Управление устройствами для macOS

Область применения:

• Microsoft Defender для конечной точки (план 1)
• Microsoft Defender для конечной точки (план 2)
• Microsoft Defender XDR
• Microsoft Defender для бизнеса

Хотите попробовать Microsoft Defender для конечной точки? Зарегистрироваться для бесплатной пробной версии.

Требования

Управление устройствами для macOS имеет следующие предварительные требования:

Обзор

Microsoft Defender для конечной точки функция управления устройствами позволяет:

• Аудит, разрешение или запрет доступа к съемной памяти для чтения, записи или выполнения; И
• Управление устройствами iOS и переносными устройствами, а также зашифрованными устройствами Apple APFS и носителем Bluetooth с исключениями или без.

Подготовка конечных точек

• Microsoft Defender для конечной точки права (может быть пробной версией)

• Минимальная версия ОС: macOS 11 или более поздней версии

• Развертывание полного доступа к диску. Возможно, вы уже создали и развернули его https://github.com/microsoft/mdatp-xplat/blob/master/macos/mobileconfig/profiles/fulldisk.mobileconfig для других MDE функций. Необходимо предоставить разрешение на полный доступ к диску для нового приложения: com.microsoft.dlp.daemon.

• Включите управление устройствами в параметре предпочтения MDE:

  • Защита от потери данных (DLP)/Features/

  • В поле Имя компонента введите "DC_in_dlp".

  • В поле Состояние введите "enabled"

Пример 1. JAMF с использованием schema.json.

Пример 2. demo.mobileconfig

<key>dlp</key>
<dict> 
  <key>features</key>
  <array> 
	<dict> 
	  <key>name</key>
	  <string>DC_in_dlp</string>
	  <key>state</key>
	  <string>enabled</string>
	</dict>
  </array>
</dict>

• Минимальная версия продукта: 101.91.92 или выше

• Запустите версию mdatp через терминал, чтобы просмотреть версию продукта на клиентском компьютере:

  

Общие сведения о политиках

Политики определяют поведение управления устройствами для macOS. Политика ориентирована через Intune или JAMF на коллекцию компьютеров или пользователей.

Политика управления устройствами для macOS включает параметры, группы и правила:

• Глобальный параметр под названием "параметры" позволяет определить глобальную среду.
• Группа с именем "группы" позволяет создавать группы мультимедиа. Например, авторизованная группа USB или зашифрованная группа USB.
• Правило политики доступа с именем "правила" позволяет создать политику для ограничения каждой группы. Например, разрешите только авторизованному пользователю записывать разрешенную для доступа группу USB.

Лучшие методики

Управление устройствами для macOS имеет те же возможности, что и управление устройствами для Windows, но macOS и Windows предоставляют различные базовые возможности для управления устройствами, поэтому существуют некоторые важные различия:

• MacOS не имеет централизованного диспетчер устройств или представления устройств. Доступ предоставляется или запрещается приложениям, взаимодействующим с устройствами. Именно поэтому в macOS существует более широкий набор типов доступа. Например, в элементе portableDevice управления устройства для macOS можно запретить или разрешить download_photos_from_device.
• Чтобы обеспечить согласованность с Windows, существуют generic_readтипы доступа иgeneric_writegeneric_execute . Политики с универсальными типами доступа не нужно изменять, если в будущем будут добавлены дополнительные определенные типы доступа. Рекомендуется использовать универсальные типы доступа, если нет конкретной необходимости запретить или разрешить более конкретную операцию.
• deny Создание политики с использованием универсальных типов доступа — лучший способ полностью заблокировать все операции для этого типа устройства (например, для телефонов Android), но если операция выполняется с помощью приложения, которое не поддерживается управлением устройствами macOS, все равно могут быть пробелы.

Параметры

Ниже приведены свойства, которые можно использовать при создании групп, правил и параметров в политике управления устройствами для macOS.

Группа

Запрос

Управление устройствами поддерживает два типа запросов:

Тип запроса 1 выглядит следующим образом:

Тип запроса 2 выглядит следующим образом:

Предложение

Свойства предложения

Поддерживаемые предложения

Правило политики доступа

В следующей таблице перечислены свойства, которые можно использовать в записи:

В следующей таблице перечислены свойства, которые можно использовать в записи:

Применение

Имя свойства принудительного применения

Тип принудительного применения

Типы доступа

Характер работы пользователей

После запрета и включения уведомления в политике конечный пользователь увидит диалоговое окно:

Состояние

Используйте mdatp health --details device_control для проверки состояния управления устройствами:

active                                      : ["v2"]
v1_configured                               : false
v1_enforcement_level                        : unavailable
v2_configured                               : true
v2_state                                    : "enabled"
v2_sensor_connection                        : "created_ok"
v2_full_disk_access                         : "approved"

