Configuración de la Microsoft Defender para punto de conexión en directivas de macOS en Jamf Pro

  • Artículo

Se aplica a:

Esta página le guiará por los pasos que debe seguir para configurar directivas de macOS en Jamf Pro.

Tendrá que realizar los pasos siguientes:

  1. Obtención del paquete de incorporación de Microsoft Defender para punto de conexión
  2. Create un perfil de configuración en Jamf Pro mediante el paquete de incorporación
  3. Configuración de Microsoft Defender para punto de conexión
  4. Configuración de las notificaciones de Microsoft Defender para punto de conexión
  5. Configuración de Microsoft AutoUpdate (MAU)
  6. Conceder acceso completo al disco a Microsoft Defender para punto de conexión
  7. Aprobar extensiones del sistema para Microsoft Defender para punto de conexión
  8. Configuración de la extensión de red
  9. Configuración de servicios en segundo plano
  10. Concesión de permisos de Bluetooth
  11. Programación de exámenes con Microsoft Defender para punto de conexión en macOS
  12. Implementación de Microsoft Defender para punto de conexión en macOS

Paso 1: Obtener el paquete de incorporación de Microsoft Defender para punto de conexión

  1. En Microsoft Defender XDR, vaya a Configuración > Puntos de conexión > Incorporación.

  2. Seleccione macOS como sistema operativo y Mobile Administración de dispositivos/Microsoft Intune como método de implementación.

    Página Configuración.

  3. Seleccione Descargar paquete de incorporación (WindowsDefenderATPOnboardingPackage.zip).

  4. Extraiga WindowsDefenderATPOnboardingPackage.zip.

  5. Copie el archivo en la ubicación que prefiera. Por ejemplo, C:\Users\JaneDoe_or_JohnDoe.contoso\Downloads\WindowsDefenderATPOnboardingPackage_macOS_MDM_contoso\jamf\WindowsDefenderATPOnboarding.plist.

Paso 2: Create un perfil de configuración en Jamf Pro mediante el paquete de incorporación

  1. Busque el archivo WindowsDefenderATPOnboarding.plist de la sección anterior.

    El archivo de incorporación Windows Defender ATP.

  2. Inicie sesión en Jamf Pro, vaya aPerfiles de configuración de equipos> y seleccione Nuevo.

    Página en la que se crea un nuevo panel de Jamf Pro.

  3. Escriba los siguientes detalles en la pestaña General :

    • Nombre: incorporación de MDE para macOS
    • Descripción: MDE incorporación de EDR para macOS
    • Categoría: Ninguna
    • Método de distribución: Instalar automáticamente
    • Nivel: Nivel de equipo

  4. Vaya a la página Application & Custom Settings (Configuración personalizada) y seleccione Upload Add (Cargar>agregar).

    La aplicación de configuración y la configuración personalizada.

  5. Seleccione Cargar archivo (archivo PLIST) y, a continuación, en Dominio de preferencia escriba: com.microsoft.wdav.atp.

    El archivo de carga jamfpro plist.

    La propiedad list del archivo de carga.

  6. Seleccione Abrir y seleccione el archivo de incorporación.

    El archivo de incorporación.

  7. Seleccione Cargar.

    El archivo plist de carga.

  8. Seleccione la pestaña Ámbito .

    Pestaña Ámbito.

  9. Seleccione los equipos de destino.

    Los equipos de destino.

    Los destinos.

  10. Seleccione Guardar.

    Implementación de equipos de destino.

    Selección de equipos de destino.

  11. Seleccione Listo.

    Los equipos de un grupo de destino.

    Lista de perfiles de configuración.

Paso 3: Configuración de Microsoft Defender para punto de conexión

Puede usar JAMF Pro GUI para editar valores individuales de la configuración de Microsoft Defender para punto de conexión, o bien usar el método heredado mediante la creación de una lista Plist de configuración en un editor de texto y su carga en JAMF Pro.

Tenga en cuenta que debe usar exactamente com.microsoft.wdav como dominio de preferencias, Microsoft Defender para punto de conexión solo usa este nombre y com.microsoft.wdav.ext para cargar su configuración administrada.

(La com.microsoft.wdav.ext versión se puede usar en raras ocasiones cuando se prefiere usar el método de GUI, pero también es necesario configurar una configuración que aún no se ha agregado al esquema).

