Använd Microsoft Defender för Endpoint nätverksskydd på macOS

Nätverksskydd i Microsoft Defender för Endpoint hjälper till att förhindra att applikationer och icke-webbläsarprocesser på macOS-enheter ansluter till farliga domäner. Den utvidgar webbskyddet bortom Microsoft Defender SmartScreen i Microsoft Edge till stödda webbläsare och andra processer.

Använd denna artikel för att granska krav, välja en tillsynsnivå, implementera nätverksskydd och förstå de stödda scenarierna för webbskydd och Microsoft Defender for Cloud Apps.

Förhandskrav

Innan du konfigurerar nätverksskydd, se till att din miljö uppfyller följande krav:

• En Microsoft Defender för Endpoint Plan 1, Microsoft Defender för Endpoint Plan 2, testversion eller Microsoft Defender för företag-licens.
• En inbyggd enhet som kör en stödd macOS-version och Defender for Endpoint-version 101.94.13 (januari 2023) eller senare.
• En stödd webbläsare:
  • En webbläsare som inte är Microsoft, såsom Brave, Chrome, Firefox, Opera eller Safari.
  • Microsoft Edge för macOS.

Webbläsarkonfigurationskrav

I processer andra än Microsoft Edge bestämmer nätverksskyddet det fullt kvalificerade domännamnet för varje HTTPS-anslutning genom att undersöka Transport Layer Security (TLS)-handshake som uppstår efter ett TCP/IP-handshake. HTTPS-anslutningen måste använda TCP/IP istället för User Datagram Protocol (UDP) eller Quick UDP Internet Connections (QUIC), och ClientHello-meddelandet får inte krypteras. För att inaktivera QUIC och Encrypted Client Hello, se följande artiklar:

• Google Chrome: QuicAllowed och EncryptedClientHelloEnabled.
• Mozilla Firefox: Inaktivera EncryptedClientHello och network.http.http3.enable.

Planera lanseringen

Nätverksskydd för macOS finns tillgängligt för alla inbyggda Defender for Endpoint-enheter som uppfyller minimikraven. Nätverksskydd på macOS stödjer följande säkerhets-, undersöknings- och applikationskontrollfunktioner:

• Anpassade indikatorer på kompromettering för domäner och IP-adresser.
• Webbinnehållsfiltreringspolicyer som blockerar webbplatskategorier för enhetsgrupper i stödda webbläsare, inklusive Microsoft Edge för macOS.
• Avancerad jakt och enhetstidslinjen, som tillhandahåller nätverkshändelsedata för säkerhetsundersökningar.
• Microsoft Defender for Cloud Apps kontrollerar som upptäcker användning av molnappar, varnar användare för övervakade appar och blockerar osanktionerade appar. Dessa scenarier har fler licens- och produktkrav.
• Användning av företagets virtuella privata nätverk (VPN). För närvarande identifieras inga VPN-konflikter. Om du upplever konflikter, kontakta Microsoft Support via Administrationscenter för Microsoft 365.

Alla konfigurerade policyer för nätverksskydd och webbhotskydd tillämpas på macOS-enheter där nätverksskyddet är i blockläge. För att minska risken för utplacering:

• Skapa en enhetsgrupp med en liten uppsättning enheter för att testa nätverksskydd.
• Utvärdera hur skydd mot webbhot, anpassade indikatorer, filtrering av webbinnehåll och Defender for Cloud Apps-efterlevnadspolicys påverkar macOS-enheter i blockläge.
• Distribuera en revisions- eller blocklägespolicy till enhetsgruppen och kontrollera att policyn inte stör arbetsflödena.
• Distribuera gradvis nätverksskydd till större enhetsgrupper.

Konfigurera nätverksskydd

Installera den senaste produktversionen via Microsoft AutoUpdate. För att öppna Microsoft AutoUpdate, kör följande kommando i Terminal:

open /Library/Application\ Support/Microsoft/MAU2.0/Microsoft\ AutoUpdate.app

Nätverksskyddet är inaktiverat som standard. Du kan konfigurera en av följande tillsynsnivåer:

• Revision: Utvärdera hur nätverksskydd påverkar affärsapplikationer och hur ofta blockeringar inträffar.
• Blockera: Förhindra anslutningar till skadliga webbplatser.
• Inaktiverat: Inaktivera alla nätverksskyddskomponenter.

Distribuera nätverksskydd manuellt, med Jamf Pro, med Microsoft Intune eller med en .mobileconfig fil.

Konfigurera nätverksskydd manuellt

För att konfigurera tillsynsnivån, kör följande kommando i Terminal:

mdatp config network-protection enforcement-level --value <disabled | audit | block>

Till exempel konfigurerar följande kommando nätverksskydd i blockläge:

mdatp config network-protection enforcement-level --value block

För att bekräfta att nätverksskyddet startade framgångsrikt, kör följande kommando i Terminal och verifiera att det returnerar started:

mdatp health --field network_protection_status

Konfigurera nätverksskydd med Jamf Pro

Jamf Pro är en separat tredjepartsprodukt som inte ingår i Defender for Endpoint och inte ingår i Defender for Endpoint-prenumerationer. För att använda Jamf Pro behöver din organisation en separat Jamf Pro-prenumeration. För produkt- och prenumerationsinformation, se Jamf Pro. Om din organisation inte använder Jamf Pro, använd en annan konfigurationsmetod i denna artikel, om den finns.

En Jamf Pro-utplacering kräver en konfigurationsprofil som sätter nätverksskyddsnivån.

När du har skapat den här konfigurationsprofilen tilldelar du den till de enheter där du vill aktivera nätverksskydd.

Följ Jamf-instruktionerna för att distribuera en anpassad datorkonfigurationsprofil. Ställ in Preferensdomänen till com.microsoft.wdav, och ladda upp följande egenskapslista för att konfigurera nätverksskydd i blockläge:

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
    <key>networkProtection</key>
    <dict>
        <key>enforcementLevel</key>
        <string>block</string>
    </dict>
</dict>
</plist>

Konfigurera nätverksskydd i Microsoft Intune

Microsoft Intune är det rekommenderade verktyget för att konfigurera och distribuera Defender för slutpunktsfunktioner till enheter. Intune är dock en separat produkt som inte ingår i Defender för Endpoint och som inte ingår i alla prenumerationer. Om du vill använda Intune behöver du en prenumeration som innehåller den, eller så kan du köpa den separat som en fristående prenumeration eller ett tillägg. Om du inte har Intune kan du använda någon av de andra metoderna i den här artikeln. Mer information finns i Microsoft Intune licensiering.

För att konfigurera nätverksskydd i Microsoft Intune, skapa eller ändra en inställningskatalogpolicy. För detaljerade instruktioner, se Skapa en policy med inställningskatalog i Microsoft Intune.

På Enheter | Konfigurationssidan i Microsoft Intune admincenter på https://intune.microsoft.com/#view/Microsoft_Intune_DeviceSettings/DevicesMenu/~/configuration, välj fliken Policyer och välj sedan Skapa. Välj Ny policy och använd dessa inställningar:

• Plattform: Välj macOS.
• Profiltyp: Välj Inställningskatalog.

När du skapar eller ändrar policyn, konfigurera dessa specifika inställningar under fliken Konfigurationsinställningar :

• Microsoft Defender>Network Protection>Enforcement level: Välj Blockera.

Distribuera en mobil konfigurationsprofil

För att distribuera konfigurationen med en .mobileconfig fil, använd en icke-Microsoft mobil enhetshanteringslösning (MDM) eller distribuera filen direkt till enheterna:

1. Spara följande nyttolast som com.microsoft.wdav.mobileconfig.

   <?xml version="1.0" encoding="utf-8"?>
   <!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
   <plist version="1">
       <dict>
           <key>PayloadUUID</key>
           <string>C4E6A782-0C8D-44AB-A025-EB893987A295</string>
           <key>PayloadType</key>
           <string>Configuration</string>
           <key>PayloadOrganization</key>
           <string>Microsoft</string>
           <key>PayloadIdentifier</key>
           <string>com.microsoft.wdav</string>
           <key>PayloadDisplayName</key>
           <string>Microsoft Defender ATP settings</string>
           <key>PayloadDescription</key>
           <string>Microsoft Defender ATP configuration settings</string>
           <key>PayloadVersion</key>
           <integer>1</integer>
           <key>PayloadEnabled</key>
           <true/>
           <key>PayloadRemovalDisallowed</key>
           <true/>
           <key>PayloadScope</key>
           <string>System</string>
           <key>PayloadContent</key>
           <array>
               <dict>
                   <key>PayloadUUID</key>
                   <string>99DBC2BC-3B3A-46A2-A413-C8F9BB9A7295</string>
                   <key>PayloadType</key>
                   <string>com.microsoft.wdav</string>
                   <key>PayloadOrganization</key>
                   <string>Microsoft</string>
                   <key>PayloadIdentifier</key>
                   <string>com.microsoft.wdav</string>
                   <key>PayloadDisplayName</key>
                   <string>Microsoft Defender ATP configuration settings</string>
                   <key>PayloadDescription</key>
                   <string/>
                   <key>PayloadVersion</key>
                   <integer>1</integer>
                   <key>PayloadEnabled</key>
                   <true/>
                   <key>networkProtection</key>
                   <dict>
                       <key>enforcementLevel</key>
                       <string>block</string>
                   </dict>
               </dict>
           </array>
       </dict>
   </plist>
   

2. Verifiera att filen kopierades korrekt. I Terminal, kör följande kommando och verifiera att det returnerar OK:

   plutil -lint com.microsoft.wdav.mobileconfig
   

Nätverksskyddsscenarier

Följande scenarier stöds.

Skydd mot webbhot

Skydd mot webbhot är en del av webbskyddet i Defender for Endpoint. Den använder nätverksskydd för att skydda enheter mot webbhot i Microsoft Edge för macOS och webbläsare som inte tillhör Microsoft, såsom Brave, Chrome, Firefox, Opera och Safari. Den kräver ingen webbproxy och skyddar enheter på plats och utanför organisationen. För webbläsarkrav, se Förkunskaper.

Skydd mot webbhot stoppar åtkomsten till följande typer av webbplatser:

• Nätfiskesajter.
• Skadliga vektorer.
• Utnyttja sajter.
• Opålitliga webbplatser eller webbplatser med lågt anseende.
• Webbplatser blockeras av en anpassad indikator.

För mer information, se Skydda din organisation mot webbhot.

Anpassade indikatorer på kompromiss

Matchning av Indicator of compromise (IoC) låter SecOps-team skapa en lista med indikatorer för att upptäcka eller blockera.

Skapa indikatorer som definierar identifiering, förebyggande och exkludering av entiteter. För varje indikator, definiera åtgärden, hur lång tid handlingen ska tillämpas och omfattningen av enhetsgruppen.

Källor som stöds för närvarande är molnidentifieringsmotorn i Defender för Endpoint, motorn för automatiserad undersökning och reparation samt slutpunktsskyddsmotorn (Microsoft Defender Antivirus).

För mer information, se Skapa indikatorer för IP-adresser, URL:er eller domäner.

Filtrering av webbinnehåll

Filtrering av webbinnehåll är en del av webbskyddet i Defender for Endpoint och Microsoft Defender för företag. Det hjälper din organisation att spåra och kontrollera åtkomst till webbplatser baserat på innehållskategorier. Även webbplatser som inte är skadliga kan vara problematiska på grund av efterlevnadskrav, bandbreddsanvändning eller andra bekymmer.

Konfigurera policyer för enhetsgrupper för att blockera specifika kategorier. Att blockera en kategori förhindrar användare i dessa grupper från att komma åt associerade URL:er. URL:er i kategorier som inte blockeras granskas automatiskt. Användare kan komma åt URL:erna utan avbrott, och du kan använda åtkomststatistiken för att finslipa dina policyer. Användare får en notifikation när ett webbsideselement anropar en blockerad resurs.

