Hinweis
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, sich anzumelden oder das Verzeichnis zu wechseln.
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, das Verzeichnis zu wechseln.
Dieser Artikel enthält Informationen zum Definieren von Ausschlüssen, die für bedarfsgesteuerte Überprüfungen gelten, sowie zum Echtzeitschutz und zur Überwachung. Die in diesem Artikel beschriebenen Scan-Ausschlüsse gelten nicht für andere Funktionen von Microsoft Defender for Endpoint unter macOS, einschließlich Endpunkterkennung und Reaktion (EDR). Files, die Sie mit den in diesem Artikel beschriebenen Methoden ausschließen, können weiterhin EDR-Warnungen und andere Erkennungen auslösen.
Sie können bestimmte Dateien, Ordner, Prozesse und von Prozessen geöffnete Dateien aus Defender für Endpunkt bei macOS-Überprüfungen ausschließen. Ausschlüsse können dazu beitragen, falsche Erkennungen für Dateien und Software zu vermeiden, die für Ihre Organisation eindeutig sind. Ausschlüsse können auch hilfreich sein, um Leistungsprobleme zu verringern, die durch Defender für Endpunkt unter macOS verursacht werden.
Verwenden Sie Echtzeitschutzstatistiken, um festzulegen, welche Prozesse und/oder Pfade und/oder Erweiterungen Sie ausschließen müssen.
Warnung
Durch das Definieren von Ausschlüssen wird der Schutz verringert, den Defender für Endpunkt unter macOS bietet. Sie sollten immer die Risiken auswerten, die mit der Implementierung von Ausschlüssen verbunden sind, und Sie sollten nur Dateien ausschließen, von denen Sie sicher sind, dass sie nicht böswillig sind.
Wichtig
Wenn Sie mehrere Sicherheitslösungen parallel ausführen möchten, lesen Sie Überlegungen zu Leistung, Konfiguration und Support.
Möglicherweise haben Sie bereits gegenseitige Sicherheitsausschlüsse für Geräte konfiguriert, die in Microsoft Defender for Endpoint integriert wurden. Wenn Sie weiterhin gegenseitige Ausschlüsse definieren müssen, um Konflikte zu vermeiden, lesen Sie Microsoft Defender for Endpoint zur Ausschlussliste Ihrer vorhandenen Lösung hinzufügen.
Unterstützte Ausschlusstypen
In der folgenden Tabelle sind die Ausschlusstypen aufgeführt, die von Defender für Endpunkt unter macOS unterstützt werden.
| Ausschluss | Definition | Beispiele |
|---|---|---|
| Dateierweiterung | Alle Dateien mit der Erweiterung, überall auf dem Computer | .test |
| Datei | Eine bestimmte Datei, die durch den vollständigen Pfad identifiziert wird | /var/log/test.log |
| Ordner | Alle Dateien im angegebenen Ordner (rekursiv) | /var/log/ |
| Prozess | Ein bestimmter Prozess (entweder durch den vollständigen Pfad oder Dateinamen angegeben) und alle dateien, die von diesem geöffnet werden | /bin/cat |
Datei-, Ordner- und Prozessausschlüsse unterstützen die folgenden Wildcards:
| Platzhalter | Beschreibung | Beispiele |
|---|---|---|
| * | Entspricht einer beliebigen Anzahl beliebiger Zeichen, einschließlich keines (beachten Sie, dass dieser Platzhalter nicht am Ende des Pfads verwendet wird und nur einen Ordner ersetzt). |
/var/*/tmp enthält alle Dateien in /var/abc/tmp und ihren Unterverzeichnissen sowie /var/def/tmp und ihren Unterverzeichnissen. Es enthält /var/abc/log oder /var/def/log nicht.
|
| ? | Entspricht jedem einzelnen Zeichen |
file?.log enthält file1.log und file2.log, aber nicht file123.log |
Hinweis
Wenn das Platzhalterzeichen * am Ende eines Pfads steht, stimmt das Muster mit allen Dateien und Unterverzeichnissen im übergeordneten Verzeichnis des Platzhalters überein.
Defender for Endpoint unter macOS versucht, feste Links beim Auswerten von Ausschlüssen aufzulösen. Die Auflösung fester Links funktioniert nicht, wenn der Ausschluss Platzhalter enthält oder die Zieldatei (auf dem Data Volume) nicht vorhanden ist.
Bewährte Methoden zum Hinzufügen von Antischadsoftwareausschlüssen für Microsoft Defender for Endpoint unter macOS
Befolgen Sie die folgenden bewährten Methoden beim Hinzufügen von Antischadsoftwareausschlüssen unter macOS:
Notieren Sie sich, warum ein Ausschluss an einem zentralen Ort hinzugefügt wurde, an dem nur SecOps und/oder Sicherheitsadministrator Zugriff haben. Listen Sie z. B. die Informationen zum Absender, zum Datum, zum App-Namen, zum Grund und zum Ausschluss auf.
Stellen Sie sicher, dass sie ein Ablaufdatum* für die Ausschlüsse haben.
*Mit Ausnahme von Apps, bei denen der ISV angegeben hat, dass keine anderen Optimierungen vorgenommen werden können, um die falsch positive oder höhere CPU-Auslastung zu verhindern.
Vermeiden Sie die Migration von Nicht-Microsoft-Antischadsoftwareausschlüssen, da sie möglicherweise nicht mehr auf Microsoft Defender for Endpoint unter macOS anwendbar sind.
Reihenfolge der Ausschlüsse, die von oben (sicherer) nach unten (am wenigsten sicher) zu berücksichtigen sind:
Indikatoren – Zertifikat – Zulassen
- Fügen Sie eine Extended-Validation-(EV)-Code-Signatur hinzu.
Indikatoren – Dateihash – Zulassen
- Wenn sich beispielsweise ein Prozess oder Daemon nicht häufig ändert, verfügt die App nicht über ein monatliches Sicherheitsupdate.
Pfad & Prozess
Prozess
Pfad
Erweiterung
So konfigurieren Sie die Liste der Ausnahmen
Sie können Ausschlüsse mithilfe der Verwaltungskonsole für Sicherheitseinstellungen, einer anderen Verwaltungskonsole wie JAMF oder Intune oder der Defender für die Endpunkt-App-Schnittstelle konfigurieren.
Verwenden Sie die Verwaltungskonsole für Sicherheitseinstellungen in Microsoft Defender for Endpoint
Führen Sie die folgenden Schritte aus, um eine Richtlinie zu erstellen, die Antivirenausschlüsse für macOS-Geräte definiert:
Melden Sie sich beim Microsoft Defender-Portal an.
Wechseln Sie zu Konfigurationsverwaltung>Endpunktsicherheitsrichtlinien>Neue Richtlinie erstellen.
- Wählen Sie Plattform: macOS aus.
- Wählen Sie Vorlage: Microsoft Defender Antivirusausschlüsse aus.
Wählen Sie Richtlinie erstellen.
Geben Sie einen Namen und eine Beschreibung ein, und wählen Sie Weiter aus.
Erweitern Sie Antivirus-Engine, und wählen Sie dann Hinzufügen aus.
Wählen Sie Pfad , Dateierweiterung oder Dateiname aus.
Wählen Sie instance konfigurieren aus, und fügen Sie die Ausschlüsse nach Bedarf hinzu. Wählen Sie dann Weiter aus.
Weisen Sie den Ausschluss einer Gruppe zu, und wählen Sie Weiter aus.
Klicken Sie auf Speichern.
Konfigurieren von Ausschlüssen von JAMF, Intune oder einer anderen Verwaltungskonsole
Weitere Informationen zum Konfigurieren von Ausschlüssen in JAMF, Intune oder einer anderen Verwaltungskonsole finden Sie unter Festlegen von Voreinstellungen für Defender for Endpoint auf dem Mac.
Konfigurieren von Ausschlüssen in der Defender for Endpoint-App
Führen Sie die folgenden Schritte aus, um Ausschlüsse direkt in der Defender für Endpunkt-App hinzuzufügen:
Öffnen Sie die Anwendung Defender for Endpoint, und navigieren Sie zu Einstellungen verwalten>Ausschluss hinzufügen oder entfernen..., wie im folgenden Screenshot gezeigt:
Wählen Sie den Typ des Ausschlusses aus, den Sie hinzufügen möchten, und folgen Sie den Anweisungen.
Überprüfen von Ausschlusslisten mit der EICAR-Testdatei
Sie können überprüfen, ob Ihre Ausschlusslisten funktionieren, indem Sie zum Herunterladen einer Testdatei verwenden curl .
Ersetzen Sie test.txt im folgenden Bash-Codeausschnitt durch eine Datei, die Ihren Ausschlussregeln entspricht. Wenn Sie beispielsweise die Erweiterung .testing ausgeschlossen haben, ersetzen Sie test.txt durch test.testing. Wenn Sie einen Pfad testen, stellen Sie sicher, dass Sie den Befehl innerhalb dieses Pfads ausführen.
Führen Sie den folgenden Befehl aus, um die Standardmäßige EICAR-Testdatei herunterzuladen und zu überprüfen, ob Defender sie erkennt:
curl -o test.txt https://secure.eicar.org/eicar.com.txt
Wenn Defender für Endpunkt unter macOS Schadsoftware meldet, funktioniert die Ausschlussregel, die Sie testen, nicht. Wenn keine Schadsoftware gemeldet wird und die heruntergeladene Datei vorhanden ist, funktioniert der Ausschluss. Sie können die Datei öffnen, um zu bestätigen, dass der Inhalt mit den auf der EICAR-Testdateiwebsite beschriebenen Inhalten übereinstimmt.
Wenn Sie keinen Internetzugang haben, können Sie stattdessen die EICAR-Testdatei lokal erstellen. Verwenden Sie den folgenden Bash-Befehl, um die standardmäßige EICAR-Testzeichenfolge in eine neue Textdatei zu schreiben:
echo 'X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*' > test.txt
Sie können die Zeichenfolge auch in eine leere Textdatei kopieren und versuchen, sie mit dem Dateinamen oder in dem Ordner zu speichern, den Sie ausschließen möchten.
Zulassen von Bedrohungen in Microsoft Defender for Endpoint unter macOS
Zusätzlich zum Ausschließen bestimmter Inhalte von der Überprüfung können Sie das Produkt auch so konfigurieren, dass einige Klassen von Bedrohungen (identifiziert durch den Bedrohungsnamen) nicht erkannt werden. Sie sollten bei der Verwendung dieser Funktion vorsichtig sein, da Ihr Gerät dadurch nicht geschützt werden kann.
Zulassen einer Bedrohung anhand des Namens
Um eine bestimmte erkannte Bedrohung anhand des Namens zuzulassen, sodass Defender für Endpunkt sie nicht mehr blockiert, fügen Sie den Bedrohungsnamen zur Liste zugelassener Bedrohungen hinzu, indem Sie den folgenden Befehl ausführen:
mdatp threat allowed add --name [threat-name]
Um den genauen Bedrohungsnamen zu finden, den Sie zulassen müssen, führen Sie alle aktuellen Erkennungen auf Ihrem Gerät auf, indem Sie den folgenden Befehl ausführen:
mdatp threat list
Um z. B. die EICAR-Testerkennung zuzulassen, damit Defender für Endpunkt sie nicht mehr blockiert, fügen Sie EICAR-Test-File (not a virus) sie der Liste zugelassen hinzu, indem Sie den folgenden Befehl ausführen:
mdatp threat allowed add --name "EICAR-Test-File (not a virus)"