Enhetskontroll för macOS

Gäller för:

• Microsoft Defender för Endpoint Abonnemang 1
• Microsoft Defender för Endpoint Abonnemang 2
• Microsoft Defender XDR
• Microsoft Defender för företag

Vill du uppleva Microsoft Defender för Endpoint? Registrera dig för en kostnadsfri utvärderingsversion.

Krav

Enhetskontrollen för macOS har följande krav:

Översikt

med funktionen Microsoft Defender för Endpoint enhetskontroll kan du:

• Granska, tillåta eller förhindra läs-, skriv- eller körningsåtkomst till flyttbar lagring. Och
• Hantera iOS- och bärbara enheter samt Apple APFS-krypterade enheter och Bluetooth-media, med eller utan undantag.

Förbered dina slutpunkter

• Microsoft Defender för Endpoint berättigande (kan vara utvärderingsversion)

• Lägsta operativsystemversion: macOS 11 eller senare

• Distribuera fullständig diskåtkomst: du kanske redan har skapat och distribuerat den tidigare https://github.com/microsoft/mdatp-xplat/blob/master/macos/mobileconfig/profiles/fulldisk.mobileconfig för andra MDE funktioner. Du måste bevilja fullständig diskåtkomstbehörighet för ett nytt program: com.microsoft.dlp.daemon.

• Aktivera enhetskontroll i inställningen MDE inställning:

  • Dataförlustskydd (DLP)/funktioner/

  • För Funktionsnamn anger du "DC_in_dlp"

  • För Tillstånd anger du "aktiverad"

Exempel 1: JAMF med schema.json.

Exempel 2: demo.mobileconfig

<key>dlp</key>
<dict> 
  <key>features</key>
  <array> 
	<dict> 
	  <key>name</key>
	  <string>DC_in_dlp</string>
	  <key>state</key>
	  <string>enabled</string>
	</dict>
  </array>
</dict>

• Lägsta produktversion: 101.91.92 eller senare

• Kör mdatp-versionen via Terminal för att se produktversionen på klientdatorn:

  

Förstå principer

Principer bestämmer beteendet för enhetskontroll för macOS. Principen riktas via Intune eller JAMF till en samling datorer eller användare.

Enhetskontrollen för macOS-principen innehåller inställningar, grupper och regler:

• Med den globala inställningen "inställningar" kan du definiera den globala miljön.
• Med gruppen "grupper" kan du skapa mediegrupper. Till exempel auktoriserad USB-grupp eller krypterad USB-grupp.
• Med åtkomstprincipregeln "regler" kan du skapa en princip för att begränsa varje grupp. Tillåt till exempel endast behörig användare att skriva åtkomstauktoriserat USB-grupp.

Metodtips

Enhetskontrollen för macOS har liknande funktioner som enhetskontrollen för Windows, men macOS och Windows har olika underliggande funktioner för att hantera enheter, så det finns några viktiga skillnader:

• macOS har ingen centraliserad Enhetshanteraren eller vy över enheter. Åtkomst beviljas/nekas till program som interagerar med enheter. Det är därför det finns en mer omfattande uppsättning åtkomsttyper på macOS. Till exempel kan en portableDevice enhetskontroll för macOS neka eller tillåta download_photos_from_device.
• Det finns generic_readåtkomsttypergeneric_write och generic_execute för att hålla dig konsekvent med Windows. Principer med allmänna åtkomsttyper behöver inte ändras om/när ytterligare specifika åtkomsttyper läggs till i framtiden. Bästa praxis är att använda allmänna åtkomsttyper om det inte finns ett specifikt behov av att neka/tillåta en mer specifik åtgärd.
• Att skapa en deny princip med hjälp av allmänna åtkomsttyper är det bästa sättet att försöka blockera alla åtgärder för den typen av enhet (t.ex. Android-telefoner), men det kan fortfarande finnas luckor om åtgärden utförs med hjälp av ett program som inte stöds av macOS-enhetskontroll.

Inställningar

Här är de egenskaper som du kan använda när du skapar grupper, regler och inställningar i enhetskontrollprincipen för macOS.

Grupp

Fråga

Device Control stöder två typer av frågor:

Frågetyp 1 är följande:

Frågetyp 2 är följande:

Klausul

Satsegenskaper

Satser som stöds

Regel för åtkomstprincip

I följande tabell visas de egenskaper som du kan använda i posten:

I följande tabell visas de egenskaper som du kan använda i posten:

Verkställighet

Namn på tvingande egenskap

Tillämpningstyp

Åtkomsttyper

Slutanvändarupplevelse

När Neka inträffar och meddelandet har aktiverats i principen ser slutanvändaren en dialogruta:

Status

Använd mdatp health --details device_control för att kontrollera enhetens kontrollstatus:

active                                      : ["v2"]
v1_configured                               : false
v1_enforcement_level                        : unavailable
v2_configured                               : true
v2_state                                    : "enabled"
v2_sensor_connection                        : "created_ok"
v2_full_disk_access                         : "approved"

