Bereitstellen von Microsoft Defender for Endpoint unter macOS mit Microsoft Intune

Gilt für:

• Microsoft Defender für Endpunkt unter macOS
• Microsoft Defender für Endpunkt Plan 1
• Microsoft Defender für Endpunkt Plan 2
• Microsoft Defender für Unternehmen

In diesem Artikel wird beschrieben, wie Sie Microsoft Defender for Endpoint unter macOS über Microsoft Intune bereitstellen.

Voraussetzungen und Systemanforderungen

Beachten Sie vor dem Start die Hauptseite „Microsoft Defender für Endpunkt auf macOS“ für eine Beschreibung der Voraussetzungen und Systemanforderungen für die aktuelle Softwareversion.

Übersicht

In der folgenden Tabelle sind die Schritte zum Bereitstellen und Verwalten von Microsoft Defender for Endpoint auf Macs über Microsoft Intune zusammengefasst. Ausführlichere Schritte finden Sie in der folgenden Tabelle:

Erstellen von Systemkonfigurationsprofilen

Der nächste Schritt besteht darin, Systemkonfigurationsprofile zu erstellen, die Microsoft Defender for Endpoint Anforderungen erfüllen. Öffnen Sie im Microsoft Intune Admin Centergerätekonfigurationsprofile>.

Schritt 1: Genehmigen von Systemerweiterungen

1. Wechseln Sie im Intune Admin Center zu Geräte, und wählen Sie unter Geräte verwaltendie Option Konfiguration aus.

2. Wählen Sie unter Konfigurationsprofile die Option Profil erstellen aus.

3. Wählen Sie auf der Registerkarte Richtlinien die OptionNeue Richtlinieerstellen> aus.

4. Wählen Sie unter Plattformdie Option macOS aus.

5. Wählen Sie unter Profiltyp die Option Einstellungskatalog aus.

6. Wählen Sie Erstellen aus.

7. Benennen Sie auf der Registerkarte Grundlagen das Profil, und geben Sie eine Beschreibung ein.

8. Wählen Sie Weiter aus.

9. Wählen Sie auf der Registerkarte Konfigurationseinstellungendie Option +Einstellungen hinzufügen aus.

10. Wählen Sie unter Vorlagennamedie Option Erweiterungen aus.

11. Erweitern Sie in der Einstellungsauswahl die Kategorie Systemkonfiguration , und wählen Sie dann Systemerweiterungen>Zulässige Systemerweiterungen aus:

    

12. Schließen Sie die Einstellungsauswahl, und wählen Sie dann + bearbeiten instance aus.

13. Konfigurieren Sie die folgenden Einträge im Abschnitt Zulässige Systemerweiterungen :

    Zulässige Systemerweiterungen	Teambezeichner
    com.microsoft.wdav.epsext	UBF8T346G9
    com.microsoft.wdav.netext	UBF8T346G9

    

14. Wählen Sie Weiter aus.

15. Weisen Sie auf der Registerkarte Zuweisungen das Profil einer Gruppe zu, in der sich die macOS-Geräte oder -Benutzer befinden.

16. Überprüfen Sie das Konfigurationsprofil. Wählen Sie Erstellen aus.

Schritt 2: Netzwerkfilter

Im Rahmen der Endpunkterkennungs- und -antwortfunktionen untersucht Microsoft Defender for Endpoint unter macOS den Socketdatenverkehr und meldet diese Informationen an das Microsoft 365 Defender-Portal. Die folgende Richtlinie ermöglicht der Netzwerkerweiterung, diese Funktion auszuführen.

Laden Sie netfilter.mobileconfig aus dem GitHub-Repository herunter.

So konfigurieren Sie ihren Netzwerkfilter:

1. Wählen Sie unter Konfigurationsprofile die Option Profil erstellen aus.

2. Wählen Sie unter Plattformdie Option macOS aus.

3. Wählen Sie unter ProfiltypTemplates aus.

4. Wählen Sie unter Vorlagenname die Option Benutzerdefiniert aus.

5. Wählen Sie Erstellen aus.

6. Benennen Sie auf der Registerkarte Grundlagen das Profil. Beispiel: NetFilter-prod-macOS-Default-MDE.

7. Wählen Sie Weiter aus.

8. Geben Sie auf der Registerkarte Konfigurationseinstellungen den Namen eines benutzerdefinierten Konfigurationsprofils ein. Beispiel: NetFilter-prod-macOS-Default-MDE.

