Gerätesteuerung für macOS

Gilt für:

• Microsoft Defender für Endpunkt Plan 1
• Microsoft Defender für Endpunkt Plan 2
• Microsoft Defender XDR
• Microsoft Defender für Unternehmen

Möchten Sie Microsoft Defender für Endpunkt ausprobieren? Registrieren Sie sich für eine kostenlose Testversion.

Anforderungen

Für die Gerätesteuerung für macOS gelten die folgenden Voraussetzungen:

Übersicht

Microsoft Defender for Endpoint Feature "Gerätesteuerung" ermöglicht Folgendes:

• Überwachen, Zulassen oder Verhindern des Lese-, Schreib- oder Ausführungszugriffs auf Wechselmedien; Und
• Verwalten sie iOS- und Portable-Geräte sowie apple APFS-verschlüsselte Geräte und Bluetooth-Medien mit oder ohne Ausschlüsse.

Vorbereiten der Endpunkte

• Microsoft Defender for Endpoint-Berechtigung (kann testversion sein)

• Mindestversion des Betriebssystems: macOS 11 oder höher

• Vollständigen Datenträgerzugriff bereitstellen: Möglicherweise haben Sie diesen https://github.com/microsoft/mdatp-xplat/blob/master/macos/mobileconfig/profiles/fulldisk.mobileconfig bereits für andere MDE Features erstellt und bereitgestellt. Sie müssen für eine neue Anwendung die Berechtigung "Volldatenträgerzugriff" erteilen: com.microsoft.dlp.daemon.

• Aktivieren Sie die Gerätesteuerung für die einstellung MDE:

  • Verhinderung von Datenverlust (Data Loss Prevention, DLP)/Features/

  • Geben Sie unter Featurename "DC_in_dlp" ein.

  • Geben Sie unter State (Bundesstaat) "enabled" (Aktiviert) ein.

Beispiel 1: JAMF mit schema.json.

Beispiel 2: demo.mobileconfig

<key>dlp</key>
<dict> 
  <key>features</key>
  <array> 
	<dict> 
	  <key>name</key>
	  <string>DC_in_dlp</string>
	  <key>state</key>
	  <string>enabled</string>
	</dict>
  </array>
</dict>

• Mindestproduktversion: 101.91.92 oder höher

• Führen Sie die mdatp-Version über das Terminal aus, um die Produktversion auf Ihrem Clientcomputer anzuzeigen:

  

Grundlegendes zu Richtlinien

Richtlinien bestimmen das Verhalten der Gerätesteuerung für macOS. Die Richtlinie wird über Intune oder JAMF auf eine Sammlung von Computern oder Benutzern ausgerichtet.

Die Richtlinie Gerätesteuerung für macOS umfasst Einstellungen, Gruppen und Regeln:

• Mit der globalen Einstellung "settings" können Sie die globale Umgebung definieren.
• Mit der Gruppe "Groups" können Sie Mediengruppen erstellen. Beispiel: autorisierte USB-Gruppe oder verschlüsselte USB-Gruppe.
• Mithilfe der Zugriffsrichtlinienregel "rules" können Sie eine Richtlinie erstellen, um jede Gruppe einzuschränken. Lassen Sie z. B. nur autorisierten Benutzern die Schreibzugriffsautorisierte USB-Gruppe zu.

Bewährte Methoden

Die Gerätesteuerung für macOS verfügt über ähnliche Funktionen wie die Gerätesteuerung für Windows, aber macOS und Windows bieten verschiedene zugrunde liegende Funktionen zum Verwalten von Geräten, sodass es einige wichtige Unterschiede gibt:

• macOS verfügt nicht über eine zentralisierte Geräte-Manager oder Ansicht von Geräten. Der Zugriff wird Anwendungen gewährt/verweigert, die mit Geräten interagieren. Aus diesem Grund gibt es unter macOS einen umfangreicheren Satz von Zugriffstypen. Auf einem portableDevice Gerätesteuerelement für macOS kann beispielsweise verweigert oder zugelassen werden download_photos_from_device.
• Um mit Windows konsistent zu bleiben, gibt generic_reades zugriffstypen undgeneric_writegeneric_execute . Richtlinien mit generischen Zugriffstypen müssen nicht geändert werden, wenn in Zukunft weitere spezifische Zugriffstypen hinzugefügt werden. Die bewährte Methode besteht darin, generische Zugriffstypen zu verwenden, es sei denn, es besteht eine bestimmte Notwendigkeit, einen spezifischeren Vorgang zu verweigern/zuzulassen.
• Das Erstellen einer deny Richtlinie mit generischen Zugriffstypen ist die beste Möglichkeit, um zu versuchen, alle Vorgänge für diesen Gerätetyp (z. B. Android-Smartphones) vollständig zu blockieren, aber es kann trotzdem Lücken geben, wenn der Vorgang mit einer Anwendung ausgeführt wird, die von der macOS-Gerätesteuerung nicht unterstützt wird.

Einstellungen

Im Folgenden finden Sie die Eigenschaften, die Sie verwenden können, wenn Sie die Gruppen, Regeln und Einstellungen in der Gerätesteuerungsrichtlinie für macOS erstellen.

Gruppe

Abfrage

Device Control unterstützt zwei Arten von Abfragen:

Der Abfragetyp 1 lautet wie folgt:

Der Abfragetyp 2 lautet wie folgt:

Klausel

Klauseleigenschaften

Unterstützte Klauseln

Zugriffsrichtlinienregel

In der folgenden Tabelle sind die Eigenschaften aufgeführt, die Sie in Ihrem Eintrag verwenden können:

In der folgenden Tabelle sind die Eigenschaften aufgeführt, die Sie im Eintrag verwenden können:

Erzwingung

Name der Erzwingungseigenschaft

Erzwingungstyp

Zugriffstypen

Endbenutzererfahrung

Sobald Die Ablehnung erfolgt und die Benachrichtigung in der Richtlinie aktiviert ist, wird dem Endbenutzer ein Dialogfeld angezeigt:

Status

Verwenden Sie mdatp health --details device_control , um die Gerätesteuerung status zu überprüfen:

active                                      : ["v2"]
v1_configured                               : false
v1_enforcement_level                        : unavailable
v2_configured                               : true
v2_state                                    : "enabled"
v2_sensor_connection                        : "created_ok"
v2_full_disk_access                         : "approved"

• active - Featureversion, sollte ["v2"] angezeigt werden. (Die Gerätesteuerung ist aktiviert, aber nicht konfiguriert.)
  • [] – Die Gerätesteuerung ist auf diesem Computer nicht konfiguriert.
  • ["v1"] – Sie verfügen über eine Vorschauversion von Device Control. Migrieren Sie mithilfe dieses Handbuchs zu Version 2. v1 gilt als veraltet und wird in dieser Dokumentation nicht beschrieben.
  • ["v1","v2"] – Sie haben sowohl v1 als auch v2 aktiviert. Offboarden von v1.
• v1_configured – v1-Konfiguration wird angewendet
• v1_enforcement_level – wenn v1 aktiviert ist
• v2_configured – v2-Konfiguration wird angewendet
• v2_state- v2 status, enabled wenn sie vollständig funktioniert
• v2_sensor_connection – wenn created_ok, dann hat Device Control eine Verbindung mit der Systemerweiterung hergestellt.
• v2_full_disk_access – andernfalls approvedkann die Gerätesteuerung einige oder alle Vorgänge nicht verhindern.

Reporting

Sie können das Richtlinienereignis im Bericht Erweiterte Suche und Gerätesteuerung anzeigen. Weitere Informationen finden Sie unter Schützen der Daten Ihrer organization mit der Gerätesteuerung.

Szenarien

Im Folgenden finden Sie einige gängige Szenarien, die Ihnen helfen, sich mit Microsoft Defender for Endpoint und Microsoft Defender for Endpoint Device Control vertraut zu machen.

Szenario 1: Verweigern von Wechselmedien, aber zulassen bestimmter USBs

In diesem Szenario müssen Sie zwei Gruppen erstellen: eine Gruppe für alle Wechselmedien und eine weitere Gruppe für genehmigte USBs-Gruppen. Außerdem müssen Sie eine Zugriffsrichtlinienregel erstellen.

Schritt 1: Einstellungen: Aktivieren der Gerätesteuerung und Festlegen der Standarderzwingung

"settings": { 

	"features": { 

		"removableMedia": { 

			"disable": false 

		} 

	}, 

	"global": { 

		"defaultEnforcement": "allow" 

	}, 

	"ux": { 

		"navigationTarget": "http://www.deskhelp.com" 

	} 

} 

Schritt 2: Gruppen: Create jeder Wechselmediengruppe und der Gruppe approved-USBs

1. Create eine Gruppe, um alle Wechselmediengeräte abzudecken.
2. Create eine Gruppe für genehmigte USBs.
3. Kombinieren Sie diese Gruppen in einer groups.

"groups": [ 

        { 

            "type": "device", 

            "id": "3f082cd3-f701-4c21-9a6a-ed115c28e211", 

            "name": "All Removable Media Devices", 

            "query": { 

                "$type": "all", 

                "clauses": [ 

                    { 

                        "$type": "primaryId", 

                        "value": "removable_media_devices" 

                    } 

                ] 

            } 

        }, 

        { 

            "type": "device", 

            "id": "3f082cd3-f701-4c21-9a6a-ed115c28e212", 

            "name": "Kingston Devices", 

            "query": { 

                "$type": "all", 

                "clauses": [ 

                    { 

                        "$type": "vendorId", 

                        "value": "0951" 

                    } 

                ] 

            } 

        } 

    ] 

Schritt 3: Regeln: Create Ablehnungsrichtlinie für nicht zulässige USBs

Create Zugriffsrichtlinienregel ein, und fügen Sie sie in einrules:

"rules": [ 

	{ 

		"id": "772cef80-229f-48b4-bd17-a69130092981", 

		"name": "Deny RWX to all Removable Media Devices except Kingston", 

		"includeGroups": [ 

			"3f082cd3-f701-4c21-9a6a-ed115c28e211" 

		], 

		"excludeGroups": [ 

			"3f082cd3-f701-4c21-9a6a-ed115c28e212" 

		], 

		"entries": [ 

			{ 

				"$type": "removableMedia", 

				"id": "A7CEE2F8-CE34-4B34-9CFE-4133F0361035", 

				"enforcement": { 

					"$type": "deny" 

				}, 

				"access": [ 

					"read", 

					"write", 

					"execute" 

				] 

			}, 

			{ 

				"$type": "removableMedia", 

				"id": "18BA3DD5-4C9A-458B-A756-F1499FE94FB4", 

				"enforcement": { 

					"$type": "auditDeny", 

					"options": [ 

						"send_event", 

						"show_notification" 

					] 

				}, 

				"access": [ 

					"read", 

					"write", 

					"execute" 

				] 

			} 

		] 

	} 

] 

In diesem Fall verfügen Sie nur über eine Zugriffsregelrichtlinie, aber wenn Sie mehrere haben, stellen Sie sicher, dass Sie alle zu ruleshinzufügen.

Bekannte Probleme

Warnung

Die Gerätesteuerung unter macOS schränkt Android-Geräte ein, die nur über den PTP-Modus verbunden sind. Die Gerätesteuerung schränkt andere Modi wie Dateiübertragung, USB-Tethering und MIDI nicht ein.

Siehe auch

• Bereitstellen der Gerätesteuerung mithilfe von Intune
• Bereitstellen der Gerätesteuerung mithilfe von JAMF
• Manuelles Bereitstellen der Gerätesteuerung
• Häufig gestellte Fragen (FAQ) zur macOS-Gerätesteuerung