- パフォーマンスへの影響を最小限に抑えるため、カーネルモジュールを使用しないeBPFベースの軽量アーキテクチャを採用している。
- EDR（イベント検出・対応）、次世代ウイルス対策、AIベースの脆弱性管理を通じて、包括的な保護を提供します。
- x64およびARM64アーキテクチャ上のUbuntu、RHEL、Debian、SUSEなどの主要なエンタープライズ向けディストリビューションと互換性があります。
- Microsoft Defender for Endpoint Plan 2の法人向けライセンス、またはMicrosoft 365 E5/E7サブスクリプションが必要です。
マイクロソフトのセキュリティエコシステムが飛躍的に進化していることに、既にお気づきの方も多いでしょう。もはやWindowsの保護だけにとどまらず、Linux環境向けに特別に設計された強力なツール「Microsoft Defender for Endpoint」を展開しています。多くの人が単なる企業セキュリティチェックと捉えている一方で、このツールは最も堅牢なクラウドサーバーから自宅で作業する開発者のノートパソコンまで、あらゆるものを網羅するように進化し、テクノロジーエコシステム全体を単一のコマンドで統合できるようになった点が、最も興味深いところです。
この取り組みはシンプルながらも野心的です。マイクロソフトは、企業が10種類もの異なるツールを使い分ける手間を省きたいと考えています。LinuxをXDR（Extended Detection and Response）プラットフォームに統合することで、セキュリティ管理者は、Azure仮想マシン、Red Hatを実行している物理サーバー、Ubuntuを実行しているデスクトップコンピュータなど、あらゆる環境で何が起こっているかを、統一されたダッシュボードから確認できるようになります。このシステムの仕組み、サポートされるマシン、そしてスムーズに運用を開始する方法について、詳しく見ていきましょう。
内部構造はどうなっているのか？機能性と性能
従来のウイルス対策プログラムはシステムに負担をかけることがありますが、Linux版DefenderはeBPF（拡張バークレーパケットフィルタ）に基づいた軽量なセンサーアーキテクチャを採用しています。これは、カーネルモジュールをインストールする必要がないため、システムクラッシュの可能性を大幅に低減し、マシンのパフォーマンスへの影響を最小限に抑える上で非常に重要です。
このシステムは基本的に3つの主要な防御ブロックに分かれています。まず、次世代保護機能があり、これは古いウイルスシグネチャを探すだけでなく、機械学習と行動分析を用いてマルウェアをリアルタイムでブロックします。プロセスがランサムウェア攻撃に似た異常な動作を始めた場合、システムはそれを即座に停止させます。
次に、EDR（イベント検出・対応）が重要な役割を果たします。EDRは、ファイルレス攻撃やメモリインジェクションを検出するためにアクティビティを監視するため、ここからが本番です。マイクロソフトの脅威インテリジェンスとMITRE ATT&CKフレームワークとの連携により、アナリストは攻撃の正確なタイムラインを把握し、疑わしいファイルを削除したり、リモートで修復スクリプトを実行したりするなど、動的に対応できます。
最後に、リスク管理について説明します。Defenderはシステムをスキャンして、ソフトウェアの脆弱性や設定ミスを検出します。管理者が各CVEを手動で確認する代わりに、このツールはリスクに優先順位を付けて、攻撃対象領域を縮小するために最初にパッチを適用すべき箇所を特定します。
互換性のある機器と技術要件
すべてのLinuxディストリビューションが動作するわけではありませんが、対応ディストリビューションはかなり豊富です。Microsoftは、サーバー上で動作するすべてのディストリビューションをLinuxデスクトップ版とも互換性を持たせています（ただし、デスクトップ版はまだパブリックプレビュー段階です）。これは、高い権限を扱うことが多く、ハッカーの格好の標的となるプログラマーにとって非常に重要です。
- 受け入れられる分布: これには、Red Hat Enterprise Linux (RHEL)、CentOS、Ubuntu LTS (16.04から24.04以降)、Debian、SUSE Linux Enterprise、Oracle Linux、Fedora、Rocky Linux、Alma Linux、Marinerといった有力なディストリビューションが含まれます。
- アーキテクチャ: 両方のプロセッサに対応しています x64 (AMD64/EM64T) 最新のもののように ARM64.
