Eszközvezérlés macOS-hez

Érintett szolgáltatás:

• Végponthoz készült Microsoft Defender 1. csomag
• Végponthoz készült Microsoft Defender 2. csomag
• Microsoft Defender XDR
• Microsoft Defender Vállalati verzió

Szeretné megismerni a Végponthoz készült Microsoft Defendert? Regisztráció az ingyenes próbaverzióra

Követelmények

A Mac eszközvezérlésének előfeltételei a következők:

• Végponthoz készült Defender vagy Defender Vállalati verzió licencek (próbaverziós előfizetés lehet)
• Operációs rendszer minimális verziója: macOS 11 vagy újabb
• Minimális termékverzió: 101.34.20

Áttekintés

A végponthoz készült Defender eszközvezérlése macOS rendszeren a következőket teszi lehetővé:

• Cserélhető tárolók olvasási, írási vagy végrehajtási hozzáférésének naplózása, engedélyezése vagy megakadályozása; és
• Az iOS- és portable-eszközök, valamint az Apple APFS által titkosított eszközök és Bluetooth-adathordozók kezelése kizárásokkal vagy azok nélkül.

A végpontok előkészítése

• Teljes lemezes hozzáférés üzembe helyezése: előfordulhat, hogy más MDE funkciókhoz is létrehozta és telepítette.https://github.com/microsoft/mdatp-xplat/blob/master/macos/mobileconfig/profiles/fulldisk.mobileconfig Teljes lemezes hozzáférési engedélyt kell adnia egy új alkalmazáshoz: com.microsoft.dlp.daemon.

• Engedélyezze az Eszközvezérlést a Végponthoz készült Defender beállításaiban:

  • Adatveszteség-megelőzés (DLP)/Funkciók

  • A Szolgáltatásnév mezőbe írja be a következőt: DC_in_dlp

  • A State (Állam) mezőben adja meg a enabled

1. példa: JAMF schema.json használatával.

2. példa: demo.mobileconfig

<key>dlp</key>
<dict> 
  <key>features</key>
  <array> 
    <dict> 
      <key>name</key>
      <string>DC_in_dlp</string>
      <key>state</key>
      <string>enabled</string>
    </dict>
  </array>
</dict>

• Minimális termékverzió: 101.91.92 vagy újabb

• Futtassa az parancsot mdatp version a Terminálon az ügyfélszámítógép termékverziójának megtekintéséhez:

  

A szabályzatok ismertetése

A szabályzatok határozzák meg a macOS-eszközök vezérlésének viselkedését. A szabályzat Intune vagy JAMF-en keresztül van megcélzva gépek vagy felhasználók egy gyűjteményére.

A macOS-házirend eszközvezérlése beállításokat, csoportokat és szabályokat tartalmaz:

• A "beállítások" nevű globális beállítás lehetővé teszi a globális környezet meghatározását.
• A nevű groups csoporttal médiacsoportokat hozhat létre. Például engedélyezett USB-csoport vagy titkosított USB-csoport.
• A "szabályok" nevű hozzáférési szabályzatszabály lehetővé teszi, hogy szabályzatot hozzon létre az egyes csoportok korlátozásához. Például csak engedéllyel rendelkező felhasználó írhat hozzáféréssel rendelkező USB-csoportot.

Gyakorlati tanácsok

A macOS eszközvezérlése a Windows eszközvezérléséhez hasonló képességekkel rendelkezik, de a macOS és a Windows különböző mögöttes képességeket biztosít az eszközök kezeléséhez, ezért van néhány fontos különbség:

• A macOS nem rendelkezik központosított Eszközkezelő vagy az eszközök nézetével. Az eszközökkel kommunikáló alkalmazások hozzáférése meg van adva/megtagadva. Ezért macOS rendszeren a hozzáférés-típusok gazdagabb készlete érhető el. Egy szabályzat például portableDevice megtagadhatja vagy engedélyezheti a következőt download_photos_from_device: .

• A Windows-zal való konzisztensség érdekében vannak generic_read,generic_write és generic_execute hozzáférési típusok. Az általános hozzáférési típusokkal rendelkező szabályzatokat nem kell módosítani, ha a jövőben konkrétabb hozzáférési típusokat adnak hozzá. Az ajánlott eljárás az általános hozzáférési típusok használata, kivéve, ha egy konkrétabb művelet megtagadására/engedélyezésére van szükség.

• deny Ha általános hozzáférési típusok használatával hoz létre szabályzatot, a legjobb módszer az adott eszköz (például Android-telefonok) összes műveletének teljes letiltására, de továbbra is előfordulhatnak hiányosságok, ha a műveletet olyan alkalmazással hajtják végre, amelyet a macOS-eszközvezérlés nem támogat.

Beállítások

Az alábbi tulajdonságokat használhatja a macOS-eszközök eszközvezérlési szabályzatának csoportjainak, szabályainak és beállításainak létrehozásakor.

