- Elle met en œuvre une architecture légère basée sur eBPF qui évite les modules du noyau afin de minimiser l'impact sur les performances.
- Elle offre une protection complète grâce à l'EDR, un antivirus de nouvelle génération et une gestion des vulnérabilités basée sur l'IA.
- Il est compatible avec les principales distributions d'entreprise telles qu'Ubuntu, RHEL, Debian et SUSE sur les architectures x64 et ARM64.
- Nécessite des licences d'entreprise Microsoft Defender pour Endpoint Plan 2 ou des abonnements Microsoft 365 E5/E7.
Vous avez sans doute remarqué que l'écosystème de sécurité de Microsoft a considérablement évolué. Il ne s'agit plus seulement de protéger Windows ; Microsoft a déployé un outil puissant, Microsoft Defender for Endpoint, conçu spécifiquement pour l'environnement Linux. Plus intéressant encore, alors que beaucoup le perçoivent comme un simple outil de sécurité d'entreprise, il a évolué pour couvrir tous les environnements, des serveurs cloud les plus robustes à l'ordinateur portable d'un développeur travaillant à domicile, unifiant ainsi l'ensemble de l'écosystème technologique sous une seule commande.
L'initiative est simple, mais ambitieuse : Microsoft souhaite libérer les entreprises de la gestion de dix outils différents. En intégrant Linux à sa plateforme XDR (Extended Detection and Response) , un administrateur de sécurité peut visualiser l'activité d'une machine virtuelle Azure, d'un serveur physique sous Red Hat ou d'un ordinateur de bureau sous Ubuntu, le tout depuis un tableau de bord unique . Examinons de plus près le fonctionnement de ce système, les machines compatibles et la procédure de mise en service.
Qu'y a-t-il sous le capot ? Fonctionnalités et capacités
Contrairement aux antivirus traditionnels qui peuvent parfois alourdir le système, Defender sous Linux utilise une architecture de capteurs légère basée sur eBPF (Extended Berkeley Packet Filter) . C'est un point crucial, car cela signifie qu'il n'est pas nécessaire d'installer de modules noyau, ce qui réduit considérablement le risque de plantage système et minimise l' impact sur les performances de la machine.
Le système est principalement divisé en trois blocs de défense. Le premier est une protection de nouvelle génération qui, au lieu de se contenter de rechercher d'anciennes signatures de virus, utilise l'apprentissage automatique et l'analyse comportementale pour bloquer les logiciels malveillants en temps réel. Si un processus adopte un comportement anormal, évoquant une attaque de rançongiciel , le système l'arrête immédiatement.
Deuxièmement, l'EDR entre en jeu. C'est là que les choses se corsent : le système surveille l'activité pour détecter les attaques sans fichier ou les injections de mémoire. Grâce aux renseignements sur les menaces de Microsoft et à l'alignement avec le framework MITRE ATT&CK , les analystes peuvent visualiser la chronologie exacte d'une attaque et réagir en temps réel, soit en supprimant un fichier suspect, soit en exécutant à distance des scripts de remédiation.
Enfin, la gestion de l'exposition aux vulnérabilités est assurée. Defender analyse le système à la recherche de failles de sécurité et d'erreurs de configuration. Au lieu que l'administrateur doive examiner manuellement chaque CVE, l'outil hiérarchise les risques afin de déterminer les correctifs à appliquer en priorité pour réduire la surface d'attaque.
Équipements compatibles et exigences techniques
Toutes les distributions Linux ne sont pas compatibles, mais la liste est assez longue. Microsoft a rendu compatible avec les postes de travail Linux (bien que ces derniers soient encore en version préliminaire publique) toute distribution fonctionnant sur serveur . C'est essentiel pour les développeurs, qui gèrent souvent des privilèges élevés et constituent une cible privilégiée des pirates informatiques.
- Distributions acceptées : Il comprend des poids lourds tels que Red Hat Enterprise Linux (RHEL), CentOS, Ubuntu LTS (de 16.04 à 24.04 et plus), Debian, SUSE Linux Enterprise, Oracle Linux, Fedora, Rocky Linux, Alma Linux et Mariner.
- Architectures : Il prend en charge les deux processeurs. x64 (AMD64/EM64T) comme les plus modernes ARM64.
- Environnements graphiques : Peu importe que vous utilisiez GNOME, KDE ou un autre système d'exploitation ; ce qui compte, c'est le système d'exploitation et sa version. kernel.
Côté matériel, la configuration requise n'est pas très exigeante. Pour un fonctionnement optimal de l'agent, il faut au minimum un cœur de processeur , 1 Go de RAM et environ 2 Go d'espace disque. Toutefois, en cas de charge de travail importante, il est conseillé d'augmenter ces valeurs afin d'éviter les goulots d'étranglement. Côté logiciel, il est essentiel que le système utilise systemd comme gestionnaire de périphériques. Si vous souhaitez utiliser l'isolation des périphériques, vous devez configurer iptables ou nftables.
Systèmes de fichiers et réseau
La protection et les analyses en temps réel (rapides ou complètes) fonctionnent sur la plupart des systèmes de fichiers courants. Cependant, une liste étendue est disponible pour les analyses personnalisées , incluant des options telles que btrfs, ext2, ext3, ext4, xfs, nfs (v3 et v4), et même des systèmes plus spécifiques comme glusterfs ou ocfs2.
Pour que l'agent puisse signaler les menaces au portail Microsoft, il doit bénéficier d'une connectivité sans faille au cloud . Cela implique une configuration correcte des pare-feu et, si l'entreprise utilise un proxy, l'activation de la détection statique du proxy afin que le trafic anonyme vers les URL Microsoft ne soit pas bloqué.
Comment le mettre en service : Méthodes de déploiement
L'installation de Defender ne se résume pas à cliquer sur un bouton « Suivant », car il s'agit d'un outil destiné aux entreprises. Bien que l'installation manuelle soit possible, pour les déploiements de grande envergure, il est recommandé d'utiliser l' outil de déploiement ou des gestionnaires de configuration tels que Puppet, Ansible ou Chef.
Si vous optez pour la méthode manuelle, la procédure varie selon votre distribution. Sur les systèmes basés sur RHEL, vous utiliserez dnf ou yum pour ajouter le dépôt Microsoft et installer le paquet mdatp . Sur Ubuntu ou Debian, la procédure implique l'utilisation d'apt , la configuration de la liste des dépôts et des clés GPG correspondantes.
Une fois le logiciel installé, vient l'étape cruciale : intégrationVous devez télécharger un package depuis le portail Microsoft Defender et exécuter un script Python (généralement MicrosoftDefenderATPOnboardingLinuxServer.py) avec les privilèges root. Pour vérifier que tout fonctionne correctement, vous pouvez utiliser la commande mdatp healthce qui vous indiquera si l'agent est sain et agréé.
Gestion des licences et des opérations
Il est important de préciser que ce logiciel n'est pas gratuit pour les particuliers. Pour utiliser Defender sous Linux, vous avez besoin d'une licence professionnelle, plus précisément de Microsoft Defender for Endpoint Plan 2 , ou d'un abonnement à une offre plus complète comme Microsoft 365 E5 ou E7.
La gestion s'effectue depuis le cloud, où vous pouvez configurer les exclusions antivirus afin d'éviter que l'analyseur ne ralentisse les applications critiques. Les mises à jour de la plateforme sont mensuelles et il est essentiel d'utiliser les trois dernières versions pour bénéficier du support. De plus, le système propose un mode passif : Defender peut ainsi coexister avec d'autres logiciels antivirus tiers sans conflit, se contentant d'observer et de signaler les menaces sans les bloquer automatiquement.
Cette solution transforme la sécurité Linux en une solution professionnelle et facile à gérer, éliminant les angles morts de l'infrastructure d'entreprise. En combinant une architecture basée sur eBPF avec une gestion centralisée dans le cloud, Microsoft garantit une protection cohérente et efficace des serveurs et des postes de travail, capable de bloquer tout type de menace, des logiciels malveillants les plus simples aux menaces persistantes avancées.