Método de GUI

  1. Descargue schema.json archivo del repositorio de GitHub de Defender y guárdelo en un archivo local:

    curl -o ~/Documents/schema.json https://raw.githubusercontent.com/microsoft/mdatp-xplat/master/macos/schema/schema.json

  2. Create un nuevo perfil de configuración en Equipos:> Perfiles de configuración, escriba los siguientes detalles en la pestaña General:

    Un nuevo perfil.

    • Nombre: Configuración de MDATP MDAV
    • Description:<blank>
    • Categoría: Ninguno (valor predeterminado)
    • Nivel: Nivel de equipo (valor predeterminado)
    • Método de distribución: Instalar automáticamente (valor predeterminado)

  3. Desplácese hacia abajo hasta la pestaña Configuración personalizada & aplicación , seleccione Aplicaciones externas, haga clic en Agregar y use Esquema personalizado como origen para usar para el dominio de preferencia.

    Agregar esquema personalizado.

  4. Escriba com.microsoft.wdav como dominio de preferencias, seleccione Agregar esquema y cargue el archivo schema.json descargado en el paso 1. Haga clic en Guardar.

    Cargar esquema.

  5. Puede ver todos los valores de configuración de Microsoft Defender para punto de conexión admitidos a continuación, en Propiedades del dominio de preferencias. Haga clic en Agregar o quitar propiedades para seleccionar la configuración que desea administrar y haga clic en Aceptar para guardar los cambios. (La configuración no seleccionada no se incluirá en la configuración administrada; un usuario final podrá configurar esas opciones en sus máquinas).

    La configuración administrada elegida.

  6. Cambie los valores de la configuración a los valores deseados. Puede hacer clic en Más información para obtener documentación sobre una configuración determinada. (Puede hacer clic en Plist preview (Vista previa de Plist) para inspeccionar el aspecto de la lista de configuración. Haga clic en Editor de formularios para volver al editor visual).

    Página en la que se cambian los valores de configuración.

  7. Seleccione la pestaña Ámbito .

    Ámbito del perfil de configuración.

  8. Seleccione Grupo de máquinas de Contoso.

  9. Seleccione Agregar y, a continuación, seleccione Guardar.

    Página en la que puede agregar los valores de Configuración.

    Página en la que puede guardar la configuración.

  10. Seleccione Listo. Verá el nuevo perfil de configuración.

    Página en la que se completan las opciones de configuración.

Microsoft Defender para punto de conexión agrega una nueva configuración con el tiempo. Esta nueva configuración se agregará al esquema y se publicará una nueva versión en GitHub. Todo lo que necesita hacer para tener actualizaciones es descargar un esquema actualizado, editar el perfil de configuración existente y editar el esquema en la pestaña Application & Custom Settings (Configuración personalizada de la aplicación & ).

Método heredado

  1. Use los siguientes valores de configuración de Microsoft Defender para punto de conexión:

    • enableRealTimeProtection
    • passiveMode

    Nota:

    No está activado de forma predeterminada, si planea ejecutar un antivirus de terceros para macOS, establézcalo en true.

    • Exclusiones
    • excludedPath
    • excludedFileExtension
    • excludedFileName
    • exclusionesMergePolicy
    • allowedThreats

    Nota:

    EICAR está en el ejemplo, si va a pasar por una prueba de concepto, quítelo especialmente si está probando EICAR.

    • disallowedThreatActions
    • potentially_unwanted_application
    • archive_bomb
    • cloudService
    • automaticSampleSubmission
    • tags
    • hideStatusMenuIcon

    Para obtener información, vea Lista de propiedades para el perfil de configuración completa de JAMF.

    <?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
    <key>antivirusEngine</key>
    <dict>
        <key>enableRealTimeProtection</key>
        <true/>
        <key>passiveMode</key>
        <false/>
        <key>exclusions</key>
        <array>
            <dict>
                <key>$type</key>
                <string>excludedPath</string>
                <key>isDirectory</key>
                <false/>
                <key>path</key>
                <string>/var/log/system.log</string>
            </dict>
            <dict>
                <key>$type</key>
                <string>excludedPath</string>
                <key>isDirectory</key>
                <true/>
                <key>path</key>
                <string>/home</string>
            </dict>
            <dict>
                <key>$type</key>
                <string>excludedFileExtension</string>
                <key>extension</key>
                <string>pdf</string>
            </dict>
            <dict>
                <key>$type</key>
                <string>excludedFileName</string>
                <key>name</key>
                <string>cat</string>
            </dict>
        </array>
        <key>exclusionsMergePolicy</key>
        <string>merge</string>
        <key>allowedThreats</key>
        <array>
            <string>EICAR-Test-File (not a virus)</string>
        </array>
        <key>disallowedThreatActions</key>
        <array>
            <string>allow</string>
            <string>restore</string>
        </array>
        <key>threatTypeSettings</key>
        <array>
            <dict>
                <key>key</key>
                <string>potentially_unwanted_application</string>
                <key>value</key>
                <string>block</string>
            </dict>
            <dict>
                <key>key</key>
                <string>archive_bomb</string>
                <key>value</key>
                <string>audit</string>
            </dict>
        </array>
        <key>threatTypeSettingsMergePolicy</key>
        <string>merge</string>
    </dict>
    <key>cloudService</key>
    <dict>
        <key>enabled</key>
        <true/>
        <key>diagnosticLevel</key>
        <string>optional</string>
        <key>automaticSampleSubmission</key>
        <true/>
    </dict>
    <key>edr</key>
    <dict>
        <key>tags</key>
        <array>
            <dict>
                <key>key</key>
                <string>GROUP</string>
                <key>value</key>
                <string>ExampleTag</string>
            </dict>
        </array>
    </dict>
    <key>userInterface</key>
    <dict>
        <key>hideStatusMenuIcon</key>
        <false/>
    </dict>
</dict>
</plist>

  2. Guarde el archivo como MDATP_MDAV_configuration_settings.plist.

  3. En el panel de Jamf Pro, abra Equipos y sus perfiles de configuración. Haga clic en Nuevo y cambie a la pestaña General .

    Página que muestra un nuevo perfil.

  4. Escriba los siguientes detalles en la pestaña General :

    • Nombre: Configuración de MDATP MDAV
    • Description:<blank>
    • Categoría: Ninguno (valor predeterminado)
    • Método de distribución: Instalar automáticamente (valor predeterminado)
    • Nivel: Nivel de equipo (valor predeterminado)

  5. En Application & Custom Settings (Configuración personalizada de application &), seleccione Configurar.

    Los valores de configuración de MDAV de MDATP.

    La aplicación y la configuración personalizada.

  6. Seleccione Cargar archivo (archivo PLIST).

    El archivo plist de configuración.

  7. En Dominio de preferencias, escriba com.microsoft.wdavy seleccione Cargar archivo PLIST.

    Dominio de preferencias de configuración.

  8. Seleccione Elegir archivo.

    Símbolo del sistema para elegir el archivo plist.

  9. Seleccione el archivo MDATP_MDAV_configuration_settings.plist y, a continuación, seleccione Abrir.

    Los valores de configuración de mdatpmdav.

  10. Seleccione Cargar.

    Carga de la configuración.

    Símbolo del sistema para cargar la imagen relacionada con los valores de configuración.

    Nota:

    Si carga el archivo Intune, obtendrá el siguiente error:

    Símbolo del sistema para cargar el archivo de Intune relacionado con los valores de configuración.

  11. Seleccione Guardar.

    Opción para guardar la imagen relacionada con los valores de configuración.

  12. Se carga el archivo.

    El archivo cargado relacionado con los valores de configuración.

    Página de configuración.

  13. Seleccione la pestaña Ámbito .

    Ámbito de los valores de configuración.

  14. Seleccione Grupo de máquinas de Contoso.

  15. Seleccione Agregar y, a continuación, seleccione Guardar.

    La configuración agregaav.

    Notificación de los valores de configuración.

  16. Seleccione Listo. Verá el nuevo perfil de configuración.

    Imagen de la imagen del perfil de configuración de configuración.Configuración del perfil de configuración.

Paso 4: Configuración de las notificaciones

Estos pasos son aplicables en macOS 11 (Big Sur) o posterior.

  1. En el panel de Jamf Pro, seleccione Equipos y, a continuación, Perfiles de configuración.

  2. Haga clic en Nuevo y escriba los siguientes detalles en la pestaña General para Opciones:

    • Nombre: Configuración de notificación mdav de MDATP
    • Descripción: macOS 11 (Big Sur) o posterior
    • Categoría: Ninguno (valor predeterminado)
    • Método de distribución: Instalar automáticamente (valor predeterminado)
    • Nivel: Nivel de equipo (valor predeterminado)

    Página del nuevo perfil de configuración de macOS.

    • Pestaña Notificaciones, haga clic en Agregar y escriba los valores siguientes:

      • Id. de lote: com.microsoft.wdav.tray
      • Alertas críticas: haga clic en Deshabilitar
      • Notificaciones: haga clic en Habilitar
      • Tipo de alerta de banner: seleccione Incluir y Temporal(valor predeterminado)
      • Notificaciones en la pantalla de bloqueo: haga clic en Ocultar
      • Notificaciones en el Centro de notificaciones: Haga clic en Mostrar
      • Icono de la aplicación badge: haga clic en Mostrar

      La bandeja de notificaciones mdatpmdav de configuración.

    • Notificaciones de pestaña, haga clic en Agregar una vez más, desplácese hacia abajo hasta Nueva configuración de notificaciones

      • Id. de lote: com.microsoft.autoupdate.fba
      • Configure el resto de los valores en los mismos valores que los anteriores.

      La configuración mdatpmdav notifications mau.

      Tenga en cuenta que ahora tiene dos "tablas" con configuraciones de notificación, una para el identificador de lote: com.microsoft.wdav.tray y otra para el identificador de lote: com.microsoft.autoupdate.fba. Aunque puede configurar las opciones de alerta según sus requisitos, los identificadores de agrupación deben ser exactamente los mismos que se han descrito antes y el modificador Incluir debe estar activado para las notificaciones.

  3. Seleccione la pestaña Ámbito y, a continuación, seleccione Agregar.

    Página en la que puede agregar valores para los valores de configuración.

  4. Seleccione Grupo de máquinas de Contoso.

  5. Seleccione Agregar y, a continuación, seleccione Guardar.

    Página en la que puede guardar valores para el grupo de máquinas contoso de configuración.

    Página que muestra la notificación de finalización de los valores de configuración.

  6. Seleccione Listo. Verá el nuevo perfil de configuración.

    Los valores de configuración completados.

Paso 5: Configurar Microsoft AutoUpdate (MAU)

  1. Use los siguientes valores de configuración de Microsoft Defender para punto de conexión:

    <?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
<key>ChannelName</key>
<string>Current</string>
<key>HowToCheck</key>
<string>AutomaticDownload</string>
<key>EnableCheckForUpdatesButton</key>
<true/>
<key>DisableInsiderCheckbox</key>
<false/>
<key>SendAllTelemetryEnabled</key>
<true/>
</dict>
</plist>

  2. Guárdelo como MDATP_MDAV_MAU_settings.plist.

  3. En el panel de Jamf Pro, seleccione General.

    Los valores de configuración.

  4. Escriba los siguientes detalles en la pestaña General :

    • Nombre: configuración de MDATP MDAV MAU
    • Descripción: Configuración de Microsoft AutoUpdate para MDATP para macOS
    • Categoría: Ninguno (valor predeterminado)
    • Método de distribución: Instalar automáticamente (valor predeterminado)
    • Nivel: Nivel de equipo (valor predeterminado)

  5. En Application & Custom Settings (Configuración personalizada) seleccione Configurar.

    La aplicación de configuración y la configuración personalizada.

  6. Seleccione Cargar archivo (archivo PLIST).

  7. En Dominio de preferencia escriba: com.microsoft.autoupdate2y, a continuación, seleccione Cargar archivo PLIST.

    Dominio de preferencia de configuración.

  8. Seleccione Elegir archivo.

    Símbolo del sistema para elegir el archivo con respecto a la configuración.

  9. Seleccione MDATP_MDAV_MAU_settings.plist.

    Configuración de mdatpmdavmau.

  10. Seleccione Cargar. Carga del archivo con respecto a la configuración.

    Página que muestra la opción de carga del archivo con respecto a la configuración.

  11. Seleccione Guardar.

    Página en la que se muestra la opción guardar del archivo con respecto a la configuración.

  12. Seleccione la pestaña Ámbito .

    Pestaña Ámbito de los valores de configuración.

  13. Seleccione Agregar.

    Opción para agregar destinos de implementación.

    Página en la que se agregan más valores a los valores de configuración.

    Página en la que puede agregar más valores a los valores de configuración.

  14. Seleccione Listo.

    La notificación de finalización con respecto a los valores de configuración.

Paso 6: Conceder acceso completo al disco a Microsoft Defender para punto de conexión

  1. En el panel de Jamf Pro, seleccione Perfiles de configuración.

    Perfil para el que se va a configurar la configuración.