Webbinnehållsfiltrering stödjer stora webbläsare, inklusive Brave, Chrome, Firefox, Opera och Safari. Nätverksskydd upprätthåller blockeringarna.

Mer information om webbläsarstöd finns i Krav.

Mer information om rapportering finns i Webbinnehållsfiltrering.

Microsoft Defender för molnapplikationer

Microsoft Defender for Cloud Apps kan varna användare när de får tillgång till appar märkta som övervakade och blockera appar taggade som Osanktionerade. Detta avsnitt fokuserar på varningsupplevelsen för övervakade appar. Mer information om de båda kontrollerna finns i Hantera identifierade appar med Microsoft Defender för Endpoint.

I Cloud App Catalog, identifiera appar som ska visa en varning när användare använder dem, och markera apparna som övervakade. Domänerna för övervakade appar synkroniseras sedan till Defender for Endpoint.

Vanligtvis inom några minuter visas domänerna på sidan Indikatorer i Microsoft Defender-portalen på https://security.microsoft.com/securitysettings/endpoints/custom_ti_indicators. På fliken URL:er/domäner är värdet för ÅtgärdVarning. Inom tillämpningsavtalet om servicenivå (SLA) får användare varningar när de försöker komma åt domänerna.

När en användare försöker komma åt en övervakad domän blockerar Defender for Endpoint tillfälligt åtkomstförsöket och visar en varning. Operativsystemets notifikation innehåller namnet på den berörda applikationen. Till exempel kan notisen identifiera Blogger.com.

Användaren kan kringgå varningen eller öppna en utbildningswebbsida.

Användarundantag

I notisen väljer du Avblockera och laddar sedan webbsidan igen. Användaren kan komma åt molnappen under den omgåelsestid som konfigurerats i Defender for Cloud Apps. När varaktigheten har löpt ut visas varningen nästa gång användaren öppnar appen.

Användarutbildning

Välj notisen för att öppna den anpassade omdirigerings-URL:en som är konfigurerad globalt i Defender for Cloud Apps.

Skapa ett slutanvändarutbildningscenter

Använd molnkontrollerna i Defender for Cloud Apps för att sätta begränsningar vid behov och för att utbilda användare om:

• Den specifika händelsen.
• Varför händelsen inträffade.
• Anledningen till beslutet.
• Hur användare kan undvika blockerade sajter.

Ge användarna tillräckligt med information för att förstå vad som hände och fatta välgrundade val nästa gång de väljer en molnapp. Till exempel, inkludera:

• Din organisations säkerhets- och efterlevnadspolicys för internet- och molnanvändning.
• Godkända eller rekommenderade molnappar.
• Begränsade eller blockerade molnappar.

Förstå tidpunkt och begränsningar för utrullning

• Det kan ta upp till två timmar för appdomäner att spridas till endpoint-enheter efter att du markerat en app som övervakad.

• Om du inte applicerar en scoped profil gäller åtgärden för alla appar och domäner markerade som Övervakade för alla inbyggda endpoints i organisationen.

• Fullständiga URL:er stöds för närvarande inte och skickas inte från Defender for Cloud Apps till Defender for Endpoint. Om övervakade appar innehåller fullständiga URL:er varnas inte användare när de försöker besöka sajterna. Till exempel google.com/drive stöds inte, men drive.google.com stöds.

• När du testar, inaktivera Encrypted Client Hello och QUIC så att sajter blockeras korrekt. För webbläsarkonfigurationsinstruktioner, se Webbläsarkonfigurationskrav.

Relaterat innehåll

• Microsoft Defender för Endpoint på macOS
• Integrera Microsoft Defender för Endpoint med Microsoft Defender for Cloud Apps
• Lär känna de innovativa funktionerna i Microsoft Edge
• Skydda ditt nätverk
• Aktivera nätverksskydd
• Webbskydd
• Skapa indikatorer
• Filtrering av webbinnehåll