Distribuera Microsoft Defender för Endpoint på macOS med Microsoft Intune

Använd Microsoft Intune för att distribuera Microsoft Defender för Endpoint till hanterade macOS-enheter. Skapa de nödvändiga konfigurationsprofilerna, distribuera appen och onboardingpaketet och verifiera distributionen. Innan du börjar, gå igenom förkunskapskraven och systemkraven.

Procedurerna i denna artikel kräver Microsoft Intune. Intune är en separat produkt som inte ingår i Defender for Endpoint, och den ingår inte i alla prenumerationer. Du behöver en prenumeration som inkluderar Intune, eller så kan du köpa den separat. För licensinformation, se Microsoft Intune licensiering. För att jämföra denna metod med Jamf Pro, en annan lösning för hantering av mobila enheter, eller manuell distribution, se Deploy Defender for Endpoint på macOS.

Krav och systemkrav

Innan du börjar, granska Defender for Endpoint om macOS-kraven, inklusive produkt-, administratörs-, system-, behörighets- och nätverkskrav. För produktfunktioner och verifiering av delad distribution, se Microsoft Defender för Endpoint på macOS.

Översikt över distribution

Följande tabell sammanfattar profilerna och paketen som användes för att distribuera Defender for Endpoint på macOS med Intune.

Skapa systemkonfigurationsprofiler

Skapa de systemkonfigurationsprofiler som Microsoft Defender för Endpoint behöver.

De flesta steg i detta avsnitt använder en anpassad macOS-konfigurationsprofil. För detaljerade instruktioner, se Lägg till anpassade inställningar på Apple-enheter i Microsoft Intune (länken öppnas i en ny flik).

När ett steg säger åt dig att skapa en anpassad konfigurationsprofil, använd dessa vanliga inställningar under fliken Policyeri Enheter | Konfigurationssidan i Microsoft Intune admincenter på https://intune.microsoft.com/#view/Microsoft_Intune_DeviceSettings/DevicesMenu/~/configuration, genom att välja Skapa>ny policy:

• Plattform: Välj macOS.
• Profiltyp: Välj Mallar.
• Mallnamn: Välj Anpassad.

I Custom-guiden , konfigurera följande inställningar:

• Konfigurationsinställningar : Använd de profilspecifika inställningar som beskrivs i varje tillämplig process.
• Fliken Tilldelningar : Tilldela profilen till användaren eller enhetsgrupperna som ska få den. Du kan också lägga till scope-taggar och utesluta grupper från uppdraget.

Steg 1: Godkänn systemtillägg

Använd Intunes inställningskatalog för att godkänna de nödvändiga systemtilläggen. För detaljerade instruktioner, se Godkänd Microsoft Defender för Endpoint macOS-tillägg med hjälp av Intunes inställningskatalog.

I Skapa profil-guiden , konfigurera följande inställningar under fliken Konfigurationsinställningar :

• Systemkonfiguration>Systemtillägg>Tillåtna systemtillägg:
  • Tillåtna systemtillägg: Lägg till com.microsoft.wdav.epsext och com.microsoft.wdav.netext.
  • Teamidentifier: Ange UBF8T346G9.
• Systemkonfiguration>Systemtillägg>Tillåtna typer av systemtillägg:
  • Tillåtna systemtilläggstyper: Lägg till Network och EndpointSecurity.
  • Teamidentifier: Ange UBF8T346G9.

Steg 2: Nätverksfilter

Defender for Endpoint använder nätverkstillägget för inspektion av nätverksinnehåll. Nätverksfilterprofilen tillåter tillägget att inspektera socket-trafik.

Ladda ner netfilter.mobileconfig från lagringsplatsen för konfigurationsprofiler för Defender for Endpoint på macOS.

Skapa en anpassad konfigurationsprofil genom att använda de vanliga inställningarna som beskrivs i Skapa systemkonfigurationsprofiler. Använd dessa profilspecifika inställningar:

• fliken Grundläggande:
  • Namn: Ange ett beskrivande namn, till exempel macOS network filter.
• Fliken konfigurationsinställningar :
  • Konfigurationsprofilens namn: Ange ett beskrivande namn för profilen.
  • Distributionskanal: Välj enhetskanal.
  • Konfigurationsprofilfil: Välj filen netfilter.mobileconfig du laddade ner.

Steg 3: Fullständig diskåtkomst

Ladda ner fulldisk.mobileconfig från konfigurationsprofilarkivet för Defender for Endpoint på macOS.

Skapa en anpassad konfigurationsprofil genom att använda de vanliga inställningarna som beskrivs i Skapa systemkonfigurationsprofiler. Använd dessa profilspecifika inställningar:

• fliken Grundläggande:
  • Namn: Ange ett beskrivande namn, till exempel macOS full disk access.
• Fliken konfigurationsinställningar :
  • Konfigurationsprofilens namn: Ange ett beskrivande namn för profilen.
  • Distributionskanal: Välj enhetskanal.
  • Konfigurationsprofilfil: Välj filen fulldisk.mobileconfig du laddade ner.

Steg 4: Bakgrundstjänster

Ladda ner background_services.mobileconfig från konfigurationsprofilarkivet för Defender för Endpoint på macOS.

Skapa en anpassad konfigurationsprofil genom att använda de vanliga inställningarna som beskrivs i Skapa systemkonfigurationsprofiler. Använd dessa profilspecifika inställningar:

• fliken Grundläggande:
  • Namn: Ange ett beskrivande namn, till exempel macOS background services.
• Fliken konfigurationsinställningar :
  • Konfigurationsprofilens namn: Ange ett beskrivande namn för profilen.
  • Distributionskanal: Välj enhetskanal.
  • Konfigurationsprofilfil: Välj filen background_services.mobileconfig du laddade ner.

Steg 5: Meddelanden

Denna profil gör det möjligt för Defender for Endpoint och Microsoft AutoUpdate att visa notiser.

Ladda ner notif.mobileconfig från lagringsplatsen för konfigurationsprofiler för Defender for Endpoint på macOS.

För att dölja notiser för användare, byt ShowInNotificationCenter från true till false för relevant app i notif.mobileconfig.

Skapa en anpassad konfigurationsprofil genom att använda de vanliga inställningarna som beskrivs i Skapa systemkonfigurationsprofiler. Använd dessa profilspecifika inställningar:

• fliken Grundläggande:
  • Namn: Ange ett beskrivande namn, till exempel macOS notifications consent.
• Fliken konfigurationsinställningar :
  • Konfigurationsprofilens namn: Ange ett beskrivande namn för profilen.
  • Distributionskanal: Välj enhetskanal.
  • Konfigurationsprofilfil: Välj filen notif.mobileconfig du laddade ner.

Steg 6: Hjälpmedelsinställningar

Denna profil ger tillgänglighetsbehörighet till komponenten com.microsoft.dlp.daemon .

Ladda ner accessibility.mobileconfig från arkivet för konfigurationsprofiler för Defender for Endpoint på macOS.

Skapa en anpassad konfigurationsprofil genom att använda de vanliga inställningarna som beskrivs i Skapa systemkonfigurationsprofiler. Använd dessa profilspecifika inställningar:

• fliken Grundläggande:
  • Namn: Ange ett beskrivande namn, till exempel macOS accessibility settings.
• Fliken konfigurationsinställningar :
  • Konfigurationsprofilens namn: Ange ett beskrivande namn för profilen.
  • Distributionskanal: Välj enhetskanal.
  • Konfigurationsprofilfil: Välj filen accessibility.mobileconfig du laddade ner.

Steg 7: Bluetooth-behörigheter (valfritt)

Ladda ner bluetooth.mobileconfig från GitHub-arkivet.

Skapa en anpassad konfigurationsprofil genom att använda de vanliga inställningarna som beskrivs i Skapa systemkonfigurationsprofiler. Använd dessa profilspecifika inställningar:

• fliken Grundläggande:
  • Namn: Ange ett beskrivande namn, till exempel macOS Bluetooth consent.
• Fliken konfigurationsinställningar :
  • Konfigurationsprofilens namn: Ange ett beskrivande namn för profilen.
  • Distributionskanal: Välj enhetskanal.
  • Konfigurationsprofilfil: Välj filen bluetooth.mobileconfig du laddade ner.

Steg 8: Microsoft AutoUpdate

Denna profil konfigurerar Microsoft AutoUpdate för att uppdatera Defender för Endpoint. Välj en av följande uppdateringskanaler:

• Beta
• Preview
• Current

Mer information finns i Distribuera uppdateringar för Microsoft Defender för Endpoint på macOS.

Ladda ner com.microsoft.autoupdate2.mobileconfig från lagringsplatsen för Microsoft AutoUpdate-inställningar.

Skapa en anpassad konfigurationsprofil genom att använda de vanliga inställningarna som beskrivs i Skapa systemkonfigurationsprofiler. Använd dessa profilspecifika inställningar:

• fliken Grundläggande:
  • Namn: Ange ett beskrivande namn, till exempel macOS Microsoft AutoUpdate.
• Fliken konfigurationsinställningar :
  • Konfigurationsprofilens namn: Ange ett beskrivande namn för profilen.
  • Distributionskanal: Välj enhetskanal.
  • Konfigurationsprofilfil: Välj filen com.microsoft.autoupdate2.mobileconfig du laddade ner.

Steg 9: Microsoft Defender för Endpoint konfigurationsinställningar

Konfigurera antimalware- och EDR-policyer genom att använda antingen Microsoft Defender-portalen i steg 9a eller Microsoft Intune administrationscenter i steg 9b.

9a. Ställ in policyer i Microsoft Defender-portalen

Om din organisation hanterar endpoint-säkerhetspolicys i Microsoft Defender-portalen kan du konfigurera antivirus- och endpoint detection and response (EDR)-inställningar med samma endpoint-säkerhetspolicys som Intune använder.

För detaljerade instruktioner, se Skapa en endpoint säkerhetspolicy eller Redigera en endpoint security policy (länkar öppnas i nya flikar).

Innan du skapar policyerna, konfigurera anslutningen mellan Microsoft Defender för Endpoint och Intune.

När du skapar endpoint security antivirus-policyn under fliken macOS policies på sidan Endpoint security policies i Defender-portalen på https://security.microsoft.com/policy-inventory?osPlatform=Mac, använd dessa specifika inställningar:

• Välj plattform: Välj macOS.
• Välj mall: Välj Microsoft Defender Antivirus.

Konfigurera de antivirusinställningar som krävs av din organisation. Skapa sedan en annan policy med följande inställningar:

• Välj plattform: Välj macOS.
• Välj mall: Välj Endpoint-detektering och svar.

9b. Ange principer i Microsoft Intune

Om du vill skapa den här profilen kopierar du koden för den Intune rekommenderade profilen (rekommenderas) eller den Intune fullständiga profilen (för avancerade scenarier) och sparar filen som com.microsoft.wdav.xml.

Skapa en anpassad konfigurationsprofil genom att använda de vanliga inställningarna som beskrivs i Skapa systemkonfigurationsprofiler. Använd dessa profilspecifika inställningar:

• fliken Grundläggande:
  • Namn: Ange ett beskrivande namn, till exempel macOS Microsoft Defender preferences.
• Fliken konfigurationsinställningar :
  • Konfigurationsprofilens namn: Enter com.microsoft.wdav.
  • Distributionskanal: Välj enhetskanal.
  • Konfigurationsprofilfil: Välj filen com.microsoft.wdav.xml du skapade.

Mer information finns i Ange inställningar för Microsoft Defender för Endpoint på macOS.

Mer information om hur du hanterar säkerhetsinställningar finns i:

• Hantera Microsoft Defender för Endpoint på enheter med Microsoft Intune
• Hantera säkerhetsinställningar för Windows, macOS och Linux internt i Defender för Endpoint

Steg 10: Nätverksskydd för Microsoft Defender för Endpoint på macOS (valfritt)

Konfigurera nätverksskydd i Microsoft Defender Antivirus-policyn eller i Defender for Endpoint-inställningsprofilen som du skapade i steg 9.

För krav, konfigurationsalternativ och verifieringssteg, se Nätverksskydd för macOS.

Steg 11: Enhetskontroll för Microsoft Defender för Endpoint på macOS (valfritt)

Enhetskontroll kräver Full Diskåtkomst för com.microsoft.dlp.daemon och separata inställningar och policyer för enhetskontroll. Profilen fulldisk.mobileconfig i steg 3 innehåller den nödvändiga behörigheten för fullständig diskåtkomst.

För krav och konfigurationsinstruktioner, se Device Control for macOS.

Steg 12: Publicera Microsoft Defender-programmet

Publicera Microsoft Defender-appen till enheter som är registrerade i Intune. För detaljerade instruktioner, se Lägg till Microsoft Defender för Endpoint på macOS-enheter med Microsoft Intune (länken öppnas i en ny flik).

På appen | Alla appar-sidan i Microsoft Intune admincenter på https://intune.microsoft.com/#view/Microsoft_Intune_DeviceSettings/AppsMenu/~/allApps, välj Skapa. I panelen Välj apptyp, under Microsoft Defender för Endpoint, välj macOS.

I guiden Lägg till app , konfigurera följande inställningar:

• Appinformationsflik : Behåll standardvärdena.
• Fliken Tilldelningar : Tilldela appen till användar- eller enhetsgrupper som ska ta emot den.

