この記事では、オンデマンド スキャンに適用される除外と、リアルタイムの保護と監視を定義する方法について説明します。 この記事で説明するスキャンの除外は、エンドポイント検出と応答 (EDR) など、macOS 上のエンドポイント機能の他のDefenderには適用されません。 この記事で説明する方法を使用して除外するFilesは、引き続き EDR アラートやその他の検出をトリガーできます。
macOS スキャンでは、特定のファイル、フォルダー、プロセス、およびプロセスで開かれたファイルを Defender for Endpoint から除外できます。 除外は、組織に固有のファイルやソフトウェアに対する誤った検出を回避するのに役立ちます。 除外は、macOS 上のエンドポイントのDefenderによって発生するパフォーマンスの問題を軽減するためにも役立ちます。
除外する必要があるプロセスやパスや拡張機能を絞り込むには、 リアルタイムの保護統計を使用します。
警告
除外を定義すると、macOS 上の Defender for Endpoint によって提供される保護が低下します。 除外の実装に関連するリスクを常に評価し、悪意のないと確信しているファイルのみを除外する必要があります。
重要
複数のセキュリティ ソリューションを並行して実行する場合は、「 パフォーマンス、構成、およびサポートに関する考慮事項」を参照してください。
既に、Microsoft Defender for Endpointにオンボードされているデバイスの相互セキュリティ除外を構成している可能性があります。 競合を回避するために相互除外を設定する必要がある場合は、「既存のソリューションの除外リストにMicrosoft Defender for Endpointを追加する」を参照してください。
サポートされている除外の種類
次の表は、macOS 上の Defender for Endpoint でサポートされる除外の種類を示しています。
| 除外 | 定義 | 例 |
|---|---|---|
| ファイル拡張子 | 拡張子を持つすべてのファイル(マシン上の任意の場所) | .test |
| ファイル | 完全パスで識別される特定のファイル | /var/log/test.log |
| フォルダー | 指定したフォルダーの下にあるすべてのファイル (再帰的に) | /var/log/ |
| プロセス | 特定のプロセス (完全なパスまたはファイル名で指定) と、そのプロセスによって開かれたすべてのファイル | /bin/cat |
ファイル、フォルダー、およびプロセスの除外では、次のワイルドカードがサポートされています。
| ワイルドカード | 説明 | 例 |
|---|---|---|
| * | none を含む任意の数の文字と一致します (このワイルドカードがパスの末尾で使用されていない場合は、1 つのフォルダーのみを置き換えます) |
/var/*/tmp には、 /var/abc/tmp とそのサブディレクトリ内の任意のファイルと、 /var/def/tmp とそのサブディレクトリが含まれます。
/var/abc/logや/var/def/logは含まれません
|
| ? | 任意の 1 文字に一致します |
file?.log には file1.log と file2.logが含まれますが、含まれません file123.log |
注:
* ワイルドカードがパスの末尾に表示される場合、パターンはワイルドカードの親ディレクトリにあるすべてのファイルとサブディレクトリと一致します。
macOS 上のエンドポイントのDefenderは、除外を評価するときに、固定リンクの解決を試みます。 除外にワイルドカードが含まれている場合、またはターゲット ファイル ( Data ボリューム上) が存在しない場合、ファーム リンク解決は機能しません。
macOS でMicrosoft Defender for Endpointにマルウェア対策の除外を追加するためのベスト プラクティス
macOS でマルウェア対策除外を追加する場合は、次のベスト プラクティスに従います。
SecOps またはセキュリティ管理者のみがアクセスできる中央の場所に除外が追加された理由を書き留めます。 たとえば、提出者、日付、アプリ名、理由、除外情報を一覧表示します。
除外の有効期限* があることを確認します
*誤検知や CPU 使用率の上昇を防ぐために、これ以上行える調整はないと ISV が述べたアプリを除きます。
Microsoft 以外のマルウェア対策ソフトの除外設定は、現在は適用されない可能性があり、macOS 上の Microsoft Defender for Endpoint にも適用されない可能性があるため、移行しないでください。
上位 (より安全) から下位 (最小限のセキュリティ) を考慮する除外の順序:
インジケーター - 証明書 - 許可
- 拡張検証 (EV) コード署名を追加します。
インジケーター - ファイル ハッシュ - 許可
- たとえば、プロセスやデーモンが頻繁に変更されない場合、アプリには毎月のセキュリティ更新プログラムはありません。
パスとプロセス
プロセス
パス
拡張
除外の一覧を構成する方法
除外を構成するには、セキュリティ設定管理コンソール、JAMF や Intune などの別の管理コンソール、エンドポイント アプリ インターフェイスのDefenderを使用します。
Microsoft Defender for Endpoint のセキュリティ設定管理コンソールを使用する
macOS デバイスのウイルス対策の除外を定義するポリシーを作成するには、次の手順を実行します。
Microsoft Defender ポータルにサインインします。
[構成管理>Endpoint セキュリティ ポリシー>新しいポリシーの作成に関するページに移動します。
- [プラットフォーム: macOS] の選択
- テンプレートの選択: Microsoft Defender ウイルス対策の除外
[ポリシーを作成する] を選択します。
名前と説明を入力し、[ 次へ] を選択します。
[ ウイルス対策エンジン] を展開し、[ 追加] を選択します。
[ パス ] または [ ファイル拡張子] または [ ファイル名] を選択します。
[ インスタンスの構成] を選択 し、必要に応じて除外を追加します。 [次へ] を選択します。
除外をグループに割り当て、[ 次へ] を選択します。
[保存] を選択します。
JAMF、Intune、または別の管理コンソールからの除外を構成する
JAMF、Intune、またはその他の管理コンソールからの除外を構成する方法の詳細については、「Mac で Defender for Endpoint の基本設定を設定する」を参照してください。
エンドポイント アプリのDefenderからの除外を構成する
エンドポイント アプリのDefenderに除外を直接追加するには、次の手順に従います。
次のスクリーンショットに示すように、Defender for Endpoint アプリケーションを開き、[ 設定の管理>除外の追加または削除.... に移動します。
![[除外の管理] ページ](media/mdatp-37-exclusions.png)
追加する除外の種類を選択し、プロンプトに従います。
![[除外の管理] ページ](media/mdatp-37-exclusions.png#lightbox)
EICAR テスト ファイルを使用して除外リストを検証する
除外リストが機能していることを検証するには、 curl を使用してテスト ファイルをダウンロードします。
次の Bash スニペットで、 test.txt を除外規則に準拠するファイルに置き換えます。 たとえば、 .testing 拡張機能を除外した場合は、 test.txt を test.testing に置き換えます。 パスをテストする場合は、そのパス内でコマンドを実行してください。
標準の EICAR テスト ファイルをダウンロードし、Defenderが検出したかどうかを確認するには、次のコマンドを実行します。
curl -o test.txt https://secure.eicar.org/eicar.com.txt
macOS 上のエンドポイントDefenderマルウェアが報告された場合、テスト対象の除外ルールは機能しません。 マルウェアの報告がなく、ダウンロードしたファイルが存在する場合は、除外が機能しています。 ファイルを開いて、 内容が EICAR テスト ファイル Web サイトで説明されているものと同じであることを確認できます。
インターネットにアクセスできない場合は、代わりに EICAR テスト ファイルをローカルに作成できます。 次の Bash コマンドを使用して、標準の EICAR テスト文字列を新しいテキスト ファイルに書き込みます。
echo 'X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*' > test.txt
また、空のテキスト ファイルに文字列をコピーし、ファイル名または除外しようとしているフォルダーに保存することもできます。
macOS のMicrosoft Defender for Endpointで脅威を許可する
特定のコンテンツをスキャン対象から除外するだけでなく、一部の脅威クラス (脅威名で識別) を検出しないように製品を構成することもできます。 この機能を使用する場合は、デバイスの保護が解除される可能性があるため、注意が必要です。
名前を指定して脅威を許可する
特定の検出された脅威を名前で許可し、エンドポイントのDefenderでブロックされないようにするには、次のコマンドを実行して、脅威名を許可リストに追加します。
mdatp threat allowed add --name [threat-name]
許可する必要がある正確な脅威名を見つけるには、次のコマンドを実行して、デバイス上のすべての現在の検出を一覧表示します。
mdatp threat list
たとえば、EICAR テスト検出を許可して、エンドポイントのDefenderでブロックされないようにするには、次のコマンドを実行して許可リストにEICAR-Test-File (not a virus)を追加します。
mdatp threat allowed add --name "EICAR-Test-File (not a virus)"