- Той реализира лека архитектура, базирана на eBPF, която избягва модулите на ядрото, за да сведе до минимум въздействието върху производителността.
- Той предлага цялостна защита чрез EDR, антивирусна програма от следващо поколение и управление на уязвимостите, базирано на изкуствен интелект.
- Съвместим е с основни корпоративни дистрибуции като Ubuntu, RHEL, Debian и SUSE на x64 и ARM64 архитектури.
- Изисква корпоративни лицензи за Microsoft Defender за Endpoint Plan 2 или абонаменти за Microsoft 365 E5/E7.
Вероятно сте забелязали, че екосистемата за сигурност на Microsoft е направила значителен скок напред. Вече не става въпрос само за защита на Windows; те са внедрили мощен инструмент, наречен Microsoft Defender for Endpoint, проектиран специално за Linux среда. Най-интересното е, че макар мнозина да го възприемат като проста проверка за корпоративна сигурност, инструментът се е развил, за да обхване всичко - от най-стабилните облачни сървъри до лаптопа на разработчик, работещ от вкъщи, като по този начин обединява цялата технологична екосистема под една команда.
Ходът е прост, но амбициозен: Microsoft иска да освободи бизнеса от жонглирането с десет различни инструмента. Чрез интегрирането на Linux в своята платформа XDR (Extended Detection and Response) , те позволяват на администратора по сигурността да вижда какво се случва на виртуална машина Azure, физически сървър, работещ с Red Hat, или настолен компютър, работещ с Ubuntu, всичко това от унифицирано табло за управление . Нека разгледаме по-отблизо как работи тази система, кои машини поддържа и как да я накараме да работи безпроблемно.
Какво има под капака? Функционалност и възможности
За разлика от традиционните антивирусни програми, които понякога могат да се усещат като бреме за системата, Defender за Linux използва лека архитектура на сензори, базирана на eBPF (разширен Berkeley Packet Filter) . Това е ключово, защото означава, че не е необходимо да се инсталират модули на ядрото, което драстично намалява възможността за системни сривове и минимизира въздействието върху производителността на машината.
Системата е основно разделена на три основни защитни блока. Първо, има защита от следващо поколение , която не само търси стари вирусни сигнатури, но използва машинно обучение и поведенчески анализ, за да блокира злонамерен софтуер в реално време. Ако даден процес започне да се държи странно, наподобявайки атака от рансъмуер , системата го спира веднага.
Второ, EDR влиза в действие. Тук нещата стават сериозни, тъй като системата следи активността, за да открива атаки без файлове или инжектиране на памет. Благодарение на разузнаването за заплахи на Microsoft и съответствието с рамката MITRE ATT&CK , анализаторите могат да видят точния график на атаката и да реагират динамично, или чрез изтриване на подозрителен файл, или чрез дистанционно изпълнение на скриптове за отстраняване.
И накрая, има управление на експозицията. Defender сканира системата за софтуерни уязвимости и неправилни конфигурации. Вместо администраторът да трябва ръчно да преглежда всяка CVE, инструментът приоритизира рисковете, така че да знаете какво да закърпите първо, за да намалите повърхността за атака.
Съвместимо оборудване и технически изисквания
Не всички Linux дистрибуции работят, но списъкът е доста обширен. Microsoft е направила всяка дистрибуция, която работи на сървър, съвместима и с Linux десктопа (въпреки че последният все още е в публичен преглед). Това е жизненоважно за програмистите, които често работят с високи привилегии и са основна цел за хакерите.
- Приети дистрибуции: Включва тежка категория като Red Hat Enterprise Linux (RHEL), CentOS, Ubuntu LTS (от 16.04 до 24.04 и по-нови версии), Debian, SUSE Linux Enterprise, Oracle Linux, Fedora, Rocky Linux, Alma Linux и Mariner.
- Архитектурите: Поддържа и двата процесора x64 (AMD64/EM64T) като най-модерните ARM64.
- Графични среди: Няма значение дали използвате GNOME, KDE или която и да е друга; важното е системната база и версията на... ядро.
Що се отнася до хардуера, той не е твърде взискателен. За да работи агентът гладко, ви е необходимо поне едно процесорно ядро , 1 GB RAM и около 2 GB дисково пространство. Ако обаче имате много голямо натоварване, препоръчително е да увеличите тези стойности, за да избегнете затруднения. От страна на софтуера е важно системата да използва systemd като системен мениджър, а ако искате да използвате изолация на устройства, трябва да имате конфигурирани iptables или nftables.
Файлови системи и мрежи
Защитата в реално време и сканирането (бързо или пълно) работят на повечето често срещани файлови системи. Съществува обаче разширен списък за персонализирани сканирания , който включва опции като btrfs, ext2, ext3, ext4, xfs, nfs (v3 и v4) и дори по-специфични системи като glusterfs или ocfs2.
За да може агентът да докладва заплахи на портала на Microsoft, той се нуждае от безпроблемна връзка с облака . Това включва правилно конфигуриране на защитни стени и, ако компанията използва прокси, активиране на статично откриване на прокси, така че анонимният трафик към URL адреси на Microsoft да не бъде блокиран.
Как да го стартирате и работите: Методи за внедряване
Инсталирането на Defender не е толкова просто, колкото щракване върху бутон „Напред“, тъй като е инструмент на корпоративно ниво. Въпреки че е възможно ръчно инсталиране, за големи внедрявания се препоръчва използването на Deployment Tool или мениджъри на конфигуриране като Puppet, Ansible или Chef.
Ако изберете ръчния маршрут, процесът варира в зависимост от вашата дистрибуция. На системи, базирани на RHEL, ще използвате dnf или yum, за да добавите хранилището на Microsoft и да инсталирате пакета mdatp . В Ubuntu или Debian процесът включва използването на apt , конфигуриране на списъка с хранилища и съответните GPG ключове.
След като софтуерът е инсталиран, идва важната стъпка: адаптацияТрябва да изтеглите пакет от портала на Microsoft Defender и да изпълните Python скрипт (обикновено MicrosoftDefenderATPOnboardingLinuxServer.py) с root права. За да проверите дали всичко работи правилно, можете да използвате командата mdatp healthкоето ще ви каже дали агентът е здрави и лицензирани.
Лицензиране и оперативно управление
Важно е да се уточни, че това не е безплатно за домашни потребители. За да използвате Defender на Linux, ви е необходим корпоративен лиценз, по-специално Microsoft Defender for Endpoint Plan 2 , или абонамент за по-цялостен план като Microsoft 365 E5 или E7.
Управлението се извършва от облака, където можете да конфигурирате антивирусни изключения , за да предотвратите забавянето на критични приложения от скенера. Актуализациите на платформата са месечни и е важно да се поддържат трите най-нови версии . Освен това системата позволява пасивен режим , което означава, че Defender може да съществува едновременно с друг антивирусен софтуер на трети страни без конфликт, като просто наблюдава и докладва, без автоматично блокиране.
Това решение трансформира сигурността на Linux в управляемо и професионално решение, елиминирайки слепите зони в корпоративната инфраструктура. Чрез комбиниране на eBPF -базирана архитектура с централизирано управление на облака, Microsoft осигурява постоянна и ефикасна защита за сървъри и работни станции, способна да спре всичко - от обикновен зловреден софтуер до напреднали постоянни заплахи.