- Implementuje odlehčenou architekturu založenou na eBPF, která se vyhýbá modulům jádra, aby minimalizovala dopad na výkon.
- Nabízí komplexní ochranu prostřednictvím EDR, antiviru nové generace a správy zranitelností založené na umělé inteligenci.
- Je kompatibilní s hlavními podnikovými distribucemi, jako jsou Ubuntu, RHEL, Debian a SUSE na architekturách x64 a ARM64.
- Vyžaduje firemní licence Microsoft Defender pro Endpoint Plan 2 nebo předplatné Microsoft 365 E5/E7.
Pravděpodobně jste si všimli, že bezpečnostní ekosystém společnosti Microsoft udělal významný skok vpřed. Už se nejedná jen o ochranu Windows; nasadili výkonný nástroj s názvem Microsoft Defender for Endpoint, který je navržen speciálně pro prostředí Linuxu. Nejzajímavější je, že ačkoli jej mnozí vnímají jako jednoduchou firemní bezpečnostní kontrolu, nástroj se vyvinul tak, že pokrývá vše od nejrobustnějších cloudových serverů až po notebook vývojáře pracujícího z domova, a sjednocuje tak celý technologický ekosystém pod jedním příkazem.
Tento krok je jednoduchý, ale ambiciózní: Microsoft chce osvobodit firmy od žonglování s deseti různými nástroji. Integrací Linuxu do své platformy XDR (Extended Detection and Response) umožňuje bezpečnostnímu administrátorovi sledovat, co se děje na virtuálním počítači Azure, fyzickém serveru s Red Hatem nebo stolním počítači s Ubuntu, to vše z jednotného dashboardu . Pojďme se blíže podívat na to, jak tento systém funguje, jaké počítače podporuje a jak ho hladce spustit.
Co je pod kapotou? Funkčnost a možnosti
Na rozdíl od tradičních antivirových programů, které se někdy mohou zdát jako zátěž pro systém, Defender v Linuxu používá odlehčenou architekturu senzorů založenou na eBPF (rozšířený filtr paketů Berkeley) . To je klíčové, protože to znamená, že není nutné instalovat moduly jádra, což drasticky snižuje možnost pádů systému a minimalizuje dopad na výkon počítače.
Systém je v zásadě rozdělen do tří hlavních obranných bloků. Zaprvé je tu ochrana nové generace , která nejen hledá staré virové signatury, ale využívá strojové učení a behaviorální analýzu k blokování malwaru v reálném čase. Pokud se proces začne chovat podivně a připomíná útok ransomwaru , systém ho zastaví.
Za druhé, do hry vstupuje EDR. Zde se věci stávají vážnými, protože systém monitoruje aktivitu a detekuje útoky bez souborů nebo vkládání dat do paměti. Díky analýze hrozeb od Microsoftu a souladu s frameworkem MITRE ATT&CK mohou analytici vidět přesnou časovou osu útoku a dynamicky reagovat, buď smazáním podezřelého souboru, nebo vzdáleným spuštěním sanačních skriptů.
A konečně je tu správa expozice. Defender prohledává systém a hledá softwarové zranitelnosti a chybné konfigurace. Místo toho, aby administrátor musel ručně kontrolovat každé CVE, nástroj upřednostňuje rizika, takže víte, co opravit jako první , abyste snížili plochu pro útok.
Kompatibilní vybavení a technické požadavky
Ne všechny linuxové distribuce fungují, ale seznam je poměrně rozsáhlý. Společnost Microsoft zajistila, že každá distribuce, která běží na serverech, bude kompatibilní i s desktopovým systémem Linux (ačkoli ten je stále ve veřejné verzi preview). To je zásadní pro programátory, kteří často pracují s vysokými oprávněními a jsou hlavním cílem hackerů.
- Přijaté distribuce: Zahrnuje těžké váhy jako Red Hat Enterprise Linux (RHEL), CentOS, Ubuntu LTS (od verze 16.04 do 24.04 a vyšší), Debian, SUSE Linux Enterprise, Oracle Linux, Fedora, Rocky Linux, Alma Linux a Mariner.
