Utilize a proteção de rede do Microsoft Defender para Endpoint no macOS

A proteção de rede no Microsoft Defender para Endpoint ajuda a evitar que aplicações e processos não exploradores em dispositivos macOS se liguem a domínios perigosos. Estende a proteção web para além do Microsoft Defender SmartScreen no Microsoft Edge para navegadores suportados e outros processos.

Use este artigo para rever requisitos, escolher um nível de aplicação, implementar proteção de rede e compreender os cenários suportados de proteção web e Microsoft Defender for Cloud Apps.

Pré-requisitos

Antes de configurar a proteção da rede, certifique-se de que o seu ambiente cumpre os seguintes requisitos:

• Uma licença experimental Microsoft Defender para Endpoint Plan 1, Microsoft Defender para Endpoint Plan 2, ou licença Microsoft Defender para Empresas.
• Um dispositivo integrado que executa uma versão suportada para macOS e uma versão 101.94.13 Defender for Endpoint (janeiro de 2023) ou posterior.
• Um navegador suportado:
  • Um navegador não Microsoft, como Brave, Chrome, Firefox, Opera ou Safari.
  • Microsoft Edge para macOS.

Requisitos de configuração do navegador

Em processos que não o Microsoft Edge, a proteção de rede determina o nome de domínio totalmente qualificado para cada ligação HTTPS ao examinar o handshake do Transport Layer Security (TLS) que ocorre após um handshake TCP/IP. A ligação HTTPS deve usar TCP/IP em vez de User Datagram Protocol (UDP) ou Quick UDP Internet Connections (QUIC), e a mensagem ClientHello não pode ser encriptada. Para desativar o QUIC e o Cliente Hello Encriptado, consulte os seguintes artigos:

• Google Chrome: QuicAllowed e EncryptedClientHelloEnabled.
• Mozilla Firefox: Desative o ClienteHello Encriptado e network.http.http3.enable.

Planeie a implementação

A proteção de rede para macOS está disponível para todos os dispositivos Defender for Endpoint integrados que cumpram os requisitos mínimos. A proteção de rede no macOS suporta as seguintes capacidades de segurança, investigação e controlo de aplicações:

• Indicadores personalizados de compromisso para domínios e endereços IP.
• Políticas de filtragem de conteúdos web que bloqueiam categorias de sites para grupos de dispositivos em navegadores suportados, incluindo o Microsoft Edge para macOS.
• Pesquisa avançada e a cronologia do dispositivo, que fornecem dados de eventos de rede para investigações de segurança.
• O Microsoft Defender for Cloud Apps controla o uso de aplicações na cloud, alerta os utilizadores sobre aplicações monitorizadas e bloqueia aplicações não autorizadas. Estes cenários têm mais requisitos de licenciamento e de produto.
• Utilização de redes privadas virtuais corporativas (VPN). Atualmente, não são identificados conflitos de VPN. Se tiver conflitos, contacte o Suporte da Microsoft através do centro de administração do Microsoft 365.

Todas as políticas configuradas de proteção de rede e proteção contra ameaças web são aplicadas em dispositivos macOS onde a proteção de rede está em modo de bloco. Para reduzir o risco de implantação:

• Crie um grupo de dispositivos com um pequeno conjunto de dispositivos para testar a proteção da rede.
• Avalie como a proteção contra ameaças web, indicadores personalizados, filtragem de conteúdos web e políticas de aplicação do Defender for Cloud Apps afetam os dispositivos macOS em modo de bloqueio.
• Implemente uma política de modo auditoria ou bloco no grupo de dispositivos e verifique se a política não perturba os fluxos de trabalho.
• Implemente gradualmente a proteção de rede para grupos maiores de dispositivos.

Configurar a proteção de rede

Instale a versão de produto mais recente através do Microsoft AutoUpdate. Para abrir o Microsoft AutoUpdate, execute o seguinte comando no Terminal:

open /Library/Application\ Support/Microsoft/MAU2.0/Microsoft\ AutoUpdate.app

A proteção de rede está desativada por predefinição. Pode configurar um dos seguintes níveis de fiscalização:

• Auditoria: Avaliar como a proteção da rede afeta as aplicações de linha de negócio e com que frequência ocorrem blocos.
• Bloquear: Impedir ligações a sites maliciosos.
• Desativado: Desative todos os componentes de proteção de rede.

Implemente a proteção de rede manualmente, com o Jamf Pro, com o Microsoft Intune ou com um .mobileconfig ficheiro.

Configurar manualmente a proteção da rede

Para configurar o nível de aplicação, execute o seguinte comando no Terminal:

mdatp config network-protection enforcement-level --value <disabled | audit | block>

Por exemplo, o seguinte comando configura a proteção da rede em modo bloco:

mdatp config network-protection enforcement-level --value block

Para confirmar que a proteção de rede começou com sucesso, execute o seguinte comando no Terminal e verifique se devolve started:

mdatp health --field network_protection_status

Configure a proteção de rede com o Jamf Pro

O Jamf Pro é um produto separado de terceiros que não faz parte do Defender for Endpoint e não está incluído nas subscrições do Defender for Endpoint. Para usar o Jamf Pro, a sua organização precisa de uma subscrição separada do Jamf Pro. Para informações sobre produtos e subscrições, consulte Jamf Pro. Se a sua organização não utiliza o Jamf Pro, utilize outro método de configuração neste artigo, se disponível.

Uma implementação do Jamf Pro requer um perfil de configuração que defina o nível de aplicação da proteção da rede.

Depois de criar este perfil de configuração, atribua-o aos dispositivos onde pretende ativar a proteção de rede.

Siga as instruções do Jamf para implementar um perfil de configuração personalizado do computador. Defina o Domínio de Preferência para com.microsoft.wdav, e carregue a seguinte lista de propriedades para configurar a proteção da rede em modo bloco:

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
    <key>networkProtection</key>
    <dict>
        <key>enforcementLevel</key>
        <string>block</string>
    </dict>
</dict>
</plist>

Configurar a proteção de rede no Microsoft Intune

O Microsoft Intune é a ferramenta recomendada para configurar e distribuir funcionalidades do Defender for Endpoint para dispositivos. No entanto, o Intune é um produto separado que não faz parte do Defender for Endpoint, e não está incluído em todas as subscrições. Para usar o Intune, precisa de uma subscrição que o inclua, ou pode comprá-lo separadamente como subscrição autónoma ou complemento. Se não tiver o Intune, pode usar qualquer um dos outros métodos mencionados neste artigo. Para obter mais informações, veja licenciamento Microsoft Intune.

Para configurar a proteção de rede no Microsoft Intune, crie ou modifique uma política de catálogo de definições. Para instruções detalhadas, consulte Criar uma política usando o catálogo de definições no Microsoft Intune.

Na página Dispositivos | Configuração no centro de administração do Microsoft Intune em https://intune.microsoft.com/#view/Microsoft_Intune_DeviceSettings/DevicesMenu/~/configuration, selecione o separador Políticas e, em seguida, selecione Criar. Selecione Nova política e use estas definições:

• Plataforma: selecione macOS.
• Tipo de perfil: selecione Catálogo de definições.

Ao criar ou modificar a política, configure estas definições específicas no separador de Definições :

• Microsoft Defender>Proteção>de rede Nível de fiscalização: Selecionar Bloquear.

Implementar um perfil de configuração móvel

Para implementar a configuração com um .mobileconfig ficheiro, utilize uma solução de gestão de dispositivos móveis (MDM) que não seja da Microsoft ou distribua o ficheiro diretamente para os dispositivos:

1. Guarde o payload seguinte como com.microsoft.wdav.mobileconfig.

   <?xml version="1.0" encoding="utf-8"?>
   <!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
   <plist version="1">
       <dict>
           <key>PayloadUUID</key>
           <string>C4E6A782-0C8D-44AB-A025-EB893987A295</string>
           <key>PayloadType</key>
           <string>Configuration</string>
           <key>PayloadOrganization</key>
           <string>Microsoft</string>
           <key>PayloadIdentifier</key>
           <string>com.microsoft.wdav</string>
           <key>PayloadDisplayName</key>
           <string>Microsoft Defender ATP settings</string>
           <key>PayloadDescription</key>
           <string>Microsoft Defender ATP configuration settings</string>
           <key>PayloadVersion</key>
           <integer>1</integer>
           <key>PayloadEnabled</key>
           <true/>
           <key>PayloadRemovalDisallowed</key>
           <true/>
           <key>PayloadScope</key>
           <string>System</string>
           <key>PayloadContent</key>
           <array>
               <dict>
                   <key>PayloadUUID</key>
                   <string>99DBC2BC-3B3A-46A2-A413-C8F9BB9A7295</string>
                   <key>PayloadType</key>
                   <string>com.microsoft.wdav</string>
                   <key>PayloadOrganization</key>
                   <string>Microsoft</string>
                   <key>PayloadIdentifier</key>
                   <string>com.microsoft.wdav</string>
                   <key>PayloadDisplayName</key>
                   <string>Microsoft Defender ATP configuration settings</string>
                   <key>PayloadDescription</key>
                   <string/>
                   <key>PayloadVersion</key>
                   <integer>1</integer>
                   <key>PayloadEnabled</key>
                   <true/>
                   <key>networkProtection</key>
                   <dict>
                       <key>enforcementLevel</key>
                       <string>block</string>
                   </dict>
               </dict>
           </array>
       </dict>
   </plist>
   

2. Verifica se o ficheiro foi copiado corretamente. No Terminal, execute o seguinte comando e verifique se devolve OK:

   plutil -lint com.microsoft.wdav.mobileconfig
   

Cenários de proteção de rede

Os seguintes cenários são suportados.

Proteção contra ameaças da Web

A proteção contra ameaças web faz parte da proteção web no Defender for Endpoint. Utiliza proteção de rede para ajudar a proteger dispositivos contra ameaças web no Microsoft Edge para navegadores macOS e não Microsoft, como Brave, Chrome, Firefox, Opera e Safari. Não requer um proxy web e protege os dispositivos nas instalações e fora da organização. Para requisitos de navegador, veja Pré-requisitos.

A proteção contra ameaças na Web interrompe o acesso aos seguintes tipos de sites:

• Sites de phishing.
• Vetores de malware.
• Sites de exploits.
• Sites pouco confiáveis ou de baixa reputação.
• Sites bloqueados por um indicador personalizado.

Para mais informações, consulte Proteger a sua organização contra ameaças na internet.

Indicadores personalizados de comprometimento

A correlação de indicadores de compromisso (IoC) permite às equipas de operações de segurança (SecOps) criar uma lista de indicadores para deteção ou bloqueio.

Crie indicadores que definem a deteção, prevenção e exclusão de entidades. Para cada indicador, defina a ação, quanto tempo aplicar a ação e o âmbito do grupo de dispositivos.

As fontes atualmente suportadas são o motor de deteção na nuvem do Defender para Endpoint, o motor automatizado de investigação e remediação e o motor de prevenção de endpoint (Microsoft Defender Antivirus).

Para mais informações, consulte Criar indicadores para endereços IP, URLs ou domínios.

Filtragem de conteúdos Web

A filtragem de conteúdos web faz parte da proteção web no Defender for Endpoint e no Microsoft Defender para Empresas. Ajuda a sua organização a rastrear e controlar o acesso a websites com base nas categorias de conteúdo. Mesmo sites que não são maliciosos podem ser problemáticos devido a requisitos de conformidade, uso de largura de banda ou outras preocupações.

Configure políticas para grupos de dispositivos para bloquear categorias específicas. Bloquear uma categoria impede que os utilizadores desses grupos acedam às URLs associadas. URLs em categorias que não estão bloqueadas são automaticamente auditadas. Os utilizadores podem aceder às URLs sem interrupções, e pode usar as estatísticas de acesso para refinar as suas políticas. Os utilizadores recebem uma notificação quando um elemento da página web chama um recurso bloqueado.

