Observação
O acesso a essa página exige autorização. Você pode tentar entrar ou alterar diretórios.
O acesso a essa página exige autorização. Você pode tentar alterar os diretórios.
Use a mdatp ferramenta de linha de comando para configurar o Microsoft Defender para Ponto de Extremidade, executar varreduras, gerenciar ameaças detectadas e verificar o estado do produto em dispositivos macOS. Você também pode coletar informações de diagnóstico, ativar o autocompletamento de comandos, gerenciar arquivos em quarentena e desinstalar o Defender for Endpoint.
Para requisitos de produto e métodos de implantação, veja Pré-requisitos para Microsoft Defender para Ponto de Extremidade no macOS e Microsoft Defender para Ponto de Extremidade no macOS.
Recolher informações de diagnóstico
Se você puder reproduzir um problema, aumente o nível de log, execute o sistema por algum tempo e restaure o nível de log para o padrão.
Defina o nível de registro para
debug:mdatp log level set --level debugLog level configured successfullyReproduza o problema.
Crie um
.ziparquivo que contenha os logs de diagnóstico do Defender for Endpoint. O comando exibe o caminho de arquivo após o sucesso:Dica
Por padrão, os logs de diagnóstico são salvos no
/Library/Application Support/Microsoft/Defender/wdavdiag/. Para usar outro diretório, adicione--path [directory]ao comando e substitua[directory]pelo destino.sudo mdatp diagnostic createDiagnostic file created: "/Library/Application Support/Microsoft/Defender/wdavdiag/932e68a8-8f2e-4ad0-a7f2-65eb97c0de01.zip"Restaure o nível de registro ao valor padrão,
info:mdatp log level set --level infoLog level configured successfully
Revise os logs de instalação
Se a instalação falhar, o instalador pode relatar apenas uma falha geral. Informações detalhadas estão disponíveis em /Library/Logs/Microsoft/mdatp/install.log. Inclua este arquivo ao abrir um caso de suporte da Microsoft.
Para mais orientações sobre solução de problemas, veja Problemas de instalação do Microsoft Defender para Ponto de Extremidade no macOS.
Configurar a partir da linha de comando
Configure o formato de saída
A ferramenta de linha de comando suporta saída de tabela e JSON. Use uma das seguintes opções globais com um comando:
--output json--output table
Comandos com suporte
A tabela a seguir lista comandos para cenários comuns. Para ver a lista completa de comandos suportados pela versão do produto instalada, execute mdatp help no Terminal.
| Grupo | Cenário | Comando |
|---|---|---|
| Configuração | Ative ou desative o modo passivo | mdatp config passive-mode --value [enabled/disabled] |
| Configuração | Ative ou desative a proteção em tempo real | mdatp config real-time-protection --value [enabled/disabled] |
| Configuração | Ative ou desative o monitoramento de comportamento | mdatp config behavior-monitoring --value [enabled/disabled] |
| Configuração | Ative ou desative a proteção de nuvens | mdatp config cloud --value [enabled/disabled] |
| Configuração | Ative ou desative o diagnóstico da nuvem | mdatp config cloud-diagnostic --value [enabled/disabled] |
| Configuração | Ative ou desative o envio automático de amostras | mdatp config cloud-automatic-sample-submission --value [enabled/disabled] |
| Configuração | Bloquee, audite ou desative a proteção de aplicações potencialmente indesejadas | mdatp threat policy set --type potentially_unwanted_application --action [block\|audit\|off] |
| Configuração | Adicionar ou remover uma exclusão antivírus para um processo | mdatp exclusion process [add\|remove] --path [path-to-process] |
| Configuração | Adicionar ou remover uma exclusão antivírus para um arquivo | mdatp exclusion file [add/remove] --path [path-to-file] |
| Configuração | Adicionar ou remover uma exclusão antivírus para um diretório | mdatp exclusion folder [add/remove] --path [path-to-directory] |
| Configuração | Adicionar ou remover uma exclusão antivírus para uma extensão de arquivo | mdatp exclusion extension [add/remove] --name [extension] |
| Configuração | Listar todas as exclusões de antivírus | mdatp exclusion list |
| Configuração | Configurar o grau de paralelismo para varreduras sob demanda | mdatp config maximum-on-demand-scan-threads --value [numerical-value-between-1-and-64] |
| Configuração | Ative ou desative as varreduras após atualizações de inteligência de segurança | mdatp config scan-after-definition-update --value [enabled/disabled] |
| Configuração | Ative ou desative a digitalização de arquivos para escaneamentos sob demanda | mdatp config scan-archives --value [enabled/disabled] |
| Configuração | Ativar ou desativar o cálculo de hash de arquivos | mdatp config enable-file-hash-computation --value [enabled/disabled] |
| Proteção | Verificar um caminho | mdatp scan custom --path [path] [--ignore-exclusions] |
| Proteção | Executar uma análise rápida | mdatp scan quick |
| Proteção | Executar uma análise completa | mdatp scan full |
| Proteção | Cancelar uma verificação por solicitação em andamento | mdatp scan cancel |
| Proteção | Solicitar uma atualização de inteligência de segurança | mdatp definitions update |
| Configuração | Adicionar um nome de ameaça à lista de permissões | mdatp threat allowed add --name [threat-name] |
| Configuração | Remover um nome de ameaça da lista de permissões | mdatp threat allowed remove --name [threat-name] |
| Configuração | Listar todos os nomes de ameaças permitidos | mdatp threat allowed list |
| Histórico de proteção | Imprimir o histórico de proteção completo | mdatp threat list |
| Histórico de proteção | Obter detalhes da ameaça | mdatp threat get --id [threat-id] |
| Gerenciamento de quarentena | Listar todos os arquivos em quarentena | mdatp threat quarantine list |
| Gerenciamento de quarentena | Remover todos os arquivos da quarentena | mdatp threat quarantine remove-all |
| Gerenciamento de quarentena | Adicionar um arquivo detectado como uma ameaça à quarentena | mdatp threat quarantine add --id [threat-id] |
| Gerenciamento de quarentena | Remover da quarentena um arquivo detectado como uma ameaça | mdatp threat quarantine remove --id [threat-id] |
| Gerenciamento de quarentena | Restaurar um arquivo da quarentena. Disponível no Defender para versões Endpoint anteriores a 101.23092.0012. |
mdatp threat quarantine restore --id [threat-id] --path [destination-folder] |
| Gerenciamento de quarentena | Restaure um arquivo da quarentena usando o ID da ameaça. Disponível no Defender para Endpoint versão 101.23092.0012 ou posterior. |
mdatp threat quarantine restore threat-id --id [threat-id] --destination-path [destination-folder] |
| Gerenciamento de quarentena | Restaure um arquivo da quarentena usando seu caminho original. Disponível no Defender para Endpoint versão 101.23092.0012 ou posterior. |
mdatp threat quarantine restore threat-path --path [threat-original-path] --destination-path [destination-folder] |
| Configuração de proteção de rede | Configure o nível de aplicação da proteção da rede | mdatp config network-protection enforcement-level --value [block\|audit\|disabled] |
| Gestão de proteção de rede | Verifique se a proteção de rede começou com sucesso | mdatp health --field network_protection_status |
| Gerenciamento de controle de dispositivo | Veja se o Controle de Dispositivo está ativado e seu nível padrão de aplicação | mdatp device-control policy preferences list |
| Gerenciamento de controle de dispositivo | Veja as regras ativas de Controle de Dispositivo | mdatp device-control policy rules list |
| Gerenciamento de controle de dispositivo | Veja os grupos referenciados pela política de Controle de Dispositivos | mdatp device-control policy groups list |
| Configuração | Desative ou desative a prevenção de perda de dados | mdatp config data_loss_prevention --value [enabled/disabled] |
| Diagnóstico | Alterar o nível de log | mdatp log level set --level [error\|warning\|info\|debug] |
| Diagnóstico | Gerar logs de diagnóstico | mdatp diagnostic create --path [directory] |
| Saúde | Verifique a integridade do produto | mdatp health |
| Saúde | Verifique um atributo específico do produto, como healthy, licensed, ou engine_version |
