Definir preferências para o Microsoft Defender para Ponto de Extremidade no macOS

  • Aplica-se a: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Você pode usar um perfil de configuração para gerenciar as preferências do Microsoft Defender para Ponto de Extremidade de forma consistente em dispositivos macOS gerenciados. Preferências gerenciadas têm precedência sobre preferências configuradas localmente em um dispositivo e exigem privilégios de administrador para serem alteradas localmente.

Este artigo é para administradores de segurança que implantam perfis de configuração por meio do Microsoft Intune, Jamf Pro ou outra solução de gerenciamento de dispositivos móveis (MDM). Ele fornece informações de referência e perfis de exemplo para configuração do Defender Antivirus, proteção entregue na nuvem, interface do usuário, detecção e resposta de endpoints (EDR) e proteção contra adulterações.

Antes de configurar preferências, revise os pré-requisitos para o Defender for Endpoint no macOS. Para fluxos de trabalho completos de implantação, veja Deploy Microsoft Defender para Ponto de Extremidade no macOS. Para configurar preferências localmente a partir da interface de linha de comando, veja Configurar a partir da linha de comando.

Estrutura do perfil de configuração

O perfil de configuração utiliza XML de lista de propriedades da Apple, composto de pares de chave-valor. Cada chave é um nome de preferência. Os valores podem ser simples, como um número, ou complexos, como uma lista aninhada de preferências. Salve ou envie o XML no formato exigido pela sua ferramenta de gerenciamento.

Importante

Teste os perfis de configuração com um grupo limitado de dispositivos antes de implantá-los de forma geral. O layout do perfil depende do console de gerenciamento que você usa. Este artigo inclui exemplos para Jamf Pro e Microsoft Intune.

O nível superior do perfil de configuração inclui preferências e dicionários aplicáveis a todo o produto para os recursos do Defender for Endpoint, o mecanismo antivírus, a proteção fornecida pela nuvem, a interface do usuário, a detecção e resposta em pontos de extremidade (EDR) e a proteção contra adulteração.

Preferências de funcionalidades

Use o dicionário features para gerenciar recursos individuais do Defender para Endpoint.

Seção Valor
Domínio com.microsoft.wdav
Chave features
Tipo de dados Dicionário (preferência aninhada)
Comentários O dicionário inclui configurações para recursos como monitoramento de comportamento.

Configurar monitoramento de comportamento

Especifique se o monitoramento e bloqueio de comportamento estão ativados no dispositivo.

Observação

O monitoramento de comportamento se aplica apenas quando a proteção em tempo real está ativada.

Seção Valor
Domínio com.microsoft.wdav
Chave behaviorMonitoring
Tipo de dados Cadeia de caracteres
Valores possíveis disabled

enabled (predefinição)
Comentários Disponível no Microsoft Defender para Ponto de Extremidade versão 101.24042.0002 ou posterior.

Preferências do mecanismo antivírus

Use o antivirusEngine dicionário para gerenciar as preferências do Defender Antivírus.

Seção Valor
Domínio com.microsoft.wdav
Chave antivirusEngine
Tipo de dados Dicionário (preferência aninhada)
Comentários O dicionário inclui configurações para nível de aplicação, cálculo de hash de arquivo, exclusões de verificação, ameaças permitidas, configurações de tipo de ameaça e retenção do histórico de verificação.

Nível de aplicação do mecanismo antivírus

Especifique o nível de aplicação do mecanismo antivírus:

  • real_time (padrão): Ative a proteção em tempo real e escaneie arquivos conforme forem acessados.
  • on_demand: Desative a proteção em tempo real e escaneie arquivos apenas sob demanda.
  • passive: Desative a proteção em tempo real e a remediação automática de ameaças, ative a varredura sob demanda e as atualizações de inteligência de segurança, e oculte o ícone do menu de status.
Seção Valor
Domínio com.microsoft.wdav
Chave enforcementLevel
Tipo de dados Cadeia de caracteres
Valores possíveis real_time (padrão)

on_demand

passive
Comentários Disponível no Microsoft Defender para Ponto de Extremidade versão 101.10.72 ou posterior.

Configurar o recurso de computação de hash de arquivo

Especifique se o Defender for Endpoint calcula hashes para arquivos que ele escaneia. O cálculo de hash de arquivo melhora a correspondência com regras indicadoras de arquivo, mas pode afetar o desempenho do dispositivo. No macOS, esse recurso suporta scripts e arquivos Mach-O de 32 e 64 bits a partir da versão 1.1.20000.2 do motor. Para obter mais informações, veja Criar indicadores para ficheiros.

Seção Valor
Domínio com.microsoft.wdav
Chave enableFileHashComputation
Tipo de dados booleano
Valores possíveis false (padrão)

true
Comentários Disponível no Defender para a versão Endpoint 101.86.81 ou posterior.

Executar uma verificação após a atualização das definições

Especifique se deve iniciar uma varredura de processos após o download de novas atualizações de inteligência de segurança no dispositivo. Habilitar essa configuração dispara uma verificação antivírus nos processos em execução do dispositivo.

Seção Valor
Domínio com.microsoft.wdav
Chave scanAfterDefinitionUpdate
Tipo de dados booleano
Valores possíveis true (padrão)

false
Comentários Disponível no Microsoft Defender para Ponto de Extremidade versão 101.41.10 ou posterior.

