Schemalägga genomsökningar med Microsoft Defender för Endpoint på macOS

  • Gäller för: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Den här artikeln beskriver hur du konfigurerar schemalagda genomsökningar i Microsoft Defender för Endpoint på macOS med hjälp av inbyggda inställningar för schemalagd genomsökning, plist-konfigurationsprofiler eller kommandoradsverktyget mdatp. Granska förutsättningarna innan du börjar.

Använd de inbyggda schemalagda genomsökningsinställningarna i Microsoft Defender för Endpoint på macOS

Du kan starta en hotgenomsökning när som helst med Microsoft Defender för Endpoint, men ditt företag kan dra nytta av schemalagda eller tidsindelade genomsökningar. Du kan till exempel schemalägga en genomsökning så att den körs i början av varje arbetsdag eller vecka.

Det finns tre typer av schemalagda genomsökningar som kan konfigureras: genomsökningar per timme, varje dag och varje vecka. Schemalagda genomsökningar varje timme och varje dag körs alltid som snabbgenomsökningar. Genomsökningar varje vecka kan konfigureras som antingen snabba eller fullständiga genomsökningar. Det går att ha alla tre typerna av schemalagda genomsökningar samtidigt. Se exemplet för daglig och veckovis genomsökning och genomsökningsexemplet varje timme, varje dag och varje vecka.

Förutsättningar:

  • Version av plattformsuppdatering: 101.23122.0005 eller senare.

Schemalägg genomsökningar genom att distribuera en plist i Microsoft Defender för Endpoint på macOS

Du kan skapa en schemalagd genomsökning för macOS, som är inbyggd i Microsoft Defender för Endpoint på macOS.

Mer information om filformatet .plist som används i dessa exempel finns i filreferensen för Apple Information Property List, som beskriver xml-nyckelvärdesstrukturen som används för att definiera konfigurationsprofiler i macOS.

Plist-konfigurationen för dagliga och veckovisa schemalagda genomsökningar i macOS använder de parametrar som beskrivs i följande tabell.

Tips

Schemaläggning baseras på enhetens lokala tidszon.

Parameter Godkända värden för den här parametern är:
scheduledScan enabled eller disabled
scanType quick eller full
ignoreExclusions true eller false
lowPriorityScheduledScan true eller false
dayOfWeek Intervallet är mellan 0 och 8.
- 0:Vardagliga
- 1:Söndag
- 2:Måndag
- 3:Tisdag
- 4:Onsdag
- 5:Torsdag
- 6:Fredag
- 7:Lördag
- 8:Aldrig
timeOfDay Anger tid på dagen, som antalet minutes after midnight, för att utföra en schemalagd genomsökning. Tiden refererar till den lokala tiden på datorn. Om du inte anger något värde för den här parametern körs en schemalagd genomsökning vid en standardtid på två timmar efter midnatt.
interval 0 (aldrig), every 1 (timme) till every 24 (timmar, en genomsökning per dag)
randomizeScanStartTime Gäller endast för dagliga snabbgenomsökningar eller veckovisa snabba/fullständiga genomsökningar. Randomisera starttiden för genomsökningen med upp till angivet antal timmar.
Om en genomsökning till exempel är schemalagd till 14:00 och randomizeScanStartTime är inställd på 2, påbörjas genomsökningen vid en slumpmässig tidpunkt mellan 14:00 och 16:00.

Din schemalagda genomsökning körs på det datum, vid den tidpunkt och med den frekvens som du definierade i din plist.

Exempel 1: Schemalägga en daglig snabbsökning och en fullständig genomsökning varje vecka med hjälp av en plist

I följande exempel är den dagliga snabbgenomsökningskonfigurationen inställd på att köras 885 minuter efter midnatt (14:45). Veckokonfigurationen är inställd på att köra en fullständig genomsökning på onsdag klockan 880 minuter efter midnatt (14:40). Och den är inställd på att ignorera undantag och köra en genomsökning med låg prioritet.

Använd det plist-schema som visas här för att konfigurera en daglig snabbsökning och en fullständig genomsökning varje vecka med de schemalagda genomsökningsparametrarna som beskrivs i tabellen med schemalagda genomsökningsparametrar i den här artikeln.

