Schemalägga genomsökningar med Microsoft Defender för Endpoint på macOS

Schemalagda antivirusskanningar hjälper till att säkerställa att macOS-enheter skannas regelbundet utan att användarna måste starta skanningarna. Säkerhetsadministratörer kan konfigurera timvisa eller dagliga snabba skanningar samt veckovisa snabba eller fullständiga skanningar, och använda flera scheman på samma enhet. Använd denna vägledning för att distribuera skanningsscheman via en mobil enhetshantering (MDM)-profil eller konfigurera dem lokalt med kommandoradsverktyget mdatp .

Förutsättningar

• Gå igenom de gemensamma förutsättningarna för Defender for Endpoint på macOS.
• Installera Defender för Endpoint-plattformens uppdateringsversion 101.23122.0005 eller senare.

Förstå schemalagda skanningsalternativ

Förutom att starta skanningar på begäran, schemalägg skanningarna att köras med regelbundna intervaller eller specifika tider. Till exempel, boka en snabb skanning i början av varje arbetsdag och en fullständig skanning en gång i veckan.

Defender for Endpoint stödjer tim-, dagligdags- och veckoscheman. Tim- och dagliga scheman kör snabba genomsökningar. Veckoscheman kan köra snabba eller fullständiga genomsökningar. Du kan konfigurera alla tre schematyper samtidigt. Se exemplet för daglig och veckovis genomsökning och genomsökningsexemplet varje timme, varje dag och varje vecka.

Schemalägg skanningar med en konfigurationsprofil

Använd features och scheduledScan-ordlistorna i en konfigurationsprofil för Defender for Endpoint för att skapa schemalagda genomsökningar.

Exemplen med Microsoft Intune och Jamf Pro använder Apples egenskapslista XML. Spara Intune-profiler med tillägget .xml och Jamf Pro-egenskapslistorna med tillägget .plist . För mer information om XML-formatet, se Apple Information Property List-filreferensen.

Använd följande inställningar för att definiera skanningsscheman:

De dagliga interval och timeOfDay inställningarna skapar oberoende snabbscanningsscheman. Om du konfigurerar båda inställningarna kan mer än en snabb skanning köras varje dag.

Exempel 1: Schemalägg en daglig snabb skanning och en veckovis fullständig skanning

Följande profiler visar en daglig snabbskanning och en veckovis fullständig skanning på onsdagar. Båda profilerna ignorerar undantag och använder schemaläggning med låg prioritet.

Använd tabellen för schemalagda skanningsinställningar för att ersätta exempeltiderna med de värden som din organisation kräver.

Öppna en textredigerare och använd Intune-profilen eller Jamf Pro-egenskapslistan som en guide.

För Microsoft Intune

Följande exempel definierar en komplett Intune-konfigurationsprofil som möjliggör en daglig snabbskanning och en veckovis fullständig skanning.

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
    <key>PayloadUUID</key>
    <string>C4E6A782-0C8D-44AB-A025-EB893987A295</string>
    <key>PayloadType</key>
    <string>Configuration</string>
    <key>PayloadOrganization</key>
    <string>Microsoft</string>
    <key>PayloadIdentifier</key>
    <string>C4E6A782-0C8D-44AB-A025-EB893987A295</string>
    <key>PayloadDisplayName</key>
    <string>Microsoft Defender for Endpoint settings</string>
    <key>PayloadDescription</key>
    <string>Microsoft Defender for Endpoint configuration settings</string>
    <key>PayloadVersion</key>
    <integer>1</integer>
    <key>PayloadEnabled</key>
    <true/>
    <key>PayloadRemovalDisallowed</key>
    <true/>
    <key>PayloadScope</key>
    <string>System</string>
    <key>PayloadContent</key>
    <array>
        <dict>
            <key>PayloadUUID</key>
            <string>99DBC2BC-3B3A-46A2-A413-C8F9BB9A7295</string>
            <key>PayloadType</key>
            <string>com.microsoft.wdav</string>
            <key>PayloadOrganization</key>
            <string>Microsoft</string>
            <key>PayloadIdentifier</key>
            <string>99DBC2BC-3B3A-46A2-A413-C8F9BB9A7295</string>
            <key>PayloadDisplayName</key>
            <string>Microsoft Defender for Endpoint configuration settings</string>
            <key>PayloadDescription</key>
            <string/>
            <key>PayloadVersion</key>
            <integer>1</integer>
            <key>PayloadEnabled</key>
            <true/>
            <key>features</key>
            <dict>
                <key>scheduledScan</key>
                <string>enabled</string>
            </dict>
            <key>scheduledScan</key>
            <dict>
                <key>ignoreExclusions</key>
                <true/>
                <key>lowPriorityScheduledScan</key>
                <true/>
                <key>dailyConfiguration</key>
                <dict>
                    <key>timeOfDay</key>
                    <integer>880</integer>
                </dict>
                <key>weeklyConfiguration</key>
                <dict>
                    <key>dayOfWeek</key>
                    <integer>4</integer>
                    <key>timeOfDay</key>
                    <integer>885</integer>
                    <key>scanType</key>
                    <string>full</string>
                </dict>
            </dict>
        </dict>
    </array>
</dict>
</plist>

Spara filen som com.microsoft.wdav.xml.

För Jamf Pro och kompatibla MDM-lösningar

Följande fastighetslista konfigurerar en daglig snabbskanning och veckovis fullständig skanning för Jamf Pro och andra MDM-lösningar som accepterar fastighetslistor. Spara innehållet som com.microsoft.wdav.plist.

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
    <key>features</key>
    <dict>
        <key>scheduledScan</key>
        <string>enabled</string>
    </dict>
    <key>scheduledScan</key>
    <dict>
        <key>ignoreExclusions</key>
        <true/>
        <key>lowPriorityScheduledScan</key>
        <true/>
        <key>dailyConfiguration</key>
        <dict>
            <key>timeOfDay</key>
            <integer>885</integer>
        </dict>
        <key>weeklyConfiguration</key>
        <dict>
            <key>dayOfWeek</key>
            <integer>4</integer>
            <key>timeOfDay</key>
            <integer>880</integer>
            <key>scanType</key>
            <string>full</string>
        </dict>
    </dict>
</dict>
</plist>

Spara filen som com.microsoft.wdav.plist.

Efter att du har distribuerat profilen, kontrollera att den schemalagda skanningen är konfigurerad som en hanterad preferens genom att köra följande kommando:

mdatp health --details scheduled_scan

I resultaten, kontrollera att den schemalagda skanningen rapporterar managed.

Exempel 2: Schemalägg intervallbaserade och dagliga snabba skanningar samt en veckovis fullständig skanning

Följande profiler visar en intervallbaserad snabbscanning, en daglig snabbskanning och en veckovis fullständig skanning på onsdagar.

Öppna en textredigerare och använd Intune-profilen eller Jamf Pro-egenskapslistan som en guide.

För Microsoft Intune

Följande exempel paketerar de schemalagda skanningsinställningarna till en komplett Intune-konfigurationsprofil.

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
     <key>PayloadUUID</key>
     <string>C4E6A782-0C8D-44AB-A025-EB893987A295</string>
     <key>PayloadType</key>
     <string>Configuration</string>
     <key>PayloadOrganization</key>
     <string>Microsoft</string>
     <key>PayloadIdentifier</key>
     <string>C4E6A782-0C8D-44AB-A025-EB893987A295</string>
     <key>PayloadDisplayName</key>
     <string>Microsoft Defender for Endpoint settings</string>
     <key>PayloadDescription</key>
     <string>Microsoft Defender for Endpoint configuration settings</string>
     <key>PayloadVersion</key>
     <integer>1</integer>
     <key>PayloadEnabled</key>
     <true/>
     <key>PayloadRemovalDisallowed</key>
     <true/>
     <key>PayloadScope</key>
     <string>System</string>
     <key>PayloadContent</key>
     <array>
       <dict>
           <key>PayloadUUID</key>
           <string>99DBC2BC-3B3A-46A2-A413-C8F9BB9A7295</string>
           <key>PayloadType</key>
           <string>com.microsoft.wdav</string>
           <key>PayloadOrganization</key>
           <string>Microsoft</string>
           <key>PayloadIdentifier</key>
           <string>99DBC2BC-3B3A-46A2-A413-C8F9BB9A7295</string>
           <key>PayloadDisplayName</key>
           <string>Microsoft Defender for Endpoint configuration settings</string>
           <key>PayloadDescription</key>
           <string/>
           <key>PayloadVersion</key>
           <integer>1</integer>
           <key>PayloadEnabled</key>
           <true/>
    <key>features</key>
    <dict>
        <key>scheduledScan</key>
        <string>enabled</string>
    </dict>
<key>scheduledScan</key>
<dict>
    <key>ignoreExclusions</key>
    <true/>
    <key>lowPriorityScheduledScan</key>
    <true/>
    <key>dailyConfiguration</key>
    <dict>
        <key>timeOfDay</key>
        <integer>885</integer>
        <key>interval</key>
        <integer>1</integer>
    </dict>
    <key>weeklyConfiguration</key>
    <dict>
        <key>dayOfWeek</key>
        <integer>4</integer>
        <key>timeOfDay</key>
        <integer>880</integer>
        <key>scanType</key>
        <string>full</string>
        </dict>
        </dict>
    </dict>
</array>
</dict>
</plist>

Spara filen som com.microsoft.wdav.xml.

För Jamf Pro och kompatibla MDM-lösningar

Följande egenskapslista konfigurerar intervallbaserade, dagliga och veckovisa skanningar för Jamf Pro och andra MDM-lösningar som accepterar egenskapslistor. Spara innehållet som com.microsoft.wdav.plist.

<?xml version="1.0" encoding="UTF-8"?><!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
    <plist version="1.0">
    <dict>
        <key>features</key>
        <dict>
            <key>scheduledScan</key>
            <string>enabled</string>
        </dict>
    <key>scheduledScan</key>
    <dict>
        <key>ignoreExclusions</key>
        <true/>
        <key>lowPriorityScheduledScan</key>
        <true/>
        <key>dailyConfiguration</key>
        <dict>
            <key>timeOfDay</key>
            <integer>885</integer>
            <key>interval</key>
            <integer>1</integer>
        </dict>
        <key>weeklyConfiguration</key>
        <dict>
            <key>dayOfWeek</key>
            <integer>4</integer>
            <key>timeOfDay</key>
            <integer>880</integer>
            <key>scanType</key>
            <string>full</string>
            </dict>
            </dict>
        </dict>
    </plist>

Spara filen som com.microsoft.wdav.plist.

Distribuera konfigurationsprofilen

Distribuera med Microsoft Intune

Microsoft Intune är det rekommenderade verktyget för att konfigurera och distribuera Defender för slutpunktsfunktioner till enheter. Intune är dock en separat produkt som inte ingår i Defender för Endpoint och som inte ingår i alla prenumerationer. Om du vill använda Intune behöver du en prenumeration som innehåller den, eller så kan du köpa den separat som en fristående prenumeration eller ett tillägg. Om du inte har Intune kan du använda någon av de andra metoderna i den här artikeln. Mer information finns i Microsoft Intune licensiering.

För att skapa och distribuera den anpassade konfigurationsprofilen i Intune, se Set policies i Microsoft Intune. Använd com.microsoft.wdav som konfigurationsprofilnamn, välj enhetskanal och ladda upp filen .xml .

Driftsätt med Jamf Pro

Jamf Pro är en separat tredjepartsprodukt som inte ingår i Defender for Endpoint och inte ingår i Defender for Endpoint-prenumerationer. För att använda Jamf Pro behöver din organisation en separat Jamf Pro-prenumeration. För produkt- och prenumerationsinformation, se Jamf Pro. Om din organisation inte använder Jamf Pro, använd en annan konfigurationsmetod i denna artikel, om den finns.

För det underhållna arbetsflödet för Defender for Endpoint, se Deploy Microsoft Defender för Endpoint on macOS with Jamf Pro.

Följ Jamf-instruktionerna för att distribuera en anpassad datorkonfigurationsprofil. Använd antingen egenskapslistan från Exempel 1 eller Exempel 2, och sätt Preferensdomänen till com.microsoft.wdav.

För en MDM-lösning som stödjer egenskapslist-payloads, följ leverantörens instruktioner och profilimplementeringsguiden i Deploy Microsoft Defender för Endpoint på macOS med en annan MDM-lösning.

Efter att Jamf Pro distribuerat profilen, verifiera den schemalagda skanningskonfigurationen genom att köra följande kommando:

mdatp health --details scheduled_scan

I resultaten, kontrollera att den schemalagda skanningen rapporterar managed.

Konfigurera schemalagda skanningar med mdatp CLI

Använd kommandoradsverktyget Microsoft Defender för Endpoint (mdatp) för att konfigurera schemalagda skanningar lokalt från Terminal. Kommandoradskonfiguration är mest användbar för testning eller enskilda enheter. Använd en MDM-profil för hanterade distributioner.

Aktivera funktionen för schemalagd skanning:

sudo mdatp config scheduled-scan settings feature --value enabled

Konfigurera intervallbaserade snabba skanningar:

sudo mdatp config scheduled-scan quick-scan hourly-interval --value <arg>

Konfigurera en daglig snabbscanning:

sudo mdatp config scheduled-scan quick-scan time-of-day --value <arg>

Konfigurera en veckovis skanning:

sudo mdatp config scheduled-scan weekly-scan --day-of-week <arg> --time-of-day <arg> --scan-type <arg>

Du kan också konfigurera uppdateringar av säkerhetsintelligens och lågprioriterad exekvering:

• För att kontrollera säkerhetsunderrättelseuppdateringar före schemalagda skanningar:

  sudo mdatp config scheduled-scan settings check-for-definitions --value true
  

• Så här använder du trådar med låg prioritet för schemalagd genomsökning:

  sudo mdatp config scheduled-scan settings low-priority --value true
  

Verifiera att schemalagda skanningar kördes

Om du vill visa en lista över slutförda schemalagda genomsökningar och deras resultat kör du mdatp scan list: