- Egy eBPF-en alapuló könnyűsúlyú architektúrát valósít meg, amely elkerüli a kernel modulokat a teljesítményre gyakorolt hatás minimalizálása érdekében.
- Átfogó védelmet kínál EDR-en, következő generációs víruskeresőn és mesterséges intelligencia-alapú sebezhetőségkezelésen keresztül.
- Kompatibilis a főbb vállalati disztribúciókkal, mint például az Ubuntu, RHEL, Debian és SUSE x64 és ARM64 architektúrákon.
- Microsoft Defender for Endpoint 2. csomag vállalati licenceket vagy Microsoft 365 E5/E7 előfizetéseket igényel.
Valószínűleg észrevetted, hogy a Microsoft biztonsági ökoszisztémája jelentős előrelépést tett. Már nem csak a Windows védelméről van szó; bevezettek egy hatékony eszközt, a Microsoft Defender for Endpoint-ot, amelyet kifejezetten a Linux környezetre terveztek. A legérdekesebb az egészben, hogy bár sokan egyszerű vállalati biztonsági ellenőrzésnek tekintik, az eszköz mára a legrobusztusabb felhőszerverektől kezdve az otthonról dolgozó fejlesztők laptopjáig mindent lefed, így a teljes technológiai ökoszisztémát egyetlen parancs alatt egyesíti.
A lépés egyszerű, mégis ambiciózus: a Microsoft meg akarja szabadítani a vállalkozásokat tíz különböző eszköz zsonglőrködésétől. Azzal, hogy a Linuxot integrálják az XDR (Extended Detection and Response) platformjukba, lehetővé teszik a biztonsági rendszergazda számára, hogy egyetlen egységes irányítópultról lássa, mi történik egy Azure virtuális gépen, egy Red Hatet futtató fizikai szerveren vagy egy Ubuntut futtató asztali számítógépen . Vessünk egy közelebbi pillantást arra, hogyan működik ez a rendszer, mely gépeket támogat, és hogyan lehet zökkenőmentesen üzembe helyezni.
Mi van a motorháztető alatt? Funkcionalitás és képességek
A hagyományos víruskereső programokkal ellentétben, amelyek néha megterhelőnek tűnhetnek a rendszer számára, a Defender Linux rendszeren egy könnyűsúlyú érzékelőarchitektúrát használ, amely az eBPF-en (kiterjesztett Berkeley csomagszűrő) alapul . Ez azért kulcsfontosságú, mert azt jelenti, hogy nem kell kernel modulokat telepítenie, ami drasztikusan csökkenti a rendszerösszeomlások valószínűségét és minimalizálja a gép teljesítményére gyakorolt hatást.
A rendszer alapvetően három fő védelmi blokkra oszlik. Először is, ott van a következő generációs védelem , amely nem csak a régi vírusszignatúrákat keresi, hanem gépi tanulást és viselkedéselemzést használ a rosszindulatú programok valós idejű blokkolására. Ha egy folyamat furcsán kezd viselkedni, ami egy zsarolóvírus- támadásra hasonlít , a rendszer azonnal leállítja.
Másodszor, az EDR kerül képbe. Itt kezd komolyra fordulni a dolog, mivel a rendszer figyeli a tevékenységet a fájl nélküli támadások vagy memória-injekciók észlelése érdekében. A Microsoft fenyegetésfelderítési rendszerének és a MITRE ATT&CK keretrendszerrel való összhangnak köszönhetően az elemzők láthatják a támadás pontos idővonalát, és dinamikusan reagálhatnak, akár egy gyanús fájl törlésével, akár távolról futtatott javító szkriptekkel.
Végül pedig ott van a kitettségkezelés. A Defender átvizsgálja a rendszert szoftveres sebezhetőségek és hibás konfigurációk után. Ahelyett, hogy a rendszergazdának manuálisan kellene ellenőriznie minden egyes CVE-t, az eszköz rangsorolja a kockázatokat, így tudni fogja, hogy mit kell először javítani a támadási felület csökkentése érdekében.
Kompatibilis berendezések és műszaki követelmények
Nem minden Linux disztribúció működik, de a lista elég kiterjedt. A Microsoft minden olyan disztribúciót, amely szerveren fut, kompatibilissé tett a Linux asztali környezettel is (bár ez utóbbi még nyilvános előzetes verzióban érhető el). Ez létfontosságú a programozók számára, akik gyakran magas jogosultságokkal rendelkeznek , és a hackerek elsődleges célpontjai.
- Elfogadott disztribúciók: Olyan nehézsúlyúakat tartalmaz, mint a Red Hat Enterprise Linux (RHEL), a CentOS, az Ubuntu LTS (16.04-től 24.04-ig és újabb verziókig), a Debian, a SUSE Linux Enterprise, az Oracle Linux, a Fedora, a Rocky Linux, az Alma Linux és a Mariner.