Verificar arquivos (somente verificações antivírus sob demanda)

Especifique se deve escanear arquivos durante as varreduras antivírus sob demanda.

Seção Valor
Domínio com.microsoft.wdav
Chave scanArchives
Tipo de dados booleano
Valores possíveis true (padrão)

false
Comentários Disponível no Microsoft Defender para Ponto de Extremidade versão 101.41.10 ou posterior.

Grau de paralelismo para varreduras sob demanda

Especifique o número de threads usadas para verificações sob demanda. O valor afeta o uso da CPU e a duração da varredura.

Seção Valor
Domínio com.microsoft.wdav
Chave maximumOnDemandScanThreads
Tipo de dados Número inteiro
Valores possíveis 2 (padrão). Use um inteiro de 1 até 64.
Comentários Disponível no Microsoft Defender para Ponto de Extremidade versão 101.41.10 ou posterior.

Política de fusão por exclusão

Especifique se deve combinar exclusões definidas pelo administrador e definidas pelo usuário ou usar apenas exclusões definidas pelo administrador. Use admin_only para impedir que usuários locais definam exclusões.

Seção Valor
Domínio com.microsoft.wdav
Chave exclusionsMergePolicy
Tipo de dados Cadeia de caracteres
Valores possíveis merge (padrão)

admin_only
Comentários Disponível no Microsoft Defender para Ponto de Extremidade versão 100.83.73 ou posterior.

Exclusões de verificação

Especifique arquivos, pastas, extensões de arquivo ou processos para excluir da varredura. O exclusions array pode conter múltiplas entradas em qualquer ordem.

Seção Valor
Domínio com.microsoft.wdav
Chave exclusions
Tipo de dados Variedade de dicionários
Comentários Cada dicionário pode conter $type (tipo de exclusão), path (caminho de arquivo ou pasta), isDirectory (tipo de caminho), extension (extensão de arquivo) ou name (nome do processo).
Tipo de exclusão

Especificar o conteúdo excluído da verificação por tipo.

Seção Valor
Domínio com.microsoft.wdav
Chave $type
Tipo de dados Cadeia de caracteres
Valores possíveis excludedPath

excludedFileExtension

excludedFileName
Caminho para o conteúdo excluído

Especifique, pelo caminho completo do arquivo, qual conteúdo deve ser excluído da verificação.

Seção Valor
Domínio com.microsoft.wdav
Chave path
Tipo de dados Cadeia de caracteres
Valores possíveis Caminhos válidos
Comentários Aplica-se somente quando $type for excludedPath.

Tipos de exclusão com suporte

Defender for Endpoint no macOS suporta os seguintes tipos de exclusão de varredura antivírus:

Exclusão Definição Exemplos
Extensão de arquivo Todos os arquivos com a extensão, em qualquer lugar do dispositivo .test
Arquivo Um arquivo específico identificado pelo caminho completo /var/log/test.log

/var/log/*.log

/var/log/install.?.log
Pasta Todos os arquivos na pasta especificada (recursivamente) /var/log/

/var/*/
Processo Um processo específico (especificado pelo caminho completo ou pelo nome do arquivo) e todos os arquivos abertos por ele /bin/cat

cat

c?t

Importante

Os caminhos de exclusão devem ser links físicos, não links simbólicos. Para determinar se um caminho é um elo simbólico, execute file <path-name>.

As exclusões de arquivo, pasta e processo suportam os seguintes curingas:

Curinga Descrição Exemplo Correspondências Não corresponde
* Corresponde a qualquer número de caracteres, incluindo nenhum (observe que, quando este curinga é usado dentro de um caminho, ele substitui apenas uma pasta) /var/\*/\*.log /var/log/system.log /var/log/nested/system.log
? Corresponde a qualquer caractere único file?.log file1.log

file2.log

 file123.log

Tipo de caminho de exclusão da varredura (arquivo ou diretório)

Em uma entrada de exclusão de varredura antivírus, use isDirectory para indicar se o path valor se refere a um arquivo ou a um diretório.

Seção Valor
Domínio com.microsoft.wdav
Chave isDirectory
Tipo de dados booleano
Valores possíveis false (padrão)

true
Comentários Aplica-se apenas quando $type for excludedPath.

Exclusão de verificação: extensão de arquivo

Em uma entrada de exclusão de varredura antivírus, use extension para excluir arquivos por extensão de arquivo.

Seção Valor
Domínio com.microsoft.wdav
Chave extension
Tipo de dados Cadeia de caracteres
Valores possíveis Extensões de arquivo válidas
Comentários Aplica-se somente quando $type for excludedFileExtension.

Exclusão de verificação: nome ou caminho do processo

Em uma entrada de exclusão da varredura antivírus, use name para excluir um processo e todos os arquivos abertos por esse processo da varredura. Especifique o processo pelo nome, como cat, ou pelo caminho completo, como /bin/cat.

Seção Valor
Domínio com.microsoft.wdav
Chave name
Tipo de dados Cadeia de caracteres
Valores possíveis qualquer sequência de caracteres
Comentários Aplica-se somente quando $type for excludedFileName.

Ameaças permitidas

Especifique pelo nome as ameaças que o Defender para Endpoint permite executar.