mdatp health --field [attribute] |
| EDR | Defina uma tag de dispositivo. Há suporte apenas para GROUP. |
mdatp edr tag set --name GROUP --value [name] |
| EDR | Remover uma tag de grupo do dispositivo | mdatp edr tag remove --tag-name [name] |
| EDR | Adicionar um ID de grupo | mdatp edr group-ids --group-id [group] |
Habilitar a autocompletação na linha de comando
Para ativar a autocompletação no Bash, adicione o script de conclusão do Defender for Endpoint ao seu perfil do Bash e então reinicie a sessão do Terminal:
echo "source /Applications/Microsoft\ Defender.app/Contents/Resources/Tools/mdatp_completion.bash" >> ~/.bash_profile
Para habilitar a autocompletação no shell Z (zsh), siga estes passos:
Verifique se o preenchimento automático está habilitado em seu dispositivo:
cat ~/.zshrc | grep autoloadSe o comando não produzir nenhuma saída, ative a autocompletação no seu perfil zsh:
echo "autoload -Uz compinit && compinit" >> ~/.zshrcCrie o diretório de conclusão e vincule o script de conclusão do Defender for Endpoint:
sudo mkdir -p /usr/local/share/zsh/site-functions sudo ln -svf "/Applications/Microsoft Defender.app/Contents/Resources/Tools/mdatp_completion.zsh" /usr/local/share/zsh/site-functions/_mdatp
Gerencie o diretório de quarentena do cliente
O Defender for Endpoint armazena arquivos em quarentena em /Library/Application Support/Microsoft/Defender/quarantine/. Os nomes dos arquivos usam o ID de rastreamento de ameaças. Para ver os IDs de rastreamento atuais, execute mdatp threat list. Use os mdatp threat quarantine comandos para gerenciar arquivos em quarentena em vez de modificar os arquivos diretamente.
Desinstalar o Defender para o Endpoint
Antes de desinstalar o Defender for Endpoint, desconecte o dispositivo e remova ou atualize as políticas que o gerenciam. Para obter informações sobre as marcações opcionais de desativação de dispositivos, requisitos de proteção contra adulteração, pacote de desativação e limpeza da política de extensão do sistema, consulte Desativar dispositivos Mac.
Você pode desinstalar o app de forma interativa ou pela linha de comando. Se você gerencia dispositivos com o Jamf Pro, implante o perfil de offboarding antes de remover o aplicativo. A desinstalação gerenciada centralmente não está disponível atualmente no Microsoft Intune.
Desinstale de forma interativa
No Finder, abra Aplicativos, clique no controle no Microsoft Defender e então selecione Mover para a Lixeira.
Desinstalar usando a linha de comando
Corra sudo '/Library/Application Support/Microsoft/Defender/uninstall/uninstall' no Terminal.
Desativar com o Jamf Pro antes de desinstalar
Jamf Pro é um produto separado de terceiros que não faz parte do Defender for Endpoint e não está incluído nas assinaturas do Defender for Endpoint. Para usar o Jamf Pro, sua organização precisa de uma assinatura separada do Jamf Pro. Para informações sobre produtos e assinaturas, veja Jamf Pro. Se sua organização não usa o Jamf Pro, utilize outro método de configuração neste artigo, se disponível.
Para desconectar um dispositivo pelo Jamf Pro antes de remover o aplicativo, siga as instruções do Jamf para enviar um perfil de configuração. Faça upload do perfil de offboarding do Defender for Endpoint sem modificá-lo e defina o Domínio de Preferência para com.microsoft.wdav.atp.offboarding.
Observação
Se você tiver dificuldade para desinstalar o Defender for Endpoint e os relatórios contêm um item para a Extensão de Segurança do Microsoft Defender Endpoint, siga estes passos:
Reinstale o aplicativo Microsoft Defender.
Arraste Microsoft Defender.app para o Lixo.
Execute o seguinte comando no Terminal:
sudo '/Library/Application Support/Microsoft/Defender/uninstall/install_helper' execute --path '/Library/Application Support/Microsoft/Defender/uninstall/uninstall' --args --post-uninstall-hookReinicie o dispositivo.
Use o portal do Microsoft Defender
Use o portal Microsoft Defender para revisar detecções e tomar ações de resposta nos dispositivos. Para obter mais informações, consulte os seguintes recursos: