Configurar e validar exclusões para Microsoft Defender para Endpoint no macOS

Use exclusões para impedir que o Microsoft Defender para Endpoint no macOS escaneie ficheiros, pastas, processos e extensões de ficheiros confiáveis. As exclusões aplicam-se às análises a pedido, à proteção em tempo real (RTP) e à monitorização do comportamento (BM), mantendo a visibilidade do EDR.

As exclusões antivírus aplicam-se apenas às capacidades antivírus, não à EDR. Ficheiros excluídos da análise antivírus ainda podem resultar em alertas EDR e outras deteções.

As exclusões podem ajudar a evitar deteções incorretas ou a mitigar problemas de desempenho causados pelo Defender for Endpoint no macOS. Para identificar o processo, caminho ou extensão a excluir, utilize-se estatísticas de proteção em tempo real.

Tipos de exclusão suportados

O Defender for Endpoint no macOS suporta os seguintes tipos de exclusão:

• Extensão do ficheiro: Todos os ficheiros com a extensão especificada em qualquer lugar do dispositivo.

  • Exemplo: .test

• Ficheiro: Um ficheiro específico identificado pelo seu percurso completo.

  • Exemplos:
    • /var/log/test.log
    • /var/log/*.log
    • /var/log/install.?.log

• Pasta: Todos os ficheiros na pasta especificada, recursivamente.

  • Exemplos:
    • /var/log/
    • /var/*/

• Processo: Um processo específico, identificado pelo seu caminho completo ou nome de ficheiro, e por todos os ficheiros abertos pelo processo. Recomendamos usar o caminho completo.

  • Exemplos:
    • /bin/cat
    • cat
    • c?t

Carateres universais suportados para exclusões de ficheiros, pastas e processos

Pode usar os seguintes padrões de wildcard ao definir exclusões de ficheiros, pastas e processos:

• Asterisco (*): Corresponde a qualquer número de caracteres, incluindo zero caracteres. Se este coringa não for usado no final do caminho, serve para substituir apenas uma pasta.

  • Quando um * carácter universal aparece no fim de um caminho, corresponde a todos os ficheiros e subpastas na pasta-mãe do carácter universal.
  • Exemplos:
    • /var/*/tmp:
      • Inclui: Ficheiros em /var/abc/tmp e /var/def/tmp e suas subpastas.
      • Não inclui: /var/abc/log ou /var/def/log.
    • /var/*/:
      • Inclui: Ficheiros em /var e suas subpastas.

• Ponto de interrogação (?): Corresponde a qualquer personagem.

  • Exemplo: file?.log
    • Inclui: file1.log e file2.log.
    • Não inclui: file123.log.

Boas práticas para adicionar exclusões antivírus

Utilize as seguintes práticas para limitar o impacto de segurança das exclusões de antivírus:

• Registar os detalhes do submetente, data, candidatura, motivo e exclusão num local central acessível apenas aos administradores de segurança.
• Defina uma data de validade para cada exclusão. Uma exclusão pode não exigir data de validade se o fornecedor independente de software confirmar que a aplicação não pode ser ajustada para evitar a deteção incorreta ou o uso elevado da CPU.
• Não copie automaticamente exclusões de outro produto antimalware. As exclusões podem não se aplicar ao Defender for Endpoint no macOS.
• Para um ficheiro de aplicação conhecido que não muda frequentemente, considere um indicador de autorização de hash de ficheiro em vez de uma exclusão do antivírus.
• Se for necessária uma exclusão antivírus, torne-a o mais específica possível. Evite exclusões amplas de pastas e extensões de ficheiro quando um ficheiro ou caminho de processo completo cumpre o requisito.

Configurar exclusões

Use um dos seguintes métodos para configurar exclusões.

Configurar exclusões usando um perfil de configuração

Use Microsoft Intune, Jamf Pro ou outra solução de gestão de dispositivos móveis para implementar um perfil de configuração que contenha as exclusões. Para as chaves de preferências, valores suportados e exemplos de perfis de configuração, veja Definir preferências para Microsoft Defender para Endpoint no macOS.

Configurar exclusões usando o Defender para a gestão das definições de segurança dos endpoints

Pode usar o centro de administração Microsoft Intune ou o portal Microsoft Defender para gerir exclusões como políticas de segurança de endpoints e atribuir as políticas a grupos Microsoft Entra. Se está a usar a gestão de definições de segurança pela primeira vez, complete os seguintes passos:

Passo 1: Ativar a gestão das definições de segurança no macOS

Na página do âmbito de Aplicação do portal Microsoft Defender em https://security.microsoft.com/securitysettings/endpoints/configuration_management, na secção Ativar gestão de configuração, selecione dispositivos macOS e depois selecione um dos seguintes valores:

• Selecione Em dispositivos etiquetados para testar a gestão das definições de segurança com dispositivos selecionados. Adicione a MDE-Management etiqueta a cada dispositivo de teste. Para instruções e outros métodos de etiquetagem, consulte Criar e gerir etiquetas de dispositivo.
• Selecione Todos os dispositivos para inscrever todos os dispositivos macOS elegíveis.

A maioria dos dispositivos inscreve-se e aplica as políticas atribuídas em poucos minutos, embora alguns dispositivos possam demorar até 24 horas.

Passo 2: Criar um grupo de dispositivos Microsoft Entra

Crie um grupo dinâmico de dispositivos Microsoft Entra baseado no tipo de sistema operativo macOS. A adesão dinâmica adiciona automaticamente dispositivos correspondentes, por isso não precisa de manter a adesão ao grupo manualmente. Para mais informações, consulte Criar grupos Microsoft Entra para gestão de definições de segurança.

Passo 3: Criar uma política de exclusões para macOS

Para instruções detalhadas, consulte Criar uma política de segurança de endpoint (o link abre numa nova aba).

