Agendar verificações usando o Microsoft Defender para Ponto de Extremidade no macOS

Varreduras antivírus agendadas ajudam a garantir que os dispositivos macOS sejam escaneados regularmente sem depender dos usuários para iniciar as varreduras. Administradores de segurança podem configurar varreduras rápidas horárias ou diárias e rápidas ou completas semanais, e usar múltiplos agendamentos no mesmo dispositivo. Use esta orientação para implantar cronogramas de varredura por meio de um perfil de gerenciamento de dispositivos móveis (MDM) ou configurá-los localmente com a mdatp ferramenta de linha de comando.

Pré-requisitos

• Revise os pré-requisitos compartilhados para o Defender for Endpoint no macOS.
• Instale a atualização da plataforma Defender for Endpoint versão 101.23122.0005 ou mais recente.

Entenda as opções de varredura agendada

Além de iniciar as varreduras sob demanda, agende as varreduras para serem executadas em intervalos regulares ou em horários específicos. Por exemplo, agende uma varredura rápida no início de cada dia de trabalho e uma varredura completa uma vez por semana.

Defender for Endpoint suporta agendamentos horários, diários e semanais. Os agendamentos por hora e por dia executam verificações rápidas. Os agendamentos semanais podem executar verificações rápidas ou completas. Você pode configurar os três tipos de agenda simultaneamente. Consulte o exemplo de verificação diária e semanal e o exemplo de verificação por hora, diariamente e semanal.

Agende varreduras com um perfil de configuração

Use os dicionários features e scheduledScan em um perfil de configuração do Defender for Endpoint para criar verificações agendadas.

Os exemplos do Microsoft Intune e Jamf Pro usam XML da lista de propriedades da Apple. Salve os perfis do Intune com a extensão .xml e as listas de propriedades do Jamf Pro com a extensão .plist. Para mais informações sobre o formato XML, consulte a referência do arquivo Apple Information Property List.

Use as seguintes configurações para definir os cronogramas de varredura:

As configurações diárias interval e timeOfDay criam agendamentos independentes de verificação rápida. Se você configurar ambas as configurações, mais de uma varredura rápida pode ser feita por dia.

Exemplo 1: Agende uma varredura rápida diária e uma varredura completa semanal

Os perfis a seguir demonstram uma varredura rápida diária e uma varredura completa semanal às quartas-feiras. Ambos os perfis ignoram exclusões e usam agendamento de baixa prioridade.

Use a tabela de configurações de varredura agendada para substituir os tempos de exemplo pelos valores exigidos pela sua organização.

Abra um editor de texto e use o perfil do Intune ou a lista de propriedades do Jamf Pro como guia.

Para Microsoft Intune

O exemplo a seguir define um perfil completo de configuração do Intune que permite uma varredura rápida diária e uma varredura completa semanal.

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
    <key>PayloadUUID</key>
    <string>C4E6A782-0C8D-44AB-A025-EB893987A295</string>
    <key>PayloadType</key>
    <string>Configuration</string>
    <key>PayloadOrganization</key>
    <string>Microsoft</string>
    <key>PayloadIdentifier</key>
    <string>C4E6A782-0C8D-44AB-A025-EB893987A295</string>
    <key>PayloadDisplayName</key>
    <string>Microsoft Defender for Endpoint settings</string>
    <key>PayloadDescription</key>
    <string>Microsoft Defender for Endpoint configuration settings</string>
    <key>PayloadVersion</key>
    <integer>1</integer>
    <key>PayloadEnabled</key>
    <true/>
    <key>PayloadRemovalDisallowed</key>
    <true/>
    <key>PayloadScope</key>
    <string>System</string>
    <key>PayloadContent</key>
    <array>
        <dict>
            <key>PayloadUUID</key>
            <string>99DBC2BC-3B3A-46A2-A413-C8F9BB9A7295</string>
            <key>PayloadType</key>
            <string>com.microsoft.wdav</string>
            <key>PayloadOrganization</key>
            <string>Microsoft</string>
            <key>PayloadIdentifier</key>
            <string>99DBC2BC-3B3A-46A2-A413-C8F9BB9A7295</string>
            <key>PayloadDisplayName</key>
            <string>Microsoft Defender for Endpoint configuration settings</string>
            <key>PayloadDescription</key>
            <string/>
            <key>PayloadVersion</key>
            <integer>1</integer>
            <key>PayloadEnabled</key>
            <true/>
            <key>features</key>
            <dict>
                <key>scheduledScan</key>
                <string>enabled</string>
            </dict>
            <key>scheduledScan</key>
            <dict>
                <key>ignoreExclusions</key>
                <true/>
                <key>lowPriorityScheduledScan</key>
                <true/>
                <key>dailyConfiguration</key>
                <dict>
                    <key>timeOfDay</key>
                    <integer>880</integer>
                </dict>
                <key>weeklyConfiguration</key>
                <dict>
                    <key>dayOfWeek</key>
                    <integer>4</integer>
                    <key>timeOfDay</key>
                    <integer>885</integer>
                    <key>scanType</key>
                    <string>full</string>
                </dict>
            </dict>
        </dict>
    </array>
</dict>
</plist>

Salve o arquivo como com.microsoft.wdav.xml.

