Controllo dispositivo per macOS

Si applica a:

• Microsoft Defender per endpoint Piano 1
• Microsoft Defender per endpoint Piano 2
• Microsoft Defender XDR
• Microsoft Defender for Business

Se si desidera provare Microsoft Defender per endpoint, iscriversi a una versione di valutazione gratuita.

Requisiti

Il controllo del dispositivo per macOS presenta i prerequisiti seguenti:

Panoramica

Microsoft Defender per endpoint funzionalità Controllo dispositivo consente di:

• Controllare, consentire o impedire l'accesso in lettura, scrittura o esecuzione all'archiviazione rimovibile; e
• Gestire dispositivi iOS e portatili e dispositivi crittografati Apple APFS e supporti Bluetooth, con o senza esclusioni.

Preparare gli endpoint

• Microsoft Defender per endpoint diritto (può essere versione di valutazione)

• Versione minima del sistema operativo: macOS 11 o versione successiva

• Distribuire l'accesso completo al disco: è possibile che sia https://github.com/microsoft/mdatp-xplat/blob/master/macos/mobileconfig/profiles/fulldisk.mobileconfig già stato creato e distribuito in precedenza per altre funzionalità di MDE. È necessario concedere l'autorizzazione Accesso completo al disco per una nuova applicazione: com.microsoft.dlp.daemon.

• Abilitare Controllo dispositivo nell'impostazione Preferenza MDE:

  • Prevenzione della perdita dei dati (DLP)/Funzionalità/

  • Per Nome funzionalità immettere "DC_in_dlp"

  • Per Stato immettere "enabled"

Esempio 1: JAMF con schema.json.

Esempio 2: demo.mobileconfig

<key>dlp</key>
<dict> 
  <key>features</key>
  <array> 
	<dict> 
	  <key>name</key>
	  <string>DC_in_dlp</string>
	  <key>state</key>
	  <string>enabled</string>
	</dict>
  </array>
</dict>

• Versione minima del prodotto: 101.91.92 o versione successiva

• Eseguire la versione mdatp tramite terminale per visualizzare la versione del prodotto nel computer client:

  

Informazioni sui criteri

I criteri determinano il comportamento del controllo del dispositivo per macOS. Il criterio è destinato tramite Intune o JAMF a una raccolta di computer o utenti.

Il criterio Controllo dispositivi per macOS include impostazioni, gruppi e regole:

• L'impostazione globale denominata "impostazioni" consente di definire l'ambiente globale.
• Il gruppo denominato "gruppi" consente di creare gruppi multimediali. Ad esempio, gruppo USB autorizzato o gruppo USB crittografato.
• La regola dei criteri di accesso denominata "regole" consente di creare criteri per limitare ogni gruppo. Ad esempio, consentire solo all'utente autorizzato di scrivere un gruppo USB autorizzato per l'accesso.

Procedure consigliate

Il controllo del dispositivo per macOS ha funzionalità simili a quelle del controllo del dispositivo per Windows, ma macOS e Windows offrono funzionalità sottostanti diverse per gestire i dispositivi, quindi esistono alcune differenze importanti:

• macOS non ha una Gestione dispositivi centralizzata o una visualizzazione dei dispositivi. L'accesso viene concesso o negato alle applicazioni che interagiscono con i dispositivi. Questo è il motivo per cui in macOS è disponibile un set più completo di tipi di accesso. Ad esempio, in un portableDevice controllo dispositivo per macOS può negare o consentire download_photos_from_device.
• Per mantenere la coerenza con Windows, sono generic_readgeneric_write disponibili tipi di accesso e .generic_execute Non è necessario modificare i criteri con tipi di accesso generici se/quando verranno aggiunti altri tipi di accesso specifici in futuro. La procedura consigliata consiste nell'usare tipi di accesso generici, a meno che non sia necessario negare o consentire un'operazione più specifica.
• La creazione di criteri deny usando tipi di accesso generici è il modo migliore per tentare di bloccare completamente tutte le operazioni per quel tipo di dispositivo (ad esempio telefoni Android), ma potrebbero esserci ancora lacune se l'operazione viene eseguita usando un'applicazione non supportata dal controllo del dispositivo macOS.

Impostazioni

Di seguito sono riportate le proprietà che è possibile usare quando si creano gruppi, regole e impostazioni nei criteri di controllo dei dispositivi per macOS.