• active — версия компонента, должна отображаться ["v2"]. (Управление устройствами включено, но не настроено.)
  • [] — управление устройствами не настроено на этом компьютере.
  • ["v1"] — вы находитесь в предварительной версии элемента управления устройствами. Выполните миграцию на версию 2, используя это руководство. Версия 1 считается устаревшей и не описана в этой документации.
  • ["v1","v2"] — у вас включены версии 1 и 2. Отключается от версии 1.
• v1_configured — применена конфигурация версии 1
• v1_enforcement_level — если включена версия 1;
• v2_configured — применена конфигурация версии 2
• v2_state — состояние версии 2, enabled если он полностью работает
• v2_sensor_connection — если created_ok, то управление устройствами установило подключение к расширению системы.
• v2_full_disk_access — если нет approved, то управление устройствами не может предотвратить некоторые или все операции.

Reporting

Вы можете увидеть событие политики в отчете о расширенной охоте и управлении устройствами. Дополнительные сведения см. в статье Защита данных организации с помощью управления устройствами.

Сценарии

Ниже приведены некоторые распространенные сценарии, которые помогут вам ознакомиться с Microsoft Defender для конечной точки и Microsoft Defender для конечной точки управления устройствами.

Сценарий 1. Запретить любой съемный носитель, но разрешить определенные USB

В этом сценарии необходимо создать две группы: одну для любого съемных носителей, а другую — для утвержденной группы USB. Кроме того, необходимо создать правило политики доступа.

Шаг 1. Параметры: включение управления устройствами и установка принудительного применения по умолчанию

"settings": { 

	"features": { 

		"removableMedia": { 

			"disable": false 

		} 

	}, 

	"global": { 

		"defaultEnforcement": "allow" 

	}, 

	"ux": { 

		"navigationTarget": "http://www.deskhelp.com" 

	} 

} 

Шаг 2. Группы: Create любую группу съемных носителей и группу утвержденных USB

1. Create группу для покрытия любых съемных носителей.
2. Create группу для утвержденных USB.
3. Объедините эти группы в одну groups.

"groups": [ 

        { 

            "type": "device", 

            "id": "3f082cd3-f701-4c21-9a6a-ed115c28e211", 

            "name": "All Removable Media Devices", 

            "query": { 

                "$type": "all", 

                "clauses": [ 

                    { 

                        "$type": "primaryId", 

                        "value": "removable_media_devices" 

                    } 

                ] 

            } 

        }, 

        { 

            "type": "device", 

            "id": "3f082cd3-f701-4c21-9a6a-ed115c28e212", 

            "name": "Kingston Devices", 

            "query": { 

                "$type": "all", 

                "clauses": [ 

                    { 

                        "$type": "vendorId", 

                        "value": "0951" 

                    } 

                ] 

            } 

        } 

    ] 

Шаг 3. Правила: политика запрета Create для не разрешенных USB

Create правило политики доступа и введите в rules:

"rules": [ 

	{ 

		"id": "772cef80-229f-48b4-bd17-a69130092981", 

		"name": "Deny RWX to all Removable Media Devices except Kingston", 

		"includeGroups": [ 

			"3f082cd3-f701-4c21-9a6a-ed115c28e211" 

		], 

		"excludeGroups": [ 

			"3f082cd3-f701-4c21-9a6a-ed115c28e212" 

		], 

		"entries": [ 

			{ 

				"$type": "removableMedia", 

				"id": "A7CEE2F8-CE34-4B34-9CFE-4133F0361035", 

				"enforcement": { 

					"$type": "deny" 

				}, 

				"access": [ 

					"read", 

					"write", 

					"execute" 

				] 

			}, 

			{ 

				"$type": "removableMedia", 

				"id": "18BA3DD5-4C9A-458B-A756-F1499FE94FB4", 

				"enforcement": { 

					"$type": "auditDeny", 

					"options": [ 

						"send_event", 

						"show_notification" 

					] 

				}, 

				"access": [ 

					"read", 

					"write", 

					"execute" 

				] 

			} 

		] 

	} 

] 

В этом случае у вас есть только одна политика правила доступа, но если у вас их несколько, обязательно добавьте все в rules.

Известные проблемы

Предупреждение

Управление устройствами в macOS ограничивает только устройства Android, подключенные с помощью режима PTP. Управление устройством не ограничивает другие режимы, такие как передача файлов, USB-подключение и MIDI.

См. также

• Развертывание управления устройствами с помощью Intune
• Развертывание управления устройствами с помощью JAMF
• Развертывание управления устройствами вручную
• Часто задаваемые вопросы об управлении устройствами macOS