A filtragem de conteúdos web suporta os principais navegadores web, incluindo Brave, Chrome, Firefox, Opera e Safari. A proteção da rede reforça os bloqueios.

Para obter mais informações sobre o suporte do browser, veja Pré-requisitos.

Para obter mais informações sobre relatórios, veja Filtragem de conteúdo Web.

Microsoft Defender para Aplicações na Nuvem

O Microsoft Defender for Cloud Apps pode avisar os utilizadores quando acedam a aplicações marcadas como Monitorizadas e bloquear aplicações marcadas como Não Sancionadas. Esta secção foca-se na experiência de aviso para aplicações monitorizadas. Para mais informações sobre ambos os controlos, consulte Governe as aplicações detetadas com o Microsoft Defender para Endpoint.

No Catálogo de Aplicações na Cloud, identifique as aplicações que devem mostrar um aviso quando os utilizadores as acedam e marque as aplicações como Monitorizadas. Os domínios das aplicações monitorizadas são então sincronizados com o Defender for Endpoint.

Normalmente, em poucos minutos, os domínios aparecem na página Indicadores do portal Microsoft Defender em https://security.microsoft.com/securitysettings/endpoints/custom_ti_indicators. No separador URLs/Domínios , o valor de Ação é Aviso. No âmbito do acordo de nível de serviço (SLA) de aplicação, os utilizadores recebem avisos quando tentam aceder aos domínios.

Quando um utilizador tenta aceder a um domínio monitorizado, o Defender for Endpoint bloqueia temporariamente a tentativa de acesso e exibe um aviso. A notificação do sistema operativo inclui o nome da aplicação afetada. Por exemplo, a notificação pode identificar Blogger.com.

O utilizador pode contornar o aviso ou abrir uma página educativa.

Contorno do utilizador

Na notificação, selecione Desbloquear e depois recarregue a página. O utilizador pode aceder à aplicação cloud durante a duração do bypass configurada no Defender for Cloud Apps. Após o término da duração, o aviso aparece na próxima vez que o utilizador acede à aplicação.

Educação dos utilizadores

Selecione a notificação para abrir o URL de redirecionamento personalizado configurado globalmente no Defender for Cloud Apps.

Criar um centro de educação para utilizadores finais

Use os controlos cloud no Defender for Cloud Apps para definir limitações quando necessário e para educar os utilizadores sobre:

• O incidente específico.
• Porque é que o incidente aconteceu.
• A razão da decisão.
• Como os utilizadores podem evitar sites bloqueados.

Dê aos utilizadores informação suficiente para compreenderem o que aconteceu e tomar decisões informadas da próxima vez que escolherem uma aplicação cloud. Por exemplo, incluir:

• As políticas de segurança e conformidade da sua organização para uso na internet e na cloud.
• Aplicações na cloud aprovadas ou recomendadas.
• Aplicações de cloud restritas ou bloqueadas.

Compreenda o momento de implementação e as limitações

• Pode demorar até duas horas até que os domínios da aplicação se propaguem para os dispositivos endpoint depois de marcar uma aplicação como Monitorizada.

• A menos que aplique um perfil com escopo, a ação aplica-se a todas as aplicações e domínios marcados como Monitorizados para todos os endpoints integrados na organização.

• Os URLs completos não são atualmente suportados e não são enviados do Defender for Cloud Apps para o Defender for Endpoint. Se as aplicações monitorizadas contêm URLs completos, os utilizadores não são avisados quando tentam aceder aos sites. Por exemplo, google.com/drive não é suportado, mas drive.google.com é suportado.

• Durante os testes, desative o Client Hello encriptado e o QUIC para que os sites fiquem bloqueados corretamente. Para instruções de configuração do navegador, consulte Requisitos de configuração do navegador.

Conteúdo relacionado

• Microsoft Defender para Endpoint no macOS
• Integrar Microsoft Defender para Endpoint com Microsoft Defender for Cloud Apps
• Conhecer as funcionalidades inovadoras no Microsoft Edge
• Proteger a sua rede
• Ativar a proteção da rede
• Proteção Web
• Criar indicadores
• Filtragem de conteúdos Web