- Se toteuttaa kevyen eBPF:ään perustuvan arkkitehtuurin, joka välttää ydinmoduuleja suorituskykyyn kohdistuvien vaikutusten minimoimiseksi.
- Se tarjoaa kattavan suojauksen EDR:n, seuraavan sukupolven virustorjunnan ja tekoälypohjaisen haavoittuvuuksien hallinnan avulla.
- Se on yhteensopiva tärkeimpien yrityskäyttöjärjestelmien, kuten Ubuntun, RHELin, Debianin ja SUSEn, kanssa x64- ja ARM64-arkkitehtuureilla.
- Edellyttää Microsoft Defender for Endpoint Plan 2 -yrityslisenssejä tai Microsoft 365 E5/E7 -tilauksia.
Olet luultavasti huomannut, että Microsoftin tietoturvaekosysteemi on ottanut merkittävän harppauksen eteenpäin. Kyse ei ole enää vain Windowsin suojaamisesta; he ovat ottaneet käyttöön tehokkaan työkalun nimeltä Microsoft Defender for Endpoint, joka on suunniteltu erityisesti Linux-ympäristöön. Mielenkiintoisinta on, että vaikka monet pitävät sitä yksinkertaisena yrityksen tietoturvatarkistuksena, työkalu on kehittynyt kattamaan kaiken vankimmista pilvipalvelimista kotoa työskentelevän kehittäjän kannettavaan tietokoneeseen, yhdistäen siten koko teknologiaekosysteemin yhden komennon alle.
Toimenpide on yksinkertainen mutta kunnianhimoinen: Microsoft haluaa vapauttaa yritykset kymmenen eri työkalun jonglööraamisesta. Integroimalla Linuxin XDR (Extended Detection and Response) -alustaansa he antavat tietoturvan ylläpitäjälle mahdollisuuden nähdä, mitä Azure-virtuaalikoneella, Red Hatia käyttävällä fyysisellä palvelimella tai Ubuntua käyttävällä pöytätietokoneella tapahtuu, kaikki yhdestä kojelaudasta . Katsotaanpa tarkemmin, miten tämä järjestelmä toimii, mitä koneita se tukee ja miten se saadaan sujuvasti käyttöön.
Mitä konepellin alla on? Toiminnot ja ominaisuudet
Toisin kuin perinteiset virustorjuntaohjelmat, jotka voivat joskus tuntua järjestelmälle rasitteilta, Defender Linuxissa käyttää kevyttä anturiarkkitehtuuria, joka perustuu eBPF:ään (extended Berkeley Packet Filter) . Tämä on tärkeää, koska se tarkoittaa, että sen ei tarvitse asentaa kernel-moduuleja, mikä vähentää merkittävästi järjestelmän kaatumisten mahdollisuutta ja minimoi vaikutuksen koneen suorituskykyyn.
Järjestelmä on periaatteessa jaettu kolmeen pääpuolustuslohkoon. Ensinnäkin on uuden sukupolven suojaus , joka ei etsi vain vanhoja virustunnisteita, vaan käyttää koneoppimista ja käyttäytymisanalyysiä haittaohjelmien estämiseen reaaliajassa. Jos prosessi alkaa käyttäytyä oudosti, kuten kiristysohjelmahyökkäyksellä , järjestelmä pysäyttää sen välittömästi.
Toiseksi, EDR astuu kuvaan. Tässä kohtaa asiat muuttuvat vakaviksi, sillä järjestelmä valvoo toimintaa havaitakseen tiedostottomia hyökkäyksiä tai muistin injektointia. Microsoftin uhkatietojen ja MITRE ATT&CK -kehyksen yhteensopivuuden ansiosta analyytikot voivat nähdä hyökkäyksen tarkan aikajanan ja reagoida dynaamisesti joko poistamalla epäilyttävän tiedoston tai suorittamalla korjausskriptejä etänä.
Lopuksi on vielä altistumisen hallinta. Defender skannaa järjestelmän ohjelmistohaavoittuvuuksien ja virheellisten määritysten varalta. Sen sijaan, että järjestelmänvalvojan tarvitsisi manuaalisesti tarkistaa jokaisen CVE:n, työkalu priorisoi riskit, jotta tiedät, mitä korjata ensin hyökkäyspinnan pienentämiseksi.
Yhteensopivat laitteet ja tekniset vaatimukset
Kaikki Linux-jakelut eivät toimi, mutta lista on melko laaja. Microsoft on tehnyt kaikista palvelimella toimivista jakeluista yhteensopivan myös Linux-työpöydän kanssa (vaikka jälkimmäinen onkin vielä julkisessa esikatselussa). Tämä on elintärkeää ohjelmoijille, jotka usein käsittelevät korkeita oikeuksia ja ovat hakkereiden ensisijainen kohde.
- Hyväksytyt jakelut: Se sisältää raskaansarjan toimijoita, kuten Red Hat Enterprise Linux (RHEL), CentOS, Ubuntu LTS (16.04 - 24.04 ja uudemmat), Debian, SUSE Linux Enterprise, Oracle Linux, Fedora, Rocky Linux, Alma Linux ja Mariner.
- Arkkitehtuurit: Se tukee molempia prosessoreita x64 (AMD64/EM64T) kuin kaikkein moderneimmat ARM64.
- Graafiset ympäristöt: Ei ole väliä käytätkö GNOMEa, KDE:tä vai jotain muuta; tärkeintä on järjestelmän perusta ja versio. ydin.
Laitteiston osalta se ei ole liian vaativa. Jotta agentti toimisi sujuvasti, tarvitset vähintään yhden suorittimen ytimen , 1 Gt RAM-muistia ja noin 2 Gt levytilaa. Jos työmäärä on kuitenkin erittäin suuri, on suositeltavaa nostaa näitä arvoja pullonkaulojen välttämiseksi. Ohjelmistopuolella on olennaista, että järjestelmä käyttää systemd:tä järjestelmänvalvojana, ja jos haluat käyttää laiteeristystä, sinulla on oltava iptables tai nftables määritettynä.
Tiedostojärjestelmät ja verkko
Reaaliaikainen suojaus ja tarkistukset (nopea tai täydellinen) toimivat useimmissa yleisimmissä tiedostojärjestelmissä. Mukautettuja tarkistuksia varten on kuitenkin saatavilla laajennettu luettelo , joka sisältää vaihtoehtoja, kuten btrfs, ext2, ext3, ext4, xfs, nfs (v3 ja v4) ja vielä tarkempia järjestelmiä, kuten glusterfs tai ocfs2.
Jotta agentti voi ilmoittaa uhkista Microsoft-portaaliin, sen on oltava saumaton pilviyhteys . Tämä edellyttää palomuurien asianmukaista määrittämistä ja, jos yritys käyttää välityspalvelinta, staattisen välityspalvelimen tunnistuksen käyttöönottoa , jotta anonyymiä liikennettä Microsoftin URL-osoitteisiin ei estetä.
Käyttöönotto: Käyttöönottomenetelmät
Defenderin asentaminen ei ole niin yksinkertaista kuin "Seuraava"-painikkeen napsauttaminen, koska se on yritystason työkalu. Vaikka manuaalinen asennus on mahdollista, suurissa käyttöönottoissa suositellaan Deployment Toolin tai kokoonpanonhallintaohjelmien, kuten Puppetin, Ansiblen tai Chefin, käyttöä.
Jos valitset manuaalisen reitin, prosessi vaihtelee jakelustasi riippuen. RHEL-pohjaisissa järjestelmissä käytät dnf- tai yum- komentoa Microsoftin arkiston lisäämiseen ja mdatp -paketin asentamiseen . Ubuntussa tai Debianissa prosessiin kuuluu apt -komennon käyttäminen arkistoluettelon ja vastaavien GPG-avainten määrittämiseen.
Kun ohjelmisto on asennettu, tulee ratkaiseva vaihe: perehdytysSinun on ladattava paketti Microsoft Defender -portaalista ja suoritettava Python-skripti (yleensä MicrosoftDefenderATPOnboardingLinuxServer.py) pääkäyttäjän oikeuksilla. Voit varmistaa, että kaikki toimii oikein, käyttämällä komentoa mdatp healthjoka kertoo, onko agentti terve ja luvanvarainen.
Lisensointi ja operatiivinen hallinta
On tärkeää selventää, että tämä ei ole ilmainen kotikäyttäjille. Defenderin käyttämiseen Linuxissa tarvitaan yrityslisenssi, erityisesti Microsoft Defender for Endpoint Plan 2 , tai tilaus kattavampaan sopimukseen, kuten Microsoft 365 E5 tai E7.
Hallinta tapahtuu pilvestä, jossa voit määrittää virustorjuntaohjelmien poissulkemiset estääksesi skanneria hidastamasta kriittisiä sovelluksia. Alustapäivitykset tulevat kuukausittain, ja tuen ylläpitämiseksi on tärkeää pysyä käytössä kolmessa uusimmassa versiossa . Lisäksi järjestelmä mahdollistaa passiivisen tilan , mikä tarkoittaa, että Defender voi toimia rinnakkain muiden kolmannen osapuolen virustorjuntaohjelmistojen kanssa ilman ristiriitoja, yksinkertaisesti tarkkaillen ja raportoiden ilman automaattista estämistä.
Tämä ratkaisu muuttaa Linux-tietoturvan hallittavaksi ja ammattimaiseksi ratkaisuksi, poistaen katvealueita yritysinfrastruktuurissa. Yhdistämällä eBPF- pohjaisen arkkitehtuurin keskitettyyn pilvihallintaan Microsoft varmistaa palvelimien ja työasemien yhdenmukaisen ja tehokkaan suojauksen, joka pystyy pysäyttämään kaiken yksinkertaisista haittaohjelmista edistyneisiin pysyviin uhkiin.