Seção Valor
Domínio com.microsoft.wdav
Chave allowedThreats
Tipo de dados Matriz de cadeias de caracteres

Ações de ameaça não permitidas

Restringa as ações que os usuários locais podem tomar quando ameaças forem detectadas. As ações dessa lista não aparecem na interface do usuário.

Seção Valor
Domínio com.microsoft.wdav
Chave disallowedThreatActions
Tipo de dados Matriz de cadeias de caracteres
Valores possíveis allow (impede que usuários permitam ameaças)

restore (impede que usuários restaurem ameaças da quarentena)
Comentários Disponível no Microsoft Defender para Ponto de Extremidade versão 100.83.73 ou posterior.

Configurações do tipo de ameaça

Defina como certos tipos de ameaça são tratados pelo Microsoft Defender para Ponto de Extremidade no macOS.

Seção Valor
Domínio com.microsoft.wdav
Chave threatTypeSettings
Tipo de dados Variedade de dicionários
Comentários Cada entrada na matriz contém um key (tipo de ameaça, como potentially_unwanted_application ou archive_bomb) e uma value (ação a ser tomada: audit, blockou off).
Tipo de ameaça

Especifique os tipos de ameaça.

Seção Valor
Domínio com.microsoft.wdav
Chave key
Tipo de dados Cadeia de caracteres
Valores possíveis potentially_unwanted_application

archive_bomb
O que fazer

Especifique qual ação tomar quando uma ameaça do tipo identificada pela key configuração for detectada. Escolha dentre as seguintes opções:

  • audit: O dispositivo não está protegido contra esse tipo de ameaça, mas o Defender for Endpoint registra a ameaça.
  • block: O Defender for Endpoint bloqueia a ameaça e notifica você na interface do usuário e no portal do Microsoft Defender.
  • off: O dispositivo não está protegido contra esse tipo de ameaça, e o Defender for Endpoint não registra a ameaça.
Seção Valor
Domínio com.microsoft.wdav
Chave value
Tipo de dados Cadeia de caracteres
Valores possíveis audit (padrão)

block

off

Política de mesclagem de configurações de tipo de ameaça

Especifique se deve combinar configurações de tipo de ameaça definidas pelo administrador e definidas pelo usuário ou usar apenas configurações definidas pelo administrador. Use admin_only para impedir que usuários locais definam configurações de tipo de ameaça.

Seção Valor
Domínio com.microsoft.wdav
Chave threatTypeSettingsMergePolicy
Tipo de dados Cadeia de caracteres
Valores possíveis merge (padrão)

admin_only
Comentários Disponível no Microsoft Defender para Ponto de Extremidade versão 100.83.73 ou posterior.

Retenção do histórico de verificação de antivírus (em dias)

Especifique por quantos dias manter os resultados no histórico de varreduras do dispositivo. Quando os resultados expiram, o Defender for Endpoint remove os resultados da varredura do histórico e remove arquivos associados em quarentena do disco.

Seção Valor
Domínio com.microsoft.wdav
Chave scanResultsRetentionDays
Tipo de dados Número inteiro
Valores possíveis 90 (padrão). Use um inteiro de 1 até 180.
Comentários Disponível no Microsoft Defender para Ponto de Extremidade versão 101.07.23 ou posterior.

Número máximo de itens no histórico de verificação de antivírus

Especifique o número máximo de entradas a serem mantidas no histórico de verificação. As entradas incluem todas as verificações sob demanda realizadas no passado e todas as detecções de antivírus.

Seção Valor
Domínio com.microsoft.wdav
Chave scanHistoryMaximumItems
Tipo de dados Número inteiro
Valores possíveis 10000 (padrão). Use um inteiro de 5000 até 15000.
Comentários Disponível no Microsoft Defender para Ponto de Extremidade versão 101.07.23 ou posterior.

Preferências de proteção entregue na nuvem

Configure os recursos de proteção entregue na nuvem do Microsoft Defender para Ponto de Extremidade no macOS.

Seção Valor
Domínio com.microsoft.wdav
Chave cloudService
Tipo de dados Dicionário (preferência aninhada)
Comentários O conteúdo do dicionário inclui configurações para proteção entregue na nuvem, nível de coleta de diagnóstico, nível de bloco de nuvem, envios automáticos de exemplo, atualizações de inteligência de segurança e configuração de proxy.

Configure proteção entregue em nuvem

Especifique se deve ativar a proteção entregue na nuvem no dispositivo. Mantenha esse recurso ativado para melhor proteção.

Seção Valor
Domínio com.microsoft.wdav
Chave enabled
Tipo de dados booleano
Valores possíveis true (padrão)

false

Nível de coleta de diagnóstico

Especifique o nível de dados diagnósticos que o Defender for Endpoint envia para a Microsoft. Os dados diagnósticos ajudam a manter o produto seguro e atualizado, diagnosticar e corrigir problemas, além de melhorar o produto.

Seção Valor
Domínio com.microsoft.wdav
Chave diagnosticLevel
Tipo de dados Cadeia de caracteres
Valores possíveis optional (padrão)

required

Configurar o nível de bloqueio da nuvem

Especifique o quão agressivamente o Defender for Endpoint bloqueia e escaneia arquivos suspeitos:

  • normal: Use o nível padrão de bloqueio.
  • moderate: Emita decisões apenas para detecções com alto grau de confiança.
  • high: Bloqueia arquivos desconhecidos de forma agressiva enquanto otimiza o desempenho. Esse nível aumenta a chance de bloquear arquivos não prejudiciais.
  • high_plus: Bloqueie arquivos desconhecidos de forma agressiva e aplique mais medidas de proteção. Esse nível pode afetar o desempenho do dispositivo.
  • zero_tolerance: Bloqueie todos os programas desconhecidos.
Seção Valor
Domínio com.microsoft.wdav
Chave cloudBlockLevel
Tipo de dados Cadeia de caracteres
Valores possíveis normal (padrão)

moderate

high

high_plus

zero_tolerance
Comentários Disponível no Defender para Endpoint na versão 101.56.62 ou posterior.

Configurar o envio automático de amostras

Especifique quais amostras suspeitas que possam conter ameaças são enviadas à Microsoft:

  • none: Não envie amostras suspeitas automaticamente.
  • safe: Submeter automaticamente apenas amostras suspeitas que não contenham informações pessoais identificáveis. Esse valor é o padrão.
  • all: Submeta automaticamente todas as amostras suspeitas.
Seção Valor
Domínio com.microsoft.wdav
Chave automaticSampleSubmissionConsent
Tipo de dados Cadeia de caracteres
Valores possíveis none

safe (padrão)

all

Observação

O macOS também suporta a chave booleana legada automaticSampleSubmission. Se um perfil contém ambas as chaves, automaticSampleSubmissionConsent tem prioridade.

Configurar atualizações automáticas de inteligência de segurança

Especifique automaticamente se instalar atualizações de inteligência de segurança.

Seção Valor
Chave automaticDefinitionUpdateEnabled
Tipo de dados booleano
Valores possíveis true (padrão)

false

Prazo para vencimento das atualizações de inteligência de segurança (em dias)

Especifique o número de dias após os quais as últimas atualizações de inteligência de segurança instaladas são consideradas desatualizadas.

Seção Valor
Chave definitionUpdateDue
Tipo de dados Número inteiro
Valores possíveis 7 (padrão). Use um inteiro de 1 até 30.

Intervalo de atualização de inteligência de segurança (em segundos)

Especifique com que frequência o Defender for Endpoint verifica atualizações de inteligência de segurança, em segundos.

Seção Valor
Chave definitionUpdatesInterval
Tipo de dados Número inteiro
Valores possíveis 28800 (padrão, 8 horas). Use um número inteiro de 60 (1 minuto) até 86400 (24 horas).
Comentários Definir o valor muito baixo pode levar a verificações repetidas ou desnecessárias de atualização de inteligência de segurança.

Proxy para a comunicação do Defender for Endpoint

Configure um proxy para a comunicação com a nuvem do Defender for Endpoint. Se você não configurar essa configuração, o Defender for Endpoint usa o proxy de sistema.

Seção Valor
Chave proxy
Tipo de dados Cadeia de caracteres
Comentários Use o formato http://proxy.server:port ou https://proxy.server:port.

Importante

Uma configuração incorreta do proxy pode prejudicar a funcionalidade do Defender para Endpoint. Depois de aplicar as configurações do proxy, execute mdatp connectivity test no dispositivo para testar a conectividade.

Preferências de interface do usuário

Gerencie as preferências da interface do usuário do Microsoft Defender para Ponto de Extremidade no macOS.

Seção Valor
Domínio com.microsoft.wdav
Chave userInterface
Tipo de dados Dicionário (preferência aninhada)
Comentários O conteúdo do dicionário inclui configurações para a visibilidade do ícone do menu de status, a opção de feedback e o controle de login da versão para consumidor.

Configurar o ícone do menu de status

Especifique se deseja mostrar ou ocultar o ícone do menu de status no canto superior direito da tela.

Seção Valor
Domínio com.microsoft.wdav
Chave hideStatusMenuIcon
Tipo de dados booleano
Valores possíveis false (padrão)

true

Configurar a opção de feedback

Especifique se os usuários podem enviar comentários à Microsoft selecionando Ajuda>Enviar comentários.

Seção Valor
Domínio com.microsoft.wdav
Chave userInitiatedFeedback
Tipo de dados Cadeia de caracteres
Valores possíveis enabled (padrão)

disabled
Comentários Disponível no Microsoft Defender para Ponto de Extremidade versão 101.19.61 ou posterior.

Controlar o acesso à versão para consumidor do Microsoft Defender

Especifique se os usuários podem entrar na versão de consumidor do Microsoft Defender.

Seção Valor
Domínio com.microsoft.wdav
Chave consumerExperience
Tipo de dados Cadeia de caracteres
Valores possíveis enabled (padrão)

disabled
Comentários Disponível no Microsoft Defender para Ponto de Extremidade versão 101.60.18 ou posterior.

Detecção de ponto de extremidade e preferências de resposta

Gerencia as preferências para o componente de detecção e resposta de ponto de extremidade (EDR) do Microsoft Defender para Ponto de Extremidade no macOS.

Seção Valor
Domínio com.microsoft.wdav
Chave edr
Tipo de dados Dicionário (preferência aninhada)
Comentários O conteúdo do dicionário inclui configurações para marcas de dispositivo e identificadores de grupo.

Etiquetas de dispositivos

Especifique um nome e valor da etiqueta. A GROUP tag adiciona o valor especificado à página do dispositivo no portal do Microsoft Defender, onde você pode usá-la para filtrar e agrupar dispositivos.

Seção Valor
Domínio com.microsoft.wdav
Chave tags
Tipo de dados Variedade de dicionários
Comentários Cada entrada na matriz contém um key (tipo de marca, como GROUP) e um value (a cadeia de caracteres de marca atribuída ao dispositivo).
Tipo de etiqueta

Especifique o tipo de etiqueta.

Seção Valor
Domínio com.microsoft.wdav
Chave key
Tipo de dados Cadeia de caracteres
Valores possíveis GROUP
Valor da tag

Especifique o valor da etiqueta.

Seção Valor
Domínio com.microsoft.wdav
Chave value
Tipo de dados Cadeia de caracteres
Valores possíveis qualquer sequência de caracteres

Importante

  • Defina apenas um valor para cada tipo de etiqueta.
  • Não repita um tipo de tag no mesmo perfil de configuração.

Identificador de grupo

Especifique o identificador de grupo EDR.

Seção Valor
Domínio com.microsoft.wdav
Chave groupIds
Tipo de dados Cadeia de caracteres
Comentários O identificador de grupo atribuído ao dispositivo.

Proteção contra adulterações

Gerencie as preferências do componente de proteção contra violações do Microsoft Defender para Ponto de Extremidade no macOS.

Seção Valor
Domínio com.microsoft.wdav
Chave tamperProtection
Tipo de dados Dicionário (preferência aninhada)
Comentários O conteúdo do dicionário inclui configurações para nível de imposição e exclusões.

Nível de imposição

Especifique o nível de aplicação da proteção contra violação.

Seção Valor
Domínio com.microsoft.wdav
Chave enforcementLevel
Tipo de dados Cadeia de caracteres
Valores possíveis disabled

audit

block (predefinição)
  • disabled: Desligue a proteção contra violação. Defender para Endpoint não bloqueia nem relata tentativas de adulteração.
  • audit: relata tentativas de adulteração à nuvem sem bloqueá-las.
  • block: Bloqueie e reporte tentativas de adulteração para a nuvem.

Exclusões

Defina processos que possam modificar os ativos do Microsoft Defender sem que a atividade seja considerada adulteração. Especifique path, teamId, signingId, ou uma combinação desses valores. Você também pode especificar args para identificar o processo permitido com mais precisão.

Seção Valor
Domínio com.microsoft.wdav
Chave exclusions
Tipo de dados Variedade de dicionários
Comentários Cada dicionário pode conter um caminho, ID de equipe, ID de assinatura e argumentos de processo.
Caminho

Especifique o caminho exato do executável do processo.

Seção Valor
Domínio com.microsoft.wdav
Chave path
Tipo de dados Cadeia de caracteres
Comentários Para um script shell, especifique o caminho exato até o binário do interpretador, como /bin/zsh. Não há suporte para caractere curinga.
ID da equipe

Especifique o ID de equipe Apple do fornecedor.

Seção Valor
Domínio com.microsoft.wdav
Chave teamId
Tipo de dados Cadeia de caracteres
Comentários Por exemplo, o ID da equipe Microsoft é UBF8T346G9.
ID de assinatura

Especifique o ID de assinatura Apple do pacote.

Seção Valor
Domínio com.microsoft.wdav
Chave signingId
Tipo de dados Cadeia de caracteres
Comentários Por exemplo, o ID de assinatura do interpretador Ruby é com.apple.ruby.
Argumentos do processo

Especifique argumentos que, em combinação com os outros valores, identifiquem o processo.

Seção Valor
Domínio com.microsoft.wdav
Chave args
Tipo de dados Matriz de cadeias de caracteres
Comentários Os argumentos do processo devem corresponder exatamente aos argumentos especificados e diferenciam maiúsculas de minúsculas.

O perfil de configuração recomendado fornece uma base das configurações de proteção comumente usadas. Tanto a lista de propriedades do Jamf Pro quanto o perfil XML do Intune nas seções seguintes aplicam essas configurações.

Este perfil de configuração (ou, para o Jamf Pro, uma lista de propriedades carregada em configurações personalizadas) aplica as seguintes configurações:

  • Ative a proteção em tempo real.
  • Especifique como os seguintes tipos de ameaças são tratados:
    • Bloqueie aplicações potencialmente indesejadas.
    • Auditar arquivos compactados, que são arquivos com alta taxa de compressão, nos logs do Defender para Ponto de Extremidade.
  • Habilite as atualizações automáticas de inteligência de segurança.
  • Habilite a proteção entregue na nuvem.
  • Ative o envio automático de amostras.

Use a seguinte lista de propriedades no Jamf Pro para o perfil de configuração recomendado:

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
    <key>antivirusEngine</key>
    <dict>
        <key>enforcementLevel</key>
        <string>real_time</string>
        <key>threatTypeSettings</key>
        <array>
            <dict>
                <key>key</key>
                <string>potentially_unwanted_application</string>
                <key>value</key>
                <string>block</string>
            </dict>
            <dict>
                <key>key</key>
                <string>archive_bomb</string>
                <key>value</key>
                <string>audit</string>
            </dict>
        </array>
    </dict>
    <key>cloudService</key>
    <dict>
        <key>enabled</key>
        <true/>
        <key>automaticSampleSubmission</key>
        <true/>
        <key>automaticDefinitionUpdateEnabled</key>
        <true/>
    </dict>
    <key>tamperProtection</key>
    <dict>
        <key>enforcementLevel</key>
        <string>block</string>
    </dict>
</dict>
</plist>

