- Jis įgyvendina lengvą architektūrą, pagrįstą eBPF, kuri vengia branduolio modulių, kad sumažintų poveikį našumui.
- Jis siūlo išsamią apsaugą per EDR, naujos kartos antivirusinę programą ir dirbtiniu intelektu pagrįstą pažeidžiamumų valdymą.
- Jis suderinamas su pagrindiniais įmonių platinimais, tokiais kaip „Ubuntu“, RHEL, „Debian“ ir „SUSE“ x64 ir ARM64 architektūrose.
- Reikalinga „Microsoft Defender for Endpoint Plan 2“ įmonės licencija arba „Microsoft 365 E5/E7“ prenumerata.
Tikriausiai pastebėjote, kad „Microsoft“ saugumo ekosistema žengė didelį žingsnį į priekį. Tai nebėra vien „Windows“ apsauga; jie įdiegė galingą įrankį pavadinimu „Microsoft Defender for Endpoint“, specialiai sukurtą „Linux“ aplinkai. Įdomiausia tai, kad nors daugelis jį laiko paprastu įmonės saugumo patikrinimu, šis įrankis išsivystė ir apima viską – nuo patikimiausių debesijos serverių iki iš namų dirbančio kūrėjo nešiojamojo kompiuterio, taip sujungiant visą technologijų ekosistemą į vieną komandą.
Šis žingsnis paprastas, bet ambicingas: „Microsoft“ nori išlaisvinti įmones nuo dešimties skirtingų įrankių naudojimo. Integruodama „Linux“ į savo XDR (išplėstinio aptikimo ir reagavimo) platformą , ji leidžia saugumo administratoriui matyti, kas vyksta „Azure“ virtualioje mašinoje, fiziniame serveryje su „Red Hat“ arba staliniame kompiuteryje su „Ubuntu“ – visa tai iš vieningos ataskaitų suvestinės . Panagrinėkime atidžiau, kaip ši sistema veikia, kurias mašinas ji palaiko ir kaip ją sklandžiai įdiegti.
Kas slypi po gaubtu? Funkcionalumas ir galimybės
Skirtingai nuo tradicinių antivirusinių programų, kurios kartais gali atrodyti kaip našta sistemai, „Defender“ „Linux“ sistemoje naudoja lengvą jutiklių architektūrą, pagrįstą eBPF (išplėstiniu Berkeley paketų filtru) . Tai labai svarbu, nes reiškia, kad jai nereikia diegti branduolio modulių, todėl smarkiai sumažėja sistemos gedimų tikimybė ir poveikis kompiuterio našumui.
Sistema iš esmės suskirstyta į tris pagrindinius gynybos blokus. Pirma, yra naujos kartos apsauga , kuri ne tik ieško senų virusų parašų, bet ir naudoja mašininį mokymąsi bei elgsenos analizę, kad realiuoju laiku blokuotų kenkėjiškas programas. Jei procesas pradeda elgtis keistai, panašiai kaip išpirkos reikalaujančios programinės įrangos ataka , sistema jį sustabdo.
Antra, į pagalbą ateina EDR. Čia viskas pasidaro rimčiau, nes sistema stebi veiklą, kad aptiktų atakas be failų arba atminties injekcijas. Dėl „Microsoft“ grėsmių žvalgybos ir suderinamumo su MITRE ATT&CK sistema analitikai gali matyti tikslų atakos laiko grafiką ir dinamiškai reaguoti, ištrindami įtartiną failą arba nuotoliniu būdu paleisdami taisomuosius scenarijus.
Galiausiai, yra poveikio valdymas. „Defender“ nuskaito sistemą, ieškodama programinės įrangos pažeidžiamumų ir netinkamų konfigūracijų. Vietoj to, kad administratorius rankiniu būdu peržiūrėtų kiekvieną CVE, įrankis suskirsto rizikas pagal prioritetus, kad žinotumėte, ką pirmiausia pataisyti, siekiant sumažinti atakų paviršių.
Suderinama įranga ir techniniai reikalavimai
Ne visi „Linux“ distribucijos veikia, tačiau sąrašas yra gana platus. „Microsoft“ padarė bet kurią distribuciją, kuri veikia serveriuose, suderinamą ir su „Linux“ darbalaukiu (nors pastaroji vis dar yra viešoje peržiūros versijoje). Tai gyvybiškai svarbu programuotojams, kurie dažnai naudojasi didelėmis privilegijomis ir yra pagrindinis įsilaužėlių taikinys.
- Priimtini paskirstymai: Tai apima tokias sunkiasvores kaip „Red Hat Enterprise Linux“ (RHEL), „CentOS“, „Ubuntu LTS“ (nuo 16.04 iki 24.04 ir naujesnių versijų), „Debian“, „SUSE Linux Enterprise“, „Oracle Linux“, „Fedora“, „Rocky Linux“, „Alma Linux“ ir „Mariner“.
