在 macOS 上使用Microsoft Defender for Endpoint计划扫描

适用于:

希望体验 Microsoft Defender for Endpoint? 注册免费试用版

在 macOS 上计划内置Microsoft Defender for Endpoint扫描

虽然可以使用Microsoft Defender for Endpoint随时启动威胁扫描,但企业可能会从计划扫描或定时扫描中受益。 例如,可以计划扫描在每个工作日或每周开始时运行。

有三种类型的计划扫描可配置:每小时扫描、每日扫描和每周扫描。 每小时和每日计划的扫描始终作为快速扫描运行,每周扫描可以配置为快速扫描或完全扫描。 可以同时进行三种类型的计划扫描。 请参阅本文中的示例。

先决条件

在 macOS 上使用Microsoft Defender for Endpoint计划扫描

可以为 macOS 创建计划扫描,该扫描内置于 macOS 上Microsoft Defender for Endpoint

有关此处使用的文件格式的详细信息 .plist ,请参阅 Apple 官方开发人员网站上的 关于信息属性列表文件

以下示例显示了 macOS 上计划扫描的每日和/或每周配置。

提示

计划基于设备的本地时区。

参数 此参数可接受的值为:
scheduledScan enableddisabled
scanType quickfull
ignoreExclusions truefalse
lowPriorityScheduledScan truefalse
dayOfWeek 范围介于 和 8之间0
- 0:每天
- 1:星期日
- 2:星期一
- 3:星期二
- 4:星期三
- 5:星期四
- 6:星期五
- 7:星期六
- 8:从不
timeOfDay 指定执行计划扫描的 一天中的时间(作为 的数量 minutes after midnight)。 时间是指计算机上的本地时间。 如果未为此参数指定值,计划扫描将在午夜后两小时的默认时间运行。
interval 0 (从不) , every 1 (小时) 到 every 24 (小时,每天扫描一次)
randomizeScanStartTime 仅适用于每日快速扫描或每周快速/完全扫描。 将扫描的开始时间随机设置为指定的小时数。
例如,如果扫描计划为下午 2 点,并且 randomizeScanStartTime 设置为 2,则扫描将在下午 2 点到下午 4 点之间随机开始。

计划的扫描按在 中 plist定义的日期、时间和频率运行。

示例 1:使用 plist 计划每日快速扫描和每周完全扫描

在以下示例中,每日快速扫描配置设置为在午夜 (下午 2:45 ) 885 分钟运行。 每周配置设置为在周三午夜 880 分钟后运行完全扫描, (下午 2:40 ) 。 它设置为忽略排除项并运行低优先级扫描。

以下代码显示了根据前面提到的要求计划扫描所需的架构。

  1. 打开文本编辑器,并使用此示例作为你自己的计划扫描文件的指南。

对于Intune

<?xml version="1.0" encoding="UTF-8"?> 
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd"> 
<plist version="1.0"> 
<dict> 
    <key>PayloadUUID</key>
    <string>C4E6A782-0C8D-44AB-A025-EB893987A295</string>
    <key>PayloadType</key>
    <string>Configuration</string>
    <key>PayloadOrganization</key>
    <string>Microsoft</string>
    <key>PayloadIdentifier</key>
    <string>C4E6A782-0C8D-44AB-A025-EB893987A295</string>
    <key>PayloadDisplayName</key>
    <string>Microsoft Defender for Endpoint settings</string>
    <key>PayloadDescription</key>
    <string>Microsoft Defender for Endpoint configuration settings</string>
    <key>PayloadVersion</key>
    <integer>1</integer>
    <key>PayloadEnabled</key>
    <true/>
    <key>PayloadRemovalDisallowed</key>
    <true/>
    <key>PayloadScope</key>
    <string>System</string>
    <key>PayloadContent</key>
    <array>
        <dict>
            <key>PayloadUUID</key>
            <string>99DBC2BC-3B3A-46A2-A413-C8F9BB9A7295</string>
            <key>PayloadType</key>
            <string>com.microsoft.wdav</string>
            <key>PayloadOrganization</key>
            <string>Microsoft</string>
            <key>PayloadIdentifier</key>
            <string>99DBC2BC-3B3A-46A2-A413-C8F9BB9A7295</string>
            <key>PayloadDisplayName</key>
            <string>Microsoft Defender for Endpoint configuration settings</string>
            <key>PayloadDescription</key>
            <string/>
            <key>PayloadVersion</key>
            <integer>1</integer>
            <key>PayloadEnabled</key>
            <true/>
            <key>features</key> 
            <dict>
                <key>scheduledScan</key> 
                <string>enabled</string> 
            </dict> 
            <key>scheduledScan</key> 
            <dict> 
                <key>ignoreExclusions</key> 
                <true/> 
                <key>lowPriorityScheduledScan</key> 
                <true/> 
                <key>dailyConfiguration</key> 
                <dict> 
                    <key>timeOfDay</key> 
                    <integer>880</integer> 
                </dict> 
                <key>weeklyConfiguration</key> 
                <dict> 
                    <key>dayOfWeek</key> 
                    <integer>4</integer> 
                    <key>timeOfDay</key> 
                    <integer>885</integer> 
                    <key>scanType</key> 
                    <string>full</string>
                </dict>
            </dict> 
        </dict>
    </array>
</dict> 
</plist>
  1. 将文件另存为 com.microsoft.wdav.mobileconfig

