Microsoft Defender för Endpoint Device Control för macOS

Gäller för: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2, Microsoft Defender for Business

Enhetskontroll i Microsoft Defender för Endpoint på macOS hjälper till att skydda organisationsdata genom att hantera åtkomst till flyttbar lagring och anslutna enheter. Du kan använda enhetskontroll för att:

Granska, tillåt eller förhindra läs-, skriv- eller exekveringsåtkomst till flyttbar lagring.
Hantera åtkomst till iOS-enheter, bärbara enheter, Apple File System (APFS)-krypterade enheter och Bluetooth-media, med eller utan undantag.

Krav

Innan du konfigurerar enhetskontroll, se till att du uppfyller följande krav:

Ett abonnemang som inkluderar Defender för Endpoint Plan 1-funktioner. För mer licensinformation, se:
- Jämförelse av Microsoft 365 Enterprise-planer
- Förstå prenumerationer och licenser i Microsoft 365 för företag
En stödd version av macOS. För mer information, se Microsoft Defender för Endpoint om macOS-systemkrav.
Defender för Endpoint-versionen 101.96.85 (januari 2023) eller senare.
Defender for Endpoint installerades och onboardades på de aktuella macOS-enheterna.

Permissions

De behörigheter som krävs för att distribuera en Device Control-policy beror på hanteringsverktyget:

Microsoft Intune: Ett konto med rollen Policy and Profile Manager och behörighetsområde för de användare eller enheter som tilldelas policyn. Mer information finns i behörigheter för Policy och profilhanteraren.
Jamf Pro: Ett konto som kan uppdatera och distribuera datorkonfigurationsprofiler.

Förbered dina slutpunkter

Innan du implementerar en enhetskontrollpolicy:

Giv full diskåtkomst till com.microsoft.dlp.daemon. Den nuvarande konfigurationsprofilen för Full Disk Access inkluderar denna behörighet.
I Defender för Endpoint-inställningarna, aktivera funktionen Data Loss Prevention (DLP) som är namngiven DC_in_dlp genom att sätta dess tillstånd till enabled.

Kör följande kommando i Terminal för att verifiera Defender for Endpoint-versionen:

mdatp version

Välj en distributionsmetod

Använd en av följande metoder för att distribuera eller testa en Device Control-policy:

Microsoft Intune: Distribuera policyn till hanterade enheter genom att använda en Intune-anpassad macOS-konfigurationsprofil.

Microsoft Intune är en separat produkt som inte ingår i Defender for Endpoint, och den ingår inte i alla prenumerationer. Om du vill använda Intune behöver du en prenumeration som innehåller den, eller så kan du köpa den separat som en fristående prenumeration eller ett tillägg. Mer information finns i Microsoft Intune licensiering.
Jamf Pro: Distribuera policyn till hanterade enheter genom att använda Defender for Endpoint-preferensschemat i en Jamf Pro-datorkonfigurationsprofil.

Jamf Pro är en separat produkt som inte ingår i Defender for Endpoint och ingår inte i Defender for Endpoint-prenumerationerna. För produkt- och prenumerationsinformation, se Jamf Pro.
Manuell testning: Applicera en lokal policy på en test-Mac innan du distribuerar policyn till hanterade enheter.

Förstå principer för enhetskontroll

En enhetskontrollpolicy för macOS är ett JSON-objekt med tre nödvändiga toppnivåegenskaper:

settings: Definierar aktiverade enhetstyper, standardkontroll och notifikationslänken.
groups: Definierar samlingar av enheter baserat på egenskaper som enhetsfamilj, leverantörs-ID, produkt-ID, serienummer eller krypteringstillstånd.
rules: Definierar åtkomstbeteendet för en eller flera enhetsgrupper.

Obs.

Använd exempel på Device Control-policyer för att förstå policyegenskaperna.

Du kan också använda Device Control-policykonverteringsskripten för att översätta en Windows-policy till macOS eller en macOS version 1-policy till version 2.

Det finns kända problem med enhetskontroll för macOS som kunderna bör överväga när de skapar principer.

Metodtips

Enhetskontroll för macOS och Enhetskontroll för Windows har liknande funktioner, men operativsystemen erbjuder olika sätt att hantera enheter:

macOS har ingen centraliserad Správca zariadení eller enhetsvy. Device Control tillåter eller nekar åtkomst för applikationer som interagerar med enheter. Som ett resultat erbjuder macOS mer detaljerade åtkomsttyper. Till exempel kan en portableDevice policy tillåta eller neka download_photos_from_device.
Använd generic_read, generic_write, och generic_execute om du inte behöver kontrollera en specifik operation. Policyer som använder generiska åtkomsttyper täcker fortfarande mer specifika åtkomsttyper som läggs till senare.
För att blockera alla operationer för en enhetstyp, skapa en deny policy som använder generiska åtkomsttyper. Vissa operationer kan förbli tillgängliga om applikationen som utför operationen inte stöds av Device Control för macOS.

Policyreferens för enhetskontroll

Använd följande avsnitt för att definiera inställningar, grupper, frågor, klausuler, regler, tillsynsbeteende och åtkomsttyper i en Device Control-policy.

Inställningar

Använd objektet settings för att aktivera enhetstyper, konfigurera standardkontroll och lägg till en länk till notifikationer.

Property	Beskrivning	Alternativ
`features`	Aktiverar eller inaktiverar enhetskontroll för specifika enhetstyper.	För varje enhetstyp ställer du in `disable` till `false` för att aktivera skydd eller till `true` för att inaktivera det. Denna artikel beskriver `removableMedia`, `appleDevice`, `portableDevice`, och `bluetoothDevice`. Standardvärdet är `true`.
`global`	Anger den åtgärd som ska användas när ingen regel matchar.	Ställ `defaultEnforcement` in till `allow` (standard) eller `deny`.
`ux`	Lägger till en länk till Device Control-notiser.	Sätt `navigationTarget` till en URL, såsom `https://support.contoso.com`.

Grupp

Arrayen groups innehåller ett eller flera enhetsgruppobjekt.

Property	Beskrivning	Alternativ
`$type`	Identifierar grupptypen.	Använd `device`.
`id`	Specificerar gruppens unika identifierare.	Använd en universellt unik identifierare (UUID). Generera en genom att använda New-Guid-cmdleten eller kommandot `uuidgen` på macOS.
`name`	Anger ett vänligt namn för gruppen.	Använd ett snöre.
`query`	Definierar vilka enheter som ingår i gruppen.	Använd en binär eller unär sökning.

Fråga

Device Control stöder binära frågor som kombinerar klausuler och unära frågor som upphäver en annan fråga.

`$type` värde	Nödvändig egendom	Behavior
`all` eller `and`	`clauses`	Enheten måste matcha varje klausul.
`any` eller `or`	`clauses`	Enheten måste matcha minst en klausul.
`not`	`query`	Upphäver den nästlade frågan.

Du kan kapsla in frågor. Fler exempel finns i exempelprinciper.

Klausul

Varje klausul kräver en $type egenskap och en motsvarande value.

Klausul `$type`	Value	Beskrivning
`primaryId`	`apple_devices`, `removable_media_devices`, `portable_devices`eller `bluetooth_devices`	Matchar en stödd enhetsfamilj.
`vendorId`	Fyrsiffrig hexadecimala sträng	Matchar leverantörs-ID för en enhet.
`productId`	Fyrsiffrig hexadecimalsträng	Överensstämmer med en enhets produkt-ID.
`serialNumber`	String	Matchar enhetens serienummer. Klausulen matchar inte en enhet som inte har något serienummer.
`mediaSerialNumber`	Integer	Matchar serienumret på ett Secure Digital-kort. Tillgänglig i version `101.26021` eller senare.
`mediaProductName`	String	Matchar produktnamnet på ett Secure Digital-kort. Tillgänglig i version `101.26021` eller senare.
`mediaApplicationId`	String	Matchar ansöknings-ID för ett Secure Digital-kort. Tillgänglig i version `101.26021` eller senare.
`encryption`	`apfs`	Matchar en APFS-krypterad flyttbar medieenhet.
`groupId`	UUID-sträng	Matchar en enhet som tillhör en annan grupp. Definiera den refererade gruppen tidigare i policyn.

Klausulen serialNumber gäller en ansluten enhet. , mediaProductName, och mediaApplicationId klausulerna mediaSerialNumbergäller för media som sätts in i en enhet, såsom ett Secure Digital-kort i en inbyggd kortläsare.

Regel för åtkomstpolicy

Arrayen rules innehåller ett eller flera accesspolicy-regelobjekt.

Property	Beskrivning	Alternativ
`id`	Specificerar den unika identifieraren för regeln.	Använd en UUID genererad med New-Guid eller `uuidgen`.
`name`	Anger regelns namn. Namnet kan förekomma i en användarnotis.	Använd ett snöre.
`includeGroups`	Identifierar grupper som en enhet måste tillhöra för att regeln ska gälla. Om den utelämnas gäller regeln för alla enheter.	Använd gruppvärden `id` . Flera grupper använder OCH logik.
`excludeGroups`	Identifierar grupper som förhindrar att regeln tillämpas.	Använd gruppvärden `id` . Flera grupper använder OR-logik.
`entries`	Definierar tillsynsbeteendet och kontrollerade åtkomsttyper.	Använd ett eller flera ingångsobjekt.

Varje post stöder följande egenskaper:

Property	Obligatoriskt	Beskrivning
`$type`	Yes	Specificerar `removableMedia`, `appleDevice`, `portableDevice`, `bluetoothDevice`, , eller `generic`.
`enforcement`	Yes	Specificerar ett `allow`, `deny`, `auditAllow`, eller `auditDeny` verkställande objekt.
`access`	Yes	Specificerar en eller flera enhetsspecifika eller generiska åtkomsttyper.
`id`	No	Specificerar ett valfritt UUID för posten.

Verkställighet

Ett verkställighetsobjekt kräver en $type egendom. Vissa typer av tillämpning stöder också eller kräver en options matris.

Tillsyn `$type`	`options` värden som stöds	Behavior
`allow`	`disable_audit_allow`	Tillåter åtkomst. Det här alternativet förhindrar att en händelse inträffar när en motsvarande `auditAllow`-post också är konfigurerad.
`deny`	`disable_audit_deny`	Nekar tillträde. Alternativet förhindrar en avisering eller händelse när en matchande post i `auditDeny` också är konfigurerad.
`auditAllow`	`send_event`	Skickar en händelse för tillåten åtkomst.
`auditDeny`	`send_event` och `show_notification`	Skickar en händelse eller visar en notis om nekad åtkomst.

Åtkomsttyper

De stödda åtkomsttyperna beror på posten $type.

Inträde `$type`	Åtkomstvärde	Generisk åtkomst	Beskrivning
`appleDevice`	`backup_device`	`generic_read`
`appleDevice`	`update_device`	`generic_write`
`appleDevice`	`download_photos_from_device`	`generic_read`	Laddar ner bilder från en iOS-enhet till den lokala enheten.
`appleDevice`	`download_files_from_device`	`generic_read`	Laddar ner filer från en iOS-enhet till den lokala enheten.
`appleDevice`	`sync_content_to_device`	`generic_write`	Synkroniserar innehåll från den lokala enheten till en iOS-enhet.
`portableDevice`	`download_files_from_device`	`generic_read`
`portableDevice`	`send_files_to_device`	`generic_write`
`portableDevice`	`download_photos_from_device`	`generic_read`
`portableDevice`	`debug`	`generic_execute`	Styr Android Debug Bridge (ADB)-åtkomst.
`removableMedia`	`read`	`generic_read`
`removableMedia`	`write`	`generic_write`
`removableMedia`	`execute`	`generic_execute`
`bluetoothDevice`	`download_files_from_device`	`generic_read`
`bluetoothDevice`	`send_files_to_device`	`generic_write`
`generic`	`generic_read`		Gäller för alla åtkomsttyper som mappas till generisk läsning.
`generic`	`generic_write`		Gäller för varje åtkomsttyp som mappas till generisk skrivning.
`generic`	`generic_execute`		Gäller för varje åtkomsttyp som mappas till generisk exekvering.

Slutanvändarupplevelse

När en policy nekar en operation och den matchande auditDeny posten inkluderar show_notification, ser användaren en Device Control-notifikation som identifierar den begränsade enheten.

Om policyn definierar settings.ux.navigationTarget, innehåller notifikationen en länk till den URL:en.

Verifiera enhetsstyrning

Efter att du har distribuerat en policy, verifiera Device Control-statusen och bekräfta att de förväntade preferenserna, reglerna och grupperna är aktiva. För instruktioner, se Verifiera enhetskontroll.

Visa enhetskontrollrapporter

Device Control-policyhändelser finns tillgängliga i avancerad jakt och Device Control-rapporten. För mer information, se Visa enhetskontrollhändelser och information.

Använd policyexempel

Exemplen på Device Control-policyer ger kompletta policyer för vanliga scenarier.

Neka flyttbara medier förutom godkända USB-enheter

Exemplet ”neka flyttbara medier utom Kingston” visar hur man:

Aktivera skydd för avtagbara medier och ställ in standardtillsyn till allow.
Skapa en grupp för alla flyttbara medier och en annan för godkända enheter.
Neka läs, skriv och kör åtkomst till flyttbara medier förutom enheter i den godkända gruppen.
Granska avvisade operationer, skicka händelser och visa användarnotiser.

Kända problemområden

Varning

På macOS 27 kan en lokal användare stänga av Bluetooth-åtkomst för Microsoft Defender för Endpoint även när en MDM-profil ger behörigheten BluetoothAlways till com.microsoft.dlp.agent. Om användaren stänger av denna behörighet kan Device Control inte upprätthålla policyer som begränsar Bluetooth-filöverföringar, även om MDM-profilen kan fortsätta rapportera att behörigheten är tillåten.

Om din organisation förlitar sig på Device Control för att begränsa Bluetooth-filöverföringar:

Validera Bluetooth-policyefterlevnad i din miljö innan du distribuerar macOS 27 brett.
Använd inte MDM-profilens installerade eller tillåtna status som enda bekräftelse på att Bluetooth-övervakning är aktiv.
Råda användare att inte ändra Microsoft Defender Bluetooth-behörigheten i Systeminställningar Integritet & Säkerhet Bluetooth.

För information om relaterade användarstyrbara behörigheter i macOS 27 och skyddsalternativ för webbläsar- och webbplatskontext, se Microsoft Purview Endpoint DLP-ändringar i macOS 27 översikt (förhandsvisning). De skyddsläge som beskrivs i Purview-guiden hindrar inte användare från att inaktivera Bluetooth-behörigheten.