Öppna en textredigerare och använd exemplen i Intune mobileconfig och JamF plist som följer som en guide för din egen schemalagda genomsökningsfil.

För Intune

Följande mobileconfig plist-exempel definierar en fullständig Intune-konfigurationsprofil som möjliggör schemalagd genomsökning med en daglig snabbsökning och en fullständig genomsökning varje vecka.

<?xml version="1.0" encoding="UTF-8"?> 
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd"> 
<plist version="1.0"> 
<dict> 
    <key>PayloadUUID</key>
    <string>C4E6A782-0C8D-44AB-A025-EB893987A295</string>
    <key>PayloadType</key>
    <string>Configuration</string>
    <key>PayloadOrganization</key>
    <string>Microsoft</string>
    <key>PayloadIdentifier</key>
    <string>C4E6A782-0C8D-44AB-A025-EB893987A295</string>
    <key>PayloadDisplayName</key>
    <string>Microsoft Defender for Endpoint settings</string>
    <key>PayloadDescription</key>
    <string>Microsoft Defender for Endpoint configuration settings</string>
    <key>PayloadVersion</key>
    <integer>1</integer>
    <key>PayloadEnabled</key>
    <true/>
    <key>PayloadRemovalDisallowed</key>
    <true/>
    <key>PayloadScope</key>
    <string>System</string>
    <key>PayloadContent</key>
    <array>
        <dict>
            <key>PayloadUUID</key>
            <string>99DBC2BC-3B3A-46A2-A413-C8F9BB9A7295</string>
            <key>PayloadType</key>
            <string>com.microsoft.wdav</string>
            <key>PayloadOrganization</key>
            <string>Microsoft</string>
            <key>PayloadIdentifier</key>
            <string>99DBC2BC-3B3A-46A2-A413-C8F9BB9A7295</string>
            <key>PayloadDisplayName</key>
            <string>Microsoft Defender for Endpoint configuration settings</string>
            <key>PayloadDescription</key>
            <string/>
            <key>PayloadVersion</key>
            <integer>1</integer>
            <key>PayloadEnabled</key>
            <true/>
            <key>features</key> 
            <dict>
                <key>scheduledScan</key> 
                <string>enabled</string> 
            </dict> 
            <key>scheduledScan</key> 
            <dict> 
                <key>ignoreExclusions</key> 
                <true/> 
                <key>lowPriorityScheduledScan</key> 
                <true/> 
                <key>dailyConfiguration</key> 
                <dict> 
                    <key>timeOfDay</key> 
                    <integer>880</integer> 
                </dict> 
                <key>weeklyConfiguration</key> 
                <dict> 
                    <key>dayOfWeek</key> 
                    <integer>4</integer> 
                    <key>timeOfDay</key> 
                    <integer>885</integer> 
                    <key>scanType</key> 
                    <string>full</string>
                </dict>
            </dict> 
        </dict>
    </array>
</dict> 
</plist>
  • Spara filen som com.microsoft.wdav.mobileconfig.

För JamF och andra MDM:er från tredje part

Följande plist-exempel konfigurerar samma inställningar för daglig snabbgenomsökning och veckovis fullständig genomsökning för JamF och andra MDM-lösningar från tredje part. Spara det här innehållet som com.microsoft.wdav.plist.

<?xml version="1.0" encoding="UTF-8"?> 
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd"> 
<plist version="1.0"> 
<dict> 
    <key>features</key> 
    <dict> 
        <key>scheduledScan</key> 
        <string>enabled</string> 
    </dict> 
    <key>scheduledScan</key> 
    <dict> 
        <key>ignoreExclusions</key> 
        <true/> 
        <key>lowPriorityScheduledScan</key> 
        <true/> 
        <key>dailyConfiguration</key> 
        <dict> 
            <key>timeOfDay</key> 
            <integer>885</integer> 
        </dict> 
        <key>weeklyConfiguration</key> 
        <dict> 
            <key>dayOfWeek</key> 
            <integer>4</integer> 
            <key>timeOfDay</key> 
            <integer>880</integer> 
            <key>scanType</key> 
            <string>full</string> 
        </dict> 
    </dict> 
</dict> 
</plist>

  1. Spara filen som com.microsoft.wdav.plist.

  2. Kontrollera att den schemalagda genomsökningen har konfigurerats via en "Ange inställning"

    mdatp health --details scheduled_scan

I resultaten ska du kunna se [hanterat].

Exempel 2: Schemalägga en snabbsökning per timme, en daglig snabbsökning och en fullständig genomsökning varje vecka med hjälp av en plist

I det här schemalagda genomsökningsexemplet varje timme, varje dag och varje vecka körs en snabbsökning per timme var 6:e timme, en daglig snabbsökning är inställd på att köras 885 minuter efter midnatt (14:45) och en veckovis fullständig genomsökning körs på onsdagar kl. 880 minuter efter midnatt (14:40).

Öppna en textredigerare och använd exemplen i Intune mobileconfig och JamF plist som följer som en guide för din egen schemalagda genomsökningsfil.

För Intune:

Följande mobileconfig-plistexempel paketerar de timvisa, dagliga och veckovisa schemalagda genomsökningsinställningarna för Defender i en fullständig Intune-konfigurationsprofil. Använd det här exemplet för att distribuera den schemalagda genomsökningskonfigurationen via Intune.

<?xml version="1.0" encoding="UTF-8"?> 
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd"> 
<plist version="1.0"> 
<dict> 
     <key>PayloadUUID</key>
     <string>C4E6A782-0C8D-44AB-A025-EB893987A295</string>
     <key>PayloadType</key>
     <string>Configuration</string>
     <key>PayloadOrganization</key>
     <string>Microsoft</string>
     <key>PayloadIdentifier</key>
     <string>C4E6A782-0C8D-44AB-A025-EB893987A295</string>
     <key>PayloadDisplayName</key>
     <string>Microsoft Defender for Endpoint settings</string>
     <key>PayloadDescription</key>
     <string>Microsoft Defender for Endpoint configuration settings</string>
     <key>PayloadVersion</key>
     <integer>1</integer>
     <key>PayloadEnabled</key>
     <true/>
     <key>PayloadRemovalDisallowed</key>
     <true/>
     <key>PayloadScope</key>
     <string>System</string>
     <key>PayloadContent</key>
     <array>
       <dict>
           <key>PayloadUUID</key>
           <string>99DBC2BC-3B3A-46A2-A413-C8F9BB9A7295</string>
           <key>PayloadType</key>
           <string>com.microsoft.wdav</string>
           <key>PayloadOrganization</key>
           <string>Microsoft</string>
           <key>PayloadIdentifier</key>
           <string>99DBC2BC-3B3A-46A2-A413-C8F9BB9A7295</string>
           <key>PayloadDisplayName</key>
           <string>Microsoft Defender for Endpoint configuration settings</string>
           <key>PayloadDescription</key>
           <string/>
           <key>PayloadVersion</key>
           <integer>1</integer>
           <key>PayloadEnabled</key>
           <true/>
    <key>features</key> 
    <dict> 
        <key>scheduledScan</key> 
        <string>enabled</string> 
    </dict> 
<key>scheduledScan</key> 
<dict> 
    <key>ignoreExclusions</key> 
    <true/> 
    <key>lowPriorityScheduledScan</key> 
    <true/> 
    <key>dailyConfiguration</key> 
    <dict> 
        <key>timeOfDay</key> 
        <integer>885</integer> 
        <key>interval</key> 
        <string>1</string> 
    </dict> 
    <key>weeklyConfiguration</key> 
    <dict> 
        <key>dayOfWeek</key> 
        <integer>4</integer> 
        <key>timeOfDay</key> 
        <integer>880</integer> 
        <key>scanType</key> 
        <string>full</string> 
        </dict> 
        </dict> 
    </dict> 
</array>
</dict>
</plist>
  • Spara filen som com.microsoft.wdav.mobileconfig.

För JamF och andra MDM:er från tredje part

Följande plist-exempel konfigurerar samma schemalagda genomsökningsinställningar per timme, dag och vecka för JamF och andra MDM-lösningar från tredje part. Spara det här innehållet som com.microsoft.wdav.plist.

    <?xml version="1.0" encoding="UTF-8"?> 
    <!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.  dtd"> 
    <plist version="1.0"> 
    <dict> 
        <key>features</key> 
        <dict> 
            <key>scheduledScan</key> 
            <string>enabled</string> 
        </dict> 
    <key>scheduledScan</key> 
    <dict> 
        <key>ignoreExclusions</key> 
        <true/> 
        <key>lowPriorityScheduledScan</key> 
        <true/> 
        <key>dailyConfiguration</key> 
        <dict> 
            <key>timeOfDay</key> 
            <integer>885</integer> 
            <key>interval</key> 
            <string>1</string> 
        </dict> 
        <key>weeklyConfiguration</key> 
        <dict> 
            <key>dayOfWeek</key> 
            <integer>4</integer> 
            <key>timeOfDay</key> 
            <integer>880</integer> 
            <key>scanType</key> 
            <string>full</string> 
            </dict> 
            </dict> 
        </dict> 
    </plist>
  1. Spara filen som com.microsoft.wdav.plist.

Ladda upp plist-filen till Jamf Pro

Använd dessa steg för att ladda upp något av JamF plist-exemplen från Exempel 1 eller Exempel 2 till Jamf Pro:

  1. Gå till Konfigurationsprofiler för datorer > .

  2. Skapa en ny profil.

  3. Lägg till program och anpassade inställningar.

  4. Ange inställningsdomänen till com.microsoft.wdav.

  5. Klistra in innehållet i .plist filen i konfigurationsfältet.

  6. Kontrollera att den schemalagda genomsökningen har konfigurerats via en "Ange inställning"

    mdatp health --details scheduled_scan

    I resultaten ska du kunna se [hanterat].

Konfigurera schemalagda genomsökningar med mdatp CLI

Kommandoradsverktyget Microsoft Defender för Endpoint (mdatp) innehåller kommandon för att konfigurera schemalagda genomsökningar direkt från terminalen.

Så här aktiverar du funktionen för schemalagd genomsökning:

Version Kommando
Version 101.23122.x eller senare sudo mdatp config scheduled-scan settings feature --value enabled

Så här schemalägger du snabbgenomsökningar varje timme:

Version Kommando
Version 101.23122.x eller senare sudo mdatp config scheduled-scan quick-scan hourly-interval --value \<arg\>

Skärmbild av schemalagd genomsökning varje timme.

Så här schemalägger du dagliga snabbgenomsökningar:

Version Kommando
Version 101.23122.x eller senare sudo mdatp config scheduled-scan quick-scan time-of-day --value \<arg\>

Skärmbild av schemaläggning av daglig snabbsökning.

Så här schemalägger du veckogenomsökningar:

Version Kommando
Version 101.23122.x eller senare sudo mdatp config scheduled-scan weekly-scan --day-of-week \<arg\> --time-of-day \<arg\>--scan-type \<arg\>

Skärmbild av schemalagd veckogenomsökning.

Du kan också konfigurera definitionsuppdateringar och trådning med låg prioritet för schemalagda genomsökningar:

  • Så här söker du efter definitionsuppdateringar före schemalagda genomsökningar:

    sudo mdatp config scheduled-scan settings check-for-definitions --value true

  • Så här använder du trådar med låg prioritet för schemalagd genomsökning:

    sudo mdatp config scheduled-scan settings low-priority --value true

Kontrollera att den schemalagda genomsökningen kördes

Om du vill visa en lista över slutförda schemalagda genomsökningar och deras resultat kör du mdatp scan list:

Skärmbild av schema som kördes. \<snip\>

Skärmbild som visar att schemat kördes utan problem.

Viktigt

Schemalagda genomsökningar körs inte vid den schemalagda tiden när enheten är i viloläge. I stället körs schemalagda genomsökningar när enheten återupptas från viloläge. Om enheten är avstängd körs genomsökningen vid nästa schemalagda genomsökningstid.

  • Last updated on