9. Wählen Sie einen Bereitstellungskanal und dann Weiter aus.

10. Wählen Sie Weiter aus.

11. Weisen Sie auf der Registerkarte Zuweisungen das Profil einer Gruppe zu, in der sich die macOS-Geräte und/oder -Benutzer befinden, oder Alle Benutzer und Alle Geräte.

12. Überprüfen Sie das Konfigurationsprofil. Wählen Sie Erstellen aus.

Schritt 3: Vollständiger Datenträgerzugriff

Laden Sie fulldisk.mobileconfig aus dem GitHub-Repository herunter.

So konfigurieren Sie den vollständigen Datenträgerzugriff:

1. Wählen Sie im Intune Admin Center unter Konfigurationsprofile die Option Profil erstellen aus.

2. Wählen Sie unter Plattformdie Option macOS aus.

3. Wählen Sie unter ProfiltypTemplates aus.

4. Wählen Sie unter Vorlagenname die Option Benutzerdefiniert und dann Erstellen aus.

5. Benennen Sie auf der Registerkarte Grundlagen das Profil. Beispiel: FullDiskAccess-prod-macOS-Default-MDE.

6. Wählen Sie Weiter aus.

7. Geben Sie auf der Registerkarte Konfigurationseinstellungen den Namen eines benutzerdefinierten Konfigurationsprofils ein. Beispiel: FullDiskAccess-prod-macOS-Default-MDE.

8. Wählen Sie einen Bereitstellungskanal und dann Weiter aus.

9. Wählen Sie eine Konfigurationsprofildatei aus.

10. Weisen Sie auf der Registerkarte Zuweisungen das Profil einer Gruppe zu, in der sich die macOS-Geräte und/oder -Benutzer befinden, oder Alle Benutzer und Alle Geräte.

11. Überprüfen Sie das Konfigurationsprofil. Wählen Sie Erstellen aus.

Schritt 4: Hintergrunddienste

Laden Sie background_services.mobileconfig aus dem GitHub-Repository herunter.

So konfigurieren Sie Hintergrunddienste:

1. Wählen Sie unter Konfigurationsprofile die Option Profil erstellen aus.

2. Wählen Sie unter Plattformdie Option macOS aus.

3. Wählen Sie unter ProfiltypTemplates aus.

4. Wählen Sie unter Vorlagenname die Option Benutzerdefiniert aus.

5. Wählen Sie Erstellen aus.

6. Benennen Sie auf der Registerkarte Grundlagen das Profil. Beispiel: BackgroundServices-prod-macOS-Default-MDE.

7. Wählen Sie Weiter aus.

8. Geben Sie auf der Registerkarte Konfigurationseinstellungen den Namen eines benutzerdefinierten Konfigurationsprofils ein. Beispiel: backgroundServices-prod-macOS-Default-MDE.

9. Wählen Sie einen Bereitstellungskanal aus.

10. Wählen Sie Weiter aus.

11. Wählen Sie eine Konfigurationsprofildatei aus.

12. Weisen Sie auf der Registerkarte Zuweisungen das Profil einer Gruppe zu, in der sich die macOS-Geräte und/oder -Benutzer befinden, oder Alle Benutzer und Alle Geräte.

13. Überprüfen Sie das Konfigurationsprofil. Wählen Sie Erstellen aus.

Schritt 5: Benachrichtigungen

Dieses Profil wird verwendet, damit Microsoft Defender for Endpoint unter macOS und Microsoft AutoUpdate Benachrichtigungen in der Benutzeroberfläche anzeigen können.

Laden Sie notif.mobileconfig aus dem GitHub-Repository herunter.

Um Benachrichtigungen für die Endbenutzer zu deaktivieren, können Sie NotificationCenter anzeigen in notif.mobileconfig von truefalse in ändern.

So konfigurieren Sie Benachrichtigungen:

1. Wählen Sie unter Konfigurationsprofile die Option Profil erstellen aus.

2. Wählen Sie unter Plattformdie Option macOS aus.

3. Wählen Sie unter ProfiltypTemplates aus.

4. Wählen Sie unter Vorlagenname die Option Benutzerdefiniert aus.

5. Wählen Sie Erstellen aus.

6. Benennen Sie auf der Registerkarte Grundlagen das Profil. Beispiel: BackgroundServices-prod-macOS-Default-MDE.

7. Wählen Sie Weiter aus.

8. Geben Sie auf der Registerkarte Konfigurationseinstellungen den Namen eines benutzerdefinierten Konfigurationsprofils ein. Beispiel: Notif.mobileconfig.

9. Wählen Sie einen Bereitstellungskanal und dann Weiter aus.

10. Wählen Sie eine Konfigurationsprofildatei aus.

11. Weisen Sie auf der Registerkarte Zuweisungen das Profil einer Gruppe zu, in der sich die macOS-Geräte und/oder -Benutzer befinden, oder Alle Benutzer und Alle Geräte.

12. Überprüfen Sie das Konfigurationsprofil. Wählen Sie Erstellen aus.

Schritt 6: Einstellungen für Barrierefreiheit

Dieses Profil wird verwendet, um Microsoft Defender for Endpoint unter macOS auf die Barrierefreiheitseinstellungen unter Apple macOS High Sierra (10.13.6) und höher zuzugreifen.

Laden Sie accessibility.mobileconfig aus dem GitHub-Repository herunter.

1. Wählen Sie unter Konfigurationsprofile die Option Profil erstellen aus.

2. Wählen Sie unter Plattformdie Option macOS aus.

3. Wählen Sie unter ProfiltypTemplates aus.

4. Wählen Sie unter Vorlagenname die Option Benutzerdefiniert aus.

5. Wählen Sie Erstellen aus.

6. Benennen Sie auf der Registerkarte Grundlagen das Profil. Beispiel: Accessibility-prod-macOS-Default-MDE.

7. Wählen Sie Weiter aus.

8. Geben Sie auf der Registerkarte Konfigurationseinstellungen den Namen eines benutzerdefinierten Konfigurationsprofils ein. Beispiel: Accessibility.mobileconfig.

9. Wählen Sie einen Bereitstellungskanal aus.

10. Wählen Sie Weiter aus.

11. Wählen Sie eine Konfigurationsprofildatei aus.

12. Weisen Sie auf der Registerkarte Zuweisungen das Profil einer Gruppe zu, in der sich die macOS-Geräte und/oder -Benutzer befinden, oder Alle Benutzer und Alle Geräte.

13. Überprüfen Sie das Konfigurationsprofil. Wählen Sie Erstellen aus.

Schritt 7: Bluetooth-Berechtigungen

Laden Sie bluetooth.mobileconfig aus dem GitHub-Repository herunter, und verwenden Sie denselben Workflow wie in Schritt 6: Barrierefreiheitseinstellungen , um den Bluetooth-Zugriff zu aktivieren.

Schritt 8: Microsoft AutoUpdate

Dieses Profil wird verwendet, um die Microsoft Defender for Endpoint unter macOS über Microsoft AutoUpdate (MAU) zu aktualisieren. Wenn Sie Microsoft Defender for Endpoint unter macOS bereitstellen, haben Sie die Optionen, um eine aktualisierte Version der Anwendung (Plattformupdate) zu erhalten, die sich in den verschiedenen hier genannten Kanälen befinden:

• Beta (Insiders-Fast)
• Aktueller Kanal (Vorschau, Insiders-Slow)
• Aktueller Kanal (Produktion)

Weitere Informationen finden Sie unter Bereitstellen von Updates für Microsoft Defender for Endpoint unter macOS.

Laden Sie AutoUpdate2.mobileconfig aus dem GitHub-Repository herunter.

1. Wählen Sie unter Konfigurationsprofile die Option Profil erstellen aus.

2. Wählen Sie unter Plattformdie Option macOS aus.

3. Wählen Sie unter ProfiltypTemplates aus.

4. Wählen Sie unter Vorlagenname die Option Benutzerdefiniert aus.

5. Wählen Sie Erstellen aus.

6. Benennen Sie auf der Registerkarte Grundlagen das Profil. Beispiel: Autoupdate-prod-macOS-Default-MDE.

7. Wählen Sie Weiter aus.

8. Geben Sie auf der Registerkarte Konfigurationseinstellungen den Namen eines benutzerdefinierten Konfigurationsprofils ein. Beispiel: Autoupdate.mobileconfig.

9. Wählen Sie einen Bereitstellungskanal aus.

10. Wählen Sie Weiter aus.

11. Wählen Sie eine Konfigurationsprofildatei aus.

12. Weisen Sie auf der Registerkarte Zuweisungen das Profil einer Gruppe zu, in der sich die macOS-Geräte und/oder -Benutzer befinden, oder Alle Benutzer und Alle Geräte.

13. Überprüfen Sie das Konfigurationsprofil. Wählen Sie Erstellen aus.

Schritt 9: Microsoft Defender for Endpoint Konfigurationseinstellungen

In diesem Schritt gehen wir über Einstellungen, mit denen Sie Antimalware- und EDR-Richtlinien mithilfe von Microsoft Intune (https://intune.microsoft.com) konfigurieren können.

9a. Festlegen von Richtlinien über Microsoft Defender Portal

Legen Sie Richtlinien mithilfe von Microsoft Defender Portal fest, indem Sie die folgenden Anweisungen oder Microsoft Intune implementieren:

1. Lesen Sie konfigurieren Microsoft Defender for Endpoint in Intune, bevor Sie die Sicherheitsrichtlinien mithilfe von Microsoft Defender for Endpoint Sicherheitseinstellungsverwaltung festlegen.

2. Wechseln Sie im Microsoft Defender-Portal zu Konfigurationsverwaltung>Endpunktsicherheitsrichtlinien>Mac-Richtlinien>Neue Richtlinie erstellen.

3. Wählen Sie unter Plattform auswählen die Option macOS aus.

4. Wählen Sie unter Vorlage auswählen eine Vorlage und dann Richtlinie erstellen aus.

5. Geben Sie einen Namen und eine Beschreibung für die Richtlinie an, und wählen Sie dann Weiter aus.

6. Weisen Sie auf der Registerkarte Zuweisungen das Profil einer Gruppe zu, in der sich die macOS-Geräte und/oder -Benutzer befinden, oder Alle Benutzer und Alle Geräte.

Weitere Informationen zum Verwalten von Sicherheitseinstellungen finden Sie unter:

• Verwalten von Microsoft Defender for Endpoint auf Geräten mit Microsoft Intune
• Natives Verwalten von Sicherheitseinstellungen für Windows, macOS und Linux in Defender für Endpunkt

Festlegen von Richtlinien mithilfe von Microsoft Intune

Sie können die Sicherheitseinstellungen für Microsoft Defender for Endpoint unter macOS unter Einstellungseinstellungen in Microsoft Intune verwalten.

Weitere Informationen finden Sie unter Festlegen von Einstellungen für Microsoft Defender for Endpoint unter Mac.

Schritt 10: Netzwerkschutz für Microsoft Defender for Endpoint unter macOS

Im Microsoft Defender-Portal:

1. Wechseln Sie zu Konfigurationsverwaltung>Endpunktsicherheitsrichtlinien>Mac-Richtlinien>Neue Richtlinie erstellen.

2. Wählen Sie unter Plattform auswählen die Option macOS aus.

3. Wählen Sie unter Vorlage auswählendie Option Microsoft Defender Antivirus und dann Richtlinie erstellen aus.

   

4. Geben Sie auf der Registerkarte Grundlagen den Namen und die Beschreibung der Richtlinie ein. Wählen Sie Weiter aus.

   

5. Wählen Sie auf der Registerkarte Konfigurationseinstellungen unter Netzwerkschutz eine Erzwingungsstufe aus. Wählen Sie Weiter aus.

   

6. Weisen Sie auf der Registerkarte Zuweisungen das Profil einer Gruppe zu, in der sich die macOS-Geräte und/oder -Benutzer befinden, oder Alle Benutzer und Alle Geräte.

   

7. Überprüfen Sie die Richtlinie unter Überprüfen+Erstellen , und wählen Sie Speichern aus.

Schritt 11: Gerätesteuerung für Microsoft Defender for Endpoint unter macOS

Führen Sie zum Festlegen der Gerätesteuerung für Microsoft Defender for Endpoint unter macOS die Folgenden Schritte aus:

• Gerätesteuerung für macOS
• Bereitstellen und Verwalten der Gerätesteuerung mithilfe von Intune

Schritt 12: Verhinderung von Datenverlust (Data Loss Prevention, DLP) für Endpunkt

Um die Verhinderung von Datenverlust (Data Loss Prevention, DLP) von Purview für Endpunkte unter macOS festzulegen, führen Sie die Schritte unter Onboarding und Offboarding von macOS-Geräten in Compliancelösungen mithilfe von Microsoft Intune aus.

Schritt 13: Überprüfen status von PList (.mobileconfig)

Nach Abschluss der Profilkonfiguration können Sie die status der Richtlinien überprüfen.

Status anzeigen

Sobald die Intune Änderungen an die registrierten Geräte weitergegeben wurden, werden sie unter Gerät>überwachen status aufgelistet:

Einrichtung des Clientgeräts

Eine Standardinstallation Unternehmensportal ist für ein Mac-Gerät ausreichend.

1. Bestätigen Sie die Geräteverwaltung.

   

   Wählen Sie Systemeinstellungen öffnen aus, suchen Sie verwaltungsprofil in der Liste, und wählen Sie Genehmigen... aus. Ihr Verwaltungsprofil wird als Überprüft angezeigt:

   

2. Wählen Sie Weiter aus, und schließen Sie die Registrierung ab.

   Sie können jetzt weitere Geräte registrieren. Sie können sie auch später registrieren, nachdem Sie die Bereitstellung der Systemkonfiguration und der Anwendungspakete abgeschlossen haben.

3. Öffnen Sie IntuneGeräte>verwalten>Alle Geräte. Hier sehen Sie Ihr Gerät unter den aufgeführten:

   

Überprüfen des Status des Clientgeräts

1. Nachdem die Konfigurationsprofile auf Ihren Geräten bereitgestellt wurden, öffnen Sie Systemeinstellungsprofile> auf Ihrem Mac-Gerät.

   

   

2. Vergewissern Sie sich, dass die folgenden Konfigurationsprofile vorhanden und installiert sind. Das Verwaltungsprofil sollte das Intune Systemprofil sein. Wdav-config und wdav-kext sind Systemkonfigurationsprofile, die in Intune hinzugefügt wurden:

   

3. Außerdem sollte in der oberen rechten Ecke das symbol Microsoft Defender for Endpoint angezeigt werden.

   

Schritt 14: Veröffentlichen der Anwendung

Dieser Schritt ermöglicht die Bereitstellung Microsoft Defender for Endpoint auf registrierten Computern.

1. Öffnen Sie im Microsoft Intune Admin CenterApps.

   

2. Wählen Sie Nach Plattform>macOS>Hinzufügen aus.

3. Wählen Sie unter App-Typdie Option macOS aus. Wählen Sie Auswählen aus.

   

4. Behalten Sie in den App-Informationen die Standardwerte bei, und wählen Sie Weiter aus.

   

5. Wählen Sie auf der Registerkarte "Aufgaben " die Option "Weiter" aus.

   

6. Überprüfen und erstellen. Sie können Apps>nach plattform>macOS besuchen, um es in der Liste aller Anwendungen anzuzeigen.

   

Weitere Informationen finden Sie unter Hinzufügen Microsoft Defender for Endpoint zu macOS-Geräten mithilfe von Microsoft Intune.

Schritt 15: Herunterladen des Onboardingpakets

So laden Sie die Onboardingpakete aus dem Microsoft 365 Defender-Portal herunter:

1. Wechseln Sie im Microsoft 365 Defender-Portal zu Einstellungen>Endpunkte>Geräteverwaltung>Onboarding.

2. Legen Sie das Betriebssystem auf macOS und die Bereitstellungsmethode auf Mobile Geräteverwaltung/Microsoft Intune fest.

   

3. Wählen Sie "Onboardingpaket herunterladen" aus. Speichern Sie sie als WindowsDefenderATPOnboardingPackage.zip im selben Verzeichnis.

4. Extrahieren Sie den Inhalt der .zip-Datei:

   unzip WindowsDefenderATPOnboardingPackage.zip
   

   Archive:  WindowsDefenderATPOnboardingPackage.zip
   warning:  WindowsDefenderATPOnboardingPackage.zip appears to use backslashes as path separators
    inflating: intune/kext.xml
    inflating: intune/WindowsDefenderATPOnboarding.xml
    inflating: jamf/WindowsDefenderATPOnboarding.plist
   

   

Schritt 16: Bereitstellen des Onboardingpakets

Dieses Profil enthält Lizenzinformationen für Microsoft Defender for Endpoint.

So stellen Sie das Onboardingpaket bereit:

1. Wählen Sie unter Konfigurationsprofile die Option Profil erstellen aus.

2. Wählen Sie unter Plattformdie Option macOS aus.

3. Wählen Sie unter ProfiltypTemplates aus.

4. Wählen Sie unter Vorlagenname die Option Benutzerdefiniert aus.

5. Wählen Sie Erstellen aus.

   

6. Benennen Sie auf der Registerkarte Grundlagen das Profil. Beispiel: Autoupdate-prod-macOS-Default-MDE. Wählen Sie Weiter aus.

   

7. Geben Sie auf der Registerkarte Konfigurationseinstellungen den Namen eines benutzerdefinierten Konfigurationsprofils ein. Beispiel: Autoupdate.mobileconfig.

8. Wählen Sie einen Bereitstellungskanal aus.

9. Wählen Sie Weiter aus.

10. Wählen Sie eine Konfigurationsprofildatei aus.

    

11. Weisen Sie auf der Registerkarte Zuweisungen das Profil einer Gruppe zu, in der sich die macOS-Geräte und/oder -Benutzer befinden, oder Alle Benutzer und Alle Geräte.

    

12. Überprüfen Sie das Konfigurationsprofil. Wählen Sie Erstellen aus.

13. Öffnen SieGerätekonfigurationsprofile>, um das erstellte Profil anzuzeigen.

Schritt 17: Überprüfen der Antischadsoftwareerkennung

Lesen Sie den folgenden Artikel, um eine Überprüfung der Antischadsoftwareerkennung zu testen: Antiviruserkennungstest zum Überprüfen des Onboardings und der Reporting-Dienste des Geräts

Schritt 18: Überprüfen der EDR-Erkennung

Lesen Sie den folgenden Artikel, um eine Überprüfung der EDR-Erkennung zu testen: EDR-Erkennungstest zum Überprüfen von Geräte-Onboarding- und Reporting-Diensten

Problembehandlung

Problem: Keine Lizenz gefunden.

Lösung: Führen Sie die Schritte in diesem Artikel aus, um mithilfe von WindowsDefenderATPOnboarding.xml ein Geräteprofil zu erstellen.

Protokollierung von Installationsproblemen

Informationen dazu, wie Sie das automatisch generierte Protokoll finden, das vom Installationsprogramm erstellt wurde, wenn ein Fehler auftritt, finden Sie unter Protokollierung von Installationsproblemen .

Informationen zur Problembehandlung finden Sie unter:

• Behandeln von Problemen mit Systemerweiterungen in Microsoft Defender for Endpoint unter macOS
• Behandeln von Installationsproblemen für Microsoft Defender for Endpoint unter macOS
• Behandeln von Lizenzproblemen für Microsoft Defender for Endpoint unter macOS
• Behandeln von Problemen mit der Cloudkonnektivität für Microsoft Defender for Endpoint unter macOS
• Behandeln von Leistungsproblemen für Microsoft Defender for Endpoint unter macOS

Deinstallation

Details zum Entfernen von Microsoft Defender für Endpunkt auf macOS von Clientgeräten finden Sie unter Deinstallation.

Empfohlene Inhalte