macOS 用デバイス コントロール

適用対象:

• Microsoft Defender for Endpoint Plan 1
• Microsoft Defender for Endpoint Plan 2
• Microsoft Defender XDR
• Microsoft Defender for Business

Microsoft Defender ATP を試してみたいですか? 無料試用版にサインアップしてください。

要件

macOS 用デバイスコントロールには、次の前提条件があります。

概要

Microsoft Defender for Endpointデバイス制御機能を使用すると、次の操作を行うことができます。

• リムーバブル ストレージへの読み取り、書き込み、または実行アクセスを監査、許可、または防止する。そして
• 除外の有無にかかわらず、iOS とポータブル デバイス、および Apple APFS で暗号化されたデバイスと Bluetooth メディアを管理します。

エンドポイントを準備する

• Microsoft Defender for Endpointエンタイトルメント (試用可能)

• OS の最小バージョン: macOS 11 以降

• 完全なディスク アクセスの展開: 他のMDE機能に対してこれをhttps://github.com/microsoft/mdatp-xplat/blob/master/macos/mobileconfig/profiles/fulldisk.mobileconfig既に作成してデプロイ済みである可能性があります。 新しいアプリケーションのフル ディスク アクセス許可を付与する必要があります。 com.microsoft.dlp.daemon

• MDE基本設定でデバイス制御を有効にします。

  • データ損失防止 (DLP)/機能/

  • [ 機能名] に「DC_in_dlp」と入力します。

  • [ State]\(状態\) に「enabled」と入力します

例 1: schema.jsonを使用した JAMF。

例 2: demo.mobileconfig

<key>dlp</key>
<dict> 
  <key>features</key>
  <array> 
	<dict> 
	  <key>name</key>
	  <string>DC_in_dlp</string>
	  <key>state</key>
	  <string>enabled</string>
	</dict>
  </array>
</dict>

• 最小製品バージョン: 101.91.92 以上

• ターミナルから mdatp バージョン を実行して、クライアント コンピューターの製品バージョンを確認します。

  

ポリシーについて

ポリシーは、macOS のデバイス制御の動作を決定します。 このポリシーは、マシンまたはユーザーのコレクションにIntuneまたは JAMF を使用して対象とされます。

macOS のデバイス制御ポリシーには、設定、グループ、ルールが含まれます。

• "settings" と呼ばれるグローバル設定を使用すると、グローバル環境を定義できます。
• "グループ" と呼ばれるグループを使用すると、メディア グループを作成できます。 たとえば、承認された USB グループや暗号化された USB グループなどです。
• "rules" と呼ばれるアクセス ポリシー ルールを使用すると、各グループを制限するポリシーを作成できます。 たとえば、アクセスが承認された USB グループを書き込むには、承認されたユーザーのみを許可します。

ベスト プラクティス

macOS のデバイス制御は、Windows 用デバイス コントロールと同様の機能を備えますが、macOS と Windows には、デバイスを管理するためのさまざまな基になる機能が用意されているため、いくつかの重要な違いがあります。

• macOS には、デバイスの一元的なデバイス マネージャーやビューはありません。 デバイスと対話するアプリケーションへのアクセスが許可または拒否されます。 macOS では、アクセス の種類が豊富なセットがあるのはこのためです。 たとえば、 portableDevice macOS のデバイス コントロールでは、 を拒否または許可 download_photos_from_deviceできます。
• Windows と一貫性を保つにはgeneric_readgeneric_write、 と generic_execute アクセスの種類があります。 ジェネリック アクセスの種類を持つポリシーは、将来追加の特定のアクセスの種類が追加された場合に変更する必要はありません。 より具体的な操作を拒否または許可する必要がある場合を除き、一般的なアクセスの種類を使用することをお勧めします。
• 一般的な deny アクセスの種類を使用してポリシーを作成することが、その種類のデバイス (Android 電話など) のすべての操作を完全にブロックする最善の方法ですが、macOS デバイス制御でサポートされていないアプリケーションを使用して操作が実行される場合は、まだギャップが発生する可能性があります。

Settings

macOS のデバイス制御ポリシーでグループ、ルール、設定を作成するときに使用できるプロパティを次に示します。

グループ

クエリ

Device Control では、次の 2 種類のクエリがサポートされています。

クエリの種類 1 は次のとおりです。

クエリの種類 2 は次のとおりです。

句

句のプロパティ

サポートされる句

アクセス ポリシールール

次の表に、エントリで使用できるプロパティの一覧を示します。

次の表に、エントリで使用できるプロパティの一覧を示します。

施行

強制プロパティ名

適用の種類

アクセスの種類

エンドユーザーのエクスペリエンス

拒否が発生し、ポリシーで通知が有効になると、エンド ユーザーにダイアログが表示されます。

状態

デバイス制御の状態を調べるには、 を使用 mdatp health --details device_control します。

active                                      : ["v2"]
v1_configured                               : false
v1_enforcement_level                        : unavailable
v2_configured                               : true
v2_state                                    : "enabled"
v2_sensor_connection                        : "created_ok"
v2_full_disk_access                         : "approved"