Para o Jamf Pro e soluções de MDM compatíveis

A lista de propriedades a seguir configura uma varredura rápida diária e uma varredura completa semanal para o Jamf Pro e outras soluções MDM que aceitam listas de propriedades. Salve o conteúdo como com.microsoft.wdav.plist.

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
    <key>features</key>
    <dict>
        <key>scheduledScan</key>
        <string>enabled</string>
    </dict>
    <key>scheduledScan</key>
    <dict>
        <key>ignoreExclusions</key>
        <true/>
        <key>lowPriorityScheduledScan</key>
        <true/>
        <key>dailyConfiguration</key>
        <dict>
            <key>timeOfDay</key>
            <integer>885</integer>
        </dict>
        <key>weeklyConfiguration</key>
        <dict>
            <key>dayOfWeek</key>
            <integer>4</integer>
            <key>timeOfDay</key>
            <integer>880</integer>
            <key>scanType</key>
            <string>full</string>
        </dict>
    </dict>
</dict>
</plist>

Salve o arquivo como com.microsoft.wdav.plist.

Após implantar o perfil, verifique se a varredura agendada está configurada como uma preferência gerenciada executando o seguinte comando:

mdatp health --details scheduled_scan

Nos resultados, verifique se a verificação agendada relata managed.

Exemplo 2: Programe exames rápidos diários e intervalados e um escaneamento completo semanal

Os perfis a seguir demonstram uma varredura rápida baseada em intervalos, uma varredura rápida diária e uma varredura completa semanal na quarta-feira.

Abra um editor de texto e use o perfil do Intune ou a lista de propriedades do Jamf Pro como guia.

Para Microsoft Intune

O exemplo a seguir empacota as configurações de varredura agendada em um perfil completo de configuração do Intune.

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
     <key>PayloadUUID</key>
     <string>C4E6A782-0C8D-44AB-A025-EB893987A295</string>
     <key>PayloadType</key>
     <string>Configuration</string>
     <key>PayloadOrganization</key>
     <string>Microsoft</string>
     <key>PayloadIdentifier</key>
     <string>C4E6A782-0C8D-44AB-A025-EB893987A295</string>
     <key>PayloadDisplayName</key>
     <string>Microsoft Defender for Endpoint settings</string>
     <key>PayloadDescription</key>
     <string>Microsoft Defender for Endpoint configuration settings</string>
     <key>PayloadVersion</key>
     <integer>1</integer>
     <key>PayloadEnabled</key>
     <true/>
     <key>PayloadRemovalDisallowed</key>
     <true/>
     <key>PayloadScope</key>
     <string>System</string>
     <key>PayloadContent</key>
     <array>
       <dict>
           <key>PayloadUUID</key>
           <string>99DBC2BC-3B3A-46A2-A413-C8F9BB9A7295</string>
           <key>PayloadType</key>
           <string>com.microsoft.wdav</string>
           <key>PayloadOrganization</key>
           <string>Microsoft</string>
           <key>PayloadIdentifier</key>
           <string>99DBC2BC-3B3A-46A2-A413-C8F9BB9A7295</string>
           <key>PayloadDisplayName</key>
           <string>Microsoft Defender for Endpoint configuration settings</string>
           <key>PayloadDescription</key>
           <string/>
           <key>PayloadVersion</key>
           <integer>1</integer>
           <key>PayloadEnabled</key>
           <true/>
    <key>features</key>
    <dict>
        <key>scheduledScan</key>
        <string>enabled</string>
    </dict>
<key>scheduledScan</key>
<dict>
    <key>ignoreExclusions</key>
    <true/>
    <key>lowPriorityScheduledScan</key>
    <true/>
    <key>dailyConfiguration</key>
    <dict>
        <key>timeOfDay</key>
        <integer>885</integer>
        <key>interval</key>
        <integer>1</integer>
    </dict>
    <key>weeklyConfiguration</key>
    <dict>
        <key>dayOfWeek</key>
        <integer>4</integer>
        <key>timeOfDay</key>
        <integer>880</integer>
        <key>scanType</key>
        <string>full</string>
        </dict>
        </dict>
    </dict>
</array>
</dict>
</plist>

Salve o arquivo como com.microsoft.wdav.xml.

Para o Jamf Pro e soluções de MDM compatíveis

A seguinte lista de propriedades configura varreduras baseadas em intervalos, diárias e semanais para o Jamf Pro e outras soluções MDM que aceitam listas de propriedades. Salve o conteúdo como com.microsoft.wdav.plist.

<?xml version="1.0" encoding="UTF-8"?><!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
    <plist version="1.0">
    <dict>
        <key>features</key>
        <dict>
            <key>scheduledScan</key>
            <string>enabled</string>
        </dict>
    <key>scheduledScan</key>
    <dict>
        <key>ignoreExclusions</key>
        <true/>
        <key>lowPriorityScheduledScan</key>
        <true/>
        <key>dailyConfiguration</key>
        <dict>
            <key>timeOfDay</key>
            <integer>885</integer>
            <key>interval</key>
            <integer>1</integer>
        </dict>
        <key>weeklyConfiguration</key>
        <dict>
            <key>dayOfWeek</key>
            <integer>4</integer>
            <key>timeOfDay</key>
            <integer>880</integer>
            <key>scanType</key>
            <string>full</string>
            </dict>
            </dict>
        </dict>
    </plist>

Salve o arquivo como com.microsoft.wdav.plist.

Implantar o perfil de configuração

Implantar com Microsoft Intune

O Microsoft Intune é a ferramenta recomendada para configurar e distribuir os recursos do Defender para Ponto de Extremidade aos dispositivos. No entanto, o Intune é um produto separado que não faz parte do Defender para Endpoint e não está incluído em todas as assinaturas. Para usar o Intune, você precisa de uma assinatura que a inclua ou pode comprá-la separadamente como uma assinatura autônoma ou complemento. Se você não tiver o Intune, poderá usar qualquer um dos outros métodos neste artigo. Para obter mais informações, confira Licenciamento do Microsoft Intune.

Para criar e implantar o perfil de configuração personalizado no Intune, veja Definir políticas no Microsoft Intune. Use com.microsoft.wdav como nome do perfil de configuração, selecione o canal Dispositivo e faça o upload do .xml arquivo.

Implante com Jamf Pro

Jamf Pro é um produto separado de terceiros que não faz parte do Defender for Endpoint e não está incluído nas assinaturas do Defender for Endpoint. Para usar o Jamf Pro, sua organização precisa de uma assinatura separada do Jamf Pro. Para informações sobre produtos e assinaturas, veja Jamf Pro. Se sua organização não usa o Jamf Pro, utilize outro método de configuração neste artigo, se disponível.

Para o fluxo de trabalho mantido do Defender for Endpoint, veja Deploy Microsoft Defender para Ponto de Extremidade no macOS com Jamf Pro.

Siga as instruções do Jamf para implantar um perfil de configuração personalizado do computador. Use a lista de propriedades do Exemplo 1 ou do Exemplo 2, e defina o Domínio de Preferência para com.microsoft.wdav.

Para uma solução MDM que suporte payloads de lista de propriedades, siga as instruções do fornecedor e as orientações de implantação de perfil em Implantar o Microsoft Defender para Ponto de Extremidade no macOS com outra solução MDM.

Após o Jamf Pro implantar o perfil, verifique a configuração de varredura agendada executando o seguinte comando:

mdatp health --details scheduled_scan

Nos resultados, verifique se a varredura programada reporta managed.

Configurar varreduras agendadas com a CLI do mdatp

Use a ferramenta de linha de comando Microsoft Defender para Ponto de Extremidade (mdatp) para configurar varreduras agendadas localmente a partir do Terminal. A configuração na linha de comando é mais útil para testes ou dispositivos individuais. Use um perfil MDM para implantações gerenciadas.

Ative o recurso de varredura agendada:

sudo mdatp config scheduled-scan settings feature --value enabled

Configure varreduras rápidas baseadas em intervalos:

sudo mdatp config scheduled-scan quick-scan hourly-interval --value <arg>

Configure uma varredura rápida diária:

sudo mdatp config scheduled-scan quick-scan time-of-day --value <arg>

Configure uma verificação semanal:

sudo mdatp config scheduled-scan weekly-scan --day-of-week <arg> --time-of-day <arg> --scan-type <arg>

Você também pode configurar atualizações de inteligência de segurança e execuções de baixa prioridade:

• Para verificar atualizações de inteligência de segurança antes das varreduras agendadas:

  sudo mdatp config scheduled-scan settings check-for-definitions --value true
  

• Para usar threads de baixa prioridade para a verificação agendada:

  sudo mdatp config scheduled-scan settings low-priority --value true
  

Verifique se as varreduras agendadas foram executadas

Para listar verificações agendadas concluídas e seus resultados, execute mdatp scan list: