Resurser för Microsoft Defender för Endpoint på macOS

  • Gäller för: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Använd mdatp kommandoradsverktyget för att konfigurera Microsoft Defender för Endpoint, köra skanningar, hantera upptäckta hot och kontrollera produktens hälsa på macOS-enheter. Du kan också samla in diagnostisk information, aktivera autokomplettering av kommandon, hantera karantänsfiler och avinstallera Defender for Endpoint.

För produktkrav och distributionsmetoder, se Förutsättningar för Microsoft Defender för Endpoint för macOS och Microsoft Defender för Endpoint för macOS.

Samla in diagnostikinformation

Om du kan återskapa ett problem kan du öka loggningsnivån, köra systemet under en viss tid och sedan återställa loggningsnivån till standardnivån.

  1. Ställ in loggningsnivån till debug:

    mdatp log level set --level debug

    Log level configured successfully

  2. Återskapa problemet.

  3. Skapa ett .zip arkiv som innehåller Defender for Endpoints diagnostiska loggar. Kommandot visar arkivvägen efter att det lyckats:

    Tips

    Som standard sparas diagnostikloggar i /Library/Application Support/Microsoft/Defender/wdavdiag/. För att använda en annan katalog, lägg till --path [directory] i kommandot och ersätt [directory] med destinationen.

    sudo mdatp diagnostic create

    Diagnostic file created: "/Library/Application Support/Microsoft/Defender/wdavdiag/932e68a8-8f2e-4ad0-a7f2-65eb97c0de01.zip"

  4. Återställ loggningsnivån till standardvärdet, info:

    mdatp log level set --level info

    Log level configured successfully

Granska installationsloggar

Om installationen misslyckas kan installatören bara rapportera ett allmänt fel. Detaljerad information finns tillgänglig i /Library/Logs/Microsoft/mdatp/install.log. Bifoga denna fil när du öppnar ett Microsoft-supportärende.

För mer felsökningsråd, se Felsökning av installationsproblem för Microsoft Defender för Endpoint på macOS.

Konfigurera från kommandoraden

Konfigurera utdataformatet

Kommandoradsverktyget stöder tabell- och JSON-utdata. Använd ett av följande globala alternativ med ett kommando:

  • --output json
  • --output table

Kommandon som stöds

Följande tabell listar kommandon för vanliga scenarier. För att se den kompletta listan över kommandon som stöds av din installerade produktversion, kör mdatp help i Terminal.

Grupp Scenario Kommando
Konfiguration Slå på eller av passivt läge mdatp config passive-mode --value [enabled/disabled]
Konfiguration Slå på eller av realtidsskydd mdatp config real-time-protection --value [enabled/disabled]
Konfiguration Slå på eller av beteendeövervakning mdatp config behavior-monitoring --value [enabled/disabled]
Konfiguration Slå på eller av molnskydd mdatp config cloud --value [enabled/disabled]
Konfiguration Slå på eller av molndiagnostik mdatp config cloud-diagnostic --value [enabled/disabled]
Konfiguration Aktivera eller inaktivera automatiskt inskick av exempel mdatp config cloud-automatic-sample-submission --value [enabled/disabled]
Konfiguration Blockera, granska eller stäng av potentiellt oönskat applikationsskydd mdatp threat policy set --type potentially_unwanted_application --action [block\|audit\|off]
Konfiguration Lägg till eller ta bort ett antivirusundantag för en process mdatp exclusion process [add\|remove] --path [path-to-process]

mdatp exclusion process [add\|remove] --name [process-name]
Konfiguration Lägg till eller ta bort ett antivirusundantag för en fil mdatp exclusion file [add/remove] --path [path-to-file]
Konfiguration Lägg till eller ta bort ett antivirusundantag för en katalog mdatp exclusion folder [add/remove] --path [path-to-directory]
Konfiguration Lägg till eller ta bort ett antivirusundantag för filändelsen mdatp exclusion extension [add/remove] --name [extension]
Konfiguration Visa en lista över alla antivirusundantag mdatp exclusion list
Konfiguration Konfigurera grad av parallellitet för genomsökningar på begäran mdatp config maximum-on-demand-scan-threads --value [numerical-value-between-1-and-64]
Konfiguration Slå på eller av skanningar efter uppdateringar av säkerhetsinformation mdatp config scan-after-definition-update --value [enabled/disabled]
Konfiguration Slå på eller av arkivskanning för skanningar på begäran mdatp config scan-archives --value [enabled/disabled]
Konfiguration Slå på eller av filhashberäkningen mdatp config enable-file-hash-computation --value [enabled/disabled]
Skydd Sök igenom en sökväg mdatp scan custom --path [path] [--ignore-exclusions]
Skydd Köra en snabbsökning mdatp scan quick
Skydd Kör en fullständig genomsökning mdatp scan full
Skydd Avbryta en pågående genomsökning på begäran mdatp scan cancel
Skydd Begära en säkerhetsinformationsuppdatering mdatp definitions update
Konfiguration Lägg till ett hotnamn i listan över tillåtna mdatp threat allowed add --name [threat-name]
Konfiguration Ta bort ett hotnamn från listan över tillåtna mdatp threat allowed remove --name [threat-name]
Konfiguration Lista alla tillåtna hotnamn mdatp threat allowed list
Skyddshistorik Skriv ut den fullständiga skyddshistoriken mdatp threat list
Skyddshistorik Hämta hotinformation mdatp threat get --id [threat-id]
Karantänhantering Visa en lista över alla filer i karantän mdatp threat quarantine list
Karantänhantering Ta bort alla filer från karantänen mdatp threat quarantine remove-all
Karantänhantering Lägga till en fil som identifieras som ett hot i karantänen mdatp threat quarantine add --id [threat-id]
Karantänhantering Ta bort en fil som identifierats som ett hot från karantänen mdatp threat quarantine remove --id [threat-id]
Karantänhantering Återställ en fil från karantänen. Tillgänglig i Defender för Endpoint-versioner tidigare än 101.23092.0012. mdatp threat quarantine restore --id [threat-id] --path [destination-folder]
Karantänhantering Återställ en fil från karantän genom att använda hot-ID:t. Tillgängligt i Defender för Endpoint-versionen 101.23092.0012 eller senare. mdatp threat quarantine restore threat-id --id [threat-id] --destination-path [destination-folder]
Karantänhantering Återställ en fil från karantän genom att använda dess ursprungliga sökväg. Tillgängligt i Defender för Endpoint-versionen 101.23092.0012 eller senare. mdatp threat quarantine restore threat-path --path [threat-original-path] --destination-path [destination-folder]
Nätverksskyddskonfiguration Konfigurera framtvingandenivån för nätverksskydd mdatp config network-protection enforcement-level --value [block\|audit\|disabled]
Nätverksskyddshantering Verifiera att nätverksskyddet startade framgångsrikt mdatp health --field network_protection_status
Hantering av enhetskontroll Se om enhetskontroll är aktiverad och dess standardnivå för tillsyn mdatp device-control policy preferences list
Hantering av enhetskontroll Visa de aktiva enhetskontrollreglerna mdatp device-control policy rules list
Hantering av enhetskontroll Visa grupperna som refereras av Device Control-policyn mdatp device-control policy groups list
Konfiguration Slå på eller av förebyggande dataförlust mdatp config data_loss_prevention --value [enabled/disabled]
Diagnostik Ändra loggnivå mdatp log level set --level [error\|warning\|info\|debug]
Diagnostik Generera diagnostikloggar mdatp diagnostic create --path [directory]
Hälsa Kontrollera produktens hälsa mdatp health
Hälsa Kontrollera en specifik produktattribut, såsom healthy, licensed, eller engine_version mdatp health --field [attribute]
EDR Sätt en enhetstagg. Endast GROUP stöds. mdatp edr tag set --name GROUP --value [name]
EDR Ta bort en grupptagg från enheten mdatp edr tag remove --tag-name [name]
EDR Lägg till ett grupp-ID mdatp edr group-ids --group-id [group]