Csoport

Lekérdezés

Az Eszközvezérlés kétféle lekérdezést támogat:

Az 1. lekérdezéstípus a következő:

A 2. lekérdezéstípus a következő:

Záradék

Záradék tulajdonságai

Támogatott záradékok

Hozzáférési szabályzatszabály

Az alábbi táblázat a bejegyzésben használható tulajdonságokat sorolja fel:

Az alábbi táblázat a bejegyzésben használható tulajdonságokat sorolja fel:

Kikényszerítés

Kényszerítési tulajdonság neve

Kényszerítési típus

Hozzáférési típusok

Végfelhasználói élmény

Ha a megtagadás megtörténik, és az értesítés engedélyezve van a szabályzatban, a végfelhasználó megjelenik egy párbeszédpanelen:

Állapot

Az eszközvezérlés állapotának vizsgálatához használja a következőt mdatp health --details device_control :

active                                      : ["v2"]
v1_configured                               : false
v1_enforcement_level                        : unavailable
v2_configured                               : true
v2_state                                    : "enabled"
v2_sensor_connection                        : "created_ok"
v2_full_disk_access                         : "approved"

• active - funkcióverzió, a következőnek kell megjelennie: ["v2"]. (Az eszközvezérlés engedélyezve van, de nincs konfigurálva.)
  • [] – Az eszközvezérlés nincs konfigurálva ezen a gépen.
  • ["v1"] – Az Eszközvezérlés előzetes verzióját használja. Migrálás a 2. verzióra ezzel az útmutatóval. A v1 elavultnak minősül, és nem szerepel ebben a dokumentációban.
  • ["v1", "v2"] – A v1 és a v2 is engedélyezve van. Kivezetés az 1-ből.
• v1_configured – v1-konfiguráció van alkalmazva
• v1_enforcement_level - ha a v1 engedélyezve van
• v2_configured – v2-konfiguráció van alkalmazva
• v2_state - v2 állapot, enabled ha teljes mértékben működik
• v2_sensor_connection - ha created_ok, akkor az Eszközvezérlés kapcsolatot létesített a rendszerbővítménysel
• v2_full_disk_access - ha nem approved, akkor az Eszközvezérlés nem tudja megakadályozni néhány vagy az összes műveletet

Jelentés

A szabályzateseményt a Speciális veszélyforrás-keresés és az Eszközvezérlés jelentésben tekintheti meg. További információ: A szervezet adatainak védelme az eszközvezérléssel.

Forgatókönyvek

Íme néhány gyakori forgatókönyv, amelyek segítenek az eszközvezérlés Végponthoz készült Microsoft Defender és Végponthoz készült Microsoft Defender megismerésében.

1. forgatókönyv: A cserélhető adathordozók megtagadása, de adott USB-k engedélyezése

Ebben a forgatókönyvben két csoportot kell létrehoznia: egy csoportot minden cserélhető adathordozóhoz, egy másikat pedig a jóváhagyott USB-csoporthoz. Hozzáférésiszabályzatot is létre kell hoznia.

1. lépés: Beállítások: eszközvezérlés engedélyezése és alapértelmezett kényszerítés beállítása

"settings": { 

    "features": { 

        "removableMedia": { 

            "disable": false 

        } 

    }, 

    "global": { 

        "defaultEnforcement": "allow" 

    }, 

    "ux": { 

        "navigationTarget": "http://www.deskhelp.com" 

    } 

} 

2. lépés: Csoportok: Minden cserélhető adathordozó-csoport és jóváhagyott USB-csoport létrehozása

1. Hozzon létre egy csoportot, amely lefedi a cserélhető adathordozókat.
2. Hozzon létre egy csoportot a jóváhagyott USB-k számára.
3. Egyesítse ezeket a csoportokat egybe groups.

"groups": [ 

        { 

            "type": "device", 

            "id": "3f082cd3-f701-4c21-9a6a-ed115c28e211", 

            "name": "All Removable Media Devices", 

            "query": { 

                "$type": "all", 

                "clauses": [ 

                    { 

                        "$type": "primaryId", 

                        "value": "removable_media_devices" 

                    } 

                ] 

            } 

        }, 

        { 

            "type": "device", 

            "id": "3f082cd3-f701-4c21-9a6a-ed115c28e212", 

            "name": "Kingston Devices", 

            "query": { 

                "$type": "all", 

                "clauses": [ 

                    { 

                        "$type": "vendorId", 

                        "value": "0951" 

                    } 

                ] 

            } 

        } 

    ] 

3. lépés: Szabályok: Megtagadási szabályzat létrehozása nem engedélyezett USB-khez

Hozzon létre hozzáférésiszabály-szabályt, és helyezze el a következőbe rules:

"rules": [ 

    { 

        "id": "772cef80-229f-48b4-bd17-a69130092981", 

        "name": "Deny RWX to all Removable Media Devices except Kingston", 

        "includeGroups": [ 

            "3f082cd3-f701-4c21-9a6a-ed115c28e211" 

        ], 

        "excludeGroups": [ 

            "3f082cd3-f701-4c21-9a6a-ed115c28e212" 

        ], 

        "entries": [ 

            { 

                "$type": "removableMedia", 

                "id": "A7CEE2F8-CE34-4B34-9CFE-4133F0361035", 

                "enforcement": { 

                    "$type": "deny" 

                }, 

                "access": [ 

                    "read", 

                    "write", 

                    "execute" 

                ] 

            }, 

            { 

                "$type": "removableMedia", 

                "id": "18BA3DD5-4C9A-458B-A756-F1499FE94FB4", 

                "enforcement": { 

                    "$type": "auditDeny", 

                    "options": [ 

                        "send_event", 

                        "show_notification" 

                    ] 

                }, 

                "access": [ 

                    "read", 

                    "write", 

                    "execute" 

                ] 

            } 

        ] 

    } 

] 

Ebben az esetben csak egy hozzáférésiszabály-szabályzattal rendelkezik, de ha több van, mindenképpen adja hozzá az összeset a elemhez rules.

Ismert problémák

Lásd még

• Eszközvezérlés üzembe helyezése a Intune használatával
• Eszközvezérlés üzembe helyezése a JAMF használatával
• Eszközvezérlés manuális üzembe helyezése
• macOS-eszközvezérlés – gyakori kérdések (GYIK)