- グラフィカル環境： GNOME、KDE、その他どれを使用しても構いません。重要なのはシステムベースとバージョンです。 kernel.
ハードウェアに関しては、それほど高い要求はありません。エージェントをスムーズに動作させるには、少なくとも1つのCPUコア、1GBのRAM、および約2GBのディスク容量が必要です。ただし、ワークロードが非常に重い場合は、ボトルネックを避けるためにこれらの値を増やすことをお勧めします。ソフトウェア面では、システムがシステムマネージャとしてsystemdを使用していることが不可欠であり、デバイス分離を使用する場合は、iptablesまたはnftablesが設定されている必要があります。
ファイルシステムとネットワーク
リアルタイム保護とスキャン（クイックまたはフル）は、一般的なファイルシステムのほとんどで動作します。ただし、カスタムスキャン用の拡張リストがあり、btrfs、ext2、ext3、ext4、xfs、nfs（v3およびv4）などのオプションに加え、glusterfsやocfs2といったより特殊なシステムも含まれています。
エージェントが脅威をMicrosoftポータルに報告するには、クラウドへのシームレスな接続が必要です。これには、ファイアウォールの適切な設定、および企業がプロキシを使用している場合は、Microsoft URLへの匿名トラフィックがブロックされないように静的プロキシ検出を有効にすることが含まれます。
セットアップ方法：導入方法
Defenderのインストールは、エンタープライズレベルのツールであるため、「次へ」ボタンをクリックするほど簡単ではありません。手動でのインストールも可能ですが、大規模な展開の場合は、展開ツールや、 Puppet、Ansible、Chefなどの構成管理ツールを使用することをお勧めします。
手動でインストールする場合、手順はディストリビューションによって異なります。RHELベースのシステムでは、dnfまたはyumを使用してMicrosoftリポジトリを追加し、mdatpパッケージをインストールします。UbuntuまたはDebianでは、aptを使用してリポジトリリストと対応するGPGキーを設定します。
ソフトウェアがインストールされたら、重要なステップが続きます。 オンボーディングMicrosoft Defender ポータルからパッケージをダウンロードし、Python スクリプトを実行する必要があります (通常は MicrosoftDefenderATPOnboardingLinuxServer.py）root権限で実行します。すべてが正しく動作していることを確認するには、次のコマンドを使用できます。 mdatp healthエージェントが 健康で認可済み.
ライセンス取得および運営管理
これは家庭ユーザー向けの無料提供ではないことを明確にしておくことが重要です。LinuxでDefenderを使用するには、企業ライセンス、具体的にはMicrosoft Defender for Endpoint Plan 2 、またはMicrosoft 365 E5やE7のようなより包括的なプランのサブスクリプションが必要です。
管理はクラウド上で行われ、重要なアプリケーションの動作速度低下を防ぐために、ウイルス対策ソフトの除外設定を行うことができます。プラットフォームのアップデートは毎月行われ、サポートを維持するためには常に最新の3バージョンを使用することが不可欠です。さらに、このシステムはパッシブモードに対応しており、Defenderは他のサードパーティ製ウイルス対策ソフトと競合することなく共存し、自動的にブロックすることなく監視と報告のみを行います。
このソリューションは、 Linuxセキュリティを管理しやすくプロフェッショナルなソリューションへと変革し、企業インフラにおける盲点を解消します。eBPFベースのアーキテクチャと集中型クラウド管理を組み合わせることで、Microsoftはサーバーとワークステーションを常に効率的かつ一貫して保護し、単純なマルウェアから高度な持続的脅威まで、あらゆる脅威を阻止します。