Agendar análises com Microsoft Defender para Endpoint no macOS

As análises antivírus agendadas ajudam a garantir que os dispositivos macOS são analisados regularmente, sem que os utilizadores tenham de iniciar as análises. Os administradores de segurança podem configurar análises rápidas horárias ou diárias e análises rápidas ou completas semanais, e usar múltiplos agendamentos no mesmo dispositivo. Utilize estas orientações para implementar agendas de varrimento através de um perfil de gestão de dispositivos móveis (MDM) ou configurá-los localmente com a mdatp ferramenta de linha de comandos.

Pré-requisitos

• Revise os pré-requisitos partilhados para o Defender for Endpoint no macOS.
• Instale a atualização da plataforma do Defender for Endpoint, versão 101.23122.0005 ou posterior.

Saiba mais sobre as opções de análise agendada

Para além de iniciar digitalizações a pedido, agende as digitalizações para serem realizadas a intervalos regulares ou em horários específicos. Por exemplo, agende uma análise rápida no início de cada dia de trabalho e uma análise completa uma vez por semana.

O Defender for Endpoint suporta agendas horárias, diárias e semanais. Os agendamentos horários e diários executam análises rápidas. Os agendamentos semanais podem executar verificações rápidas ou completas. Pode configurar os três tipos de horários simultaneamente. Veja o exemplo de análise diária e semanal e o exemplo de análise horária, diária e semanal.

Programar varreduras com um perfil de configuração

Utilize os dicionários features e scheduledScan num perfil de configuração do Defender for Endpoint para criar análises agendadas.

Os exemplos do Microsoft Intune e Jamf Pro usam XML da lista de propriedades da Apple. Guarde os perfis Intune com a .xml extensão e as listas de propriedades do Jamf Pro com a .plist extensão. Para mais informações sobre o formato XML, consulte a referência do ficheiro Apple Information Property List.

Use as seguintes definições para definir os horários de varrimento:

As definições diária interval e timeOfDay criam agendamentos de verificação rápida independentes. Se configurares ambas as definições, pode haver mais do que uma análise rápida por dia.

Exemplo 1: Agende uma varredura rápida diária e uma varredura completa semanal

Os perfis seguintes mostram uma análise rápida diária e uma análise completa semanal à quarta-feira. Ambos os perfis ignoram exclusões e usam agendamento de baixa prioridade.

Use a tabela de definições de varredura agendada para substituir os tempos de exemplo pelos valores exigidos pela sua organização.

Abra um editor de texto e use o perfil do Intune ou a lista de propriedades do Jamf Pro como guia.

Para Microsoft Intune

O exemplo seguinte define um perfil completo de configuração do Intune que permite uma varredura rápida diária e uma varredura completa semanal.

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
    <key>PayloadUUID</key>
    <string>C4E6A782-0C8D-44AB-A025-EB893987A295</string>
    <key>PayloadType</key>
    <string>Configuration</string>
    <key>PayloadOrganization</key>
    <string>Microsoft</string>
    <key>PayloadIdentifier</key>
    <string>C4E6A782-0C8D-44AB-A025-EB893987A295</string>
    <key>PayloadDisplayName</key>
    <string>Microsoft Defender for Endpoint settings</string>
    <key>PayloadDescription</key>
    <string>Microsoft Defender for Endpoint configuration settings</string>
    <key>PayloadVersion</key>
    <integer>1</integer>
    <key>PayloadEnabled</key>
    <true/>
    <key>PayloadRemovalDisallowed</key>
    <true/>
    <key>PayloadScope</key>
    <string>System</string>
    <key>PayloadContent</key>
    <array>
        <dict>
            <key>PayloadUUID</key>
            <string>99DBC2BC-3B3A-46A2-A413-C8F9BB9A7295</string>
            <key>PayloadType</key>
            <string>com.microsoft.wdav</string>
            <key>PayloadOrganization</key>
            <string>Microsoft</string>
            <key>PayloadIdentifier</key>
            <string>99DBC2BC-3B3A-46A2-A413-C8F9BB9A7295</string>
            <key>PayloadDisplayName</key>
            <string>Microsoft Defender for Endpoint configuration settings</string>
            <key>PayloadDescription</key>
            <string/>
            <key>PayloadVersion</key>
            <integer>1</integer>
            <key>PayloadEnabled</key>
            <true/>
            <key>features</key>
            <dict>
                <key>scheduledScan</key>
                <string>enabled</string>
            </dict>
            <key>scheduledScan</key>
            <dict>
                <key>ignoreExclusions</key>
                <true/>
                <key>lowPriorityScheduledScan</key>
                <true/>
                <key>dailyConfiguration</key>
                <dict>
                    <key>timeOfDay</key>
                    <integer>880</integer>
                </dict>
                <key>weeklyConfiguration</key>
                <dict>
                    <key>dayOfWeek</key>
                    <integer>4</integer>
                    <key>timeOfDay</key>
                    <integer>885</integer>
                    <key>scanType</key>
                    <string>full</string>
                </dict>
            </dict>
        </dict>
    </array>
</dict>
</plist>

Guarde o ficheiro como com.microsoft.wdav.xml.

