- See rakendab eBPF-il põhinevat kerget arhitektuuri, mis väldib kerneli mooduleid, et minimeerida mõju jõudlusele.
- See pakub ulatuslikku kaitset EDR-i, järgmise põlvkonna viirusetõrje ja tehisintellektil põhineva haavatavuste haldamise kaudu.
- See ühildub suuremate ettevõtte distributsioonidega nagu Ubuntu, RHEL, Debian ja SUSE x64 ja ARM64 arhitektuuridel.
- Nõuab Microsoft Defender for Endpoint Plan 2 ettevõttelitsentse või Microsoft 365 E5/E7 tellimusi.
Oled ilmselt märganud, et Microsofti turvaökosüsteem on teinud märkimisväärse hüppe edasi. See ei puuduta enam ainult Windowsi kaitsmist; nad on kasutusele võtnud võimsa tööriista nimega Microsoft Defender for Endpoint, mis on loodud spetsiaalselt Linuxi keskkonna jaoks. Kõige huvitavam on see, et kuigi paljud näevad seda lihtsa ettevõtte turvakontrollina, on tööriist arenenud katma kõike alates kõige võimsamatest pilveserveritest kuni kodust töötava arendaja sülearvutini, ühendades seeläbi kogu tehnoloogiaökosüsteemi ühe käsu alla.
See samm on lihtne, kuid ambitsioonikas: Microsoft soovib vabastada ettevõtted kümne erineva tööriista žongleerimisest. Integreerides Linuxi oma XDR (laiendatud tuvastamise ja reageerimise) platvormi , võimaldavad nad turvaadministraatoril näha, mis toimub Azure'i virtuaalmasinas, Red Hati käitavas füüsilises serveris või Ubuntu käitavas lauaarvutis – kõik ühelt ühtselt armatuurlaualt . Vaatame lähemalt, kuidas see süsteem töötab, milliseid masinaid see toetab ja kuidas see sujuvalt tööle panna.
Mis peitub kapoti all? Funktsionaalsus ja võimalused
Erinevalt traditsioonilistest viirusetõrjeprogrammidest, mis võivad mõnikord süsteemile koormana tunduda, kasutab Defender Linuxis kerget eBPF-il (laiendatud Berkeley paketifilter) põhinevat sensoriarhitektuuri . See on oluline, kuna see tähendab, et see ei pea installima kerneli mooduleid, vähendades oluliselt süsteemi krahhide võimalust ja minimeerides mõju masina jõudlusele.
Süsteem jaguneb põhimõtteliselt kolmeks peamiseks kaitseplokiks. Esiteks on olemas järgmise põlvkonna kaitse , mis ei otsi ainult vanu viirusesignatuure, vaid kasutab masinõpet ja käitumisanalüüsi pahavara reaalajas blokeerimiseks. Kui protsess hakkab käituma kummaliselt, mis meenutab lunavararünnakut , peatab süsteem selle kohe.
Teiseks tuleb mängu EDR. Siin lähevad asjad tõsiseks, kuna süsteem jälgib tegevust, et tuvastada failideta rünnakuid või mälusüste. Tänu Microsofti ohuinfole ja kooskõlale MITRE ATT&CK raamistikuga näevad analüütikud rünnaku täpset ajajoont ja reageerivad dünaamiliselt, kas kustutades kahtlase faili või käivitades eemalt parandusskripte.
Lõpuks on olemas riskide haldamine. Defender skannib süsteemi tarkvara haavatavuste ja valekonfiguratsioonide suhtes. Selle asemel, et administraator peaks iga CVE-d käsitsi üle vaatama, seab tööriist riskid tähtsuse järjekorda, et teaksite, mida kõigepealt parandada , et rünnakupinda vähendada.
Ühilduvad seadmed ja tehnilised nõuded
Kõik Linuxi distributsioonid ei tööta, kuid nimekiri on üsna pikk. Microsoft on teinud kõik serverites töötavad distributsioonid ühilduvaks ka Linuxi töölauaga (kuigi viimane on endiselt avalikus eelvaates). See on ülioluline programmeerijatele, kes sageli haldavad suuri privileege ja on häkkerite peamine sihtmärk.
- Vastuvõetud jaotused: See hõlmab selliseid raskekahurväelasi nagu Red Hat Enterprise Linux (RHEL), CentOS, Ubuntu LTS (16.04 kuni 24.04 ja uuemad), Debian, SUSE Linux Enterprise, Oracle Linux, Fedora, Rocky Linux, Alma Linux ja Mariner.
- Arhitektuurid: See toetab mõlemat protsessorit x64 (AMD64/EM64T) nagu kõige moodsamadki ARM64.
- Graafilised keskkonnad: Pole vahet, kas kasutate GNOME'i, KDE-d või mõnda muud; oluline on süsteemibaas ja selle versioon. tuum.
Riistvara osas pole see liiga nõudlik. Agendi sujuvaks tööks on vaja vähemalt ühte protsessori tuuma , 1 GB muutmälu ja umbes 2 GB kettaruumi. Kui teil on aga väga suur töökoormus, on soovitatav neid väärtusi suurendada, et vältida kitsaskohti. Tarkvara poolelt on oluline, et süsteem kasutaks süsteemihaldurina systemd- d ja kui soovite kasutada seadmete isolatsiooni, peab teil olema konfigureeritud iptables või nftables.
Failisüsteemid ja võrk
Reaalajas kaitse ja skaneeringud (kiire või täielik) toimivad enamikes levinud failisüsteemides. Kohandatud skaneeringute jaoks on aga olemas laiendatud loend , mis sisaldab selliseid valikuid nagu btrfs, ext2, ext3, ext4, xfs, nfs (v3 ja v4) ning veelgi spetsiifilisemaid süsteeme nagu glusterfs või ocfs2.
Selleks, et agent saaks ohtudest Microsofti portaali teatada, vajab see sujuvat pilveühendust . See hõlmab tulemüüride korralikku konfigureerimist ja kui ettevõte kasutab puhverserverit, staatilise puhverserveri tuvastamise lubamist , et anonüümset liiklust Microsofti URL-idele ei blokeeritaks.
Kuidas see tööle panna: juurutamismeetodid
Defenderi installimine ei ole nii lihtne kui nupule „Järgmine” klõpsamine, kuna see on ettevõtte tasemel tööriist. Kuigi käsitsi installimine on võimalik, on suurte juurutuste puhul soovitatav kasutada juurutustööriista või konfiguratsioonihaldureid, näiteks Puppet, Ansible või Chef.
Käsitsi installimise korral varieerub protsess olenevalt teie distributsioonist. RHEL-põhistes süsteemides kasutate Microsofti repositooriumi lisamiseks ja mdatp paketi installimiseks käsku dnf või yum . Ubuntu või Debiani puhul hõlmab protsess apt kasutamist , repositooriumi loendi ja vastavate GPG-võtmete konfigureerimist.
Kui tarkvara on installitud, tuleb oluline samm: sisseelaminePeate Microsoft Defenderi portaalist paketi alla laadima ja Pythoni skripti käivitama (tavaliselt MicrosoftDefenderATPOnboardingLinuxServer.py) juurõigustega. Kõikide korrektse toimimise kontrollimiseks võite kasutada käsku mdatp healthmis annab sulle teada, kas agent on terve ja litsentseeritud.
Litsentsimine ja operatiivjuhtimine
Oluline on selgitada, et see pole kodukasutajatele tasuta. Defenderi kasutamiseks Linuxis vajate ettevõtte litsentsi, täpsemalt Microsoft Defender for Endpoint Plan 2 , või tellimust ulatuslikumale paketile, näiteks Microsoft 365 E5 või E7.
Haldus toimub pilvest, kus saate konfigureerida viirusetõrje väljajätmisi , et skänner ei aeglustaks kriitilisi rakendusi. Platvormi värskendused toimuvad igakuiselt ja toe säilitamiseks on oluline kasutada kolme uusimat versiooni . Lisaks võimaldab süsteem passiivset režiimi , mis tähendab, et Defender saab koos eksisteerida teiste kolmandate osapoolte viirusetõrjetarkvaradega ilma konfliktideta, lihtsalt jälgides ja aru andes ilma automaatse blokeerimiseta.
See lahendus muudab Linuxi turvalisuse hallatavaks ja professionaalseks lahenduseks, kõrvaldades ettevõtte infrastruktuuris olevad pimedad kohad. Kombineerides eBPF -põhise arhitektuuri tsentraliseeritud pilvehaldusega, tagab Microsoft serveritele ja tööjaamadele järjepideva ja tõhusa kaitse, mis suudab peatada kõike alates lihtsast pahavarast kuni keerukate püsivate ohtudeni.