Komplet guide til Microsoft Defender til Linux: Betjening og kompatibilitet

Informatic Digital » Linux » Komplet guide til Microsoft Defender til Linux: Betjening og kompatibilitet

Du har sikkert bemærket, at Microsofts sikkerhedsøkosystem har taget et betydeligt spring fremad. Det handler ikke længere kun om at beskytte Windows; de har implementeret et kraftfuldt værktøj kaldet Microsoft Defender for Endpoint, der er designet specifikt til Linux-miljøet. Det mest interessante er, at selvom mange ser det som en simpel sikkerhedskontrol for virksomheder, har værktøjet udviklet sig til at dække alt fra de mest robuste cloud-servere til den bærbare computer hos en udvikler, der arbejder hjemmefra, og dermed forener hele teknologiøkosystemet under én kommando.

Tiltaget er simpelt, men ambitiøst: Microsoft ønsker at befri virksomheder fra at jonglere med ti forskellige værktøjer. Ved at integrere Linux i sin XDR-platform (Extended Detection and Response) giver de en sikkerhedsadministrator mulighed for at se, hvad der sker på en virtuel Azure-maskine, en fysisk server, der kører Red Hat, eller en stationær computer, der kører Ubuntu, alt sammen fra et samlet dashboard . Lad os se nærmere på, hvordan dette system fungerer, hvilke maskiner det understøtter, og hvordan man får det op at køre problemfrit.

Hvad gemmer sig under motorhjelmen? Funktionalitet og muligheder

I modsætning til traditionelle antivirusprogrammer, der nogle gange kan føles som en byrde for systemet, bruger Defender på Linux en let sensorarkitektur baseret på eBPF (udvidet Berkeley Packet Filter) . Dette er vigtigt, fordi det betyder, at det ikke behøver at installere kernemoduler, hvilket drastisk reducerer risikoen for systemnedbrud og minimerer påvirkningen på maskinens ydeevne.

Systemet er grundlæggende opdelt i tre hovedforsvarsblokke. For det første er der næste generations beskyttelse , som ikke kun leder efter gamle virussignaturer, men bruger maskinlæring og adfærdsanalyse til at blokere malware i realtid. Hvis en proces begynder at opføre sig mærkeligt, der ligner et ransomware- angreb , stopper systemet den på stedet.

For det andet kommer EDR i spil. Det er her, tingene bliver alvorlige, da systemet overvåger aktivitet for at opdage filløse angreb eller hukommelsesinjektioner. Takket være Microsofts trusselsintelligens og tilpasning til MITRE ATT&CK- frameworket kan analytikere se den nøjagtige tidslinje for et angreb og reagere dynamisk, enten ved at slette en mistænkelig fil eller køre afhjælpningsscripts eksternt.

Endelig er der eksponeringsstyring. Defender scanner systemet for softwaresårbarheder og fejlkonfigurationer. I stedet for at administratoren manuelt skal gennemgå hver CVE, prioriterer værktøjet risici, så du ved, hvad der skal rettes først for at reducere angrebsfladen.

Kompatibelt udstyr og tekniske krav

Ikke alle Linux-distributioner virker, men listen er ret omfattende. Microsoft har gjort alle distributioner, der kører på en server, også kompatible med Linux-skrivebordet (selvom sidstnævnte stadig er i offentlig forhåndsvisning). Dette er afgørende for programmører, der ofte håndterer høje privilegier og er et primært mål for hackere.

• Accepterede udlodninger: Det inkluderer sværvægtere som Red Hat Enterprise Linux (RHEL), CentOS, Ubuntu LTS (fra 16.04 til 24.04 og højere), Debian, SUSE Linux Enterprise, Oracle Linux, Fedora, Rocky Linux, Alma Linux og Mariner.
• Arkitekturer: Den understøtter begge processorer x64 (AMD64/EM64T) som de mest moderne ARM64.
• Grafiske miljøer: Det er ligegyldigt, om du bruger GNOME, KDE eller et andet system; det, der betyder noget, er systembasen og versionen af ​​systemet. kerne.

Hvad angår hardwaren, er den ikke for krævende. For at agenten kan køre problemfrit, skal du bruge mindst én CPU-kerne , 1 GB RAM og omkring 2 GB diskplads. Men hvis du har en meget tung arbejdsbyrde, er det tilrådeligt at øge disse værdier for at undgå flaskehalse. På softwaresiden er det vigtigt, at systemet bruger systemd som systemadministrator, og hvis du vil bruge enhedsisolering, skal du have iptables eller nftables konfigureret.

Filsystemer og netværk

Realtidsbeskyttelse og scanninger (hurtige eller komplette) fungerer på de fleste almindelige filsystemer. Der er dog en udvidet liste over brugerdefinerede scanninger , der inkluderer muligheder som btrfs, ext2, ext3, ext4, xfs, nfs (v3 og v4) og endnu mere specifikke systemer som glusterfs eller ocfs2.

For at agenten kan rapportere trusler til Microsoft-portalen, skal den have problemfri forbindelse til skyen . Dette indebærer korrekt konfiguration af firewalls, og hvis virksomheden bruger en proxy, aktivering af statisk proxydetektion , så anonym trafik til Microsoft-URL'er ikke blokeres.

Sådan får du det op at køre: Implementeringsmetoder

Det er ikke så nemt at installere Defender som at klikke på "næste", da det er et værktøj på virksomhedsniveau. Manuel installation er mulig, men til store implementeringer anbefales det at bruge Deployment Tool eller konfigurationsadministratorer som Puppet, Ansible eller Chef.

Hvis du vælger den manuelle rute, varierer processen afhængigt af din distribution. På RHEL-baserede systemer bruger du dnf eller yum til at tilføje Microsoft-arkivet og installere mdatp- pakken . På Ubuntu eller Debian involverer processen brug af apt , konfiguration af arkivlisten og de tilsvarende GPG-nøgler.

Når softwaren er installeret, kommer det afgørende trin: onboardingDu skal downloade en pakke fra Microsoft Defender-portalen og køre et Python-script (normalt MicrosoftDefenderATPOnboardingLinuxServer.py) med root-rettigheder. For at kontrollere, at alt fungerer korrekt, kan du bruge kommandoen mdatp healthsom vil fortælle dig, om agenten er sund og licenseret.

Licensering og driftsledelse

Det er vigtigt at præcisere, at dette ikke er gratis for hjemmebrugere. For at bruge Defender på Linux skal du bruge en virksomhedslicens, specifikt Microsoft Defender for Endpoint Plan 2 , eller et abonnement på en mere omfattende plan som Microsoft 365 E5 eller E7.

Administrationen sker fra skyen, hvor du kan konfigurere antivirusudelukkelser for at forhindre scanneren i at gøre kritiske applikationer langsommere. Platformopdateringer sker månedligt, og det er vigtigt at holde sig til de tre nyeste versioner for at opretholde support. Derudover tillader systemet passiv tilstand , hvilket betyder, at Defender kan sameksistere med anden tredjeparts antivirussoftware uden konflikt, blot observere og rapportere uden automatisk blokering.

Denne løsning forvandler Linux-sikkerhed til en håndterbar og professionel løsning, der eliminerer blinde vinkler i virksomhedens infrastruktur. Ved at kombinere en eBPF -baseret arkitektur med centraliseret cloudadministration sikrer Microsoft ensartet og effektiv beskyttelse af servere og arbejdsstationer, der er i stand til at stoppe alt fra simpel malware til avancerede, vedvarende trusler.