对于 JamF 和其他第三方 MDM

<?xml version="1.0" encoding="UTF-8"?> 
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd"> 
<plist version="1.0"> 
<dict> 
    <key>features</key> 
    <dict> 
        <key>scheduledScan</key> 
        <string>enabled</string> 
    </dict> 
    <key>scheduledScan</key> 
    <dict> 
        <key>ignoreExclusions</key> 
        <true/> 
        <key>lowPriorityScheduledScan</key> 
        <true/> 
        <key>dailyConfiguration</key> 
        <dict> 
            <key>timeOfDay</key> 
            <integer>885</integer> 
        </dict> 
        <key>weeklyConfiguration</key> 
        <dict> 
            <key>dayOfWeek</key> 
            <integer>4</integer> 
            <key>timeOfDay</key> 
            <integer>880</integer> 
            <key>scanType</key> 
            <string>full</string> 
        </dict> 
    </dict> 
</dict> 
</plist> 
  1. 将文件另存为 com.microsoft.wdav.plist

  2. 检查是否通过“设置首选项”配置了计划扫描

    mdatp health --details scheduled_scan
    

    在结果中,应能够看到 [托管]。

示例 2:使用 plist 计划每小时快速扫描、每日快速扫描和每周完全扫描

在以下示例中,每小时快速扫描每 6 小时运行一次,每日快速扫描配置设置为在午夜后 885 分钟运行 (下午 2:45 ) ,每周一次完整扫描将在周三午夜后 880 分钟运行, (下午 2:40) 。

对于Intune:

<?xml version="1.0" encoding="UTF-8"?> 
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd"> 
<plist version="1.0"> 
<dict> 
     <key>PayloadUUID</key>
     <string>C4E6A782-0C8D-44AB-A025-EB893987A295</string>
     <key>PayloadType</key>
     <string>Configuration</string>
     <key>PayloadOrganization</key>
     <string>Microsoft</string>
     <key>PayloadIdentifier</key>
     <string>C4E6A782-0C8D-44AB-A025-EB893987A295</string>
     <key>PayloadDisplayName</key>
     <string>Microsoft Defender for Endpoint settings</string>
     <key>PayloadDescription</key>
     <string>Microsoft Defender for Endpoint configuration settings</string>
     <key>PayloadVersion</key>
     <integer>1</integer>
     <key>PayloadEnabled</key>
     <true/>
     <key>PayloadRemovalDisallowed</key>
     <true/>
     <key>PayloadScope</key>
     <string>System</string>
     <key>PayloadContent</key>
     <array>
       <dict>
           <key>PayloadUUID</key>
           <string>99DBC2BC-3B3A-46A2-A413-C8F9BB9A7295</string>
           <key>PayloadType</key>
           <string>com.microsoft.wdav</string>
           <key>PayloadOrganization</key>
           <string>Microsoft</string>
           <key>PayloadIdentifier</key>
           <string>99DBC2BC-3B3A-46A2-A413-C8F9BB9A7295</string>
           <key>PayloadDisplayName</key>
           <string>Microsoft Defender for Endpoint configuration settings</string>
           <key>PayloadDescription</key>
           <string/>
           <key>PayloadVersion</key>
           <integer>1</integer>
           <key>PayloadEnabled</key>
           <true/>
    <key>features</key> 
    <dict> 
        <key>scheduledScan</key> 
        <string>enabled</string> 
    </dict> 
<key>scheduledScan</key> 
<dict> 
    <key>ignoreExclusions</key> 
    <true/> 
    <key>lowPriorityScheduledScan</key> 
    <true/> 
    <key>dailyConfiguration</key> 
    <dict> 
        <key>timeOfDay</key> 
        <integer>885</integer> 
        <key>interval</key> 
        <string>1</string> 
    </dict> 
    <key>weeklyConfiguration</key> 
    <dict> 
        <key>dayOfWeek</key> 
        <integer>4</integer> 
        <key>timeOfDay</key> 
        <integer>880</integer> 
        <key>scanType</key> 
        <string>full</string> 
        </dict> 
        </dict> 
    </dict> 
</array>
</dict>
</plist> 
  1. 将文件另存为 com.microsoft.wdav.mobileconfig