Ao criar a política no separador Políticas do macOS da página Políticas de segurança de pontos finais no portal do Defender em https://security.microsoft.com/policy-inventory?osPlatform=Mac, utilize estas definições específicas:

• Selecionar plataforma: Selecionar macOS.
• Selecionar modelo: Selecionar exclusões do Microsoft Defender Antivírus.

No assistente de criação de políticas, use estas definições:

• Separador de definições de configuração :
  • Na secção do motor Antivírus , selecione Adicionar.
  • Para Type, selecione Path, Extensão de Ficheiro ou Nome de Ficheiro.
  • Para definições adicionais, selecione Configurar instância e depois adicione a exclusão.
• Separador de Atribuições: As limitações do grupo de atribuição aplicam-se a dispositivos geridos através do Defender para a gestão das definições de segurança dos endpoints. Para mais detalhes, consulte o passo de Atribuições.

Configurar exclusões da aplicação Defender for Endpoint

Se o seu administrador permitir exclusões definidas pelo utilizador, use os seguintes passos para adicionar uma exclusão diretamente na aplicação Defender for Endpoint:

1. Abre a aplicação Defender for Endpoint.

2. Nas definições de Gerir, selecione Adicionar ou Remover Exclusão....

   

3. Selecione o tipo de exclusão e siga as indicações.

Os administradores podem usar essa exclusionsMergePolicy preferência para permitir ou impedir exclusões definidas pelo utilizador. Para mais informações, consulte Política de fusão de exclusões.

Configurar exclusões usando a linha de comandos

Se o seu administrador permitir exclusões definidas pelo utilizador, pode gerir exclusões a partir do Terminal. Para visualizar os subcomandos e opções disponíveis, execute o comando mdatp exclusion :

mdatp exclusion

Sintaxe do comando

A seguinte sintaxe resume os subcomandos, opções e valores de exclusão disponíveis:

mdatp exclusion {extension {add|remove} --name <extension> | file {add|remove} --path <file-path> | folder {add|remove} --path <folder-path> | process {add|remove} {--path <process-path> | --name <process-name>} | list}

Quando um valor de exclusão contém um curinga, inclua-o entre aspas duplas. Esta sintaxe impede que o shell expanda o carácter universal antes de mdatp o interpretar.

Adicionar ou remover exclusões de extensões de ficheiro

Os seguintes comandos adicionam e removem a exclusão da .txt extensão do ficheiro:

mdatp exclusion extension add --name .txt

mdatp exclusion extension remove --name .txt

Adicionar ou remover exclusões de ficheiros

Os seguintes comandos adicionam e removem uma exclusão de ficheiro:

mdatp exclusion file add --path /var/log/dummy.log

mdatp exclusion file remove --path /var/log/dummy.log

Adicionar ou remover exclusões de pastas

Os seguintes comandos adicionam e removem uma exclusão de pasta:

mdatp exclusion folder add --path /var/log/

mdatp exclusion folder remove --path /var/log/

O comando seguinte adiciona uma exclusão de pasta que utiliza curingas:

mdatp exclusion folder add --path "/var/*/tmp"

Adicionar ou remover exclusões de processos

Pode identificar um processo pelo seu caminho completo ou pelo nome do ficheiro. Recomendamos usar o caminho completo. Os seguintes comandos adicionam e removem uma exclusão de processo por caminho completo:

mdatp exclusion process add --path /bin/cat

mdatp exclusion process remove --path /bin/cat

Para a referência completa de comandos, consulte Microsoft Defender para Endpoint nos recursos do macOS.

Validar exclusões com o ficheiro de teste EICAR

O ficheiro de teste EICAR é um pequeno ficheiro de texto inofensivo que contém uma cadeia padrão reconhecida pelos produtos antivírus como malware. Pode usá-lo para confirmar em segurança que uma exclusão funciona sem usar malware real. O Defender for Endpoint no macOS deteta o ficheiro pelo seu conteúdo, não pelo nome do ficheiro.

Antes de testar uma exclusão, verifique se a proteção em tempo real está ativada. Execute o seguinte comando e confirme que ele retorna true:

mdatp health --field real_time_protection_enabled

Crie o ficheiro de teste EICAR para que o seu nome, extensão ou localização correspondam à exclusão que pretende validar:

• Use um nome de ficheiro específico ou crie o ficheiro numa pasta específica para validar exclusão de ficheiros e pastas.
• Use qualquer nome de ficheiro com a extensão excluída para validar uma exclusão de extensão de ficheiro.

Se o Defender for Endpoint detetar o ficheiro, a exclusão não funciona. Se o ficheiro existir e o Defender for Endpoint não o detetar, a exclusão funciona.

Estes passos são concebidos para validar exclusões de ficheiros, pastas e extensões de ficheiro. Eles não fornecem um teste geral para exclusões de processos, que dependem do processo que cria ou abre o ficheiro.

Use um dos seguintes métodos para criar um ficheiro de teste EICAR que corresponda à sua exclusão:

• Com acesso à internet: Substitua test.txt por um nome de ficheiro ou caminho que corresponda à sua exclusão e depois execute o seguinte comando:

  curl -o test.txt https://secure.eicar.org/eicar.com.txt
  

• Sem acesso à internet: Muda test.txt para um nome de ficheiro ou caminho que corresponda à tua exclusão, e depois executa o seguinte comando:

  echo 'X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*' > test.txt
  

Conteúdo relacionado

Os artigos seguintes fornecem mais informações sobre como configurar e gerir o Defender for Endpoint no macOS:

• Microsoft Defender para Endpoint no macOS
• Definir preferências para o Microsoft Defender para Endpoint no macOS
• Microsoft Defender para Endpoint nos recursos do macOS