Use a proteção de rede do Microsoft Defender para Ponto de Extremidade no macOS

A proteção de rede no Microsoft Defender para Ponto de Extremidade ajuda a evitar que aplicativos e processos não relacionados ao navegador em dispositivos macOS se conectem a domínios perigosos. Ele estende a proteção web além do Microsoft Defender SmartScreen no Microsoft Edge para navegadores suportados e outros processos.

Use este artigo para revisar requisitos, escolher um nível de fiscalização, implantar proteção de rede e entender os cenários suportados de proteção web e Microsoft Defender para Aplicativos de Nuvem.

Pré-requisitos

Antes de configurar a proteção de rede, certifique-se de que seu ambiente atenda aos seguintes requisitos:

• Um Microsoft Defender para Ponto de Extremidade Plan 1, Microsoft Defender para Ponto de Extremidade Plan 2, período de teste ou licença Microsoft Defender para Empresas.
• Um dispositivo integrado que roda uma versão suportada para macOS e versão Defender for Endpoint 101.94.13 (janeiro de 2023) ou posterior.
• Um navegador suportado:
  • Um navegador que não seja da Microsoft, como Brave, Chrome, Firefox, Opera ou Safari.
  • Microsoft Edge para macOS.

Requisitos de configuração do navegador

Em processos que não sejam o Microsoft Edge, a proteção de rede determina o nome de domínio totalmente qualificado (FQDN) de cada conexão HTTPS, ao examinar o handshake do Transport Layer Security (TLS) que ocorre após o handshake TCP/IP. A conexão HTTPS deve usar TCP/IP em vez do User Datagram Protocol (UDP) ou Quick UDP Internet Connections (QUIC), e a mensagem ClientHello não deve ser criptografada. Para desabilitar o QUIC e o Cliente Hello Criptografado, veja os seguintes artigos:

• Google Chrome: QuicAllowed e EncryptedClientHelloEnabled.
• Mozilla Firefox: Desative EncryptedClientHello e network.http.http3.enable.

Planeje sua implantação

A proteção de rede para macOS está disponível para todos os dispositivos Defender for Endpoint integrados que atendam aos requisitos mínimos. A proteção de rede no macOS suporta as seguintes capacidades de segurança, investigação e controle de aplicações:

• Indicadores personalizados de comprometimento para domínios e endereços IP.
• Políticas de filtragem de conteúdo web que bloqueiam categorias de sites para grupos de dispositivos em navegadores suportados, incluindo Microsoft Edge para macOS.
• Busca avançada e a linha do tempo do dispositivo, que fornecem dados de evento de rede para investigações de segurança.
• O Microsoft Defender para Aplicativos de Nuvem controla que detectam o uso de aplicativos na nuvem, alertam os usuários sobre aplicativos monitorados e bloqueiam aplicativos não sancionados. Esses cenários têm mais exigências de licenciamento e de produtos.
• Uso de rede privada virtual corporativa (VPN). Atualmente, não são identificados conflitos de VPN. Se você enfrentar conflitos, entre em contato com o Suporte da Microsoft pelo Centro de administração do Microsoft 365.

Todas as políticas configuradas de proteção de rede e proteção contra ameaças web são aplicadas em dispositivos macOS onde a proteção de rede está em modo bloco. Para reduzir o risco de implantação:

• Crie um grupo de dispositivos com um pequeno conjunto de dispositivos para testar a proteção da rede.
• Avalie como proteção contra ameaças na web, indicadores personalizados, filtragem de conteúdo web e políticas de fiscalização do Defender para Aplicativos de Nuvem afetam dispositivos macOS no modo de bloqueio.
• Implante uma política de modo auditoria ou modo bloco no grupo de dispositivos e verifique se a política não interrompe os fluxos de trabalho.
• Implante gradualmente a proteção de rede para grupos maiores de dispositivos.