Use o seguinte XML para o perfil recomendado do Intune:

<?xml version="1.0" encoding="utf-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1">
    <dict>
        <key>PayloadUUID</key>
        <string>C4E6A782-0C8D-44AB-A025-EB893987A295</string>
        <key>PayloadType</key>
        <string>Configuration</string>
        <key>PayloadOrganization</key>
        <string>Microsoft</string>
        <key>PayloadIdentifier</key>
        <string>C4E6A782-0C8D-44AB-A025-EB893987A295</string>
        <key>PayloadDisplayName</key>
        <string>Microsoft Defender for Endpoint settings</string>
        <key>PayloadDescription</key>
        <string>Microsoft Defender for Endpoint configuration settings</string>
        <key>PayloadVersion</key>
        <integer>1</integer>
        <key>PayloadEnabled</key>
        <true/>
        <key>PayloadRemovalDisallowed</key>
        <true/>
        <key>PayloadScope</key>
        <string>System</string>
        <key>PayloadContent</key>
        <array>
            <dict>
                <key>PayloadUUID</key>
                <string>99DBC2BC-3B3A-46A2-A413-C8F9BB9A7295</string>
                <key>PayloadType</key>
                <string>com.microsoft.wdav</string>
                <key>PayloadOrganization</key>
                <string>Microsoft</string>
                <key>PayloadIdentifier</key>
                <string>99DBC2BC-3B3A-46A2-A413-C8F9BB9A7295</string>
                <key>PayloadDisplayName</key>
                <string>Microsoft Defender for Endpoint configuration settings</string>
                <key>PayloadDescription</key>
                <string/>
                <key>PayloadVersion</key>
                <integer>1</integer>
                <key>PayloadEnabled</key>
                <true/>
                <key>antivirusEngine</key>
                <dict>
                    <key>enforcementLevel</key>
                    <string>real_time</string>
                    <key>threatTypeSettings</key>
                    <array>
                        <dict>
                            <key>key</key>
                            <string>potentially_unwanted_application</string>
                            <key>value</key>
                            <string>block</string>
                        </dict>
                        <dict>
                            <key>key</key>
                            <string>archive_bomb</string>
                            <key>value</key>
                            <string>audit</string>
                        </dict>
                    </array>
                </dict>
                <key>cloudService</key>
                <dict>
                    <key>enabled</key>
                    <true/>
                    <key>automaticSampleSubmission</key>
                    <true/>
                    <key>automaticDefinitionUpdateEnabled</key>
                    <true/>
                    <key>definitionUpdateDue</key>
                    <integer>7</integer>
                </dict>
                <key>tamperProtection</key>
                <dict>
                    <key>enforcementLevel</key>
                    <string>block</string>
                </dict>
            </dict>
        </array>
    </dict>
</plist>

Exemplo de perfil de configuração completa

Os modelos a seguir do Jamf Pro e Intune demonstram um conjunto ampliado de preferências do Microsoft Defender para Ponto de Extremidade. Use-os como exemplos para cenários avançados e inclua apenas as configurações exigidas pela sua organização.

Cuidado

Os templates contêm valores de exemplo para exclusões, ameaças permitidas, tags, identificadores de grupo e exclusões de proteção contra adulteração. Revise e substitua ou remova esses valores antes da implantação. Em particular, a allowedThreats entrada permite que o arquivo de teste EICAR seja executado.

Lista de propriedades para o perfil completo de configuração do Jamf Pro

A lista de propriedades a seguir mostra um perfil de configuração expandido do Defender for Endpoint para o Jamf Pro, incluindo motor antivírus, serviço em nuvem, EDR, proteção contra adulteração e preferências de interface do usuário:

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
    <key>antivirusEngine</key>
    <dict>
        <key>enforcementLevel</key>
        <string>real_time</string>
        <key>scanAfterDefinitionUpdate</key>
        <true/>
        <key>scanArchives</key>
        <true/>
        <key>maximumOnDemandScanThreads</key>
        <integer>2</integer>
        <key>exclusions</key>
        <array>
            <dict>
                <key>$type</key>
                <string>excludedPath</string>
                <key>isDirectory</key>
                <false/>
                <key>path</key>
                <string>/var/log/system.log</string>
            </dict>
            <dict>
                <key>$type</key>
                <string>excludedPath</string>
                <key>isDirectory</key>
                <true/>
                <key>path</key>
                <string>/home</string>
            </dict>
            <dict>
                <key>$type</key>
                <string>excludedPath</string>
                <key>isDirectory</key>
                <true/>
                <key>path</key>
                <string>/Users/*/git</string>
            </dict>
            <dict>
                <key>$type</key>
                <string>excludedFileExtension</string>
                <key>extension</key>
                <string>pdf</string>
            </dict>
            <dict>
                <key>$type</key>
                <string>excludedFileName</string>
                <key>name</key>
                <string>cat</string>
            </dict>
        </array>
        <key>exclusionsMergePolicy</key>
        <string>merge</string>
        <key>allowedThreats</key>
        <array>
            <string>EICAR-Test-File (not a virus)</string>
        </array>
        <key>disallowedThreatActions</key>
        <array>
            <string>allow</string>
            <string>restore</string>
        </array>
        <key>threatTypeSettings</key>
        <array>
            <dict>
                <key>key</key>
                <string>potentially_unwanted_application</string>
                <key>value</key>
                <string>block</string>
            </dict>
            <dict>
                <key>key</key>
                <string>archive_bomb</string>
                <key>value</key>
                <string>audit</string>
            </dict>
        </array>
        <key>threatTypeSettingsMergePolicy</key>
        <string>merge</string>
    </dict>
    <key>cloudService</key>
    <dict>
        <key>enabled</key>
        <true/>
        <key>diagnosticLevel</key>
        <string>optional</string>
        <key>automaticSampleSubmission</key>
        <true/>
        <key>automaticDefinitionUpdateEnabled</key>
        <true/>
        <key>cloudBlockLevel</key>
        <string>normal</string>
        <key>definitionUpdateDue</key>
        <integer>7</integer>
    </dict>
    <key>edr</key>
    <dict>
        <key>tags</key>
        <array>
            <dict>
                <key>key</key>
                <string>GROUP</string>
                <key>value</key>
                <string>ExampleTag</string>
            </dict>
        </array>
    </dict>
    <key>tamperProtection</key>
    <dict>
        <key>enforcementLevel</key>
        <string>block</string>
        <key>exclusions</key>
        <array>
        <dict>
            <key>path</key>
            <string>/bin/zsh</string>
            <key>teamId</key>
            <string/>
            <key>signingId</key>
            <string>com.apple.zsh</string>
            <key>args</key>
            <array>
            <string>/usr/local/bin/test.sh</string>
            </array>
        </dict>
        <dict>
            <key>path</key>
            <string>/usr/local/jamf/bin/jamf</string>
            <key>teamId</key>
            <string>483DWKW443</string>
            <key>signingId</key>
            <string>com.jamfsoftware.jamf</string>
        </dict>
        </array>
    </dict>
    <key>userInterface</key>
    <dict>
        <key>hideStatusMenuIcon</key>
        <false/>
        <key>userInitiatedFeedback</key>
        <string>enabled</string>
    </dict>
</dict>
</plist>

Perfil completo do Intune

A carga de configuração móvel a seguir reúne todas as configurações disponíveis do Defender para Endpoint no macOS em um perfil do Intune pronto para implantação. Ele inclui o mecanismo antivírus, o serviço de nuvem, o EDR, a proteção contra adulterações e as preferências de interface do usuário:

<?xml version="1.0" encoding="utf-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1">
    <dict>
        <key>PayloadUUID</key>
        <string>C4E6A782-0C8D-44AB-A025-EB893987A295</string>
        <key>PayloadType</key>
        <string>Configuration</string>
        <key>PayloadOrganization</key>
        <string>Microsoft</string>
        <key>PayloadIdentifier</key>
        <string>C4E6A782-0C8D-44AB-A025-EB893987A295</string>
        <key>PayloadDisplayName</key>
        <string>Microsoft Defender for Endpoint settings</string>
        <key>PayloadDescription</key>
        <string>Microsoft Defender for Endpoint configuration settings</string>
        <key>PayloadVersion</key>
        <integer>1</integer>
        <key>PayloadEnabled</key>
        <true/>
        <key>PayloadRemovalDisallowed</key>
        <true/>
        <key>PayloadScope</key>
        <string>System</string>
        <key>PayloadContent</key>
        <array>
            <dict>
                <key>PayloadUUID</key>
                <string>99DBC2BC-3B3A-46A2-A413-C8F9BB9A7295</string>
                <key>PayloadType</key>
                <string>com.microsoft.wdav</string>
                <key>PayloadOrganization</key>
                <string>Microsoft</string>
                <key>PayloadIdentifier</key>
                <string>99DBC2BC-3B3A-46A2-A413-C8F9BB9A7295</string>
                <key>PayloadDisplayName</key>
                <string>Microsoft Defender for Endpoint configuration settings</string>
                <key>PayloadDescription</key>
                <string/>
                <key>PayloadVersion</key>
                <integer>1</integer>
                <key>PayloadEnabled</key>
                <true/>
                <key>antivirusEngine</key>
                <dict>
                    <key>enforcementLevel</key>
                    <string>real_time</string>
                    <key>behaviorMonitoring</key>
                    <string>enabled</string>
                    <key>scanAfterDefinitionUpdate</key>
                    <true/>
                    <key>scanArchives</key>
                    <true/>
                    <key>maximumOnDemandScanThreads</key>
                    <integer>1</integer>
                    <key>exclusions</key>
                    <array>
                        <dict>
                            <key>$type</key>
                            <string>excludedPath</string>
                            <key>isDirectory</key>
                            <false/>
                            <key>path</key>
                            <string>/var/log/system.log</string>
                        </dict>
                        <dict>
                            <key>$type</key>
                            <string>excludedPath</string>
                            <key>isDirectory</key>
                            <true/>
                            <key>path</key>
                            <string>/home</string>
                        </dict>
                        <dict>
                            <key>$type</key>
                            <string>excludedPath</string>
                            <key>isDirectory</key>
                            <true/>
                            <key>path</key>
                            <string>/Users/*/git</string>
                        </dict>
                        <dict>
                            <key>$type</key>
                            <string>excludedFileExtension</string>
                            <key>extension</key>
                            <string>pdf</string>
                        </dict>
                        <dict>
                            <key>$type</key>
                            <string>excludedFileName</string>
                            <key>name</key>
                            <string>cat</string>
                        </dict>
                    </array>
                    <key>exclusionsMergePolicy</key>
                    <string>merge</string>
                    <key>allowedThreats</key>
                    <array>
                        <string>EICAR-Test-File (not a virus)</string>
                    </array>
                    <key>disallowedThreatActions</key>
                    <array>
                        <string>allow</string>
                        <string>restore</string>
                    </array>
                    <key>threatTypeSettings</key>
                    <array>
                        <dict>
                            <key>key</key>
                            <string>potentially_unwanted_application</string>
                            <key>value</key>
                            <string>block</string>
                        </dict>
                        <dict>
                            <key>key</key>
                            <string>archive_bomb</string>
                            <key>value</key>
                            <string>audit</string>
                        </dict>
                    </array>
                    <key>threatTypeSettingsMergePolicy</key>
                    <string>merge</string>
                </dict>
                <key>cloudService</key>
                <dict>
                    <key>enabled</key>
                    <true/>
                    <key>diagnosticLevel</key>
                    <string>optional</string>
                    <key>automaticSampleSubmission</key>
                    <true/>
                    <key>automaticDefinitionUpdateEnabled</key>
                    <true/>
                    <key>cloudBlockLevel</key>
                    <string>normal</string>
                    <key>definitionUpdateDue</key>
                    <integer>7</integer>
                </dict>
                <key>edr</key>
                <dict>
                    <key>tags</key>
                    <array>
                        <dict>
                            <key>key</key>
                            <string>GROUP</string>
                            <key>value</key>
                            <string>ExampleTag</string>
                        </dict>
                    </array>
                </dict>
                <key>tamperProtection</key>
                <dict>
                    <key>enforcementLevel</key>
                    <string>block</string>
                    <key>exclusions</key>
                    <array>
                    <dict>
                        <key>path</key>
                        <string>/bin/zsh</string>
                        <key>teamId</key>
                        <string/>
                        <key>signingId</key>
                        <string>com.apple.zsh</string>
                        <key>args</key>
                        <array>
                        <string>/usr/local/bin/test.sh</string>
                        </array>
                    </dict>
                    <dict>
                        <key>path</key>
                        <string>/Library/Intune/Microsoft Intune Agent.app/Contents/MacOS/IntuneMdmDaemon</string>
                        <key>teamId</key>
                        <string>UBF8T346G9</string>
                        <key>signingId</key>
                        <string>IntuneMdmDaemon</string>
                    </dict>
                    </array>
                </dict>
                <key>userInterface</key>
                <dict>
                    <key>hideStatusMenuIcon</key>
                    <false/>
                    <key>userInitiatedFeedback</key>
                    <string>enabled</string>
                </dict>
            </dict>
        </array>
    </dict>
</plist>

