在 macOS 上為 適用於端點的 Microsoft Defender 配置離線安全智慧更新

本文件說明 macOS 上 適用於端點的 Microsoft Defender 的離線安全智慧更新功能。

此功能使組織能使用本文件中稱為鏡像伺服器的本地主機伺服器 () 更新本文件中所提及的安全智慧 (定義或簽章，) 於有限或完全未接觸網際網路的 macOS 端點上。

鏡像伺服器是指客戶環境中任何能連接到 Microsoft 雲端以下載簽名的伺服器。 其他 macOS 端點則會依照預先設定的間隔從鏡像伺服器拉取簽名。

主要權益

• 你的資安團隊可以控制並管理向本地伺服器下載簽章的頻率，以及端點從本地伺服器拉取簽章的頻率。

• 你多了一層保護與控制，因為下載的簽名可以在測試裝置上測試，然後再傳播到整個車隊。

• 你需要的網路頻寬較少，因為只有一台本地伺服器會代表整個車隊輪詢 Microsoft 雲端，取得最新的簽名。

• 你的鏡像伺服器可以執行 Windows、Mac 或 Linux，且不必在該伺服器上安裝 Defender for Endpoint。

• 你會獲得最新的防毒防護，因為簽名會隨最新相容的防毒引擎一起下載。

• 舊版簽章 (n-1) ，每次迭代都會移到鏡像伺服器的備份資料夾。 如果最新更新有問題，你可以從備份資料夾拉取 N-1 的簽名版本到你的裝置。

• 如果離線更新極為罕見地失敗，你可以設定備援選項，從 Microsoft 雲端取得線上更新。

離線安全情報更新的運作方式

組織需要設置鏡像伺服器，這是一種可透過 Microsoft 雲端存取的本地 Web/NFS 伺服器。

簽章是透過在本地伺服器上使用 cron job/task scheduler 執行腳本，從 Microsoft 雲端下載到這個鏡像伺服器。

運行 Defender for Endpoint 的 macOS 端點會在使用者自訂的時間點從此鏡像伺服器擷取下載的簽章。

從本地伺服器拉到macOS端點的簽章會先驗證，然後才會載入防毒引擎。

要觸發並設定更新流程，請在 macOS 端點更新受管理的 config json 檔案。

更新狀態可在 mdatp CLI 中查看。

下圖展示了將安全智慧更新下載至鏡像伺服器的流程。

macOS 端點安全智慧更新的流程如下圖所示。

鏡像伺服器可執行以下任一作業系統：

• Linux (任何風格)
• Windows (任何版本)
• Mac (任何版本)

必要條件

• 必須在 macOS 端點安裝 Defender for Endpoint 版本 101.25012.0003 或更新版本。

• macOS 端點必須能連接到鏡像伺服器。

• macOS 端點必須運行任何 Defender for Endpoint 支援的發行版。

• 鏡像伺服器可以是 HTTP/HTTPS 伺服器，也可以是網路共享伺服器，例如 NFS 伺服器。

• 鏡像伺服器需要存取以下網址：

  • https://github.com/microsoft/mdatp-xplat.git
  • https://go.microsoft.com/fwlink/?linkid=2144709

• 鏡像伺服器應該支援 bash 或 PowerShell。

• 鏡像伺服器需具備以下最低系統規格：

  CPU 核心	RAM	自由圓盤	交換
  2核心 (首選4核心)	最小 1 GB (偏好 4 GB)	2 GB	系統相關

  注意事項

  此配置可能依應服務的請求數量及每台伺服器需處理的負載而有所不同。

設定鏡像伺服器

任何 HTTP 伺服器都可以用作鏡像伺服器。 鏡像伺服器不需要安裝 Defender for Endpoint。

雖然鏡像伺服器的管理與所有權完全由客戶負責，但本節呈現兩個 Bash 範例腳本，示範如何使用 Python 3 和 Caddy 在 macOS 上建立基本的 HTTP 檔案伺服器。 這些腳本僅供說明用途，應依照您的具體需求與環境進行調整。

• python_http_server.sh： 使用 Python 3 內建的 HTTP 伺服器模組來提供指定目錄中的檔案。
• caddy_http_server.sh安裝並設定 Caddy 網頁伺服器以提供指定目錄中的檔案。

