Gerätesteuerung für macOS

Anforderungen

Die Gerätesteuerung für macOS ist in den Versionen verfügbar, die im Abschnitt Systemanforderungen der Dokumentation zu Defender für Endpunkt unter macOS aufgeführt sind.

Übersicht

Die Gerätesteuerung in Defender für Endpunkt unter macOS ermöglicht Folgendes:

• Überwachen, Zulassen oder Verhindern des Lese-, Schreib- oder Ausführungszugriffs auf Wechselmedien; und
• Verwalten sie iOS- und Portable-Geräte sowie apple APFS-verschlüsselte Geräte und Bluetooth-Medien mit oder ohne Ausschlüsse.

Vorbereiten der Endpunkte

• Vollständigen Datenträgerzugriff bereitstellen: Möglicherweise haben Sie diesen https://github.com/microsoft/mdatp-xplat/blob/master/macos/mobileconfig/profiles/fulldisk.mobileconfig für andere MDE-Features erstellt und bereitgestellt. Sie müssen für eine neue Anwendung die Berechtigung "Volldatenträgerzugriff" erteilen: com.microsoft.dlp.daemon.

• Aktivieren Sie die Gerätesteuerung für Ihre Defender für Endpunkt-Einstellungen:

  • Verhinderung von Datenverlust (Data Loss Prevention, DLP)/Features

  • Geben Sie unter Featurename folgendes Ein: DC_in_dlp

  • Geben Sie für State (Status) enabled

Beispiel 1: JAMF mit schema.json.

Beispiel 2: demo.mobileconfig

<key>dlp</key>
<dict> 
  <key>features</key>
  <array> 
    <dict> 
      <key>name</key>
      <string>DC_in_dlp</string>
      <key>state</key>
      <string>enabled</string>
    </dict>
  </array>
</dict>

• Mindestproduktversion: 101.91.92 oder höher

• Führen Sie mdatp version das Terminal aus, um die Produktversion auf Ihrem Clientcomputer anzuzeigen:

  

Grundlegendes zu Richtlinien

Richtlinien bestimmen das Verhalten der Gerätesteuerung für macOS. Die Richtlinie ist über Intune oder JAMF auf eine Sammlung von Computern oder Benutzern ausgerichtet.

Die Gerätesteuerung für macOS-Richtlinie umfasst Einstellungen, Gruppen und Regeln:

• Mit der globalen Einstellung "settings" können Sie die globale Umgebung definieren.
• Mit der Gruppe namens groups können Sie Mediengruppen erstellen. Beispiel: autorisierte USB-Gruppe oder verschlüsselte USB-Gruppe.
• Mithilfe der Zugriffsrichtlinienregel "rules" können Sie eine Richtlinie erstellen, um jede Gruppe einzuschränken. Lassen Sie z. B. nur autorisierten Benutzern die Schreibzugriffsautorisierte USB-Gruppe zu.

Bewährte Methoden

Die Gerätesteuerung für macOS verfügt über ähnliche Funktionen wie die Gerätesteuerung für Windows, aber macOS und Windows bieten verschiedene zugrunde liegende Funktionen zum Verwalten von Geräten, sodass es einige wichtige Unterschiede gibt:

• macOS verfügt nicht über eine zentralisierte Geräte-Manager oder Ansicht von Geräten. Der Zugriff wird Anwendungen gewährt/verweigert, die mit Geräten interagieren. Aus diesem Grund gibt es unter macOS einen umfangreicheren Satz von Zugriffstypen. Eine Richtlinie kann beispielsweise portableDevice verweigern oder zulassen download_photos_from_device.

• Um mit Windows konsistent zu bleiben, gibt generic_reades zugriffstypen , generic_writeund generic_execute . Richtlinien mit generischen Zugriffstypen müssen nicht geändert werden, wenn in Zukunft spezifischere Zugriffstypen hinzugefügt werden. Die bewährte Methode besteht darin, generische Zugriffstypen zu verwenden, es sei denn, es besteht eine bestimmte Notwendigkeit, einen spezifischeren Vorgang zu verweigern/zuzulassen.

• Das Erstellen einer deny Richtlinie mit generischen Zugriffstypen ist die beste Möglichkeit, um zu versuchen, alle Vorgänge für diesen Gerätetyp (z. B. Android-Smartphones) vollständig zu blockieren, aber es kann trotzdem Lücken geben, wenn der Vorgang mit einer Anwendung ausgeführt wird, die von der macOS-Gerätesteuerung nicht unterstützt wird.

Einstellungen

Im Folgenden finden Sie die Eigenschaften, die Sie verwenden können, wenn Sie die Gruppen, Regeln und Einstellungen in der Gerätesteuerungsrichtlinie für macOS erstellen.

Gruppe

Abfrage

Device Control unterstützt zwei Arten von Abfragen:

Der Abfragetyp 1 lautet wie folgt:

Der Abfragetyp 2 lautet wie folgt:

Klausel

Klauseleigenschaften

Unterstützte Klauseln

Zugriffsrichtlinienregel

In der folgenden Tabelle sind die Eigenschaften aufgeführt, die Sie in Ihrem Eintrag verwenden können:

In der folgenden Tabelle sind die Eigenschaften aufgeführt, die Sie im Eintrag verwenden können:

Erzwingung

Name der Erzwingungseigenschaft

Erzwingungstyp

Zugriffstypen

Endbenutzererfahrung

Sobald Die Ablehnung erfolgt und die Benachrichtigung in der Richtlinie aktiviert ist, wird dem Endbenutzer ein Dialogfeld angezeigt:

Status

Verwenden Sie mdatp health --details device_control , um die Gerätesteuerung status zu überprüfen:

active                                      : ["v2"]
v1_configured                               : false
v1_enforcement_level                        : unavailable
v2_configured                               : true
v2_state                                    : "enabled"
v2_sensor_connection                        : "created_ok"
v2_full_disk_access                         : "approved"

• active - Featureversion, sollte ["v2"] angezeigt werden. (Die Gerätesteuerung ist aktiviert, aber nicht konfiguriert.)
  • [] – Die Gerätesteuerung ist auf diesem Computer nicht konfiguriert.
  • ["v1"] – Sie verfügen über eine Vorschauversion von Device Control. Migrieren Sie mithilfe dieses Handbuchs zu Version 2. v1 gilt als veraltet und wird in dieser Dokumentation nicht beschrieben.
  • ["v1," "v2"] – Sie haben sowohl v1 als auch v2 aktiviert. Offboarden von v1.
• v1_configured – v1-Konfiguration wird angewendet
• v1_enforcement_level – wenn v1 aktiviert ist
• v2_configured – v2-Konfiguration wird angewendet
• v2_state- v2 status, enabled wenn sie vollständig funktioniert
• v2_sensor_connection – wenn created_ok, dann hat Device Control eine Verbindung mit der Systemerweiterung hergestellt.
• v2_full_disk_access – andernfalls approvedkann die Gerätesteuerung einige oder alle Vorgänge nicht verhindern.

Reporting

Sie können das Richtlinienereignis im Bericht Erweiterte Suche und Gerätesteuerung anzeigen. Weitere Informationen finden Sie unter Schützen der Daten Ihrer organization mit der Gerätesteuerung.

Szenarien

Im Folgenden finden Sie einige gängige Szenarien, die Ihnen helfen, sich mit Microsoft Defender for Endpoint und Microsoft Defender for Endpoint Device Control vertraut zu machen.

Szenario 1: Verweigern von Wechselmedien, aber zulassen bestimmter USBs

In diesem Szenario müssen Sie zwei Gruppen erstellen: eine Gruppe für alle Wechselmedien und eine weitere Gruppe für genehmigte USBs-Gruppen. Außerdem müssen Sie eine Zugriffsrichtlinienregel erstellen.

Schritt 1: Einstellungen: Aktivieren der Gerätesteuerung und Festlegen der Standarderzwingung

"settings": { 

    "features": { 

        "removableMedia": { 

            "disable": false 

        } 

    }, 

    "global": { 

        "defaultEnforcement": "allow" 

    }, 

    "ux": { 

        "navigationTarget": "http://www.deskhelp.com" 

    } 

} 

Schritt 2: Gruppen: Erstellen einer beliebigen Wechselmediengruppe und der Gruppe approved-USBs

1. Erstellen Sie eine Gruppe, um alle Wechselmediengeräte abzudecken.
2. Erstellen Sie eine Gruppe für genehmigte USBs.
3. Kombinieren Sie diese Gruppen in einer groups.

"groups": [ 

        { 

            "type": "device", 

            "id": "3f082cd3-f701-4c21-9a6a-ed115c28e211", 

            "name": "All Removable Media Devices", 

            "query": { 

                "$type": "all", 

                "clauses": [ 

                    { 

                        "$type": "primaryId", 

                        "value": "removable_media_devices" 

                    } 

                ] 

            } 

        }, 

        { 

            "type": "device", 

            "id": "3f082cd3-f701-4c21-9a6a-ed115c28e212", 

            "name": "Kingston Devices", 

            "query": { 

                "$type": "all", 

                "clauses": [ 

                    { 

                        "$type": "vendorId", 

                        "value": "0951" 

                    } 

                ] 

            } 

        } 

    ] 

Schritt 3: Regeln: Erstellen einer Ablehnungsrichtlinie für nicht zulässige USBs

Erstellen Sie eine Zugriffsrichtlinienregel, und fügen Sie sie in ein rules:

"rules": [ 

    { 

        "id": "772cef80-229f-48b4-bd17-a69130092981", 

        "name": "Deny RWX to all Removable Media Devices except Kingston", 

        "includeGroups": [ 

            "3f082cd3-f701-4c21-9a6a-ed115c28e211" 

        ], 

        "excludeGroups": [ 

            "3f082cd3-f701-4c21-9a6a-ed115c28e212" 

        ], 

        "entries": [ 

            { 

                "$type": "removableMedia", 

                "id": "A7CEE2F8-CE34-4B34-9CFE-4133F0361035", 

                "enforcement": { 

                    "$type": "deny" 

                }, 

                "access": [ 

                    "read", 

                    "write", 

                    "execute" 

                ] 

            }, 

            { 

                "$type": "removableMedia", 

                "id": "18BA3DD5-4C9A-458B-A756-F1499FE94FB4", 

                "enforcement": { 

                    "$type": "auditDeny", 

                    "options": [ 

                        "send_event", 

                        "show_notification" 

                    ] 

                }, 

                "access": [ 

                    "read", 

                    "write", 

                    "execute" 

                ] 

            } 

        ] 

    } 

] 

In diesem Fall verfügen Sie nur über eine Zugriffsregelrichtlinie, aber wenn Sie mehrere haben, stellen Sie sicher, dass Sie alle zu ruleshinzufügen.

Bekannte Probleme

Siehe auch

• Bereitstellen der Gerätesteuerung mithilfe von Intune
• Bereitstellen der Gerätesteuerung mithilfe von JAMF
• Manuelles Bereitstellen der Gerätesteuerung
• Häufig gestellte Fragen (FAQ) zur macOS-Gerätesteuerung