  2. Seleccione + Nuevo.

  3. Escriba los siguientes detalles en la pestaña General :

    • Nombre: MDATP MDAV: conceder acceso completo al disco a EDR y AV
    • Descripción: en macOS 11 (Big Sur) o posterior, el nuevo control de directiva de preferencias de privacidad
    • Categoría: Ninguna
    • Método de distribución: Instalar automáticamente
    • Nivel: Nivel de equipo

    La configuración en general.

  4. En Configurar el control de directivas de preferencias de privacidad , seleccione Configurar.

    Control de directiva de privacidad de configuración.

  5. En Control de directivas de preferencias de privacidad, escriba los detalles siguientes:

    • Identificador: com.microsoft.wdav
    • Tipo de identificador: id. de lote
    • Requisito de código: identifier "com.microsoft.wdav" and anchor apple generic and certificate 1[field.1.2.840.113635.100.6.2.6] /* exists */ and certificate leaf[field.1.2.840.113635.100.6.1.13] /* exists */ and certificate leaf[subject.OU] = UBF8T346G9

    Detalles del control de directiva de preferencias de privacidad de configuración.

  6. Seleccione + Agregar.

    La configuración agrega la opción de directiva del sistema todos los archivos.

    • En Aplicación o servicio: establezca en SystemPolicyAllFiles.

    • En "access": establezca en Allow (Permitir).

  7. Seleccione Guardar (no la que se encuentra en la parte inferior derecha).

    Operación de guardado para la configuración.

  8. Haga clic en el + signo situado junto a App Access para agregar una nueva entrada.

    Operación de guardado relacionada con la configuración.

  9. Escriba los detalles siguientes:

    • Identificador: com.microsoft.wdav.epsext
    • Tipo de identificador: id. de lote
    • Requisito de código: identifier "com.microsoft.wdav.epsext" and anchor apple generic and certificate 1[field.1.2.840.113635.100.6.2.6] /* exists */ and certificate leaf[field.1.2.840.113635.100.6.1.13] /* exists */ and certificate leaf[subject.OU] = UBF8T346G9

  10. Seleccione + Agregar.

    La entrada tcc epsext de configuración.

    • En Aplicación o servicio: establezca en SystemPolicyAllFiles.

    • En "access": establezca en Allow (Permitir).

  11. Seleccione Guardar (no la que se encuentra en la parte inferior derecha).

    La otra instancia de configuración de tcc epsext.

  12. Seleccione la pestaña Ámbito .

    Página que representa el ámbito de la configuración.

  13. Seleccione + Agregar.

    Página que muestra la configuración.

  14. Seleccione Grupos de equipos> en Nombre> de grupo, seleccione MachineGroup de Contoso.

    Configuración del grupo de máquinas contoso.

  15. Seleccione Agregar.

  16. Seleccione Guardar.

  17. Seleccione Listo.

    Configuración de contoso machine-group.

    Ilustración de la configuración.

Como alternativa, puede descargar fulldisk.mobileconfig y cargarlo en perfiles de configuración de JAMF como se describe en Implementación de perfiles de configuración personalizados mediante Jamf Pro|Método 2: Cargar un perfil de configuración en Jamf Pro.

Nota:

El acceso total al disco concedido a través del perfil de configuración mdm de Apple no se refleja en Configuración del sistema => Privacidad & Seguridad => Acceso total al disco.

Paso 7: Aprobar extensiones del sistema para Microsoft Defender para punto de conexión

  1. En Perfiles de configuración, seleccione + Nuevo.

    Descripción de la publicación de redes sociales generada automáticamente.

  2. Escriba los siguientes detalles en la pestaña General :

    • Nombre: Extensiones del sistema MDAV de MDATP
    • Descripción: Extensiones del sistema MDATP
    • Categoría: Ninguna
    • Método de distribución: Instalar automáticamente
    • Nivel: Nivel de equipo

    La configuración sysext nuevo perfil.

  3. En Extensiones del sistema , seleccione Configurar.

    Panel con la opción Configurar para las extensiones del sistema.

  4. En Extensiones del sistema, escriba los detalles siguientes:

    • Nombre para mostrar: Extensiones del sistema de Microsoft Corp.
    • Tipos de extensión del sistema: extensiones del sistema permitidas
    • Identificador de equipo: UBF8T346G9
    • Extensiones de sistema permitidas:
      • com.microsoft.wdav.epsext
      • com.microsoft.wdav.netext

    Panel Extensiones del sistema MDAV de MDATP.

  5. Seleccione la pestaña Ámbito .

    Panel selección equipos de destino.

  6. Seleccione + Agregar.

  7. Seleccione Grupos de equipos> en Nombre> de grupo, seleccione Grupo de máquinas de Contoso.

  8. Seleccione + Agregar.

    Panel Nuevo perfil de configuración de macOS.

  9. Seleccione Guardar.

    Visualización de opciones relacionadas con las extensiones de sistema MDAV de MDATP.

  10. Seleccione Listo.

    La configuración sysext - final.

Paso 8: Configurar la extensión de red

Como parte de las funcionalidades de detección y respuesta de puntos de conexión, Microsoft Defender para punto de conexión en macOS inspecciona el tráfico de socket e informa de esta información al portal de Microsoft Defender. La siguiente directiva permite que la extensión de red realice esta funcionalidad.

Estos pasos son aplicables en macOS 11 (Big Sur) o posterior.

  1. En el panel de Jamf Pro, seleccione Equipos y, a continuación, Perfiles de configuración.

  2. Haga clic en Nuevo y escriba los siguientes detalles para Opciones:

    • Pestaña General:

      • Nombre: Microsoft Defender extensión de red
      • Descripción: macOS 11 (Big Sur) o posterior
      • Categoría: Ninguno (valor predeterminado)
      • Método de distribución: Instalar automáticamente (valor predeterminado)
      • Nivel: Nivel de equipo (valor predeterminado)

    • Filtro de contenido de pestaña:

      • Nombre del filtro: filtro de contenido Microsoft Defender
      • Identificador: com.microsoft.wdav
      • Deje en blanco la dirección del servicio, la organización, el nombre de usuario, la contraseña, el certificado (no está seleccionada la opción Incluir)
      • Orden de filtro: Inspector
      • Filtro de socket: com.microsoft.wdav.netext
      • Requisito designado de filtro de socket: identifier "com.microsoft.wdav.netext" and anchor apple generic and certificate 1[field.1.2.840.113635.100.6.2.6] /* exists */ and certificate leaf[field.1.2.840.113635.100.6.1.13] /* exists */ and certificate leaf[subject.OU] = UBF8T346G9
      • Deje los campos Filtro de red en blanco (No está seleccionada la opción Incluir)

      Tenga en cuenta que los valores exactos Identificador, Filtro de socket y Requisito designado de filtro de socket , tal como se especificó anteriormente.

      Configuración de mdatpmdav.

  3. Seleccione la pestaña Ámbito .

    Pestaña sco de configuración.

  4. Seleccione + Agregar.

  5. Seleccione Grupos de equipos> en Nombre> de grupo, seleccione Grupo de máquinas de Contoso.

  6. Seleccione + Agregar.

    Adim de la configuración.

  7. Seleccione Guardar.

    Panel Filtro de contenido.

  8. Seleccione Listo.

    El texto netext de configuración: final.

Como alternativa, puede descargar netfilter.mobileconfig y cargarlo en perfiles de configuración de JAMF como se describe en Implementación de perfiles de configuración personalizados mediante Jamf Pro|Método 2: Cargar un perfil de configuración en Jamf Pro.

Paso 9: Configurar servicios en segundo plano

Precaución

macOS 13 (Ventura) contiene nuevas mejoras de privacidad. A partir de esta versión, de forma predeterminada, las aplicaciones no se pueden ejecutar en segundo plano sin el consentimiento explícito. Microsoft Defender para punto de conexión debe ejecutar su proceso de demonio en segundo plano.

Este perfil de configuración concede permisos al servicio en segundo plano para Microsoft Defender para punto de conexión. Si anteriormente configuró Microsoft Defender para punto de conexión a través de JAMF, se recomienda actualizar la implementación con este perfil de configuración.

Descargue background_services.mobileconfig desde nuestro repositorio de GitHub.

Cargue mobileconfig descargado en los perfiles de configuración de JAMF como se describe en Implementación de perfiles de configuración personalizados mediante Jamf Pro|Método 2: Cargar un perfil de configuración en Jamf Pro.

Paso 10: Concesión de permisos de Bluetooth

Precaución

macOS 14 (Sonoma) contiene nuevas mejoras de privacidad. A partir de esta versión, de forma predeterminada, las aplicaciones no pueden acceder a Bluetooth sin el consentimiento explícito. Microsoft Defender para punto de conexión lo usa si configura directivas de Bluetooth para el control de dispositivos.

Descargue bluetooth.mobileconfig desde el repositorio de GitHub.

Advertencia

La versión actual de JAMF Pro aún no admite este tipo de carga. Si carga esta configuración móvil tal cual, JAMF Pro quitará la carga no admitida y no se aplicará a las máquinas cliente. Primero debe firmar mobileconfig descargado, después de que JAMF Pro lo considere "sellado" y no lo manipule. Consulte las instrucciones siguientes:

  • Debe tener al menos un certificado de firma instalado en keyChain, incluso un certificado autofirmado funcionará. Puede inspeccionar lo que tiene con:
> /usr/bin/security find-identity -p codesigning -v

  1) 70E46A47F552EA8D58521DAC1E7F5144BA3012BC "DevCert"
  2) 67FC43F3FAB77662BB7688C114585BAA37CA8175 "Mac Developer: John Doe (1234XX234)"
  3) E142DFD879E5EB60FA249FB5B24CEAE3B370394A "Apple Development: Jane Doe 7XX7778888)"
  4) 21DE31645BBF1D9F5C46E82E87A6968111E41C75 "Apple Development: me@example.com (8745XX123)"
     4 valid identities found
  • Elija cualquiera de ellos y proporcione el texto entre comillas como parámetro -N:
/usr/bin/security cms -S -N "DevCert" -i bluetooth.mobileconfig -o bluetooth-signed.mobileconfig

Nota:

Bluetooth concedido a través del perfil de configuración mdm de Apple no se refleja en Configuración del sistema => Privacidad & Seguridad => Bluetooth.

Paso 11: Programar exámenes con Microsoft Defender para punto de conexión en macOS

Siga las instrucciones de Programación de exámenes con Microsoft Defender para punto de conexión en macOS.

Paso 12: Implementación de Microsoft Defender para punto de conexión en macOS

Nota:

En los pasos siguientes, el nombre del .pkg archivo y los valores de Nombre para mostrar son ejemplos. En estos ejemplos, 200329 representa la fecha en que se crearon el paquete y la directiva (en yymmdd formato) y v100.86.92 representa la versión de la aplicación Microsoft Defender que se está implementando. Estos valores se deben actualizar para que se ajusten a la convención de nomenclatura que se usa en el entorno para paquetes y directivas.

  1. Vaya a donde guardó wdav.pkg.

    El paquete wdav del explorador de archivos.

  2. Cámbiele el nombre a wdav_MDM_Contoso_200329.pkg.

    El paquete wdavmdm del explorador de archivos1.

  3. Abra el panel de Jamf Pro.

    Los valores de configuración de jamfpro.

  4. Seleccione el equipo y haga clic en el icono de engranaje de la parte superior y, a continuación, seleccione Administración de equipos.

    Los valores de configuración: administración de equipos.

  5. En Paquetes, seleccione + Nuevo. La descripción del pájaro de un paquete generado automáticamente.

  6. En la pestaña General, escriba los siguientes detalles en Nuevo paquete:

    • Nombre para mostrar: déjelo en blanco por ahora. Porque se restablecerá cuando elija el archivo pkg.
    • Categoría: Ninguno (valor predeterminado)
    • Nombre de archivo: Elegir archivo

    Pestaña General para la configuración.

    Abra el archivo y apunte a wdav.pkg o wdav_MDM_Contoso_200329.pkg.

    Pantalla del equipo que muestra la descripción de un paquete generado automáticamente.

  7. Seleccione Abrir. Establezca el nombre para mostrar en Microsoft Defender Advanced Threat Protection y Microsoft Defender Antivirus.

    El archivo de manifiesto no es necesario. Microsoft Defender para punto de conexión funciona sin archivo de manifiesto.

    Pestaña Opciones: mantenga los valores predeterminados.

    Pestaña Limitaciones: mantenga los valores predeterminados.

    Pestaña de limitación de los valores de configuración.

  8. Seleccione Guardar. El paquete se carga en Jamf Pro.

    Proceso de carga del paquete de configuración para el paquete relacionado con los valores de configuración.

    El paquete puede tardar unos minutos en estar disponible para la implementación.

    Instancia de la carga del paquete para las opciones de configuración.

  9. Vaya a la página Directivas .

    Directivas de configuración.