Para o Jamf Pro e soluções de MDM compatíveis

A lista de propriedades seguinte configura uma varredura rápida diária e uma varredura completa semanal para o Jamf Pro e outras soluções MDM que aceitam listas de propriedades. Guarde o conteúdo como com.microsoft.wdav.plist.

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
    <key>features</key>
    <dict>
        <key>scheduledScan</key>
        <string>enabled</string>
    </dict>
    <key>scheduledScan</key>
    <dict>
        <key>ignoreExclusions</key>
        <true/>
        <key>lowPriorityScheduledScan</key>
        <true/>
        <key>dailyConfiguration</key>
        <dict>
            <key>timeOfDay</key>
            <integer>885</integer>
        </dict>
        <key>weeklyConfiguration</key>
        <dict>
            <key>dayOfWeek</key>
            <integer>4</integer>
            <key>timeOfDay</key>
            <integer>880</integer>
            <key>scanType</key>
            <string>full</string>
        </dict>
    </dict>
</dict>
</plist>

Guarde o ficheiro como com.microsoft.wdav.plist.

Depois de implementar o perfil, verifique se a varredura agendada está configurada como uma preferência gerida executando o seguinte comando:

mdatp health --details scheduled_scan

Nos resultados, verifique se a varredura programada reporta managed.

Exemplo 2: Agendar exames rápidos baseados em intervalos e diários, além de um exame completo semanal

Os perfis seguintes demonstram uma varredura rápida baseada em intervalos, uma varredura rápida diária e uma varredura completa semanal à quarta-feira.

Abra um editor de texto e use o perfil do Intune ou a lista de propriedades do Jamf Pro como guia.

Para Microsoft Intune

O exemplo seguinte reúne as definições da análise agendada num perfil de configuração completo do Intune.

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
     <key>PayloadUUID</key>
     <string>C4E6A782-0C8D-44AB-A025-EB893987A295</string>
     <key>PayloadType</key>
     <string>Configuration</string>
     <key>PayloadOrganization</key>
     <string>Microsoft</string>
     <key>PayloadIdentifier</key>
     <string>C4E6A782-0C8D-44AB-A025-EB893987A295</string>
     <key>PayloadDisplayName</key>
     <string>Microsoft Defender for Endpoint settings</string>
     <key>PayloadDescription</key>
     <string>Microsoft Defender for Endpoint configuration settings</string>
     <key>PayloadVersion</key>
     <integer>1</integer>
     <key>PayloadEnabled</key>
     <true/>
     <key>PayloadRemovalDisallowed</key>
     <true/>
     <key>PayloadScope</key>
     <string>System</string>
     <key>PayloadContent</key>
     <array>
       <dict>
           <key>PayloadUUID</key>
           <string>99DBC2BC-3B3A-46A2-A413-C8F9BB9A7295</string>
           <key>PayloadType</key>
           <string>com.microsoft.wdav</string>
           <key>PayloadOrganization</key>
           <string>Microsoft</string>
           <key>PayloadIdentifier</key>
           <string>99DBC2BC-3B3A-46A2-A413-C8F9BB9A7295</string>
           <key>PayloadDisplayName</key>
           <string>Microsoft Defender for Endpoint configuration settings</string>
           <key>PayloadDescription</key>
           <string/>
           <key>PayloadVersion</key>
           <integer>1</integer>
           <key>PayloadEnabled</key>
           <true/>
    <key>features</key>
    <dict>
        <key>scheduledScan</key>
        <string>enabled</string>
    </dict>
<key>scheduledScan</key>
<dict>
    <key>ignoreExclusions</key>
    <true/>
    <key>lowPriorityScheduledScan</key>
    <true/>
    <key>dailyConfiguration</key>
    <dict>
        <key>timeOfDay</key>
        <integer>885</integer>
        <key>interval</key>
        <integer>1</integer>
    </dict>
    <key>weeklyConfiguration</key>
    <dict>
        <key>dayOfWeek</key>
        <integer>4</integer>
        <key>timeOfDay</key>
        <integer>880</integer>
        <key>scanType</key>
        <string>full</string>
        </dict>
        </dict>
    </dict>
</array>
</dict>
</plist>

Guarde o ficheiro como com.microsoft.wdav.xml.