- Architektūros: Palaiko abu procesorius x64 (AMD64/EM64T) kaip ir patys moderniausi ARM64.
- Grafinės aplinkos: Nesvarbu, ar naudojate GNOME, KDE ar bet kurią kitą; svarbu yra sistemos bazė ir programos versija. branduolys.
Kalbant apie aparatinę įrangą, ji nėra pernelyg sudėtinga. Kad agentas veiktų sklandžiai, reikia bent vieno procesoriaus branduolio , 1 GB RAM ir apie 2 GB vietos diske. Tačiau jei turite labai didelį darbo krūvį, patartina padidinti šias vertes, kad išvengtumėte kliūčių. Kalbant apie programinę įrangą, labai svarbu, kad sistema kaip sistemos tvarkyklę naudotų „ systemd “, o jei norite naudoti įrenginių izoliaciją, turite sukonfigūruoti „iptables“ arba „nftables“.
Failų sistemos ir tinklas
Apsauga realiuoju laiku ir nuskaitymai (greitas arba pilnas) veikia daugumoje įprastų failų sistemų. Tačiau yra išplėstinis pasirinktinių nuskaitymų sąrašas , kuriame yra tokios parinktys kaip „btrfs“, „ext2“, „ext3“, „ext4“, „xfs“, „nfs“ (v3 ir v4) ir dar konkretesnės sistemos, pvz., „glusterfs“ arba „ocfs2“.
Kad agentas galėtų pranešti apie grėsmes „Microsoft“ portalui, jam reikalingas sklandus ryšys su debesimi . Tai apima tinkamą užkardų konfigūravimą ir, jei įmonė naudoja tarpinį serverį, statinio tarpinio serverio aptikimo įjungimą , kad nebūtų blokuojamas anoniminis srautas į „Microsoft“ URL.
Kaip paleisti: diegimo metodai
„Defender“ diegimas nėra toks paprastas, kaip spustelėti mygtuką „Toliau“, nes tai yra įmonės lygio įrankis. Nors diegti rankiniu būdu galima, dideliems diegimams rekomenduojama naudoti diegimo įrankį arba konfigūracijos tvarkykles, pvz., „Puppet“, „Ansible“ arba „Chef“.
Jei pasirinksite rankinį kelią, procesas priklausys nuo jūsų distribucijos. RHEL pagrindu veikiančiose sistemose „ Microsoft“ saugyklai pridėti ir „mdatp“ paketui įdiegti naudosite komandą „dnf“ arba „yum“ . „Ubuntu“ arba „Debian“ sistemose procesas apima „apt“ naudojimą , saugyklų sąrašo ir atitinkamų GPG raktų konfigūravimą.
Įdiegus programinę įrangą, atliekamas esminis žingsnis: įdarbinimasTurite atsisiųsti paketą iš „Microsoft Defender“ portalo ir paleisti „Python“ scenarijų (paprastai MicrosoftDefenderATPOnboardingLinuxServer.py) su root teisėmis. Norėdami patikrinti, ar viskas veikia tinkamai, galite naudoti komandą mdatp healthkuris jums pasakys, ar agentas yra sveikas ir licencijuotas.
Licencijavimas ir operacijų valdymas
Svarbu patikslinti, kad tai nėra nemokama namų vartotojams. Norint naudoti „Defender“ sistemoje „Linux“, reikia įmonės licencijos, konkrečiai „Microsoft Defender for Endpoint Plan 2“ , arba prenumeratos išsamesniam planui, pvz., „Microsoft 365 E5“ arba „E7“.
Valdymas atliekamas debesyje, kur galite konfigūruoti antivirusinių programų išimtis , kad skaitytuvas nesulėtintų svarbių programų veikimo. Platformos atnaujinimai atliekami kas mėnesį, todėl norint išlaikyti palaikymą, būtina naudoti tris naujausias versijas . Be to, sistema leidžia naudoti pasyvųjį režimą , o tai reiškia, kad „Defender“ gali veikti kartu su kita trečiųjų šalių antivirusine programine įranga be konfliktų, tiesiog stebėdama ir pranešdama be automatinio blokavimo.
Šis sprendimas paverčia „Linux“ saugumą lengvai valdomu ir profesionaliu sprendimu, pašalindamas akląsias zonas įmonės infrastruktūroje. Derindama eBPF pagrįstą architektūrą su centralizuotu debesies valdymu, „Microsoft“ užtikrina nuoseklią ir efektyvią serverių ir darbo stočių apsaugą, galinčią sustabdyti viską – nuo paprastų kenkėjiškų programų iki sudėtingų nuolatinių grėsmių.