- היא מיישמת ארכיטקטורה קלת משקל המבוססת על eBPF שנמנעת ממודולי ליבה כדי למזער את ההשפעה על הביצועים.
- הוא מציע הגנה מקיפה באמצעות EDR, אנטי-וירוס מהדור הבא וניהול פגיעויות מבוסס בינה מלאכותית.
- זה תואם להפצות ארגוניות גדולות כגון Ubuntu, RHEL, Debian ו-SUSE על ארכיטקטורות x64 ו-ARM64.
- דורש רישיונות ארגוניים של Microsoft Defender עבור Endpoint Plan 2 או מנויי Microsoft 365 E5/E7.
סביר להניח ששמתם לב שמערכת האבטחה של מיקרוסופט עשתה קפיצת מדרגה משמעותית. זה כבר לא רק הגנה על Windows; הם פרסו כלי רב עוצמה בשם Microsoft Defender for Endpoint, שתוכנן במיוחד עבור סביבת לינוקס. המעניין ביותר הוא שבעוד שרבים רואים בו בדיקת אבטחה ארגונית פשוטה, הכלי התפתח כדי לכסות הכל, החל משרתי הענן החזקים ביותר ועד למחשב הנייד של מפתח שעובד מהבית, ובכך מאחד את כל מערכת האבטחה הטכנולוגית תחת פקודה אחת.
המהלך פשוט אך שאפתני: מיקרוסופט רוצה לשחרר עסקים מהתעסקות עם עשרה כלים שונים. על ידי שילוב לינוקס בפלטפורמת ה- XDR (Extended Detection and Response) שלה , הם מאפשרים למנהל אבטחה לראות מה קורה במכונה וירטואלית של Azure, בשרת פיזי שבו פועל Red Hat או במחשב שולחני שבו פועל Ubuntu, והכל מלוח מחוונים מאוחד . בואו נבחן מקרוב כיצד מערכת זו פועלת, אילו מכונות היא תומכת וכיצד להפעיל אותה בצורה חלקה.
מה מסתתר מתחת למכסה המנוע? פונקציונליות ויכולות
בניגוד לתוכנות אנטי-וירוס מסורתיות שלפעמים יכולות להרגיש כמו נטל על המערכת, Defender על לינוקס משתמש בארכיטקטורת חיישנים קלת משקל המבוססת על eBPF (מסנן חבילות ברקלי מורחב) . זה קריטי מכיוון שזה אומר שאין צורך להתקין מודולי ליבה, מה שמפחית באופן דרסטי את האפשרות לקריסות מערכת וממזער את ההשפעה על ביצועי המכונה.
המערכת מחולקת בעיקרון לשלושה בלוקים עיקריים של הגנה. ראשית, ישנה הגנה מהדור הבא , שלא רק מחפשת חתימות וירוסים ישנות, אלא משתמשת בלמידת מכונה וניתוח התנהגותי כדי לחסום תוכנות זדוניות בזמן אמת. אם תהליך מתחיל להתנהג בצורה מוזרה הדומה למתקפת כופר , המערכת עוצרת אותו במקום.
שנית, EDR נכנס לתמונה. כאן הדברים מתחילים להיות רציניים, שכן המערכת מנטרת פעילות כדי לזהות התקפות ללא קבצים או הזריקות זיכרון. הודות למודיעין האיומים של מיקרוסופט והתאמה למסגרת MITRE ATT&CK , אנליסטים יכולים לראות את ציר הזמן המדויק של מתקפה ולהגיב באופן דינמי, בין אם על ידי מחיקת קובץ חשוד או על ידי הפעלת סקריפטים לתיקון מרחוק.
לבסוף, יש ניהול חשיפות. Defender סורק את המערכת לאיתור פגיעויות תוכנה ותצורות שגויות. במקום שהמנהל יצטרך לבדוק ידנית כל CVE, הכלי מתעדף סיכונים כך שתדעו מה לתקן קודם כדי להפחית את משטח ההתקפה.
ציוד תואם ודרישות טכניות
לא כל הפצות לינוקס עובדות, אבל הרשימה די ארוכה. מיקרוסופט הפכה כל הפצה שפועלת על שרת לתואמת גם לשולחן העבודה של לינוקס (אם כי האחרון עדיין נמצא בתצוגה מקדימה ציבורית). זה חיוני למתכנתים, שלעתים קרובות מטפלים בהרשאות גבוהות ומהווים מטרה עיקרית להאקרים.
- חלוקות מקובלות: זה כולל מערכות הפעלה כבדות כמו Red Hat Enterprise Linux (RHEL), CentOS, Ubuntu LTS (מ-16.04 עד 24.04 ומעלה), Debian, SUSE Linux Enterprise, Oracle Linux, Fedora, Rocky Linux, Alma Linux ו-Mariner.