Configurar a proteção de rede

Instale a versão de produto mais recente através do Microsoft AutoUpdate. Para abrir o Microsoft AutoUpdate, execute o seguinte comando no Terminal:

open /Library/Application\ Support/Microsoft/MAU2.0/Microsoft\ AutoUpdate.app

A proteção de rede está desativada por predefinição. Você pode configurar um dos seguintes níveis de fiscalização:

• Auditoria: Avalie como a proteção de rede afeta as aplicações de linha de negócio e com que frequência os blocos ocorrem.
• Bloquear: Evitar conexões com sites maliciosos.
• Desativado: Desabilite todos os componentes de proteção de rede.

Implante a proteção de rede manualmente, com Jamf Pro, com Microsoft Intune ou com um .mobileconfig arquivo.

Configure a proteção de rede manualmente

Para configurar o nível de aplicação, execute o seguinte comando no Terminal:

mdatp config network-protection enforcement-level --value <disabled | audit | block>

Por exemplo, o seguinte comando configura a proteção de rede no modo bloco:

mdatp config network-protection enforcement-level --value block

Para confirmar que a proteção de rede começou com sucesso, execute o seguinte comando no Terminal e verifique se ele retorna started:

mdatp health --field network_protection_status

Configure proteção de rede com o Jamf Pro

Jamf Pro é um produto separado de terceiros que não faz parte do Defender for Endpoint e não está incluído nas assinaturas do Defender for Endpoint. Para usar o Jamf Pro, sua organização precisa de uma assinatura separada do Jamf Pro. Para informações sobre produtos e assinaturas, veja Jamf Pro. Se sua organização não usa o Jamf Pro, utilize outro método de configuração neste artigo, se disponível.

Uma implantação do Jamf Pro requer um perfil de configuração que defina o nível de aplicação da proteção da rede.

Depois de criar este perfil de configuração, atribua-o aos dispositivos onde pretende ativar a proteção de rede.

Siga as instruções do Jamf para implantar um perfil de configuração personalizado do computador. Defina o Domínio de Preferência para com.microsoft.wdav, e envie a seguinte lista de propriedades para configurar a proteção da rede no modo bloco:

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
    <key>networkProtection</key>
    <dict>
        <key>enforcementLevel</key>
        <string>block</string>
    </dict>
</dict>
</plist>

Configure a proteção de rede no Microsoft Intune

O Microsoft Intune é a ferramenta recomendada para configurar e distribuir os recursos do Defender para Ponto de Extremidade aos dispositivos. No entanto, o Intune é um produto separado que não faz parte do Defender para Endpoint e não está incluído em todas as assinaturas. Para usar o Intune, você precisa de uma assinatura que a inclua ou pode comprá-la separadamente como uma assinatura autônoma ou complemento. Se você não tiver o Intune, poderá usar qualquer um dos outros métodos neste artigo. Para obter mais informações, confira Licenciamento do Microsoft Intune.

Para configurar a proteção de rede no Microsoft Intune, crie ou modifique uma política de catálogo de configurações. Para instruções detalhadas, veja Criar uma política usando o catálogo de configurações no Microsoft Intune.

Na página Dispositivos | Configuração no centro de administração do Microsoft Intune em https://intune.microsoft.com/#view/Microsoft_Intune_DeviceSettings/DevicesMenu/~/configuration, selecione a guia Políticas e, em seguida, selecione Criar. Selecione Nova política e use estas configurações:

• Plataforma: selecione macOS.
• Tipo de perfil: selecione Catálogo de definições.

Ao criar ou modificar a política, configure estas configurações específicas na aba Configurações de configuração:

• Microsoft Defender>Nível de aplicação da proteção> de rede: Selecione Bloquear.

Implante um perfil de configuração móvel

Para implantar a configuração com um .mobileconfig arquivo, use uma solução de gerenciamento de dispositivos móveis (MDM) que não seja da Microsoft ou distribua o arquivo diretamente para os dispositivos:

1. Guarde o payload seguinte como com.microsoft.wdav.mobileconfig.

   <?xml version="1.0" encoding="utf-8"?>
   <!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
   <plist version="1">
       <dict>
           <key>PayloadUUID</key>
           <string>C4E6A782-0C8D-44AB-A025-EB893987A295</string>
           <key>PayloadType</key>
           <string>Configuration</string>
           <key>PayloadOrganization</key>
           <string>Microsoft</string>
           <key>PayloadIdentifier</key>
           <string>com.microsoft.wdav</string>
           <key>PayloadDisplayName</key>
           <string>Microsoft Defender ATP settings</string>
           <key>PayloadDescription</key>
           <string>Microsoft Defender ATP configuration settings</string>
           <key>PayloadVersion</key>
           <integer>1</integer>
           <key>PayloadEnabled</key>
           <true/>
           <key>PayloadRemovalDisallowed</key>
           <true/>
           <key>PayloadScope</key>
           <string>System</string>
           <key>PayloadContent</key>
           <array>
               <dict>
                   <key>PayloadUUID</key>
                   <string>99DBC2BC-3B3A-46A2-A413-C8F9BB9A7295</string>
                   <key>PayloadType</key>
                   <string>com.microsoft.wdav</string>
                   <key>PayloadOrganization</key>
                   <string>Microsoft</string>
                   <key>PayloadIdentifier</key>
                   <string>com.microsoft.wdav</string>
                   <key>PayloadDisplayName</key>
                   <string>Microsoft Defender ATP configuration settings</string>
                   <key>PayloadDescription</key>
                   <string/>
                   <key>PayloadVersion</key>
                   <integer>1</integer>
                   <key>PayloadEnabled</key>
                   <true/>
                   <key>networkProtection</key>
                   <dict>
                       <key>enforcementLevel</key>
                       <string>block</string>
                   </dict>
               </dict>
           </array>
       </dict>
   </plist>
   

2. Verifique se o arquivo foi copiado corretamente. No Terminal, execute o seguinte comando e verifique se ele retorna OK:

   plutil -lint com.microsoft.wdav.mobileconfig
   

Cenários de proteção de rede

Os seguintes cenários são suportados.

Proteção contra ameaças da Web

A proteção contra ameaças web faz parte da proteção web no Defender for Endpoint. Ele utiliza proteção de rede para ajudar a proteger dispositivos contra ameaças da web no Microsoft Edge para macOS e navegadores não Microsoft, como Brave, Chrome, Firefox, Opera e Safari. Não requer um proxy web e protege dispositivos locais e longe da organização. Para requisitos de navegador, veja Pré-requisitos.

A proteção contra ameaças na Web interrompe o acesso aos seguintes tipos de sites:

• Sites de phishing.
• Vetores de malware.
• Sites de exploits.
• Sites não confiáveis ou de baixa reputação.
• Sites bloqueados por um indicador personalizado.

Para mais informações, veja Proteja sua organização contra ameaças na web.

Indicadores personalizados de comprometimento

A correspondência de indicadores de comprometimento (IoC) permite que as equipes de operações de segurança (SecOps) criem uma lista de indicadores para detecção ou bloqueio.

Crie indicadores que definem a deteção, prevenção e exclusão de entidades. Para cada indicador, defina a ação, quanto tempo aplicar a ação e o escopo do grupo de dispositivos.

As fontes atualmente com suporte são o mecanismo de detecção na nuvem do Defender para Endpoint, o mecanismo automatizado de investigação e correção e o mecanismo de prevenção de endpoint (Microsoft Defender Antivirus).

Para mais informações, veja Criar indicadores para endereços IP, URLs ou domínios.

Filtragem de conteúdo da Web

O filtragem de conteúdo web faz parte da proteção web no Defender for Endpoint e no Microsoft Defender para Empresas. Ele ajuda sua organização a rastrear e controlar o acesso aos sites com base nas categorias de conteúdo. Mesmo sites que não são maliciosos podem ser problemáticos devido a requisitos de conformidade, uso de banda ou outras preocupações.

Configure políticas para grupos de dispositivos bloqueando categorias específicas. Bloquear uma categoria impede que usuários desses grupos acessem URLs associadas. URLs em categorias que não estão bloqueadas são automaticamente auditadas. Os usuários podem acessar as URLs sem interrupções, e você pode usar as estatísticas de acesso para refinar suas políticas. Os usuários recebem uma notificação quando um elemento da página web chama um recurso bloqueado.

A filtragem de conteúdo da web é compatível com os principais navegadores da web, incluindo Brave, Chrome, Firefox, Opera e Safari. A proteção de rede reforça os bloqueios.

Para obter mais informações sobre o suporte do browser, veja Pré-requisitos.

Para obter mais informações sobre relatórios, veja Filtragem de conteúdo Web.

Microsoft Defender para Aplicativos de Nuvem

O Microsoft Defender para Aplicativos de Nuvem pode avisar os usuários quando acessarem aplicativos marcados como Monitorados e bloquear apps marcados como Não Sancionados. Esta seção foca na experiência de aviso para aplicativos monitorados. Para mais informações sobre ambos os controles, consulte Gerencie aplicativos detectados com o Microsoft Defender para Ponto de Extremidade.

No Catálogo de Aplicativos na Nuvem, identifique os aplicativos que devem exibir um aviso quando os usuários os acessarem e marque os aplicativos como Monitorados. Os domínios dos aplicativos monitorados são então sincronizados com o Defender for Endpoint.

Normalmente, em poucos minutos, os domínios aparecem na página Indicadores do portal do Microsoft Defender em https://security.microsoft.com/securitysettings/endpoints/custom_ti_indicators. Na aba URLs/Domínios , o valor Ação é Aviso. Dentro do acordo de nível de serviço (SLA) de fiscalização, os usuários recebem avisos ao tentarem acessar os domínios.

Quando um usuário tenta acessar um domínio monitorado, o Defender for Endpoint bloqueia temporariamente a tentativa de acesso e exibe um aviso. A notificação do sistema operacional inclui o nome do aplicativo afetado. Por exemplo, a notificação pode identificar Blogger.com.

O usuário pode contornar o aviso ou abrir uma página web educativa.

Desvio do usuário

Na notificação, selecione Desbloquear e depois recarregue a página. O usuário pode acessar o aplicativo em nuvem durante a duração do bypass configurada no Defender para Aplicativos de Nuvem. Após o término do período, o aviso aparece na próxima vez que o usuário acessa o aplicativo.

Educação do usuário

Selecione a notificação para abrir a URL de redirecionamento personalizada configurada globalmente no Defender para Aplicativos de Nuvem.

Criar um centro de educação para usuários finais

Use os controles da nuvem no Defender para Aplicativos de Nuvem para definir limitações quando necessário e para educar os usuários sobre:

• O incidente específico.
• Por que o incidente aconteceu.
• O motivo da decisão.
• Como os usuários podem evitar sites bloqueados.

Forneça aos usuários informações suficientes para entender o que aconteceu e faça escolhas informadas na próxima vez que escolherem um aplicativo em nuvem. Por exemplo, inclua:

• As políticas de segurança e conformidade da sua organização para uso na internet e na nuvem.
• Apps em nuvem aprovados ou recomendados.
• Aplicativos de nuvem restritos ou bloqueados.

Entenda o momento de implantação e as limitações

• Pode levar até duas horas para que os domínios do app se propaguem para os dispositivos endpoint após você marcar um app como Monitorado.

• A menos que você aplique um perfil de escopo, a ação se aplica a todos os aplicativos e domínios marcados como Monitorados para todos os endpoints integrados da organização.

• URLs completas atualmente não são suportadas e não são enviadas do Defender para Aplicativos de Nuvem para o Defender for Endpoint. Se os aplicativos monitorados contêm URLs completas, os usuários não são avisados ao tentarem acessar os sites. Por exemplo, google.com/drive não é suportado, mas drive.google.com é suportado.

• Ao testar, desative o Client Hello e o QUIC criptografados para que os sites fiquem bloqueados corretamente. Para instruções de configuração do navegador, veja Requisitos de configuração do navegador.

Conteúdo relacionado

• Microsoft Defender para Ponto de Extremidade no macOS
• Integrar o Microsoft Defender para Endpoint ao Microsoft Defender para Aplicativos de Nuvem
• Conhecer as funcionalidades inovadoras no Microsoft Edge
• Proteger sua rede
• Ativar a proteção de rede
• Proteção da Web
• Criar indicadores
• Filtragem de conteúdo da Web