Aktivera automatisk komplettering av kommandoraden

För att aktivera autokomplettering i Bash, lägg till Defender for Endpoint-fullbordandets skript i din Bash-profil och starta sedan om Terminal-sessionen:

echo "source /Applications/Microsoft\ Defender.app/Contents/Resources/Tools/mdatp_completion.bash" >> ~/.bash_profile

För att möjliggöra autokomplettering i Z-shell (zsh), följ dessa steg:

  1. Kontrollera om automatisk komplettering är aktiverat på enheten:

    cat ~/.zshrc | grep autoload

  2. Om kommandot inte ger någon utdata, aktivera autokomplettering i din zsh-profil:

    echo "autoload -Uz compinit && compinit" >> ~/.zshrc

  3. Skapa fullföljningskatalogen och länka Defender for Endpoint-fullföljningsskriptet:

    sudo mkdir -p /usr/local/share/zsh/site-functions

sudo ln -svf "/Applications/Microsoft Defender.app/Contents/Resources/Tools/mdatp_completion.zsh" /usr/local/share/zsh/site-functions/_mdatp

Hantera klientkarantänkatalogen

Defender for Endpoint lagrar karantänsade filer i /Library/Application Support/Microsoft/Defender/quarantine/. Filnamn använder hotspårnings-ID:t. För att se aktuella spårnings-ID:n, kör mdatp threat list. Använd kommandona mdatp threat quarantine för att hantera karantänerade filer istället för att ändra filerna direkt.

Avinstallera Defender for Endpoint

Innan du avinstallerar Defender for Endpoint, avinstallera enheten och ta bort eller uppdatera policyerna som hanterar den. Information om valfria taggar för att ta enheter ur bruk, krav på manipulationsskydd, offboarding-paket och rensning av principer för systemtillägg finns i Ta Mac-enheter ur bruk.

Du kan avinstallera appen interaktivt eller via kommandoraden. Om du hanterar enheter med Jamf Pro, distribuera offboardingprofilen innan du tar bort applikationen. Centralt hanterad avinstallation är för närvarande inte tillgänglig i Microsoft Intune.

Avinstallera interaktivt

I Finder, öppna Applikationer, ctrl-klicka på Microsoft Defender och välj sedan Flytta till papperskorgen.

Avinstallera från kommandoraden

Kör sudo '/Library/Application Support/Microsoft/Defender/uninstall/uninstall' i terminalen.

Avregistrera från Jamf Pro innan du avinstallerar

Jamf Pro är en separat tredjepartsprodukt som inte ingår i Defender for Endpoint och inte ingår i Defender for Endpoint-prenumerationer. För att använda Jamf Pro behöver din organisation en separat Jamf Pro-prenumeration. För produkt- och prenumerationsinformation, se Jamf Pro. Om din organisation inte använder Jamf Pro, använd en annan konfigurationsmetod i denna artikel, om den finns.

För att avboarda en enhet via Jamf Pro innan du tar bort applikationen, följ Jamfs instruktioner för att ladda upp en konfigurationsprofil. Ladda upp offboarding-profilen för Defender for Endpoint utan att ändra den och ställ in Preference Domain till com.microsoft.wdav.atp.offboarding.

Obs!

Om du har problem med att avinstallera Defender for Endpoint och rapporter innehåller ett element för Microsoft Defender Endpoint Security Extension, följ dessa steg:

  1. Installera om Microsoft Defender-appen.

  2. Dra Microsoft Defender.app till Papperskorgen.

  3. Kör följande kommando i Terminal:

    sudo '/Library/Application Support/Microsoft/Defender/uninstall/install_helper' execute --path '/Library/Application Support/Microsoft/Defender/uninstall/uninstall' --args --post-uninstall-hook

  4. Starta om enheten.

Använda Microsoft Defender-portalen

Använd Microsoft Defender-portalen för att granska upptäckter och vidta åtgärder på enheter. Mer information finns i följande resurser:

  • Uppdaterades senast