- ארכיטקטורות: זה תומך בשני המעבדים x64 (AMD64/EM64T) כמו המודרניים ביותר ARM64.
- סביבות גרפיות: לא משנה אם אתם משתמשים ב-GNOME, KDE או כל מערכת אחרת; מה שחשוב הוא בסיס המערכת וגרסת ה- גרעין.
באשר לחומרה, היא לא תובענית מדי. כדי שהסוכן יפעל בצורה חלקה, אתם זקוקים לליבה אחת של המעבד לפחות , 1 ג'יגה-בייט של זיכרון RAM, וכ-2 ג'יגה-בייט של שטח דיסק. עם זאת, אם יש לכם עומס עבודה כבד מאוד, מומלץ להגדיל ערכים אלה כדי להימנע מצווארי בקבוק. בצד התוכנה, חיוני שהמערכת תשתמש ב-systemd כמנהל המערכת, ואם אתם רוצים להשתמש בבידוד התקנים, עליכם להגדיר iptables או nftables.
מערכות קבצים ורשת
הגנה בזמן אמת וסריקות (מהירות או מלאות) פועלות על רוב מערכות הקבצים הנפוצות. עם זאת, קיימת רשימה מורחבת לסריקות מותאמות אישית הכוללת אפשרויות כגון btrfs, ext2, ext3, ext4, xfs, nfs (v3 ו-v4), ואף מערכות ספציפיות יותר כמו glusterfs או ocfs2.
כדי שהסוכן יוכל לדווח על איומים לפורטל של מיקרוסופט, הוא זקוק לחיבור חלק לענן . זה כרוך בהגדרה נכונה של חומות אש, ואם החברה משתמשת בפרוקסי, הפעלת זיהוי פרוקסי סטטי כך שתעבורה אנונימית לכתובות URL של מיקרוסופט לא תיחסם.
איך להפעיל את זה: שיטות פריסה
התקנת Defender אינה פשוטה כמו לחיצה על כפתור "הבא", מכיוון שמדובר בכלי ברמת הארגון. בעוד שהתקנה ידנית אפשרית, עבור פריסות גדולות, מומלץ להשתמש בכלי הפריסה או במנהלי תצורה כמו Puppet, Ansible או Chef.
אם תבחרו בדרך הידנית, התהליך משתנה בהתאם להפצה שלכם. במערכות מבוססות RHEL, תשתמשו ב-dnf או ב-yum כדי להוסיף את מאגר Microsoft ולהתקין את חבילת mdatp . באובונטו או דביאן, התהליך כרוך בשימוש ב- apt , הגדרת רשימת המאגרים ומפתחות ה-GPG המתאימים.
לאחר התקנת התוכנה, מגיע השלב המכריע: קליטהעליך להוריד חבילה מפורטל Microsoft Defender ולהפעיל סקריפט Python (בדרך כלל MicrosoftDefenderATPOnboardingLinuxServer.py) עם הרשאות root. כדי לוודא שהכל פועל כראוי, ניתן להשתמש בפקודה mdatp healthאשר יגיד לך אם הסוכן הוא בריא ובעל רישיון.
רישוי וניהול תפעולי
חשוב להבהיר שזה לא מתנה למשתמשים ביתיים. כדי להשתמש ב-Defender על לינוקס, אתם זקוקים לרישיון תאגידי, ספציפית ל- Microsoft Defender for Endpoint Plan 2 , או מנוי לתוכנית מקיפה יותר כמו Microsoft 365 E5 או E7.
הניהול מתבצע מהענן, שם ניתן להגדיר אי הכללות של אנטי-וירוס כדי למנוע מהסורק להאט יישומים קריטיים. עדכוני הפלטפורמה מתבצעים מדי חודש, וחיוני להישאר עם שלוש הגרסאות האחרונות כדי לשמור על התמיכה. יתר על כן, המערכת מאפשרת מצב פסיבי , כלומר Defender יכול להתקיים יחד עם תוכנות אנטי-וירוס אחרות של צד שלישי ללא התנגשות, פשוט לצפות ולדווח ללא חסימה אוטומטית.
פתרון זה הופך את אבטחת לינוקס לפתרון מקצועי ובר-ניהול, תוך ביטול נקודות מתות בתשתית הארגונית. על ידי שילוב של ארכיטקטורה מבוססת eBPF עם ניהול ענן מרכזי, מיקרוסופט מבטיחה הגנה עקבית ויעילה לשרתים ותחנות עבודה, המסוגלת לעצור הכל, החל מתוכנות זדוניות פשוטות ועד איומים מתמשכים מתקדמים.