Gruppo

Query

Controllo dispositivo supporta due tipi di query:

Il tipo di query 1 è il seguente:

Il tipo di query 2 è il seguente:

Clausola

Proprietà della clausola

Clausole supportate

Regola dei criteri di accesso

Nella tabella seguente sono elencate le proprietà che è possibile usare nella voce:

Nella tabella seguente sono elencate le proprietà che è possibile usare nella voce :

Rinforzo

Nome della proprietà di imposizione

Tipo di imposizione

Tipi di accesso

Esperienza dell'utente finale

Quando nega si verifica e la notifica è abilitata nei criteri, l'utente finale visualizza una finestra di dialogo:

Stato

Usare mdatp health --details device_control per controllare lo stato di Controllo del dispositivo:

active                                      : ["v2"]
v1_configured                               : false
v1_enforcement_level                        : unavailable
v2_configured                               : true
v2_state                                    : "enabled"
v2_sensor_connection                        : "created_ok"
v2_full_disk_access                         : "approved"

• active - versione della funzionalità, dovrebbe essere visualizzato ["v2"]. Controllo dispositivo è abilitato, ma non configurato.
  • [] - Controllo dispositivo non è configurato nel computer.
  • ["v1"] - Si usa una versione di anteprima di Controllo dispositivo. Eseguire la migrazione alla versione 2 usando questa guida. v1 è considerato obsoleto e non descritto in questa documentazione.
  • ["v1","v2"] - Sono abilitati sia v1 che v2. Offboard dalla versione 1.
• v1_configured - Viene applicata la configurazione v1
• v1_enforcement_level - quando v1 è abilitato
• v2_configured - Viene applicata la configurazione v2
• v2_state - Stato v2, enabled se completamente funzionante
• v2_sensor_connection - se created_ok, controllo del dispositivo ha stabilito la connessione all'estensione di sistema
• v2_full_disk_access - se non approved, controllo dispositivo non può impedire alcune o tutte le operazioni

Creazione di report

È possibile visualizzare l'evento dei criteri nel report Ricerca avanzata e Controllo dispositivo. Per altre informazioni, vedere Proteggere i dati dell'organizzazione con Controllo dispositivo.

Scenari

Di seguito sono riportati alcuni scenari comuni che consentono di acquisire familiarità con Microsoft Defender per endpoint e Microsoft Defender per endpoint Device Control.

Scenario 1: Negare qualsiasi supporto rimovibile, ma consentire USB specifici

In questo scenario è necessario creare due gruppi: un gruppo per qualsiasi supporto rimovibile e un altro gruppo per il gruppo USB approvato. È anche necessario creare una regola dei criteri di accesso.

Passaggio 1: Impostazioni: abilitare Controllo dispositivo e impostare l'imposizione predefinita

"settings": { 

	"features": { 

		"removableMedia": { 

			"disable": false 

		} 

	}, 

	"global": { 

		"defaultEnforcement": "allow" 

	}, 

	"ux": { 

		"navigationTarget": "http://www.deskhelp.com" 

	} 

} 

Passaggio 2: Gruppi: Creare qualsiasi gruppo di supporti rimovibili e un gruppo usb approvato

1. Creare un gruppo per coprire tutti i dispositivi multimediali rimovibili.
2. Creare un gruppo per gli USB approvati.
3. Combinare questi gruppi in un unico groups.

"groups": [ 

        { 

            "type": "device", 

            "id": "3f082cd3-f701-4c21-9a6a-ed115c28e211", 

            "name": "All Removable Media Devices", 

            "query": { 

                "$type": "all", 

                "clauses": [ 

                    { 

                        "$type": "primaryId", 

                        "value": "removable_media_devices" 

                    } 

                ] 

            } 

        }, 

        { 

            "type": "device", 

            "id": "3f082cd3-f701-4c21-9a6a-ed115c28e212", 

            "name": "Kingston Devices", 

            "query": { 

                "$type": "all", 

                "clauses": [ 

                    { 

                        "$type": "vendorId", 

                        "value": "0951" 

                    } 

                ] 

            } 

        } 

    ] 

Passaggio 3: Regole: Creare criteri di negazione per usb non consentiti

Creare una regola dei criteri di accesso e inserirla in rules:

"rules": [ 

	{ 

		"id": "772cef80-229f-48b4-bd17-a69130092981", 

		"name": "Deny RWX to all Removable Media Devices except Kingston", 

		"includeGroups": [ 

			"3f082cd3-f701-4c21-9a6a-ed115c28e211" 

		], 

		"excludeGroups": [ 

			"3f082cd3-f701-4c21-9a6a-ed115c28e212" 

		], 

		"entries": [ 

			{ 

				"$type": "removableMedia", 

				"id": "A7CEE2F8-CE34-4B34-9CFE-4133F0361035", 

				"enforcement": { 

					"$type": "deny" 

				}, 

				"access": [ 

					"read", 

					"write", 

					"execute" 

				] 

			}, 

			{ 

				"$type": "removableMedia", 

				"id": "18BA3DD5-4C9A-458B-A756-F1499FE94FB4", 

				"enforcement": { 

					"$type": "auditDeny", 

					"options": [ 

						"send_event", 

						"show_notification" 

					] 

				}, 

				"access": [ 

					"read", 

					"write", 

					"execute" 

				] 

			} 

		] 

	} 

] 

In questo caso, disporre di un solo criterio di regola di accesso, ma se sono presenti più, assicurarsi di aggiungere tutti in rules.

Problemi noti

Vedere anche

• Distribuire il controllo del dispositivo usando Intune
• Distribuire il controllo del dispositivo con JAMF
• Distribuire il controllo dispositivo manualmente
• Domande frequenti su macOS Device Control