• active - 機能バージョンでは、["v2"] が表示されます。 (デバイス制御は有効ですが、構成されていません)。
  • [] - このマシンでデバイス制御が構成されていません。
  • ["v1"] - デバイス コントロールのプレビュー バージョンを使用しています。 このガイドを使用してバージョン 2 に移行します。 v1 は廃止されたと見なされ、このドキュメントでは説明されていません。
  • ["v1","v2"] - v1 と v2 の両方が有効になっています。 v1 からオフボード。
• v1_configured - v1 構成が適用される
• v1_enforcement_level - v1 が有効になっている場合
• v2_configured - v2 構成が適用される
• v2_state - v2 状態 (完全に enabled 動作している場合)
• v2_sensor_connection - の場合 created_ok、デバイスコントロールはシステム拡張機能への接続を確立しました
• v2_full_disk_access - でない approved場合、デバイスコントロールは一部またはすべての操作を妨げるものではありません

Reporting

高度なハンティングとデバイス制御レポートでポリシー イベントを確認できます。 詳細については、「デバイス制御を使用してorganizationのデータを保護する」を参照してください。

シナリオ

Microsoft Defender for Endpointとデバイス制御のMicrosoft Defender for Endpointについて理解するのに役立つ一般的なシナリオをいくつか次に示します。

シナリオ 1: リムーバブル メディアを拒否するが、特定の USB を許可する

このシナリオでは、リムーバブル メディア用の 1 つのグループと承認済み USB グループ用の別のグループという 2 つのグループを作成する必要があります。 また、アクセス ポリシー規則を作成する必要もあります。

手順 1: 設定: デバイス制御を有効にし、既定の適用を設定する

"settings": { 

	"features": { 

		"removableMedia": { 

			"disable": false 

		} 

	}, 

	"global": { 

		"defaultEnforcement": "allow" 

	}, 

	"ux": { 

		"navigationTarget": "http://www.deskhelp.com" 

	} 

} 

手順 2: グループ: リムーバブル メディア グループと承認済み USB グループをCreateする

1. リムーバブル メディア デバイスをカバーするグループをCreateします。
2. 承認された USB のグループをCreateします。
3. これらのグループを 1 つに groups結合します。

"groups": [ 

        { 

            "type": "device", 

            "id": "3f082cd3-f701-4c21-9a6a-ed115c28e211", 

            "name": "All Removable Media Devices", 

            "query": { 

                "$type": "all", 

                "clauses": [ 

                    { 

                        "$type": "primaryId", 

                        "value": "removable_media_devices" 

                    } 

                ] 

            } 

        }, 

        { 

            "type": "device", 

            "id": "3f082cd3-f701-4c21-9a6a-ed115c28e212", 

            "name": "Kingston Devices", 

            "query": { 

                "$type": "all", 

                "clauses": [ 

                    { 

                        "$type": "vendorId", 

                        "value": "0951" 

                    } 

                ] 

            } 

        } 

    ] 

手順 3: 規則: 未適用の USB の拒否ポリシーをCreateする

アクセス ポリシー ルールをCreateし、 にrules配置します。

"rules": [ 

	{ 

		"id": "772cef80-229f-48b4-bd17-a69130092981", 

		"name": "Deny RWX to all Removable Media Devices except Kingston", 

		"includeGroups": [ 

			"3f082cd3-f701-4c21-9a6a-ed115c28e211" 

		], 

		"excludeGroups": [ 

			"3f082cd3-f701-4c21-9a6a-ed115c28e212" 

		], 

		"entries": [ 

			{ 

				"$type": "removableMedia", 

				"id": "A7CEE2F8-CE34-4B34-9CFE-4133F0361035", 

				"enforcement": { 

					"$type": "deny" 

				}, 

				"access": [ 

					"read", 

					"write", 

					"execute" 

				] 

			}, 

			{ 

				"$type": "removableMedia", 

				"id": "18BA3DD5-4C9A-458B-A756-F1499FE94FB4", 

				"enforcement": { 

					"$type": "auditDeny", 

					"options": [ 

						"send_event", 

						"show_notification" 

					] 

				}, 

				"access": [ 

					"read", 

					"write", 

					"execute" 

				] 

			} 

		] 

	} 

] 

この場合、アクセス ルール ポリシーは 1 つだけですが、複数ある場合は、 にすべてを rules追加してください。

既知の問題

警告

macOS のデバイス 制御では、PTP モード のみを使用して接続されている Android デバイスが制限されます。 デバイスコントロールは、ファイル転送、USBテザリング、MIDIなどの他のモードを制限しません。

関連項目

• Intuneを使用してデバイス制御を展開する
• JAMF を使用してデバイス制御を展開する
• デバイスコントロールを手動で展開する
• macOS デバイス コントロールに関してよく寄せられる質問 (FAQ)