Validação da lista de propriedades

A lista de propriedades deve ser um arquivo válido .plist . Antes de enviar ou implantar o perfil, valide sua sintaxe executando o seguinte comando:

plutil -lint com.microsoft.wdav.plist

Se a lista de propriedades for válida, o comando retorna o código de saída 0 e uma saída semelhante à seguinte:

com.microsoft.wdav.plist: OK

Se a lista de propriedades não for válida, o comando retorna o código 1 de saída e exibe um erro que descreve o problema.

Implantação do perfil de configuração

Depois de criar e validar o perfil de configuração, implante-o usando sua ferramenta de gerenciamento. Use com.microsoft.wdav como domínio de preferência ou nome de perfil de configuração personalizado. Defender for Endpoint não reconhece as preferências se você usar outro valor.

Implantação do Jamf Pro

Jamf Pro é um produto separado de terceiros que não faz parte do Defender for Endpoint e não está incluído nas assinaturas do Defender for Endpoint. Para usar o Jamf Pro, sua organização precisa de uma assinatura separada do Jamf Pro. Para informações sobre produtos e assinaturas, veja Jamf Pro. Se sua organização não usa o Jamf Pro, utilize outro método de configuração neste artigo, se disponível.

Para implantar preferências usando o esquema atual do Jamf Pro ou o método legado da lista de propriedades, veja Configurar configurações do Defender no Jamf Pro. Para mais informações da Jamf, consulte Implantação de perfis personalizados de configuração de computadores usando o payload de Aplicativo e Ajustes Personalizados.

Implantação do Intune

O Microsoft Intune é a ferramenta recomendada para configurar e distribuir os recursos do Defender para Ponto de Extremidade aos dispositivos. No entanto, o Intune é um produto separado que não faz parte do Defender para Endpoint e não está incluído em todas as assinaturas. Para usar o Intune, você precisa de uma assinatura que a inclua ou pode comprá-la separadamente como uma assinatura autônoma ou complemento. Se você não tiver o Intune, poderá usar qualquer um dos outros métodos neste artigo. Para obter mais informações, confira Licenciamento do Microsoft Intune.

Para criar e implantar o perfil de configuração personalizado no Intune, veja Definir políticas no Microsoft Intune.

Outras soluções MDM

Para implantar o perfil de configuração usando outra solução de MDM, consulte Implantar configurações do Defender for Endpoint.

Conteúdo relacionado

Os seguintes recursos fornecem mais orientações sobre perfis de configuração do macOS e as configurações de preferência do Defender for Endpoint:

  • Última atualização em