Verhaltensüberwachung in Microsoft Defender Antivirus unter macOS

Gilt für:: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2, Microsoft Defender for Business, Microsoft Defender for Individuals

Übersicht über die Verhaltensüberwachung

Die Verhaltensüberwachung überwacht das Prozessverhalten, um potenzielle Bedrohungen basierend auf dem Verhalten der Anwendungen, Daemons und Dateien im System zu erkennen und zu analysieren. Da die Verhaltensüberwachung beobachtet, wie sich die Software in Echtzeit verhält, kann sie sich schnell an neue und sich entwickelnde Bedrohungen anpassen und diese blockieren.

Voraussetzungen

Das Gerät muss in Microsoft Defender for Endpoint integriert werden.
Für eine optimale Nutzung sollte Microsoft Defender auf dem neuesten Stand sein.
Die Mindestversionsnummer Microsoft Defender for Endpoint muss 101.25032.0006 oder höher sein. Die Versionsnummer bezieht sich auf das app_version (auch als Plattformupdate bezeichnet).
Echtzeitschutz (Real-Time Protection, RTP) muss aktiviert sein.
Der von der Cloud bereitgestellte Schutz muss aktiviert sein.

Bereitstellungsanweisungen für die Verhaltensüberwachung

Die Verhaltensüberwachung ist in Kürze standardmäßig aktiviert. Sie können den Registrierungsstatus Ihres Geräts überprüfen, indem Sie die Ausgabe von mdatp health --details features in Ihrem Terminal überprüfen. Falls noch nicht aktiviert, müssen Sie sie konfigurieren.

Um die Verhaltensüberwachung in Microsoft Defender for Endpoint unter macOS bereitzustellen, müssen Sie die Verhaltensüberwachungsrichtlinie mit einer der folgenden Methoden ändern:

Intune
JamF oder andere nicht von Microsoft stammende MDM
Manuell

In den folgenden Abschnitten werden diese Methoden ausführlich beschrieben.

Intune-Bereitstellung

Kopieren Sie den folgenden XML-Code, um eine PLIST-Datei zu erstellen, und speichern Sie sie als BehaviorMonitoring_for_MDE_on_macOS.mobileconfig.

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
    <dict>
        <key>PayloadUUID</key>
        <string>C4E6A782-0C8D-44AB-A025-EB893987A295</string>
        <key>PayloadType</key>
        <string>Configuration</string>
        <key>PayloadOrganization</key>
        <string>Microsoft</string>
        <key>PayloadIdentifier</key>
        <string>C4E6A782-0C8D-44AB-A025-EB893987A295</string>
        <key>PayloadDisplayName</key>
        <string>Microsoft Defender for Endpoint settings</string>
        <key>PayloadDescription</key>
        <string>Microsoft Defender for Endpoint configuration settings</string>
        <key>PayloadVersion</key>
        <integer>1</integer>
        <key>PayloadEnabled</key>
        <true/>
        <key>PayloadRemovalDisallowed</key>
        <true/>
        <key>PayloadScope</key>
        <string>System</string>
        <key>PayloadContent</key>
        <array>
            <dict>
                <key>PayloadUUID</key>
                <string>99DBC2BC-3B3A-46A2-A413-C8F9BB9A7295</string>
                <key>PayloadType</key>
                <string>com.microsoft.wdav</string>
                <key>PayloadOrganization</key>
                <string>Microsoft</string>
                <key>PayloadIdentifier</key>
                <string>99DBC2BC-3B3A-46A2-A413-C8F9BB9A7295</string>
                <key>PayloadDisplayName</key>
                <string>Microsoft Defender for Endpoint configuration settings</string>
                <key>PayloadDescription</key>
                <string/>
                <key>PayloadVersion</key>
                <integer>1</integer>
                <key>PayloadEnabled</key>
                <true/>
                <key>antivirusEngine</key>
                <dict>
                <key>behaviorMonitoring</key>
                <string>enabled</string>
                </dict>
                <key>features</key>
                <dict>
                <key>behaviorMonitoring</key>
                <string>enabled</string>
                </dict>
            </dict>
        </array>
    </dict>
</plist>

Öffnen SieGerätekonfigurationsprofile>.
Wählen Sie Profil erstellen und dann Neue Richtlinie aus.
Geben Sie dem Profil einen Namen. Ändern Sie Platform=macOS in Profiltyp=Vorlagen , und wählen Sie im Abschnitt Vorlagenname die Option Benutzerdefiniert aus. Wählen Sie Konfigurieren aus.
Wechseln Sie zu der plist-Datei, die Sie zuvor gespeichert haben, und speichern Sie sie als com.microsoft.wdav.xml.
Geben Sie com.microsoft.wdav als Namen des benutzerdefinierten Konfigurationsprofils an.
Öffnen Sie das Konfigurationsprofil, laden Sie die com.microsoft.wdav.xml Datei hoch, und wählen Sie OK aus.
Wählen Sie Verwalten>Zuweisungen aus. Wählen Sie auf der Registerkarte Einschließen die Option Zu allen Benutzern & Alle Geräte oder zu einer Gerätegruppe oder Benutzergruppe zuweisen aus.

