" encoding="utf-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1">
    <dict>
        <key>PayloadUUID</key>
        <string>C4E6A782-0C8D-44AB-A025-EB893987A295</string>
        <key>PayloadType</key>
        <string>Configuration</string>
        <key>PayloadOrganization</key>
        <string>Microsoft</string>
        <key>PayloadIdentifier</key>
        <string>C4E6A782-0C8D-44AB-A025-EB893987A295</string>
        <key>PayloadDisplayName</key>
        <string>Microsoft Defender for Endpoint settings</string>
        <key>PayloadDescription</key>
        <string>Microsoft Defender for Endpoint configuration settings</string>
        <key>PayloadVersion</key>
        <integer>1</integer>
        <key>PayloadEnabled</key>
        <true/>
        <key>PayloadRemovalDisallowed</key>
        <true/>
        <key>PayloadScope</key>
        <string>System</string>
        <key>PayloadContent</key>
        <array>
            <dict>
                <key>PayloadUUID</key>
                <string>99DBC2BC-3B3A-46A2-A413-C8F9BB9A7295</string>
                <key>PayloadType</key>
                <string>com.microsoft.wdav</string>
                <key>PayloadOrganization</key>
                <string>Microsoft</string>
                <key>PayloadIdentifier</key>
                <string>99DBC2BC-3B3A-46A2-A413-C8F9BB9A7295</string>
                <key>PayloadDisplayName</key>
                <string>Microsoft Defender for Endpoint configuration settings</string>
                <key>PayloadDescription</key>
                <string/>
                <key>PayloadVersion</key>
                <integer>1</integer>
                <key>PayloadEnabled</key>
                <true/>
                <key>antivirusEngine</key>
                <dict>
                    <key>enforcementLevel</key>
                    <string>real_time</string>
                    <key>behaviorMonitoring</key>
                    <string>enabled</string>
                    <key>scanAfterDefinitionUpdate</key>
                    <true/>
                    <key>scanArchives</key>
                    <true/>
                    <key>maximumOnDemandScanThreads</key>
                    <integer>1</integer>
                    <key>exclusions</key>
                    <array>
                        <dict>
                            <key>$type</key>
                            <string>excludedPath</string>
                            <key>isDirectory</key>
                            <false/>
                            <key>path</key>
                            <string>/var/log/system.log</string>
                        </dict>
                        <dict>
                            <key>$type</key>
                            <string>excludedPath</string>
                            <key>isDirectory</key>
                            <true/>
                            <key>path</key>
                            <string>/home</string>
                        </dict>
                        <dict>
                            <key>$type</key>
                            <string>excludedPath</string>
                            <key>isDirectory</key>
                            <true/>
                            <key>path</key>
                            <string>/Users/*/git</string>
                        </dict>
                        <dict>
                            <key>$type</key>
                            <string>excludedFileExtension</string>
                            <key>extension</key>
                            <string>pdf</string>
                        </dict>
                        <dict>
                            <key>$type</key>
                            <string>excludedFileName</string>
                            <key>name</key>
                            <string>cat</string>
                        </dict>
                    </array>
                    <key>exclusionsMergePolicy</key>
                    <string>merge</string>
                    <key>allowedThreats</key>
                    <array>
                        <string>EICAR-Test-File (not a virus)</string>
                    </array>
                    <key>disallowedThreatActions</key>
                    <array>
                        <string>allow</string>
                        <string>restore</string>
                    </array>
                    <key>threatTypeSettings</key>
                    <array>
                        <dict>
                            <key>key</key>
                            <string>potentially_unwanted_application</string>
                            <key>value</key>
                            <string>block</string>
                        </dict>
                        <dict>
                            <key>key</key>
                            <string>archive_bomb</string>
                            <key>value</key>
                            <string>audit</string>
                        </dict>
                    </array>
                    <key>threatTypeSettingsMergePolicy</key>
                    <string>merge</string>
                </dict>
                <key>cloudService</key>
                <dict>
                    <key>enabled</key>
                    <true/>
                    <key>diagnosticLevel</key>
                    <string>optional</string>
                    <key>automaticSampleSubmission</key>
                    <true/>
                    <key>automaticDefinitionUpdateEnabled</key>
                    <true/>
                    <key>cloudBlockLevel</key>
                    <string>normal</string>
                    <key>definitionUpdateDue</key>
                    <integer>7</integer>
                </dict>
                <key>edr</key>
                <dict>
                    <key>tags</key>
                    <array>
                        <dict>
                            <key>key</key>
                            <string>GROUP</string>
                            <key>value</key>
                            <string>ExampleTag</string>
                        </dict>
                    </array>
                </dict>
                <key>tamperProtection</key>
                <dict>
                    <key>enforcementLevel</key>
                    <string>block</string>
                    <key>exclusions</key>
                    <array>
                    <dict>
                        <key>path</key>
                        <string>/bin/zsh</string>
                        <key>teamId</key>
                        <string/>
                        <key>signingId</key>
                        <string>com.apple.zsh</string>
                        <key>args</key>
                        <array>
                        <string>/usr/local/bin/test.sh</string>
                        </array>
                    </dict>
                    <dict>
                        <key>path</key>
                        <string>/Library/Intune/Microsoft Intune Agent.app/Contents/MacOS/IntuneMdmDaemon</string>
                        <key>teamId</key>
                        <string>UBF8T346G9</string>
                        <key>signingId</key>
                        <string>IntuneMdmDaemon</string>
                    </dict>
                    </array>
                </dict>
                <key>userInterface</key>
                <dict>
                    <key>hideStatusMenuIcon</key>
                    <false/>
                    <key>userInitiatedFeedback</key>
                    <string>enabled</string>
                </dict>
            </dict>
        </array>
    </dict>
</plist>

Sprawdzanie poprawności listy właściwości

Lista nieruchomości musi być prawidłowym plikiem .plist . Przed przesłaniem lub wdrożeniem profilu zweryfikowaj jego składnię, uruchamiając następujące polecenie:

plutil -lint com.microsoft.wdav.plist

Jeśli lista właściwości jest prawidłowa, polecenie zwraca kod zakończenia 0 i dane wyjściowe podobne do poniższych:

com.microsoft.wdav.plist: OK

Jeśli lista właściwości nie jest poprawna, polecenie zwraca kod 1 wyjścia i wyświetla błąd opisujący problem.

Wdrażanie profilu konfiguracji

Po utworzeniu i zweryfikowaniu profilu konfiguracyjnego, wdroż go za pomocą narzędzia do zarządzania. Użyj com.microsoft.wdav jako domeny preferencji lub nazwy niestandardowego profilu konfiguracyjnego. Defender for Endpoint nie rozpoznaje preferencji, jeśli użyjesz innej wartości.

Wdrożenie Jamf Pro

Jamf Pro to osobny produkt firm trzecich, który nie jest częścią Defender for Endpoint i nie jest dołączony do subskrypcji Defender for Endpoint. Aby korzystać z Jamf Pro, Twoja organizacja potrzebuje osobnej subskrypcji Jamf Pro. Informacje o produktach i subskrypcjach można znaleźć w Jamf Pro. Jeśli Twoja organizacja nie korzysta z Jamf Pro, użyj innej metody konfiguracji opisanej w tym artykule, jeśli jest dostępna.

Aby wdrożyć preferencje przy użyciu obecnego schematu Jamf Pro lub metody listy właściwości starszych, zobacz Konfiguruj ustawienia Defender w Jamf Pro. Więcej informacji od Jamf można znaleźć w artykule Deploying Custom Computer Configuration Profiles Using the Application oraz Custom Settings Payload.

wdrożenie Intune

Microsoft Intune jest zalecanym narzędziem do konfigurowania i wdrażania funkcji Defender for Endpoint na urządzeniach. Jednak usługa Intune jest oddzielnym produktem, który nie jest częścią Defender dla punktu końcowego i nie jest uwzględniony we wszystkich subskrypcjach. Aby korzystać z usługi Intune, potrzebujesz subskrypcji, która ją zawiera, lub możesz kupić ją oddzielnie jako autonomiczną subskrypcję lub dodatek. Jeśli nie masz usługi Intune, możesz użyć dowolnej z innych metod w tym artykule. Aby uzyskać więcej informacji, zobacz licencjonowanie Microsoft Intune.

Aby utworzyć i wdrożyć niestandardowy profil konfiguracyjny w Intune, zobacz Ustaw polityki w Microsoft Intune.

Inne rozwiązania MDM

Aby wdrożyć profil konfiguracyjny za pomocą innego rozwiązania MDM, zobacz Deploy Defender for Endpoint settings.

Treści powiązane

Poniższe zasoby zawierają więcej wskazówek dotyczących profili konfiguracyjnych macOS oraz ustawień preferencji Defender for Endpoint:

• Dokumentacja dotycząca profilu konfiguracji (Dokumentacja dla deweloperów firmy Apple)
• Schemat JSON dla konfiguracji Defender