在伺服器設置完成後，要檢查服務是否正確，請前往「https://localhost:8080"」。

關於生產環境或進階使用情境，請參閱各伺服器的官方文件：

• Python HTTP 伺服器文件
• 球童文件

務必檢視並調整腳本以符合您的環境與安全需求。

範例腳本：使用 Python 3 在 macOS 上架設一個基本的 HTTP 檔案伺服器

#!/bin/bash
# python_http_server.sh
# Starts a simple HTTP server using Python 3

# Check for Python 3
if ! command -v python3 &> /dev/null; then
  echo "Python 3 is not installed. Please install it first."
  exit 1
fi

PORT=8080
FOLDER="."

if [ ! -z "$1" ]; then
  PORT=$1
fi
if [ ! -z "$2" ]; then
  FOLDER=$2
fi

echo "Starting Python HTTP server on port $PORT (localhost only), serving folder: $FOLDER..."
python3 -m http.server "$PORT" --bind 127.0.0.1 --directory "$FOLDER"

範例腳本：使用 Caddy 在 macOS 上建立基本的 HTTP 檔案伺服器

#!/bin/bash
# caddy_http_server.sh
# Installs and configures Caddy HTTP server on macOS

PORT=8080
FOLDER="."

if [ ! -z "$1" ]; then
  PORT=$1
fi
if [ ! -z "$2" ]; then
  FOLDER=$2
fi

check_homebrew() {
  if ! command -v brew &> /dev/null; then
    echo "Homebrew is required to install Caddy."
    read -p "Would you like to install Homebrew? (y/n): " install_brew
    if [[ "$install_brew" =~ ^[Yy]$ ]]; then
      echo "Installing Homebrew..."
      /bin/bash -c "$(curl -fsSL https://raw.githubusercontent.com/Homebrew/install/HEAD/install.sh)"
      export PATH="/opt/homebrew/bin:$PATH"
    else
      echo "Please install Caddy manually and restart this script."
      exit 1
    fi
  fi
}

install_caddy() {
  if ! brew list caddy &> /dev/null; then
    echo "Installing Caddy via Homebrew..."
    brew install caddy
  else
    echo "Caddy is already installed."
  fi
}

# Check for Caddy
if ! command -v caddy &> /dev/null; then
  echo "Caddy is not installed."
  check_homebrew
  install_caddy
else
  echo "Caddy is already installed."
fi

# Create a simple Caddyfile
cat <<EOL > Caddyfile
localhost:${PORT} {
  root * ${FOLDER}
  file_server browse
}
EOL

echo "Caddyfile created. Starting Caddy server on port $PORT..."
caddy run --config ./Caddyfile

取得離線安全情報下載器腳本

Microsoft 在以下 GitHub 倉庫中托管了一個離線安全智慧下載腳本： https://github.com/microsoft/mdatp-xplat。

請執行以下步驟以取得下載腳本：

選項一：將儲存庫複製 (偏好)

在鏡像伺服器上安裝 git。

導航到你想要複製該倉庫的目錄。

執行以下指令： git clone https://github.com/microsoft/mdatp-xplat.git

選項二：下載壓縮檔

下載該倉庫的壓縮檔： https://github.com/microsoft/mdatp-xplat/archive/refs/heads/master.zip。

把壓縮檔複製到你想存放腳本的資料夾。

解壓壓縮資料夾。

複製倉庫或下載壓縮檔後，本地目錄結構應為以下：

user@vm:~/mdatp-xplat$ tree linux/definition_downloader/
linux/definition_downloader/
├── README.md
├── settings.json
├── settings.ps1
├── xplat_offline_updates_download.ps1
└── xplat_offline_updates_download.sh

0 directories, 5 files

settings.json 檔案由幾個變數組成，使用者可以設定用來決定腳本執行的輸出。

執行離線安全情報下載腳本

若要手動執行下載器腳本，請依前一節描述在settings.json檔案中設定參數，並根據鏡像伺服器的作業系統使用以下指令之一：

Bash：

./xplat_offline_updates_download.sh

PowerShell：

./xplat_offline_updates_download.ps1

將離線安全情報更新託管在鏡像伺服器上

腳本執行後，最新的簽章會下載到settings.json檔案 (updates.zip) 中設定的資料夾。

一旦簽章壓縮檔下載完成，鏡像伺服器就可以用來架設它。 鏡像伺服器可透過任何 HTTP/HTTPS/網路共享伺服器來架設。

一旦託管完成，複製託管伺服器的絕對路徑， (但不包含 arch_* 目錄) 。

例如，若腳本以 downloadFolder=/tmp/wdav-update執行，且) (www.example.server.com:8000 HTTP 伺服器承載 /tmp/wdav-update 路徑，對應的 URI 為： www.example.server.com:8000/mac/production/。