JamF-Bereitstellung

Kopieren Sie den folgenden XML-Code, um eine PLIST-Datei zu erstellen, und speichern Sie sie als Save as BehaviorMonitoring_for_MDE_on_macOS.plist:

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
    <dict>
        <key>antivirusEngine</key>
            <dict>
                <key>behaviorMonitoring</key>
                <string>enabled</string>
            </dict>
        <key>features</key>
            <dict>
                <key>behaviorMonitoring</key>
                <string>enabled</string>
            </dict>
    </dict>
</plist>

Wählen Sie unterComputerkonfigurationsprofile>die Option Optionen>Anwendungen & Benutzerdefinierte Einstellungen aus.
Wählen Sie Datei hochladen (PLIST-Datei ) aus.
Legen Sie die Einstellungsdomäne auf com.microsoft.wdav fest.
Laden Sie die zuvor gespeicherte plist-Datei hoch.

Weitere Informationen finden Sie unter: Festlegen der Einstellungen für Microsoft Defender for Endpoint auf dem Mac.

Manuelle Bereitstellung

Sie können die Verhaltensüberwachung unter macOS unter Microsoft Defender for Endpoint aktivieren, indem Sie den folgenden Befehl im Terminal ausführen:

sudo mdatp config behavior-monitoring --value enabled

Zum Deaktivieren:

sudo mdatp config behavior-monitoring --value disabled

Weitere Informationen finden Sie unter Ressourcen für Microsoft Defender for Endpoint unter macOS.

Überprüfen, ob die Verhaltensüberwachung aktiviert ist

Um zu überprüfen, ob die Verhaltensüberwachung aktiviert ist, öffnen Sie terminal, kopieren Sie den folgenden Befehl, und führen Sie diesen aus:

mdatp health --details features

Wenn die Verhaltensüberwachung aktiviert ist, zeigt das Ergebnis den Wert von behavior_monitoring als aktiviert an.

So testen Sie die Erkennung der Verhaltensüberwachung (Verhinderung/Blockierung)

Weitere Informationen finden Sie unter Demonstration der Verhaltensüberwachung.

Überprüfen von Verhaltensüberwachungserkennungen

Die vorhandene Befehlszeilenschnittstelle von Microsoft Defender for Endpoint unter macOS kann verwendet werden, um Details und Artefakte der Verhaltensüberwachung einzusehen.

sudo mdatp threat list

Häufig gestellte Fragen (FAQ)

Was geschieht, wenn ich eine Zunahme der CPU- oder Arbeitsspeicherauslastung sehe?

Deaktivieren Sie die Verhaltensüberwachung, und überprüfen Sie, ob das Problem behoben ist. Wenn das Problem nicht behoben wird, steht es nicht im Zusammenhang mit der Verhaltensüberwachung.

Wenn das Problem nicht mehr auftritt, aktivieren Sie die Verhaltensüberwachung erneut, und verwenden Sie Verhaltensüberwachungsstatistiken, um Prozesse zu identifizieren und auszuschließen, die übermäßige Ereignisse generieren:

sudo mdatp config behavior-monitoring-statistics --value enabled

Reproduzieren Sie das Problem und führen Sie dann Folgendes aus:

sudo mdatp diagnostic behavior-monitoring-statistics --sort

Dieser Befehl listet Prozesse auf, die auf dem Computer ausgeführt werden, die Verhaltensüberwachungsereignisse an den Engine-Prozess melden. Je mehr Ereignisse, desto mehr AUSWIRKUNGEN AUF CPU/Arbeitsspeicher hat dieser Prozess.

Ausschließen identifizierter Prozesse mit:

sudo mdatp exclusion process add --path <path to process with lots of events>

Wichtig

Überprüfen Sie die Zuverlässigkeit der ausgeschlossenen Prozesse. Das Ausschließen dieser Prozesse verhindert, dass Ereignisse an die Verhaltensüberwachung gesendet und einem Inhaltsscan unterzogen werden. EDR erhält jedoch weiterhin Ereignisse von diesen Prozessen. Es ist wichtig zu beachten, dass diese Abhilfemaßnahme die CPU-Auslastung der Prozesse wdavdaemon oder wdavdaemon_enterprise wahrscheinlich nicht verringert, sich jedoch auf wdavdaemon_unprivileged auswirken kann. Wenn die anderen beiden Prozesse ebenfalls eine hohe CPU-Auslastung aufweisen, ist die Verhaltensüberwachung möglicherweise nicht die einzige Ursache, und die Kontaktaufnahme mit dem Microsoft-Support wird empfohlen.

Deaktivieren Sie anschließend die Verhaltensüberwachungsstatistiken:

sudo mdatp config behavior-monitoring-statistics --value disabled

Wenn das Problem weiterhin besteht, insbesondere nach einem Neustart, laden Sie die XMDE-Clientanalyse herunter, und wenden Sie sich dann an den Microsoft-Support.

Netzwerk-Echtzeitüberprüfung für macOS

Wichtig

Einige Informationen beziehen sich auf vorab veröffentlichte Produkte, die vor der kommerziellen Veröffentlichung erheblich geändert werden können. Microsoft übernimmt mit diesen Informationen keinerlei Gewährleistung, sei sie ausdrücklich oder konkludent.

Die Netzwerk-Echtzeitüberprüfung (Network Real-Time Inspection, NRI) für macOS verbessert den Echtzeitschutz (RTP), indem die Verhaltensüberwachung zusammen mit Datei-, Prozess- und anderen Ereignissen verwendet wird, um verdächtige Aktivitäten zu erkennen. Die Verhaltensüberwachung löst bei verdächtigen Dateien sowohl Telemetriedaten als auch die Übermittlung von Beispieldateien aus, damit Microsoft sie über das Cloudschutz-Back-End analysieren kann; das Ergebnis wird an das Clientgerät übermittelt, wodurch die Bedrohung entfernt wird.

Wirkt sich dies auf die Leistung aus?

NRI sollte nur geringe Auswirkungen auf die Netzwerkleistung haben. Anstatt die Verbindung zu halten und zu blockieren, erstellt NRI eine Kopie des Pakets, während es das Netzwerk durchquert, und NRI führt eine asynchrone Überprüfung durch.

Hinweis

Wenn die Netzwerk-Echtzeitüberprüfung (Network Real-Time Inspection, NRI) für macOS aktiviert ist, kann es zu einer leichten Zunahme der Arbeitsspeicherauslastung kommen.

Anforderungen für NRI für macOS

Das Gerät muss in Microsoft Defender for Endpoint integriert werden.
Vorschaufeatures müssen im Microsoft Defender-Portal aktiviert sein.
Das Gerät muss sich im Beta-Kanal (früher InsiderFast) befinden.
Die Mindestversionsnummer für Defender für Endpunkt muss Beta (Insiders-Fast): 101.24092.0004 oder höher sein. Die Versionsnummer bezieht sich auf das app version (auch als Plattformupdate bezeichnet).
Echtzeitschutz muss aktiviert sein.
Die Verhaltensüberwachung muss aktiviert sein.
Der von der Cloud bereitgestellte Schutz muss aktiviert sein.
Das Gerät muss explizit für die Vorschau registriert werden.

Bereitstellungsanweisungen für NRI für macOS

Senden Sie uns eine E-Mail an NRIonMacOS@microsoft.com mit Informationen zu Ihrer Microsoft Defender for Endpoint-OrgID, für die die Netzwerk-Echtzeitüberprüfung (NRI) für macOS aktiviert werden soll.

Wichtig

Um NRI für macOS auszuwerten, senden Sie eine E-Mail an NRIonMacOS@microsoft.com. Geben Sie Ihre Organisations-ID von Defender for Endpoint an. Wir aktivieren dieses Feature pro Anforderung für jeden Mandanten.
Aktivieren Sie die Verhaltensüberwachung, wenn sie noch nicht aktiviert ist:
```
sudo mdatp config behavior-monitoring --value enabled   
```

Aktivieren des Netzwerkschutzes im Blockmodus:

sudo mdatp config network-protection enforcement-level --value block

Aktivieren der Netzwerk-Echtzeitüberprüfung (NETWORK Real-Time Inspection, NRI):
```
sudo mdatp network-protection remote-settings-override set --value "{\"enableNriMpengineMetadata\" : true}"
```
Hinweis

Während diese Funktion als Vorschauversion verfügbar ist und da die Einstellung per Befehlszeile festgelegt wird, bleibt die Netzwerk-Echtzeitüberprüfung (NRI) nach Neustarts nicht erhalten. Sie müssen es erneut aktivieren.

Feedback

War diese Seite hilfreich?

Last updated on 2026-07-16