Steg 13: Ladda ned Microsoft Defender för Endpoint onboarding-paketet

Så här laddar du ned registreringspaketet från Microsoft Defender-portalen:

1. På introduktionssidan i Microsoft Defender-portalen på https://security.microsoft.com/securitysettings/endpoints/onboarding, konfigurera följande inställningar:

   1. Välj operativsystem för att starta onboardingprocessen: Välj macOS.

   2. Anslutningstyp: Verifiera att Streamlined är vald.

   3. Distributionsmetod: Välj Mobile Správa zariadení / Microsoft Intune.

      

2. Välj Ladda ner onboardingpaketet, och spara GatewayWindowsDefenderATPOnboardingPackage.zip.

3. Extrahera innehållet i ZIP-filen så att du kan distribuera WindowsDefenderATPOnboarding.xml via Intune:

   unzip GatewayWindowsDefenderATPOnboardingPackage.zip
   

   Archive:  GatewayWindowsDefenderATPOnboardingPackage.zip
   warning:  GatewayWindowsDefenderATPOnboardingPackage.zip appears to use backslashes as path separators
    inflating: intune/kext.xml
    inflating: intune/WindowsDefenderATPOnboarding.xml
    inflating: jamf/WindowsDefenderATPOnboarding.plist
   

Steg 14: Distribuera Microsoft Defender för Endpoint-onboardingpaketet för macOS

Den här profilen innehåller licensinformation för Microsoft Defender för Endpoint.

Skapa en anpassad konfigurationsprofil genom att använda de vanliga inställningarna som beskrivs i Skapa systemkonfigurationsprofiler. Använd dessa profilspecifika inställningar:

• fliken Grundläggande:
  • Namn: Ange ett beskrivande namn, till exempel Microsoft Defender för Endpoint onboarding for macOS.
• Fliken konfigurationsinställningar :
  • Konfigurationsprofilens namn: Ange ett beskrivande namn för profilen.
  • Distributionskanal: Välj enhetskanal.
  • Konfigurationsprofilfil: Välj filen WindowsDefenderATPOnboarding.xml som du extraherat från onboarding-paketet.

Steg 15: Kontrollera enhets- och konfigurationsstatus

Steg 15a. Visa status

Använd policyrapporten i Intunes admincenter för att se enhetens och användarens incheckningsstatus:

1. På Enheter | Konfigurationssidan i Intunes admincenter på https://intune.microsoft.com/#view/Microsoft_Intune_DeviceSettings/DevicesMenu/~/configuration, välj en policy.

2. Vid Enhets- och användarincheckningsstatus, välj Visa rapport.

Steg 15b. Registrera en klientenhet

Använd Company Portal för att registrera macOS-enheten:

1. Följ stegen i Registrera din Mac med Intune Company Portal.

2. När registreringen är klar, kontrollera att enheten finns listad på sidan Alla enheter i Intunes admincenter på https://intune.microsoft.com/#view/Microsoft_Intune_Devices/DevicesMenu/~/allDevices.

Steg 15c. Verifiera klientenhetens tillstånd

Verifiera profilerna och appen på den hanterade enheten:

1. Efter att konfigurationsprofilerna har distribuerats, öppna Systeminställningar>General>Správa zariadení på macOS-enheten.

2. Verifiera att konfigurationsprofilerna för din distribution finns och är installerade:

   • accessibility.mobileconfig, om utplacerad.
   • background_services.mobileconfig
   • bluetooth.mobileconfig, om utplacerad.
   • com.microsoft.autoupdate2.mobileconfig
   • fulldisk.mobileconfig
   • Management Profile, vilket är Intunes systemprofil.
   • WindowsDefenderATPOnboarding.xml, vilket är introduktionspaketet för Defender for Endpoint.
   • netfilter.mobileconfig
   • notif.mobileconfig

3. Kontrollera att Microsoft Defender-ikonen visas i menyfältet.

   

Steg 16: Kontrollera identifiering av skadlig kod

Kör ett antivirusdetekteringstest för att verifiera att enheten är inloggad och rapporterar korrekt.

Steg 17: Kontrollera EDR-detektionen

Kör ett EDR-detekteringstest för att verifiera att endpoint-detektering och respons fungerar och rapporterar korrekt.

Steg 18: Microsoft Purview Endpoint Data Loss Prevention för macOS (starkt rekommenderad)

För att onboarda enheten till Microsoft Purview och konfigurera Endpoint Data Loss Prevention (DLP), se Kom igång med Endpoint DLP.

Felsökning

• Problem: Defender for Endpoint rapporterar att ingen licens hittades.
• Orsak: Enhetens registrering har inte slutförts.
• Lösning: Ladda ner onboarding-paketet enligt steg 13 och distribuera det enligt steg 14.

Loggningsproblem vid installation

Se loggningsproblem vid installation för att hitta loggen som installationsprogrammet automatiskt skapar när ett fel inträffar.

Information om felsökningsprocedurer finns i:

• Felsöka problem med systemtillägg i Microsoft Defender för Endpoint på macOS
• Felsöka installationsproblem för Microsoft Defender för Endpoint på macOS
• Felsöka licensproblem för Microsoft Defender för Endpoint på macOS
• Felsöka problem med molnanslutning för Microsoft Defender för Endpoint på macOS
• Felsöka prestandaproblem för Microsoft Defender för Endpoint på macOS

Avinstallera Defender for Endpoint

Se Avinstallera Defender for Endpoint på macOS för instruktioner.