Implantar o Microsoft Defender para Endpoint no macOS com o Microsoft Intune

  • Aplica-se a: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2, Microsoft Defender for Business

Use o Microsoft Intune para implantar o Microsoft Defender para Ponto de Extremidade em dispositivos macOS gerenciados. Crie os perfis de configuração necessários, implante o aplicativo e o pacote de onboarding, e verifique a implantação. Antes de começar, revise os pré-requisitos e os requisitos do sistema.

Os procedimentos deste artigo exigem o Microsoft Intune. O Intune é um produto separado que não faz parte do Defender for Endpoint, e não está incluído em todas as assinaturas. Você precisa de uma assinatura que inclua o Intune, ou pode comprá-lo separadamente. Para informações sobre licenciamento, veja Microsoft Intune licenciamento. Para comparar esse método com o Jamf Pro, outra solução de gerenciamento de dispositivos móveis, ou com implantação manual, veja Deploy Defender for Endpoint no macOS.

Pré-requisitos e requisitos do sistema

Antes de começar, revise os pré-requisitos do Defender for Endpoint no macOS, incluindo o produto, administrador, sistema, permissões e requisitos de rede. Para capacidades do produto e verificação de implantação compartilhada, veja Microsoft Defender para Ponto de Extremidade no macOS.

Importante

Se você quiser executar várias soluções de segurança lado a lado, consulte Considerações sobre desempenho, configuração e suporte.

Talvez você já tenha configurado exclusões mútuas de segurança para dispositivos integrados ao Microsoft Defender para Ponto de Extremidade. Se você ainda precisar definir exclusões recíprocas para evitar conflitos, consulte Adicionar o Microsoft Defender para Endpoint à lista de exclusões da sua solução existente.

Visão geral de implantação

A tabela a seguir resume os perfis e pacotes usados para implantar o Defender for Endpoint no macOS com Intune.

Etapa Nome do arquivo de exemplo Identificador de pacote
Aprovar extensões de sistema Não aplicável com.microsoft.wdav.epsext e com.microsoft.wdav.netext
Política de extensão de rede netfilter.mobileconfig com.microsoft.wdav.netext
Acesso total ao disco fulldisk.mobileconfig com.microsoft.wdav, com.microsoft.wdav.epsext e com.microsoft.dlp.daemon
Preferências do Defender para Endpoint

Se você pretende rodar um antivírus que não seja da Microsoft no macOS, configure o modo passivo no perfil de preferências.		 com.microsoft.wdav.xml com.microsoft.wdav
Serviços em segundo plano background_services.mobileconfig Não aplicável
Notifications notif.mobileconfig com.microsoft.wdav.tray e com.microsoft.autoupdate2
Configurações de acessibilidade accessibility.mobileconfig com.microsoft.dlp.daemon
Permissões de Bluetooth bluetooth.mobileconfig com.microsoft.dlp.agent
Microsoft AutoUpdate com.microsoft.autoupdate2.mobileconfig com.microsoft.autoupdate2
Pacote de integração WindowsDefenderATPOnboarding.xml com.microsoft.wdav.atp
Defender para o aplicativo Endpoint Não aplicável Não aplicável

Criar perfis de configuração do sistema

Crie os perfis de configuração do sistema que o Microsoft Defender para Ponto de Extremidade precisa.

A maioria das etapas desta seção usa um perfil de configuração personalizado do macOS. Para instruções detalhadas, veja Adicionar configurações personalizadas aos dispositivos Apple no Microsoft Intune (link abre em uma nova aba).

Quando uma etapa diz para criar um perfil de configuração personalizado, na aba Políticas da página Dispositivos | Configuração no centro de administração do Microsoft Intune em https://intune.microsoft.com/#view/Microsoft_Intune_DeviceSettings/DevicesMenu/~/configuration, selecionando Criar>Nova política, use estas configurações comuns:

  • Plataforma: selecione macOS.
  • Tipo de perfil: selecione Modelos.
  • Nome do modelo: Selecione Personalizado.

No assistente personalizado, configure as seguintes configurações:

  • Aba Configurações: Use as configurações específicas do perfil descritas em cada etapa aplicável.
  • Aba de Atribuições : Atribua o perfil aos grupos de usuários ou dispositivos que devem recebê-lo. Você também pode adicionar tags de escopo e excluir grupos da tarefa.

Etapa 1: Aprovar extensões do sistema

Use o catálogo de configurações do Intune para aprovar as extensões do sistema necessárias. Para instruções detalhadas, consulte Aprovar extensões do Microsoft Defender para Ponto de Extremidade no macOS usando o catálogo de configurações do Intune.

No assistente de Criar perfil , configure as seguintes configurações na aba de configurações de configuração :

  • Configuração >do sistemaExtensões> do sistema Extensões do sistema permitidas:
    • Extensões de Sistema Permitidas: Adicionar com.microsoft.wdav.epsext e com.microsoft.wdav.netext.
    • Identificador da equipa: introduza UBF8T346G9.
  • Configuração >do sistemaExtensões> do sistema Tipos de extensão do sistema permitidos:
    • Tipos de extensão de sistema permitidos: Add Network e EndpointSecurity.
    • Identificador da equipa: introduza UBF8T346G9.

Etapa 2: filtro de rede

Defender for Endpoint usa a extensão de rede para inspeção de conteúdo de rede. O perfil do filtro de rede permite que a extensão inspecione o tráfego do socket.

Baixe netfilter.mobileconfig do repositório de perfil de configuração do macOS do Defender for Endpoint.

Importante

O macOS suporta apenas um arquivo de filtro .mobileconfig de rede. Adicionar múltiplos filtros de rede pode causar problemas de conectividade de rede. Essa limitação não é específica do Defender para Endpoint.

Crie um perfil de configuração personalizado usando as configurações comuns descritas em Criar perfis de configuração de sistema. Use estas configurações específicas para o perfil:

  • Noções básicas aba:
    • Nome: insira um nome descritivo, como macOS network filter.
  • Aba de configurações de configuração :
    • Nome do perfil de configuração: Insira um nome descritivo para o perfil.
    • Canal de implantação: Selecione o canal do dispositivo.
    • Arquivo de perfil de configuração: Selecione o netfilter.mobileconfig arquivo que você baixou.

Etapa 3: Acesso total ao disco

Observação

macOS Catalina 10.15 e versões posteriores utilizam Transparência, Consentimento e Controle (TCC) para proteger o acesso a dados sensíveis dos usuários. Implantar o perfil de Acesso ao Disco Completo por meio do gerenciamento de dispositivos móveis (MDM) impede que usuários locais revoguem as permissões que o Defender for Endpoint precisa.

Este perfil concede Acesso Total ao Disco ao Defender para Endpoint. Se você configurou o Defender para Endpoint via Intune sem esse perfil, atualize a implantação para incluí-lo.

Baixe fulldisk.mobileconfig do repositório de perfil de configuração do macOS Defender for Endpoint.

Crie um perfil de configuração personalizado usando as configurações comuns descritas em Criar perfis de configuração de sistema. Use estas configurações específicas para o perfil:

  • Noções básicas guia:
    • Nome: insira um nome descritivo, como macOS full disk access.
  • Aba de configurações de configuração :
    • Nome do perfil de configuração: Insira um nome descritivo para o perfil.
    • Canal de implantação: Selecione o canal do dispositivo.
    • Arquivo de perfil de configuração: Selecione o fulldisk.mobileconfig arquivo que você baixou.

Observação

Acesso Total ao Disco concedido por meio de um perfil de configuração Apple MDM não é mostrado nas Configurações >do SistemaPrivacidade e Segurança>Acesso ao Disco Completo.

Etapa 4: Serviços em segundo plano

Cuidado

A partir do macOS 13 (Ventura), os aplicativos precisam de permissão explícita para rodar em segundo plano. Defender for Endpoint deve executar processos em segundo plano. Este perfil concede as permissões necessárias ao serviço em segundo plano. Se você configurou o Defender para Endpoint via Intune sem esse perfil, atualize a implantação para incluí-lo.

Baixe o arquivo background_services.mobileconfig do repositório de perfis de configuração do Defender para Ponto de Extremidade para macOS.

Crie um perfil de configuração personalizado usando as configurações comuns descritas em Criar perfis de configuração de sistema. Use estas configurações específicas para o perfil:

  • Noções básicas guia:
    • Nome: insira um nome descritivo, como macOS background services.
  • Aba de configurações de configuração :
    • Nome do perfil de configuração: Insira um nome descritivo para o perfil.
    • Canal de implantação: Selecione o canal do dispositivo.
    • Arquivo de perfil de configuração: Selecione o background_services.mobileconfig arquivo que você baixou.

Etapa 5: Notificações

Esse perfil permite que o Defender for Endpoint e o Microsoft AutoUpdate exibam notificações.

Baixe notif.mobileconfig do repositório de perfis de configuração do Defender for Endpoint para macOS.

Para ocultar notificações dos usuários, mude ShowInNotificationCenter de true para false para o app aplicável em notif.mobileconfig.

Captura de tela do notif.mobileconfig com o ShowInNotificationCenter configurado como true.

Crie um perfil de configuração personalizado usando as configurações comuns descritas em Criar perfis de configuração de sistema. Use estas configurações específicas para o perfil:

  • aba Noções básicas:
    • Nome: insira um nome descritivo, como macOS notifications consent.
  • Aba de configurações de configuração :
    • Nome do perfil de configuração: Insira um nome descritivo para o perfil.
    • Canal de implantação: Selecione o canal do dispositivo.
    • Arquivo de perfil de configuração: Selecione o notif.mobileconfig arquivo que você baixou.

Etapa 6: Configurações de acessibilidade

Este perfil concede permissão de acessibilidade ao com.microsoft.dlp.daemon componente.

Baixe accessibility.mobileconfig do repositório de perfil de configuração do macOS do Defender for Endpoint.

Crie um perfil de configuração personalizado usando as configurações comuns descritas em Criar perfis de configuração de sistema. Use estas configurações específicas para o perfil:

  • guia Noções básicas:
    • Nome: insira um nome descritivo, como macOS accessibility settings.
  • Aba de configurações de configuração :
    • Nome do perfil de configuração: Insira um nome descritivo para o perfil.
    • Canal de implantação: Selecione o canal do dispositivo.
    • Arquivo de perfil de configuração: Selecione o accessibility.mobileconfig arquivo que você baixou.

Passo 7: Permissões Bluetooth (opcionais)

Cuidado

A partir do macOS 14 (Sonoma), os aplicativos precisam de permissão explícita para acessar o Bluetooth. Implante esse perfil se você configurar políticas Bluetooth para Controle de Dispositivos.

Baixe bluetooth.mobileconfig do repositório GitHub.

Crie um perfil de configuração personalizado usando as configurações comuns descritas em Criar perfis de configuração de sistema. Use estas configurações específicas para o perfil:

  • aba Noções básicas:
    • Nome: insira um nome descritivo, como macOS Bluetooth consent.
  • Aba de configurações de configuração :
    • Nome do perfil de configuração: Insira um nome descritivo para o perfil.
    • Canal de implantação: Selecione o canal do dispositivo.
    • Arquivo de perfil de configuração: Selecione o bluetooth.mobileconfig arquivo que você baixou.

Observação

O acesso Bluetooth concedido por meio de um perfil de configuração Apple MDM não é mostrado nas Configurações do Sistema>Privacidade e Segurança>Bluetooth.

Etapa 8: Microsoft AutoUpdate

Este perfil configura o Microsoft AutoUpdate para atualizar o Defender para o Endpoint. Selecione um dos seguintes canais de atualização:

  • Beta
  • Preview
  • Current

Para obter mais informações, consulte Implantar atualizações do Microsoft Defender para Ponto de Extremidade no macOS.

Baixe com.microsoft.autoupdate2.mobileconfig do repositório de configurações do Microsoft AutoUpdate.

Observação

O arquivo de exemplo com.microsoft.autoupdate2.mobileconfig está configurado para Canal Atual (Produção).

Crie um perfil de configuração personalizado usando as configurações comuns descritas em Criar perfis de configuração de sistema. Use estas configurações específicas para o perfil:

  • guia Noções básicas:
    • Nome: insira um nome descritivo, como macOS Microsoft AutoUpdate.
  • Aba de configurações de configuração :
    • Nome do perfil de configuração: Insira um nome descritivo para o perfil.
    • Canal de implantação: Selecione o canal do dispositivo.
    • Arquivo de perfil de configuração: Selecione o com.microsoft.autoupdate2.mobileconfig arquivo que você baixou.

Etapa 9: Configurações do Microsoft Defender para Ponto de Extremidade

Configure políticas antimalware e EDR usando o portal Microsoft Defender na etapa 9a ou o centro de administração da Microsoft Intune na etapa 9b.

Observação

Complete apenas um dos seguintes passos: 9a ou 9b.

9a. Defina políticas no portal do Microsoft Defender

Se sua organização gerencia políticas de segurança de endpoints no portal Microsoft Defender, você pode configurar antivírus e configurações de detecção e resposta de endpoints (EDR) com as mesmas políticas de segurança de endpoints que o Intune utiliza.

Para instruções detalhadas, veja Criar uma política de segurança para endpoints ou Editar uma política de segurança para endpoint (links abertos em novas abas).

Antes de criar as políticas, configure a conexão entre o Microsoft Defender para Ponto de Extremidade e o Intune.

Ao criar a política de segurança de endpoint Antivírus na guia políticas do macOS da página Políticas de segurança de endpoint no portal do Defender em https://security.microsoft.com/policy-inventory?osPlatform=Mac, use as configurações específicas a seguir:

  • Selecione a plataforma: selecione macOS.
  • Selecionar modelo: selecione Microsoft Defender Antivírus.

Configure as configurações de antivírus exigidas pela sua organização. Depois, crie outra política com as seguintes configurações:

  • Selecione a plataforma: selecione macOS.
  • Selecione o modelo: Selecione Detecção e resposta de endpoint.

9b. Definir políticas no Microsoft Intune

Para criar esse perfil, copie o código do perfil recomendado do Intune (recomendado) ou do perfil completo do Intune (para cenários avançados) e salve o arquivo como com.microsoft.wdav.xml.

Crie um perfil de configuração personalizado usando as configurações comuns descritas em Criar perfis de configuração de sistema. Use estas configurações específicas para o perfil:

  • aba Noções básicas:
    • Nome: insira um nome descritivo, como macOS Microsoft Defender preferences.
  • Aba de configurações de configuração :
    • Nome do perfil de configuração: Enter com.microsoft.wdav.
    • Canal de implantação: Selecione o canal do dispositivo.
    • Arquivo de perfil de configuração: Selecione o com.microsoft.wdav.xml arquivo que você criou.

Cuidado

Insira com.microsoft.wdav como o nome do perfil de Configuração. Defender for Endpoint não reconhece as preferências se você usar outro valor.

Para obter mais informações, consulte Configurar preferências do Microsoft Defender para Ponto de Extremidade no macOS.

Para obter mais informações sobre como gerenciar configurações de segurança, consulte:

Etapa 10: proteção de rede para o Microsoft Defender para Ponto de Extremidade no macOS (opcional)

Configure a proteção de rede na política de Antivírus do Microsoft Defender ou no perfil de preferências do Defender for Endpoint que você criou na etapa 9.

Para requisitos, opções de configuração e etapas de verificação, veja Proteção de Rede para macOS.

Etapa 11: Controle de dispositivo para Microsoft Defender para Ponto de Extremidade no macOS (opcional)

O Controle de Dispositivos exige Acesso Completo ao Disco para com.microsoft.dlp.daemon, bem como configurações e políticas separadas para o Controle de Dispositivos. O perfil fulldisk.mobileconfig da etapa 3 inclui a permissão necessária de Acesso Completo ao Disco.

Para requisitos e instruções de configuração, veja Controle de Dispositivos para macOS.

Importante

Implante os perfis de configuração necessários antes de implantar o aplicativo Defender for Endpoint e o pacote de onboarding.

Etapa 12: Publicar o aplicativo Microsoft Defender

Importante

O aplicativo Microsoft Defender para macOS suporta tanto o Defender for Endpoint quanto o Microsoft Purview Endpoint Data Loss Prevention. Se você também planeja integrar os dispositivos macOS ao Microsoft Purview na etapa 18, ative o monitoramento de dispositivos como parte do processo de integração do Purview. No portal do Microsoft Purview em https://purview.microsoft.com, vá para Configurações>Integração de dispositivos>Dispositivos e selecione Habilitar monitoramento de dispositivos.

Publique o aplicativo Microsoft Defender para dispositivos registrados no Intune. Para instruções detalhadas, veja Adicionar Microsoft Defender para Ponto de Extremidade a dispositivos macOS usando Microsoft Intune (link abre em uma nova aba).

Na página Aplicativos | Todos os aplicativos no centro de administração do Microsoft Intune em https://intune.microsoft.com/#view/Microsoft_Intune_DeviceSettings/AppsMenu/~/allApps, selecione Criar. No painel Selecionar tipo de app, em Microsoft Defender para Ponto de Extremidade, selecione macOS.

No assistente de adicionar app , configure as seguintes configurações:

  • Aba de informações do app: Mantenha os valores padrão.
  • Aba de Atribuições : Atribua o aplicativo aos grupos de usuários ou dispositivos que devem recebê-lo.

Etapa 13: Baixar o pacote de integração do Microsoft Defender para Endpoint

Para baixar o pacote de integração do portal do Microsoft Defender:

  1. Na página de Onboarding do portal Microsoft Defender em https://security.microsoft.com/securitysettings/endpoints/onboarding, configure as seguintes configurações:

    1. Selecione o sistema operacional para iniciar o processo de integração: Selecione macOS.

    2. Tipo de conectividade: Verificar Simplificado foi selecionado.

    3. Método de implantação: Selecione Mobile Gerenciamento de Dispositivos / Microsoft Intune.

      Captura de tela da página de Onboarding com macOS, Streamlined e Gerenciamento de Dispositivos Móveis ou Microsoft Intune selecionados.

  2. Selecione Baixar pacote de integração e salve GatewayWindowsDefenderATPOnboardingPackage.zip.

  3. Extraia o conteúdo do arquivo ZIP para que você possa implantar WindowsDefenderATPOnboarding.xml pelo Intune:

    unzip GatewayWindowsDefenderATPOnboardingPackage.zip

    Archive:  GatewayWindowsDefenderATPOnboardingPackage.zip
warning:  GatewayWindowsDefenderATPOnboardingPackage.zip appears to use backslashes as path separators
 inflating: intune/kext.xml
 inflating: intune/WindowsDefenderATPOnboarding.xml
 inflating: jamf/WindowsDefenderATPOnboarding.plist

Passo 14: Implante o pacote de integração do Microsoft Defender para Ponto de Extremidade para macOS

Este perfil contém informações de licença para o Microsoft Defender para Ponto de Extremidade.

Crie um perfil de configuração personalizado usando as configurações comuns descritas em Criar perfis de configuração de sistema. Use estas configurações específicas para o perfil:

  • Noções básicas guia:
    • Nome: insira um nome descritivo, como Microsoft Defender para Ponto de Extremidade onboarding for macOS.
  • Aba de configurações de configuração :
    • Nome do perfil de configuração: Insira um nome descritivo para o perfil.
    • Canal de implantação: Selecione o canal do dispositivo.
    • Arquivo de perfil de configuração: Selecione o arquivo WindowsDefenderATPOnboarding.xml que você extraiu do pacote de integração.

Passo 15: Verifique o status do dispositivo e da configuração

Etapa 15a. Ver status

Use o relatório de política no centro de administração do Intune para visualizar o status do check-in do dispositivo e do usuário:

  1. Na página Dispositivos | Configuração no centro de administração do Intune em https://intune.microsoft.com/#view/Microsoft_Intune_DeviceSettings/DevicesMenu/~/configuration, selecione uma política.

  2. Em Status de check-in do dispositivo e do usuário, selecione Ver relatório.

Etapa 15b. Inscrever um dispositivo cliente

Use o Portal da Empresa para registrar o dispositivo macOS:

  1. Siga os passos em Insture seu Mac no Intune Portal da Empresa.

  2. Após a conclusão do registro, verifique se o dispositivo está listado na página de Todos os dispositivos no centro de administração do Intune em https://intune.microsoft.com/#view/Microsoft_Intune_Devices/DevicesMenu/~/allDevices.

Etapa 15c. Verificar o estado do dispositivo cliente

Verifique os perfis e o aplicativo no dispositivo gerenciado:

  1. Após a implantação dos perfis de configuração, abra Ajustes do Sistema>Geral>Gerenciamento de Dispositivos no dispositivo macOS.

  2. Verifique se os perfis de configuração para sua implantação estão presentes e instalados:

    • accessibility.mobileconfig, se for implantado.
    • background_services.mobileconfig
    • bluetooth.mobileconfig, se for implantado.
    • com.microsoft.autoupdate2.mobileconfig
    • fulldisk.mobileconfig
    • Perfil de Gerenciamento, que é o perfil do sistema Intune.
    • WindowsDefenderATPOnboarding.xml, que é o pacote de integração do Defender for Endpoint.
    • netfilter.mobileconfig
    • notif.mobileconfig

  3. Verifique se o ícone do Microsoft Defender aparece na barra de menu.

    Captura de tela do ícone do Microsoft Defender na barra de menu do macOS.

Passo 16: Verificar a detecção de antimalware

Execute um teste de detecção antivírus para verificar se o dispositivo está onboard e fazendo relatórios corretamente.

Passo 17: Verificar a detecção de EDR

Execute um teste de detecção de EDR para verificar se a detecção e resposta do endpoint estão funcionando e reportando corretamente.

Para integrar o dispositivo ao Microsoft Purview e configurar a Prevenção de Perda de Dados em Endpoints (DLP), veja Começar com DLP de Endpoint.

Solução de problemas

  • Questão: O Defender for Endpoint relata que nenhuma licença foi encontrada.
  • Causa: A integração do dispositivo não está completa.
  • Resolução: Baixe o pacote de integração conforme descrito no passo 13 e implante-o conforme descrito no passo 14.

Registrar problemas de instalação

Veja Problemas de instalação de logs para encontrar o log que o instalador cria automaticamente quando ocorre um erro.

Para obter informações sobre procedimentos de solução de problemas, consulte:

Desinstalar o Defender para o Endpoint

Veja Desinstalar o Defender for Endpoint no macOS para instruções.

  • Última atualização em