• active - funktionsversion bör du se ["v2"]. (Enhetskontroll är aktiverat men inte konfigurerat.)
  • [] – Enhetskontrollen har inte konfigurerats på den här datorn.
  • ["v1"] – Du har en förhandsversion av Enhetskontroll. Migrera till version 2 med hjälp av den här guiden. v1 anses vara föråldrad och beskrivs inte i den här dokumentationen.
  • ["v1","v2"] – Du har både v1 och v2 aktiverat. Avregistrera från v1.
• v1_configured – v1-konfigurationen tillämpas
• v1_enforcement_level – när v1 är aktiverat
• v2_configured – v2-konfigurationen tillämpas
• v2_state - v2-status, enabled om den fungerar fullt ut
• v2_sensor_connection – om created_ok, upprättade enhetskontrollen anslutningen till systemtillägget
• v2_full_disk_access – om inte approvedkan enhetskontrollen inte förhindra vissa eller alla åtgärder

Rapportering

Du kan se principhändelsen i rapporten Avancerad jakt och Enhetskontroll. Mer information finns i Skydda organisationens data med enhetskontroll.

Scenarier

Här följer några vanliga scenarier som hjälper dig att bekanta dig med Microsoft Defender för Endpoint och Microsoft Defender för Endpoint Device Control.

Scenario 1: Neka flyttbara medier men tillåt specifika USB:er

I det här scenariot måste du skapa två grupper: en grupp för flyttbara medier och en annan grupp för godkända USBs-grupper. Du måste också skapa en regel för åtkomstprincip.

Steg 1: Inställningar: Aktivera enhetskontroll och ange standardtillämpning

"settings": { 

	"features": { 

		"removableMedia": { 

			"disable": false 

		} 

	}, 

	"global": { 

		"defaultEnforcement": "allow" 

	}, 

	"ux": { 

		"navigationTarget": "http://www.deskhelp.com" 

	} 

} 

Steg 2: Grupper: Skapa alla flyttbara mediegrupper och godkända USBs-grupper

1. Skapa en grupp för att täcka flyttbara medieenheter.
2. Skapa en grupp för godkända USB:er.
3. Kombinera dessa grupper till en groups.

"groups": [ 

        { 

            "type": "device", 

            "id": "3f082cd3-f701-4c21-9a6a-ed115c28e211", 

            "name": "All Removable Media Devices", 

            "query": { 

                "$type": "all", 

                "clauses": [ 

                    { 

                        "$type": "primaryId", 

                        "value": "removable_media_devices" 

                    } 

                ] 

            } 

        }, 

        { 

            "type": "device", 

            "id": "3f082cd3-f701-4c21-9a6a-ed115c28e212", 

            "name": "Kingston Devices", 

            "query": { 

                "$type": "all", 

                "clauses": [ 

                    { 

                        "$type": "vendorId", 

                        "value": "0951" 

                    } 

                ] 

            } 

        } 

    ] 

Steg 3: Regler: Skapa Neka policy för otillåtna USB:er

Skapa åtkomstprincipregel och placeras i rules:

"rules": [ 

	{ 

		"id": "772cef80-229f-48b4-bd17-a69130092981", 

		"name": "Deny RWX to all Removable Media Devices except Kingston", 

		"includeGroups": [ 

			"3f082cd3-f701-4c21-9a6a-ed115c28e211" 

		], 

		"excludeGroups": [ 

			"3f082cd3-f701-4c21-9a6a-ed115c28e212" 

		], 

		"entries": [ 

			{ 

				"$type": "removableMedia", 

				"id": "A7CEE2F8-CE34-4B34-9CFE-4133F0361035", 

				"enforcement": { 

					"$type": "deny" 

				}, 

				"access": [ 

					"read", 

					"write", 

					"execute" 

				] 

			}, 

			{ 

				"$type": "removableMedia", 

				"id": "18BA3DD5-4C9A-458B-A756-F1499FE94FB4", 

				"enforcement": { 

					"$type": "auditDeny", 

					"options": [ 

						"send_event", 

						"show_notification" 

					] 

				}, 

				"access": [ 

					"read", 

					"write", 

					"execute" 

				] 

			} 

		] 

	} 

] 

I det här fallet har du bara en princip för åtkomstregler, men om du har flera måste du lägga till alla i rules.

Kända problem

Varning

Enhetskontroll på macOS begränsar endast Android-enheter som är anslutna med PTP-läge. Enhetskontrollen begränsar inte andra lägen som filöverföring, USB-tjudning och MIDI.

Se även

• Distribuera enhetskontroll med hjälp av Intune
• Distribuera enhetskontroll med jamf
• Distribuera enhetskontroll manuellt
• Vanliga frågor och svar om macOS-enhetskontroll