- 이 시스템은 성능에 미치는 영향을 최소화하기 위해 커널 모듈을 사용하지 않는 eBPF 기반의 경량 아키텍처를 구현합니다.
- 이 시스템은 EDR, 차세대 안티바이러스 및 AI 기반 취약점 관리를 통해 포괄적인 보호 기능을 제공합니다.
- 이 운영체제는 x64 및 ARM64 아키텍처에서 Ubuntu, RHEL, Debian, SUSE와 같은 주요 기업용 배포판과 호환됩니다.
- Microsoft Defender for Endpoint Plan 2 기업용 라이선스 또는 Microsoft 365 E5/E7 구독이 필요합니다.
마이크로소프트의 보안 생태계가 눈에 띄게 발전했다는 것을 아마 눈치채셨을 겁니다. 이제 단순히 윈도우를 보호하는 데 그치지 않고, 리눅스 환경에 특화된 강력한 도구인 Microsoft Defender for Endpoint를 출시했습니다 . 가장 흥미로운 점은 많은 사람들이 이 도구를 단순한 기업 보안 점검 도구로 생각하지만, 가장 강력한 클라우드 서버부터 재택근무하는 개발자의 노트북에 이르기까지 모든 것을 포괄하도록 발전하여 전체 기술 생태계를 하나의 명령으로 통합한다는 것입니다.
이번 조치는 간단하면서도 야심적입니다. 마이크로소프트는 기업들이 서로 다른 10가지 도구를 사용하는 번거로움에서 벗어나도록 지원하고자 합니다. 리눅스를 자사의 XDR(확장 탐지 및 대응) 플랫폼에 통합함으로써 , 보안 관리자는 Azure 가상 머신, Red Hat이 설치된 물리적 서버, 또는 Ubuntu가 설치된 데스크톱 컴퓨터에서 발생하는 모든 상황을 통합 대시 보드에서 확인할 수 있습니다. 이 시스템이 어떻게 작동하는지, 어떤 기기를 지원하는지, 그리고 원활하게 실행하는 방법을 자세히 살펴보겠습니다.
내부 구성 요소는 무엇일까요? 기능 및 성능은 어떻게 될까요?
기존의 안티바이러스 프로그램은 시스템에 부담을 줄 수 있는 경우가 있는 반면, Linux용 Defender는 eBPF(확장 버클리 패킷 필터) 기반의 경량 센서 아키텍처를 사용합니다 . 이는 커널 모듈을 설치할 필요가 없다는 것을 의미하며, 시스템 충돌 가능성을 크게 줄이고 시스템 성능 에 미치는 영향을 최소화합니다.
이 시스템은 기본적으로 세 가지 주요 방어 블록으로 나뉩니다. 첫째, 차세대 보호 기능 은 기존 바이러스 시그니처를 찾는 데 그치지 않고 머신 러닝과 행동 분석을 활용하여 악성코드를 실시간으로 차단합니다. 프로세스가 랜섬웨어 공격과 유사한 비정상적인 동작을 보이기 시작하면 시스템이 즉시 차단합니다.
둘째로, EDR(End-Defense Recovery)이 중요한 역할을 합니다. 이 시스템은 파일리스 공격 이나 메모리 주입 공격과 같은 위협 행위를 감지하기 위해 활동을 모니터링합니다. 마이크로소프트의 위협 인텔리전스와 MITRE ATT&CK 프레임워크와의 연동 덕분 에 분석가는 공격의 정확한 시간 순서를 파악하고 의심스러운 파일을 삭제하거나 원격으로 복구 스크립트를 실행하는 등 동적으로 대응할 수 있습니다.
마지막으로 노출 관리 기능이 있습니다. Defender는 시스템에서 소프트웨어 취약점 과 잘못된 구성을 검사합니다. 관리자가 각 CVE를 수동으로 검토하는 대신, 이 도구는 위험 우선순위를 지정하여 공격 표면을 줄이기 위해 어떤 부분을 먼저 패치해야 하는지 알려줍니다.
호환 장비 및 기술 요구 사항
모든 리눅스 배포판이 호환되는 것은 아니지만, 호환되는 배포판 목록은 상당히 광범위합니다. 마이크로소프트는 서버에서 실행되는 모든 리눅스 배포판을 데스크톱 버전 과도 호환되도록 만들었습니다(데스크톱 버전은 아직 공개 미리보기 단계입니다). 이는 높은 권한을 다루는 경우가 많고 해커의 주요 공격 대상이 되는 프로그래머에게 매우 중요합니다 .
- 허용되는 배포판: 여기에는 Red Hat Enterprise Linux(RHEL), CentOS, Ubuntu LTS(16.04부터 24.04 이상까지), Debian, SUSE Linux Enterprise, Oracle Linux, Fedora, Rocky Linux, Alma Linux 및 Mariner와 같은 주요 배포판이 포함됩니다.
- 아키텍처: 이 제품은 두 가지 프로세서를 모두 지원합니다. x64 (AMD64/EM64T) 가장 최신 제품들처럼 ARM64.
- 그래픽 환경: GNOME, KDE 또는 다른 어떤 웹 브라우저를 사용하든 상관없습니다. 중요한 것은 시스템 기반과 해당 브라우저의 버전입니다. 커널.
하드웨어 요구 사양은 그리 높지 않습니다. 에이전트가 원활하게 실행되려면 최소 CPU 코어 1개 , RAM 1GB, 디스크 공간 약 2GB가 필요합니다. 하지만 작업 부하가 매우 큰 경우에는 병목 현상을 방지하기 위해 이러한 값을 늘리는 것이 좋습니다. 소프트웨어 측면에서는 시스템 관리자로 systemd 를 사용하는 것이 필수적이며 , 장치 격리를 사용하려면 iptables 또는 nftables를 구성해야 합니다.
파일 시스템 및 네트워크
실시간 보호 및 검사(빠른 검사 또는 전체 검사)는 대부분의 일반적인 파일 시스템에서 작동합니다. 또한 btrfs, ext2, ext3, ext4, xfs, nfs(v3 및 v4)는 물론 glusterfs 또는 ocfs2 와 같은 더욱 세분화된 시스템을 포함하는 확장된 사용자 지정 검사 옵션도 제공됩니다.
에이전트가 Microsoft 포털에 위협을 보고하려면 클라우드에 원활하게 연결 되어야 합니다 . 이를 위해서는 방화벽을 올바르게 구성하고, 회사에서 프록시를 사용하는 경우 Microsoft URL로의 익명 트래픽이 차단되지 않도록 정적 프록시 감지를 활성화해야 합니다.
실행 방법: 배포 방법
Windows Defender 설치는 단순히 "다음" 버튼을 클릭하는 것처럼 간단하지 않습니다. 기업 수준의 도구이기 때문입니다. 수동 설치도 가능하지만, 대규모 배포의 경우 배포 도구 또는 Puppet, Ansible, Chef와 같은 구성 관리 도구를 사용하는 것이 좋습니다.
수동으로 설치하는 경우, 배포판에 따라 과정이 다릅니다. RHEL 기반 시스템에서는 dnf 또는 yum을 사용하여 Microsoft 저장소를 추가하고 mdatp 패키지를 설치합니다 . Ubuntu 또는 Debian에서는 apt를 사용하여 저장소 목록과 해당 GPG 키를 구성합니다.
소프트웨어 설치가 완료되면 중요한 단계가 이어집니다. 온보딩Microsoft Defender 포털에서 패키지를 다운로드하고 Python 스크립트(일반적으로)를 실행해야 합니다. MicrosoftDefenderATPOnboardingLinuxServer.py루트 권한으로 실행하세요. 모든 것이 제대로 작동하는지 확인하려면 다음 명령어를 사용하세요. mdatp health그러면 에이전트가 누구인지 알 수 있습니다. 건강하고 면허를 소지한.
라이선스 및 운영 관리
이는 일반 가정 사용자를 위한 무료 서비스가 아니라는 점을 명확히 해야 합니다. Linux에서 Defender를 사용하려면 기업용 라이선스, 특히 Microsoft Defender for Endpoint Plan 2 또는 Microsoft 365 E5 또는 E7 과 같은 더 포괄적인 플랜 구독이 필요합니다.
클라우드 기반 관리 기능을 통해 안티바이러스 제외 항목을 구성하여 중요 애플리케이션의 속도 저하를 방지할 수 있습니다. 플랫폼 업데이트는 매달 진행되며, 지원을 유지하려면 최신 3가지 버전을 모두 사용하는 것이 중요합니다 . 또한, 이 시스템은 패시브 모드를 지원 하여 Defender가 다른 타사 안티바이러스 소프트웨어와 충돌 없이 공존할 수 있도록 합니다. 패시브 모드는 안티바이러스 소프트웨어가 자동으로 차단하지 않고 단순히 감시 및 보고만 수행합니다.
이 솔루션은 Linux 보안을 관리하기 쉽고 전문적인 솔루션으로 전환하여 기업 인프라의 사각지대를 제거합니다. Microsoft는 eBPF 기반 아키텍처와 중앙 집중식 클라우드 관리를 결합하여 서버와 워크스테이션에 일관되고 효율적인 보호 기능을 제공하며, 단순한 맬웨어부터 고도화된 지속적 위협 (APT)까지 모든 위협을 차단할 수 있습니다.