- Architektúrák: Mindkét processzort támogatja x64 (AMD64/EM64T) mint a legmodernebbek ARM64.
- Grafikus környezetek: Nem számít, hogy GNOME-ot, KDE-t vagy bármi mást használsz; a lényeg a rendszer alapja és a verzió. mag.
Ami a hardvert illeti, nem túl igényes. Az ügynök zökkenőmentes működéséhez legalább egy CPU-magra , 1 GB RAM-ra és körülbelül 2 GB lemezterületre van szükség. Azonban, ha nagyon nagy a munkaterhelés, célszerű ezeket az értékeket növelni a szűk keresztmetszetek elkerülése érdekében. Szoftveres oldalon elengedhetetlen, hogy a rendszer a systemd-t használja rendszerkezelőként, és ha eszközelkülönítést szeretne használni, akkor konfigurálnia kell az iptables-t vagy az nftables-t.
Fájlrendszerek és hálózat
A valós idejű védelem és vizsgálatok (gyors vagy teljes) a legtöbb elterjedt fájlrendszeren működnek. Létezik azonban egy kibővített lista az egyéni vizsgálatokhoz , amely olyan opciókat tartalmaz, mint a btrfs, ext2, ext3, ext4, xfs, nfs (v3 és v4), sőt még specifikusabb rendszereket is, mint például a glusterfs vagy az ocfs2.
Ahhoz, hogy az ügynök jelenteni tudja a fenyegetéseket a Microsoft portálnak, zökkenőmentes kapcsolatra van szüksége a felhővel . Ez magában foglalja a tűzfalak megfelelő konfigurálását, és ha a vállalat proxyt használ, a statikus proxyészlelés engedélyezését , hogy a Microsoft URL-címeire irányuló névtelen forgalom ne legyen blokkolva.
Hogyan állítsuk be és üzembe: Telepítési módszerek
A Defender telepítése nem olyan egyszerű, mint a „tovább” gombra kattintás, mivel ez egy vállalati szintű eszköz. Bár a manuális telepítés lehetséges, nagyméretű telepítések esetén a Deployment Tool vagy a konfigurációkezelők, például a Puppet, az Ansible vagy a Chef használata ajánlott.
Ha a manuális útvonalat választod, a folyamat a disztribúciódtól függően változik. RHEL alapú rendszereken a dnf vagy a yum paranccsal adhatod hozzá a Microsoft adattárat és telepítheted az mdatp csomagot. Ubuntu vagy Debian rendszeren a folyamat az apt paranccsal , a adattárlista és a megfelelő GPG-kulcsok konfigurálásával kezdődik .
Miután telepítettük a szoftvert, jön a legfontosabb lépés: a bevezetésLe kell töltenie egy csomagot a Microsoft Defender portálról, és futtatnia kell egy Python szkriptet (általában MicrosoftDefenderATPOnboardingLinuxServer.py) root jogosultságokkal. Annak ellenőrzéséhez, hogy minden megfelelően működik-e, használhatja a következő parancsot: mdatp healthamely megmondja, hogy az ügynök egészséges és engedéllyel rendelkező.
Engedélyezés és operatív irányítás
Fontos tisztázni, hogy ez nem ingyenes otthoni felhasználók számára. A Defender Linux rendszeren történő használatához vállalati licencre van szükség, konkrétan a Microsoft Defender for Endpoint 2. csomagra , vagy egy átfogóbb csomagra, például a Microsoft 365 E5 vagy E7 csomagra.
A felügyelet a felhőből történik, ahol beállíthatja a víruskereső kizárásait , hogy megakadályozza a szkenner kritikus alkalmazásainak lelassítását. A platformfrissítések havonta esedékesek, és a támogatás fenntartása érdekében elengedhetetlen a három legújabb verzió használata . Továbbá a rendszer lehetővé teszi a passzív módot , ami azt jelenti, hogy a Defender más, harmadik féltől származó víruskereső szoftverekkel is együtt tud működni ütközés nélkül, egyszerűen megfigyelheti és jelentheti az automatikus blokkolás nélkül.
Ez a megoldás a Linux biztonságot kezelhető és professzionális megoldássá alakítja, kiküszöbölve a vállalati infrastruktúra vakfoltjait. Az eBPF -alapú architektúra és a központosított felhőalapú felügyelet kombinálásával a Microsoft biztosítja a szerverek és munkaállomások egységes és hatékony védelmét, amely képes mindent megállítani az egyszerű rosszindulatú programoktól a fejlett, állandó fenyegetésekig.