- Architektury: Podporuje oba procesory x64 (AMD64/EM64T) jako ty nejmodernější ARM64.
- Grafická prostředí: Nezáleží na tom, jestli používáte GNOME, KDE nebo jakékoli jiné; důležitý je systémový základ a verze jádro.
Co se týče hardwaru, není příliš náročný. Pro plynulý chod agenta potřebujete alespoň jedno jádro CPU , 1 GB RAM a přibližně 2 GB místa na disku. Pokud však máte velmi velké pracovní zatížení, je vhodné tyto hodnoty zvýšit, abyste se vyhnuli úzkým hrdlům. Na softwarové straně je nezbytné, aby systém používal systemd jako správce systému, a pokud chcete používat izolaci zařízení, musíte mít nakonfigurovaný iptables nebo nftables.
Souborové systémy a sítě
Ochrana v reálném čase a skenování (rychlé nebo úplné) fungují na většině běžných souborových systémů. Existuje však rozšířený seznam vlastních skenů , který zahrnuje možnosti jako btrfs, ext2, ext3, ext4, xfs, nfs (v3 a v4) a ještě specifičtější systémy, jako je glusterfs nebo ocfs2.
Aby mohl agent hlásit hrozby na portál Microsoftu, potřebuje bezproblémové připojení ke cloudu . To zahrnuje správnou konfiguraci firewallů a v případě, že společnost používá proxy, povolení statické detekce proxy , aby nebyl blokován anonymní provoz na adresy URL Microsoftu.
Jak to spustit a spustit: Metody nasazení
Instalace Defenderu není tak jednoduchá jako kliknutí na tlačítko „Další“, protože se jedná o nástroj na podnikové úrovni. Ruční instalace je možná, ale pro rozsáhlé nasazení se doporučuje použít Deployment Tool nebo konfigurační správce, jako jsou Puppet, Ansible nebo Chef.
Pokud zvolíte ruční cestu, postup se liší v závislosti na vaší distribuci. Na systémech založených na RHEL použijete příkazy dnf nebo yum k přidání repozitáře Microsoft a instalaci balíčku mdatp . V Ubuntu nebo Debianu proces zahrnuje použití příkazu apt , konfiguraci seznamu repozitářů a odpovídajících klíčů GPG.
Jakmile je software nainstalován, přichází klíčový krok: nástupní systémMusíte si stáhnout balíček z portálu Microsoft Defender a spustit skript Pythonu (obvykle MicrosoftDefenderATPOnboardingLinuxServer.py) s root oprávněními. Chcete-li ověřit, zda vše funguje správně, můžete použít příkaz mdatp healthkterý vám řekne, zda je agent zdravý a s licencí.
Licencování a provozní řízení
Je důležité upřesnit, že se nejedná o freeware pro domácí uživatele. Pro používání Defenderu v Linuxu potřebujete firemní licenci, konkrétně Microsoft Defender for Endpoint Plan 2 , nebo předplatné komplexnějšího plánu, jako je Microsoft 365 E5 nebo E7.
Správa probíhá z cloudu, kde můžete nakonfigurovat antivirové výjimky , abyste zabránili zpomalování kritických aplikací skenerem. Aktualizace platformy probíhají měsíčně a pro zachování podpory je nezbytné používat tři nejnovější verze . Systém navíc umožňuje pasivní režim , což znamená, že Defender může koexistovat s jiným antivirovým softwarem třetích stran bez konfliktů, jednoduše sleduje a hlásí problémy, aniž by automaticky blokoval.
Toto řešení transformuje zabezpečení Linuxu na spravovatelné a profesionální řešení, které eliminuje slepá místa v podnikové infrastruktuře. Kombinací architektury založené na eBPF s centralizovanou cloudovou správou společnost Microsoft zajišťuje konzistentní a efektivní ochranu serverů a pracovních stanic, schopnou zastavit vše od jednoduchého malwaru až po pokročilé trvalé hrozby.