- Implementa un'architettura leggera basata su eBPF che evita i moduli del kernel per ridurre al minimo l'impatto sulle prestazioni.
- Offre una protezione completa grazie a EDR, antivirus di nuova generazione e gestione delle vulnerabilità basata sull'intelligenza artificiale.
- È compatibile con le principali distribuzioni aziendali come Ubuntu, RHEL, Debian e SUSE su architetture x64 e ARM64.
- Richiede licenze aziendali Microsoft Defender for Endpoint Plan 2 o abbonamenti Microsoft 365 E5/E7.
Avrete probabilmente notato che l'ecosistema di sicurezza di Microsoft ha fatto un notevole passo avanti. Non si tratta più solo di proteggere Windows; l'azienda ha infatti implementato un potente strumento chiamato Microsoft Defender for Endpoint, progettato specificamente per l'ambiente Linux. L'aspetto più interessante è che, sebbene molti lo considerino un semplice controllo di sicurezza aziendale, lo strumento si è evoluto fino a coprire qualsiasi cosa, dai server cloud più robusti al laptop di uno sviluppatore che lavora da casa, unificando così l'intero ecosistema tecnologico sotto un unico comando.
La mossa è semplice ma ambiziosa: Microsoft vuole liberare le aziende dalla necessità di gestire dieci strumenti diversi. Integrando Linux nella sua piattaforma XDR (Extended Detection and Response) , consente a un amministratore della sicurezza di monitorare ciò che accade su una macchina virtuale Azure, un server fisico con Red Hat o un computer desktop con Ubuntu, il tutto da una dashboard unificata . Analizziamo più da vicino il funzionamento di questo sistema, le macchine supportate e come configurarlo e avviarlo senza problemi.
Cosa si nasconde sotto il cofano? Funzionalità e capacità
A differenza dei tradizionali programmi antivirus che a volte possono risultare un peso per il sistema, Defender su Linux utilizza un'architettura di sensori leggera basata su eBPF (Extended Berkeley Packet Filter) . Questo è fondamentale perché significa che non è necessario installare moduli del kernel, riducendo drasticamente la possibilità di arresti anomali del sistema e minimizzando l' impatto sulle prestazioni della macchina.
Il sistema è sostanzialmente suddiviso in tre blocchi di difesa principali. Innanzitutto, c'è la protezione di nuova generazione , che non si limita a cercare vecchie firme virali, ma utilizza l'apprendimento automatico e l'analisi comportamentale per bloccare il malware in tempo reale. Se un processo inizia a comportarsi in modo anomalo, simile a un attacco ransomware , il sistema lo blocca immediatamente.
In secondo luogo, entra in gioco l'EDR. È qui che le cose si fanno serie, poiché il sistema monitora l'attività per rilevare attacchi senza file o iniezioni di memoria. Grazie alla threat intelligence di Microsoft e all'allineamento con il framework MITRE ATT&CK , gli analisti possono visualizzare la cronologia esatta di un attacco e rispondere in modo dinamico, eliminando un file sospetto o eseguendo da remoto script di correzione.
Infine, c'è la gestione dell'esposizione. Defender analizza il sistema alla ricerca di vulnerabilità del software e configurazioni errate. Invece di dover esaminare manualmente ogni CVE, lo strumento assegna una priorità ai rischi, in modo da sapere quali patch applicare per prime per ridurre la superficie di attacco.
Apparecchiature compatibili e requisiti tecnici
Non tutte le distribuzioni Linux sono compatibili, ma l'elenco è piuttosto lungo. Microsoft ha reso compatibili con l' ambiente desktop Linux tutte le distribuzioni che funzionano su server (sebbene quest'ultimo sia ancora in anteprima pubblica). Questo è fondamentale per i programmatori, che spesso gestiscono privilegi elevati e sono un bersaglio privilegiato per gli hacker.
- Distribuzioni accettate: Include sistemi operativi di punta come Red Hat Enterprise Linux (RHEL), CentOS, Ubuntu LTS (dalla versione 16.04 alla 24.04 e successive), Debian, SUSE Linux Enterprise, Oracle Linux, Fedora, Rocky Linux, Alma Linux e Mariner.
- Architetture: Supporta entrambi i processori x64 (AMD64/EM64T) come quelli più moderni ARM64.
- Ambienti grafici: Non importa se usi GNOME, KDE o qualsiasi altro; ciò che conta è la base del sistema e la versione del Kernel.
Per quanto riguarda l'hardware, non è eccessivamente esigente. Per un funzionamento fluido dell'agente, sono necessari almeno un core della CPU , 1 GB di RAM e circa 2 GB di spazio su disco. Tuttavia, in caso di carichi di lavoro molto elevati, è consigliabile aumentare questi valori per evitare colli di bottiglia. Lato software, è fondamentale che il sistema utilizzi systemd come gestore di sistema e, se si desidera utilizzare l'isolamento dei dispositivi, è necessario configurare iptables o nftables.
File system e reti
La protezione in tempo reale e le scansioni (rapide o complete) funzionano sulla maggior parte dei file system più comuni. Tuttavia, è disponibile un elenco esteso per le scansioni personalizzate che include opzioni come btrfs, ext2, ext3, ext4, xfs, nfs (v3 e v4) e persino sistemi più specifici come glusterfs o ocfs2.
Affinché l'agente possa segnalare le minacce al portale Microsoft, è necessaria una connettività senza interruzioni al cloud . Ciò implica la corretta configurazione dei firewall e, se l'azienda utilizza un proxy, l'attivazione del rilevamento statico del proxy in modo che il traffico anonimo verso gli URL Microsoft non venga bloccato.
Come avviarlo e renderlo operativo: Metodi di implementazione
Installare Defender non è semplice come cliccare su un pulsante "Avanti", poiché si tratta di uno strumento di livello enterprise. Sebbene sia possibile l'installazione manuale, per implementazioni su larga scala si consiglia di utilizzare lo strumento di distribuzione o gestori di configurazione come Puppet, Ansible o Chef.
Se si sceglie la procedura manuale, il processo varia a seconda della distribuzione. Sui sistemi basati su RHEL, si utilizzano dnf o yum per aggiungere il repository Microsoft e installare il pacchetto mdatp . Su Ubuntu o Debian, il processo prevede l'utilizzo di apt , la configurazione dell'elenco dei repository e delle relative chiavi GPG.
Una volta installato il software, arriva il passaggio cruciale: l' onboardingÈ necessario scaricare un pacchetto dal portale Microsoft Defender ed eseguire uno script Python (di solito MicrosoftDefenderATPOnboardingLinuxServer.py) con privilegi di root. Per verificare che tutto funzioni correttamente, è possibile utilizzare il comando mdatp healthche ti dirà se l'agente è sano e autorizzato.
Gestione delle licenze e delle operazioni
È importante chiarire che non si tratta di un'offerta gratuita per gli utenti domestici. Per utilizzare Defender su Linux, è necessaria una licenza aziendale, nello specifico Microsoft Defender per Endpoint Piano 2 , oppure un abbonamento a un piano più completo come Microsoft 365 E5 o E7.
La gestione avviene tramite cloud, dove è possibile configurare le esclusioni antivirus per evitare che lo scanner rallenti le applicazioni critiche. Gli aggiornamenti della piattaforma sono mensili ed è fondamentale rimanere aggiornati alle ultime tre versioni per mantenere il supporto. Inoltre, il sistema consente la modalità passiva , il che significa che Defender può coesistere con altri software antivirus di terze parti senza entrare in conflitto, limitandosi a osservare e segnalare le minacce senza bloccare automaticamente il sistema.
Questa soluzione trasforma la sicurezza Linux in una soluzione gestibile e professionale, eliminando i punti ciechi nell'infrastruttura aziendale. Combinando un'architettura basata su eBPF con la gestione centralizzata del cloud, Microsoft garantisce una protezione coerente ed efficiente per server e workstation, in grado di bloccare qualsiasi minaccia, dai malware più semplici alle minacce persistenti più avanzate.