我們也可以使用目錄的絕對路徑 (本地/遠端掛載點) /tmp/wdav-update/mac/production。

鏡像伺服器建立完成後，我們需要將這個 URL 傳播到 Mac 端點，就像 offlineDefinitionUpdateUrl 下一節所描述的管理配置中一樣。

配置端點

請使用以下範例mdatp_managed.json檔案，並依照設定更新參數，然後將檔案複製到位置 /etc/opt/microsoft/mdatp/managed/mdatp_managed.json。

{
  "cloudService": {
    "automaticDefinitionUpdateEnabled": true,
    "definitionUpdatesInterval": 1202
  },
  "antivirusEngine": {
    "offlineDefinitionUpdateUrl": "http://172.22.199.67:8000/mac/production/",
    "offlineDefintionUpdateFallbackToCloud":false,
    "offlineDefinitionUpdate": "enabled"
  },
  "features": {
    "offlineDefinitionUpdateVerifySig": "enabled"
  }
}

確認配置

要測試 macOS 端點的設定是否正確套用，請執行以下指令：

mdatp health --details definitions

範例輸出會像以下程式碼片段：

user@vm:~$ mdatp health --details definitions
automatic_definition_update_enabled         : true [managed]
definitions_updated                         : Mar 14, 2024 at 12:13:17 PM
definitions_updated_minutes_ago             : 2
definitions_version                         : "1.407.417.0"
definitions_status                          : "up_to_date"
definitions_update_source_uri               : "https://go.microsoft.com/fwlink/?linkid=2144709"
definitions_update_fail_reason              : ""
offline_definition_url_configured           : "http://172.XX.XXX.XX:8000/mac/production/" [managed]
offline_definition_update                   : "enabled" [managed]
offline_definition_update_verify_sig        : "enabled"
offline_definition_update_fallback_to_cloud : false[managed]

觸發離線安全情報更新

• 自動更新

  如果 Managed JSON 中的欄位 automaticDefinitionUpdateEnabled 和 offline_definition_update 都設為 true，那麼「離線安全智慧更新」就會自動在週期性間隔觸發。

  預設情況下，這個週期間隔是 8小時。 可以透過在受管理的 JSON 中設定 definitionUpdatesInterval 參數來設定。

• 手動更新

  若要手動觸發「離線安全智慧更新」，從 Mac 端點的鏡像伺服器下載簽名，請執行以下指令：

  mdatp definitions update
  

請查看更新狀態

在以自動或手動方式觸發「離線安全智慧更新」後，請執行 mdatp health --details --definitions指令：確認更新是否成功。

請確認以下欄位：

user@vm:~$ mdatp health --details definitions
...
definitions_status                          : "up_to_date"
...
definitions_update_fail_reason              : ""
...

常見疑難排解步驟

• 請使用以下指令檢查「離線安全情報更新」功能的狀態：

  mdatp health --details definitions
  

  此指令會在 definitions_update_fail_reason 區段提供使用者友善的訊息。

• 檢查和offline_definition_update_verify_sig是否offline_definition_update已啟用。

• 檢查是否 definitions_update_source_uri 等於 offline_definition_url_configured。

  • definitions_update_source_uri 是簽章下載來源。
  • offline_definition_url_configured 是應該下載簽章的來源，也就是受管理設定檔中提到的那個。

• 試著執行連線測試，確認主機是否能連上鏡像伺服器：

  mdatp connectivity test
  

• 請嘗試使用以下指令觸發手動更新：

  mdatp definitions update
  

另請參閱

• 適用於端點的 Microsoft Defender on macOS prerequisites
• 設定 macOS 上適用於端點的 Microsoft Defender 的喜好設定
• macOS 上適用於端點的 Microsoft Defender
• macOS 上 適用於端點的 Microsoft Defender 資源