对于 JamF 和其他第三方 MDM

  1. 打开文本编辑器并使用此示例。
<?xml version="1.0" encoding="UTF-8"?> 
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd"> 
<plist version="1.0"> 
<dict> 
    <key>features</key> 
    <dict> 
        <key>scheduledScan</key> 
        <string>enabled</string> 
    </dict> 
<key>scheduledScan</key> 
<dict> 
    <key>ignoreExclusions</key> 
    <true/> 
    <key>lowPriorityScheduledScan</key> 
    <true/> 
    <key>dailyConfiguration</key> 
    <dict> 
        <key>timeOfDay</key> 
        <integer>885</integer> 
        <key>interval</key> 
        <string>1</string> 
    </dict> 
    <key>weeklyConfiguration</key> 
    <dict> 
        <key>dayOfWeek</key> 
        <integer>4</integer> 
        <key>timeOfDay</key> 
        <integer>880</integer> 
        <key>scanType</key> 
        <string>full</string> 
        </dict> 
        </dict> 
    </dict> 
</plist> 
  1. 将文件另存为 com.microsoft.wdav.plist

  2. 检查是否通过“设置首选项”配置了计划扫描

    mdatp health --details scheduled_scan
    

    在结果中,应能够看到 [托管]。

选项 3:通过 CLI 工具配置计划扫描

若要启用计划扫描功能,请执行以下操作:

版本 命令
版本 101.23122.x 或更高版本 sudo mdatp config scheduled-scan settings feature --value enabled

若要计划每小时快速扫描,请执行以下操作:

版本 命令
版本 101.23122.x 或更高版本 sudo mdatp config scheduled-scan quick-scan hourly-interval --value \<arg\>

计划每小时扫描的屏幕截图。

若要计划每日快速扫描,请执行以下操作:

版本 命令
版本 101.23122.x 或更高版本 sudo mdatp config scheduled-scan quick-scan time-of-day --value \<arg\>

计划每日快速扫描的屏幕截图。

计划每周扫描:

版本 命令
版本 101.23122.x 或更高版本 sudo mdatp config scheduled-scan weekly-scan --day-of-week \<arg\> --time-of-day \<arg\>--scan-type \<arg\>

计划每周扫描的屏幕截图。

对于其他配置选项:

  • 若要在计划扫描之前更新定义检查,请执行以下操作:

    sudo mdatp config scheduled-scan settings check-for-definitions --value true

  • 若要对计划扫描使用低优先级线程,请执行以下任务:

    sudo mdatp config scheduled-scan settings low-priority --value true

检查计划的扫描是否运行

使用以下命令:

mdatp scan list

计划运行的屏幕截图。 \<snip\>

计划已成功运行的屏幕截图。

重要

当设备处于睡眠状态时,计划扫描不会在计划的时间运行。 相反,当设备从睡眠模式恢复时,计划扫描将运行。 如果设备已关闭,则扫描将在下一个计划扫描时间运行。

提示

想要了解更多信息? Engage技术社区中的Microsoft安全社区:Microsoft Defender for Endpoint技术社区