  10. Seleccione + Nuevo para crear una nueva directiva.

    Nueva directiva de configuración.

  11. En General, escriba el nombre para mostrar MDATP Onboarding Contoso 200329 v100.86.92 o posterior.

    Las opciones de configuración: incorporación de MDATP.

  12. Seleccione Registro periódico.

    La comprobación periódica de los valores de configuración.

  13. Seleccione Guardar.

  14. Seleccione Packages Configure (Configurar paquetes>).

    Opción para configurar paquetes.

  15. Seleccione el botón Agregar situado junto a Microsoft Defender Advanced Threat Protection y Microsoft Defender Antivirus.

    Opción para agregar más opciones de configuración a MDATP MDA.

  16. Seleccione Guardar.

    Opción de guardar para los valores de configuración.

  17. Create un grupo inteligente para máquinas con perfiles de Microsoft Defender.

    Para mejorar la experiencia del usuario, los perfiles de configuración de las máquinas inscritas deben instalarse antes del paquete de Microsoft Defender. En la mayoría de los casos, JAMF Prof inserta perfiles de configuración inmediatamente, las directivas que se ejecutan después de algún tiempo (es decir, durante el registro).

    Sin embargo, en algunos casos, la implementación de perfiles de configuración se puede implementar con un retraso significativo (es decir, si el equipo de un usuario está bloqueado).

    JAMF Pro proporciona una manera de garantizar el orden correcto. Puede crear un grupo inteligente para las máquinas que ya recibieron el perfil de configuración de Microsoft Defender e instalar el paquete de Microsoft Defender solo en esas máquinas (¡y en cuanto reciban este perfil!)

    Para ello, cree primero un grupo inteligente. En la nueva ventana del explorador, abra Grupos de equipos inteligentes en el menú de la izquierda, haga clic en Nuevo. Asigne un nombre, cambie a la pestaña Criterios , haga clic en Agregar y Mostrar criterios avanzados.

    Seleccione Nombre de perfil como criterio y use el nombre de un perfil de configuración creado anteriormente como Valor:

    Crear un grupo inteligente.

    Haga clic en Guardar. Vuelva a la ventana donde configura una directiva de paquete.

  18. Seleccione la pestaña Ámbito .

    Pestaña Ámbito relacionada con los valores de configuración.

  19. Seleccione los equipos de destino.

    Opción para agregar grupos de equipos.

    En Ámbito, seleccione Agregar.

    Las opciones de configuración: ad1.

    Cambie a la pestaña Grupos de equipos . Busque el grupo inteligente que creó y agréguelo .

    Opciones de configuración: ad2.

    Seleccione Autoservicio si desea que los usuarios instalen Microsoft Defender voluntariamente a petición.

    La pestaña Autoservicio de configuración.

  20. Seleccione Listo.

    Estado de incorporación de Contoso con una opción para completarlo.

    Página Directivas.

Ámbito del perfil de configuración

JAMF requiere que defina un conjunto de máquinas para un perfil de configuración. Debe asegurarse de que todas las máquinas que reciben el paquete de Defender también reciben todos los perfiles de configuración enumerados anteriormente.

Advertencia

JAMF admite grupos de equipos inteligentes que permiten la implementación, como perfiles de configuración o directivas en todas las máquinas que coinciden con determinados criterios evaluados dinámicamente. Es un concepto eficaz que se usa ampliamente para la distribución de perfiles de configuración.

Sin embargo, tenga en cuenta que estos criterios no deben incluir la presencia de Defender en una máquina. Aunque el uso de este criterio puede parecer lógico, crea problemas difíciles de diagnosticar.

Defender se basa en todos estos perfiles en el momento de su instalación. La creación de perfiles de configuración en función de la presencia de Defender retrasa eficazmente la implementación de perfiles de configuración y da lugar a un producto inicialmente incorrecto o a solicitudes de aprobación manual de determinados permisos de aplicación, que, de lo contrario, son aprobados automáticamente por los perfiles.

La implementación de una directiva con el paquete de Microsoft Defender después de implementar perfiles de configuración garantiza la mejor experiencia del usuario final, ya que todas las configuraciones necesarias se aplicarán antes de que se instale el paquete.

Sugerencia

¿Desea obtener más información? Engage con la comunidad de seguridad de Microsoft en nuestra comunidad tecnológica: Microsoft Defender para punto de conexión Tech Community.