- Implementa una arquitectura lleugera basada en eBPF que evita mòduls de nucli per minimitzar l'impacte en el rendiment.
- Ofereix protecció integral mitjançant EDR, antivirus de darrera generació i gestió de vulnerabilitats basada en IA.
- És compatible amb les principals distribucions empresarials com Ubuntu, RHEL, Debian i SUSE en arquitectures x64 i ARM64.
- Requereix llicències corporatives de Microsoft Defender for Endpoint Plan 2 o subscripcions Microsoft 365 E5/E7.
Segurament t'has adonat que l'ecosistema de seguretat de Microsoft ha fet un salt important. Ja no es tracta només de protegir Windows, sinó que han desplegat una artilleria pesada anomenada Microsoft Defender for Endpoint dissenyada específicament per a l'entorn Linux. El més curiós és que, encara que molts ho veuen com un simple check corporatiu, l'eina ha evolucionat per cobrir des dels servidors més robustos al núvol fins al portàtil del desenvolupador que treballa des de casa, unint així tot el parc tecnològic sota un mateix comandament.
La moguda és senzilla però ambiciosa: Microsoft vol que les empreses no hagin de fer malabars amb deu eines diferents. En integrar Linux a la plataforma de XDR (Extended Detection and Response) , permeten que un administrador de seguretat vegi què passa en una màquina virtual d'Azure, en un servidor físic amb Red Hat o en un equip d'escriptori amb Ubuntu, tot des d'un tauler de control unificat . Desgranarem a fons com funciona aquest sistema, quines màquines admet i com es posa en marxa sense morir en l'intent.
Què hi ha sota el capó? Funcionament i capacitats
A diferència dels antivirus tradicionals que de vegades semblen una àncora per al sistema, Defensar en Linux utilitza una arquitectura de sensor lleugera basada en eBPF (estended Berkeley Packet Filter) . Això és clau perquè vol dir que no necessiteu instal·lar mòduls al nucli, cosa que redueix dràsticament la possibilitat que el sistema es pengi i minimitza l' impacte en el rendiment de la màquina.
El sistema es divideix bàsicament en tres grans blocs de defensa. Primer tenim la protecció d'última generació , que no es limita a buscar firmes de virus vells, sinó que utilitza aprenentatge automàtic i anàlisi de comportament per bloquejar el codi maliciós en temps real. Si un procés comença a fer coses rares que semblen un atac de ransomware , el sistema el talla darrel.
En segon lloc, entra en joc l'EDR. Aquí és on la cosa es posa seriosa, ja que el sistema monitoritza l'activitat per detectar atacs sense fitxers o injeccions en memòria. Gràcies a la intel·ligència d'amenaces de Microsoft i l'alineació amb el marc MITRE ATT&CK , els analistes poden veure la línia de temps exacta d'un atac i respondre dinàmicament, ja sigui eliminant un fitxer sospitós o executant scripts de correcció de forma remota.
Finalment, hi ha la gestió de l'exposició. Defensar escaneja el sistema per trobar vulnerabilitats de programari i configuracions errònies. En lloc que l'administrador hagi de revisar manualment cada CVE, l'eina prioritza els riscos perquè sàpigues què posar pegats primer per reduir la superfície d'atac.
Equips compatibles i requisits tècnics
No totes les versions de Linux serveixen, però la llista és força generosa. Microsoft ha fet que qualsevol distribució que funcioni en servidor sigui també compatible amb lescriptori Linux (encara que això últim estigui en fase de vista prèvia pública). Això és vital per als programadors, que solen manejar privilegis elevats i són un blanc sucós per als hackers.
- Distribucions admeses: Inclou pesos pesants com Red Hat Enterprise Linux (RHEL), CentOS, Ubuntu LTS (des de 16/04 fins a 24/04 i superiors), Debian, SUSE Linux Enterprise, Oracle Linux, Fedora, Rocky Linux, Ànima Linux i Mariner.
- Arquitectures: Suporta tant processadors x64 (AMD64/EM64T) com els més moderns ARM64.
- Entorns gràfics: És igual si utilitzes el GNOME, el KDE o qualsevol altre; el que importa és la base del sistema i la versió del nucli.
Pel que fa als ferros, no demana gaire. Perquè l'agent respiri tranquil, necessiteu almenys un nucli de CPU , 1 GB de memòria RAM i uns 2 GB d'espai en disc. Això sí, si teniu una càrrega de treball molt pesada, és recomanable pujar aquests valors per evitar colls d'ampolla. A nivell de programari, és imprescindible que el sistema usi systemd com a gestor del sistema i, si vols utilitzar l'aïllament de dispositius, has de tenir configurats iptables o nftables.
Sistemes de fitxers i xarxa
La protecció en temps real i les anàlisis (ràpides o completes) funcionen en la majoria dels sistemes de fitxers comuns. No obstant això, hi ha una llista estesa per a anàlisis personalitzades que inclou opcions com btrfs, ext2, ext3, ext4, xfs, nfs (v3 i v4) i fins i tot sistemes més específics com glusterfs o ocfs2.
Perquè l'agent pugui «xivar-se» de les amenaces al portal de Microsoft, necessita una connectivitat fluida amb el núvol . Això implica configurar correctament els tallafocs i, si l'empresa utilitza un servidor intermediari, habilitar la detecció estàtica del servidor intermediari perquè el trànsit anònim cap a les URL de Microsoft no sigui bloquejat.
Com posar-ho en marxa: Mètodes de desplegament
Instal·lar Defensar no és donar-li a un botó de «següent», ja que és una eina empresarial. Es pot fer de forma manual, però per a parcs grans es recomana fer servir l' Eina de Desplegament o gestors de configuració com Puppet, Ansible, Xef o Puppet.
Si et llences per la via manual, el procés varia segons el teu distro. En sistemes basats en RHEL, utilitzaràs dnf o yum per afegir el repositori de Microsoft i instal·lar el paquet mdatp . A Ubuntu o Debian, el camí és mitjançant apt , configurant la llista de repositoris i les claus GPG corresponents.
Un cop instal·lat el programari, ve el pas crucial: la incorporació (onboarding). Heu de baixar un paquet des del portal de Microsoft Defender i executar un script de Python (normalment MicrosoftDefenderATPOnboardingLinuxServer.py) amb permisos de root. Per verificar que tot va vent en popa, pots fer servir l'ordre mdatp health, que et dirà si l'agent està saludable i llicenciat.
Llicències i gestió operativa
Cal deixar clar que això no és un regalet per a lusuari domèstic. Per utilitzar Defensar en Linux, necessites una llicència corporativa, concretament Microsoft Defender for Endpoint Plan 2 , o estar subscrit a plans més amplis com Microsoft 365 E5 o E7.
La gestió es fa des del núvol, on pots configurar exclusions d'antivirus perquè l'escàner no alenteixi aplicacions crítiques. Les actualitzacions de la plataforma són mensuals, i és fonamental mantenir-se a les tres versions més recents per no perdre el suport. A més, el sistema permet el mode passiu , la qual cosa significa que Defender pot coexistir amb un altre antivirus de tercers sense barallar-se, limitant-se a observar i reportar sense bloquejar automàticament.
Aquesta solució transforma la seguretat de Linux en una cosa gestionable i professional, eliminant els punts cecs a la infraestructura empresarial. En combinar una arquitectura basada en eBPF amb una gestió centralitzada al núvol, Microsoft aconsegueix que la protecció de servidors i estacions de treball sigui coherent, eficient i capaç de frenar des del codi maliciós més simple fins a les amenaces persistents avançades.