- Es implementiert eine ressourcenschonende Architektur auf Basis von eBPF, die auf Kernelmodule verzichtet, um die Auswirkungen auf die Leistung zu minimieren.
- Es bietet umfassenden Schutz durch EDR, Antivirus der nächsten Generation und KI-basiertes Schwachstellenmanagement.
- Es ist kompatibel mit gängigen Enterprise-Distributionen wie Ubuntu, RHEL, Debian und SUSE auf x64- und ARM64-Architekturen.
- Erfordert Microsoft Defender for Endpoint Plan 2 Unternehmenslizenzen oder Microsoft 365 E5/E7 Abonnements.
Sie haben sicher bemerkt, dass Microsofts Sicherheitsökosystem einen bedeutenden Sprung nach vorn gemacht hat. Es geht nicht mehr nur um den Schutz von Windows; mit Microsoft Defender for Endpoint wurde ein leistungsstarkes Tool speziell für Linux-Umgebungen entwickelt. Besonders interessant ist, dass es, obwohl es oft als einfache Sicherheitsprüfung für Unternehmen betrachtet wird, mittlerweile alles abdeckt – von hochleistungsfähigen Cloud-Servern bis hin zum Laptop eines Entwicklers im Homeoffice. So wird das gesamte Technologie-Ökosystem unter einem einzigen Befehl vereint.
Der Schritt ist simpel, aber ambitioniert: Microsoft möchte Unternehmen die Arbeit mit zehn verschiedenen Tools ersparen. Durch die Integration von Linux in seine XDR-Plattform (Extended Detection and Response) ermöglicht Microsoft Sicherheitsadministratoren, die Vorgänge auf einer virtuellen Azure-Maschine, einem physischen Server mit Red Hat oder einem Desktop-Computer mit Ubuntu über ein einheitliches Dashboard zu überwachen . Sehen wir uns genauer an, wie dieses System funktioniert, welche Maschinen es unterstützt und wie es reibungslos eingerichtet wird.
Was steckt unter der Haube? Funktionalität und Fähigkeiten
Im Gegensatz zu herkömmlichen Antivirenprogrammen, die das System mitunter belasten, nutzt Defender unter Linux eine ressourcenschonende Sensorarchitektur auf Basis von eBPF (Extended Berkeley Packet Filter) . Dies ist entscheidend, da dadurch keine Kernelmodule installiert werden müssen. So wird die Wahrscheinlichkeit von Systemabstürzen drastisch reduziert und die Auswirkungen auf die Rechnerleistung minimiert.
Das System ist im Wesentlichen in drei Hauptverteidigungsblöcke unterteilt. Erstens gibt es den Schutz der nächsten Generation , der nicht nur nach alten Virensignaturen sucht, sondern maschinelles Lernen und Verhaltensanalyse nutzt, um Schadsoftware in Echtzeit zu blockieren. Sollte ein Prozess ein ungewöhnliches Verhalten zeigen, das einem Ransomware- Angriff ähnelt , stoppt das System ihn umgehend.
Zweitens kommt EDR ins Spiel. Hier wird es ernst, denn das System überwacht die Aktivitäten, um dateilose Angriffe oder Speichereinschleusungen zu erkennen. Dank der Bedrohungsanalyse von Microsoft und der Kompatibilität mit dem MITRE ATT&CK -Framework können Analysten den genauen zeitlichen Ablauf eines Angriffs nachvollziehen und dynamisch reagieren, indem sie entweder verdächtige Dateien löschen oder Behebungsskripte remote ausführen.
Schließlich gibt es noch das Exposure-Management. Defender scannt das System auf Software-Schwachstellen und Fehlkonfigurationen. Anstatt dass der Administrator jede CVE manuell prüfen muss, priorisiert das Tool die Risiken, sodass Sie wissen, welche Schwachstellen zuerst behoben werden müssen , um die Angriffsfläche zu verringern.
Kompatible Geräte und technische Anforderungen
Nicht alle Linux-Distributionen funktionieren, aber die Liste ist recht umfangreich. Microsoft hat dafür gesorgt, dass alle Distributionen, die auf Servern laufen, auch mit dem Linux-Desktop kompatibel sind (wobei sich letzterer noch in der öffentlichen Vorschauphase befindet). Dies ist für Programmierer, die oft mit hohen Berechtigungen arbeiten und daher ein Hauptziel für Hacker sind, von entscheidender Bedeutung.
- Akzeptierte Verteilungen: Dazu gehören Schwergewichte wie Red Hat Enterprise Linux (RHEL), CentOS, Ubuntu LTS (von 16.04 bis 24.04 und höher), Debian, SUSE Linux Enterprise, Oracle Linux, Fedora, Rocky Linux, Alma Linux und Mariner.
- Architekturen: Es unterstützt beide Prozessoren. x64 (AMD64/EM64T) wie die modernsten ARM64.
- Grafische Umgebungen: Ob Sie GNOME, KDE oder eine andere Desktop-Umgebung verwenden, ist unerheblich; entscheidend sind die Systembasis und die Version der Kern.
Die Hardwareanforderungen sind nicht allzu hoch. Für einen reibungslosen Betrieb des Agenten benötigen Sie mindestens einen CPU-Kern , 1 GB RAM und etwa 2 GB Festplattenspeicher. Bei sehr hoher Auslastung empfiehlt es sich jedoch, diese Werte zu erhöhen, um Engpässe zu vermeiden. Softwareseitig ist es unerlässlich, dass das System systemd als Systemverwaltung verwendet. Wenn Sie die Geräteisolation nutzen möchten, müssen iptables oder nftables konfiguriert sein.
Dateisysteme und Netzwerk
Echtzeitschutz und Scans (schnell oder vollständig) funktionieren auf den meisten gängigen Dateisystemen. Es gibt jedoch eine erweiterte Liste für benutzerdefinierte Scans , die Optionen wie btrfs, ext2, ext3, ext4, xfs, nfs (v3 und v4) und noch spezifischere Systeme wie glusterfs oder ocfs2 umfasst.
Damit der Agent Bedrohungen an das Microsoft-Portal melden kann, benötigt er eine nahtlose Verbindung zur Cloud . Dies erfordert die korrekte Konfiguration von Firewalls und, falls das Unternehmen einen Proxy verwendet, die Aktivierung der statischen Proxy-Erkennung , damit anonymer Datenverkehr zu Microsoft-URLs nicht blockiert wird.
So bringen Sie es zum Laufen: Bereitstellungsmethoden
Die Installation von Defender ist nicht so einfach wie ein Klick auf „Weiter“, da es sich um ein Tool für Unternehmen handelt. Zwar ist eine manuelle Installation möglich, für größere Installationen empfiehlt sich jedoch die Verwendung des Deployment Tools oder von Konfigurationsmanagern wie Puppet, Ansible oder Chef.
Wenn Sie die manuelle Vorgehensweise wählen, variiert der Prozess je nach Ihrer Distribution. Auf RHEL-basierten Systemen verwenden Sie dnf oder yum, um das Microsoft-Repository hinzuzufügen und das mdatp- Paket zu installieren . Unter Ubuntu oder Debian verwenden Sie apt , konfigurieren die Repository-Liste und die zugehörigen GPG-Schlüssel.
Sobald die Software installiert ist, folgt der entscheidende Schritt: die OnboardingSie müssen ein Paket vom Microsoft Defender-Portal herunterladen und ein Python-Skript ausführen (normalerweise MicrosoftDefenderATPOnboardingLinuxServer.py) mit Root-Rechten. Um zu überprüfen, ob alles ordnungsgemäß funktioniert, können Sie den Befehl verwenden. mdatp healthDaran können Sie erkennen, ob der Agent gesund und lizenziert.
Lizenzierung und Betriebsführung
Es ist wichtig klarzustellen, dass dies kein kostenloses Angebot für Privatanwender ist. Um Defender unter Linux zu nutzen, benötigen Sie eine Unternehmenslizenz, genauer gesagt Microsoft Defender for Endpoint Plan 2 , oder ein Abonnement für einen umfassenderen Plan wie Microsoft 365 E5 oder E7.
Die Verwaltung erfolgt über die Cloud. Dort können Sie Virenausschlüsse konfigurieren , um zu verhindern, dass der Scanner wichtige Anwendungen verlangsamt. Plattform-Updates erscheinen monatlich. Um den Support aufrechtzuerhalten, ist es wichtig, stets die drei neuesten Versionen zu verwenden . Darüber hinaus ermöglicht das System einen passiven Modus . Das bedeutet, dass Defender problemlos parallel zu anderer Antivirensoftware von Drittanbietern eingesetzt werden kann, ohne Konflikte zu verursachen. Defender überwacht und meldet Bedrohungen lediglich, ohne sie automatisch zu blockieren.
Diese Lösung macht Linux-Sicherheit zu einer handhabbaren und professionellen Lösung und beseitigt Sicherheitslücken in der Unternehmensinfrastruktur. Durch die Kombination einer eBPF -basierten Architektur mit zentralisierter Cloud-Verwaltung gewährleistet Microsoft einen konsistenten und effizienten Schutz für Server und Workstations und kann sowohl einfache Malware als auch fortgeschrittene, persistente Bedrohungen abwehren.