Para o Jamf Pro e soluções MDM compatíveis

A lista de propriedades seguinte configura varreduras baseadas em intervalos, diárias e semanais para o Jamf Pro e outras soluções MDM que aceitam listas de propriedades. Guarde o conteúdo como com.microsoft.wdav.plist.

<?xml version="1.0" encoding="UTF-8"?><!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
    <plist version="1.0">
    <dict>
        <key>features</key>
        <dict>
            <key>scheduledScan</key>
            <string>enabled</string>
        </dict>
    <key>scheduledScan</key>
    <dict>
        <key>ignoreExclusions</key>
        <true/>
        <key>lowPriorityScheduledScan</key>
        <true/>
        <key>dailyConfiguration</key>
        <dict>
            <key>timeOfDay</key>
            <integer>885</integer>
            <key>interval</key>
            <integer>1</integer>
        </dict>
        <key>weeklyConfiguration</key>
        <dict>
            <key>dayOfWeek</key>
            <integer>4</integer>
            <key>timeOfDay</key>
            <integer>880</integer>
            <key>scanType</key>
            <string>full</string>
            </dict>
            </dict>
        </dict>
    </plist>

Guarde o ficheiro como com.microsoft.wdav.plist.

Implementar o perfil de configuração

Implementar através do Microsoft Intune

O Microsoft Intune é a ferramenta recomendada para configurar e distribuir funcionalidades do Defender for Endpoint para dispositivos. No entanto, o Intune é um produto separado que não faz parte do Defender for Endpoint, e não está incluído em todas as subscrições. Para usar o Intune, precisa de uma subscrição que o inclua, ou pode comprá-lo separadamente como subscrição autónoma ou complemento. Se não tiver o Intune, pode usar qualquer um dos outros métodos mencionados neste artigo. Para obter mais informações, veja licenciamento Microsoft Intune.

Para criar e implementar o perfil de configuração personalizado no Intune, consulte Definir políticas no Microsoft Intune. Use com.microsoft.wdav como nome do perfil de configuração, selecione Canal do dispositivo e carregue o ficheiro .xml.

Implementar com Jamf Pro

O Jamf Pro é um produto separado de terceiros que não faz parte do Defender for Endpoint e não está incluído nas subscrições do Defender for Endpoint. Para usar o Jamf Pro, a sua organização precisa de uma subscrição separada do Jamf Pro. Para informações sobre produtos e subscrições, consulte Jamf Pro. Se a sua organização não utiliza o Jamf Pro, utilize outro método de configuração neste artigo, se disponível.

Para o fluxo de trabalho mantido do Defender for Endpoint, consulte Deploy Microsoft Defender para Endpoint no macOS com Jamf Pro.

Siga as instruções do Jamf para implementar um perfil de configuração personalizado do computador. Use uma das listas de propriedades do Exemplo 1 ou do Exemplo 2, e defina o Domínio de Preferências para com.microsoft.wdav.

Para uma solução MDM que suporta payloads de listas de propriedades, siga as instruções do fornecedor e as orientações de implementação do perfil em Deploy Microsoft Defender para Endpoint no macOS com outra solução MDM.

Depois de o Jamf Pro implementar o perfil, verifique a configuração de varrimento agendada executando o seguinte comando:

mdatp health --details scheduled_scan

Nos resultados, verifique se a varredura programada reporta managed.

Configurar análises agendadas com a linha de comandos mdatp

Use a ferramenta de linha de comandos Microsoft Defender para Endpoint (mdatp) para configurar varreduras agendadas localmente a partir do Terminal. A configuração em linha de comandos é mais útil para testes ou dispositivos individuais. Use um perfil MDM para implementações geridas.

Ative a funcionalidade de varredura agendada:

sudo mdatp config scheduled-scan settings feature --value enabled

Configure verificações rápidas com base em intervalos:

sudo mdatp config scheduled-scan quick-scan hourly-interval --value <arg>

Configure uma análise rápida diária:

sudo mdatp config scheduled-scan quick-scan time-of-day --value <arg>

Configure uma análise semanal:

sudo mdatp config scheduled-scan weekly-scan --day-of-week <arg> --time-of-day <arg> --scan-type <arg>

Também pode configurar atualizações de inteligência de segurança e execuções de baixa prioridade:

• Para verificar atualizações de inteligência de segurança antes das varreduras agendadas:

  sudo mdatp config scheduled-scan settings check-for-definitions --value true
  

• Para utilizar threads de baixa prioridade na análise agendada:

  sudo mdatp config scheduled-scan settings low-priority --value true
  

Verifica se as análises agendadas foram feitas

Para listar as análises agendadas concluídas e os seus resultados, execute mdatp scan list: