- Tas ievieš vieglu arhitektūru, kuras pamatā ir eBPF, kas izvairās no kodola moduļiem, lai samazinātu ietekmi uz veiktspēju.
- Tas piedāvā visaptverošu aizsardzību, izmantojot EDR, nākamās paaudzes antivīrusu un uz mākslīgo intelektu balstītu ievainojamību pārvaldību.
- Tas ir saderīgs ar galvenajiem uzņēmumu distributīviem, piemēram, Ubuntu, RHEL, Debian un SUSE x64 un ARM64 arhitektūrās.
- Nepieciešamas Microsoft Defender for Endpoint 2. plana korporatīvās licences vai Microsoft 365 E5/E7 abonementi.
Jūs droši vien esat pamanījuši, ka Microsoft drošības ekosistēma ir spērusi ievērojamu soli uz priekšu. Vairs nav tikai Windows aizsardzība; viņi ir ieviesuši jaudīgu rīku ar nosaukumu Microsoft Defender for Endpoint, kas īpaši izstrādāts Linux videi. Visinteresantākais ir tas, ka, lai gan daudzi to uzskata par vienkāršu korporatīvās drošības pārbaudi, šis rīks ir attīstījies, lai aptvertu visu, sākot no visspēcīgākajiem mākoņserveriem līdz izstrādātāja klēpjdatoram, kas strādā no mājām, tādējādi apvienojot visu tehnoloģiju ekosistēmu zem vienas komandas.
Šis solis ir vienkāršs, tomēr ambiciozs: Microsoft vēlas atbrīvot uzņēmumus no desmit dažādu rīku žonglēšanas. Integrējot Linux savā XDR (paplašinātās noteikšanas un reaģēšanas) platformā , viņi ļauj drošības administratoram redzēt, kas notiek Azure virtuālajā mašīnā, fiziskajā serverī ar Red Hat vai galddatorā ar Ubuntu, visu no vienota informācijas paneļa . Aplūkosim tuvāk, kā šī sistēma darbojas, kuras mašīnas tā atbalsta un kā to iestatīt un darbināt nevainojami.
Kas slēpjas zem pārsega? Funkcionalitāte un iespējas
Atšķirībā no tradicionālajām pretvīrusu programmām, kas dažkārt var šķist kā apgrūtinājums sistēmai, Defender operētājsistēmā Linux izmanto vieglu sensoru arhitektūru, kuras pamatā ir eBPF (paplašinātais Bērklija pakešu filtrs) . Tas ir svarīgi, jo tas nozīmē, ka tam nav jāinstalē kodola moduļi, ievērojami samazinot sistēmas avāriju iespējamību un ietekmi uz datora veiktspēju.
Sistēma pamatā ir sadalīta trīs galvenajos aizsardzības blokos. Pirmkārt, ir nākamās paaudzes aizsardzība , kas ne tikai meklē vecus vīrusu parakstus, bet arī izmanto mašīnmācīšanos un uzvedības analīzi, lai reāllaikā bloķētu ļaunprogrammatūru. Ja process sāk uzvesties dīvaini, kas atgādina izspiedējvīrusa uzbrukumu , sistēma to aptur uzreiz.
Otrkārt, spēlē lomu EDR. Šeit lietas kļūst nopietnas, jo sistēma uzrauga aktivitātes, lai atklātu bezfailu uzbrukumus vai atmiņas injekcijas. Pateicoties Microsoft draudu informācijai un saskaņošanai ar MITRE ATT&CK ietvaru , analītiķi var redzēt precīzu uzbrukuma laika grafiku un dinamiski reaģēt, vai nu dzēšot aizdomīgu failu, vai attālināti palaižot korekcijas skriptus.
Visbeidzot, ir iedarbības pārvaldība. Defender skenē sistēmu, meklējot programmatūras ievainojamības un nepareizas konfigurācijas. Tā vietā, lai administratoram manuāli pārskatītu katru CVE, rīks piešķir prioritāti riskiem, lai jūs zinātu, ko vispirms ielabot , lai samazinātu uzbrukuma virsmu.
Saderīgs aprīkojums un tehniskās prasības
Ne visi Linux distributīvi darbojas, taču saraksts ir diezgan plašs. Microsoft ir padarījis jebkuru distributīvu, kas darbojas serverī, saderīgu arī ar Linux darbvirsmu (lai gan pēdējais joprojām ir publiskā priekšskatījuma versijā). Tas ir svarīgi programmētājiem, kuri bieži vien strādā ar augstām privilēģijām un ir galvenais hakeru mērķis.
- Pieņemtie sadalījumi: Tajā ietilpst tādi smagsvari kā Red Hat Enterprise Linux (RHEL), CentOS, Ubuntu LTS (no 16.04 līdz 24.04 un jaunākām versijām), Debian, SUSE Linux Enterprise, Oracle Linux, Fedora, Rocky Linux, Alma Linux un Mariner.
- Arhitektūras: Tas atbalsta abus procesorus x64 (AMD64/EM64T) tāpat kā vismodernākie ARM64.
- Grafiskās vides: Nav svarīgi, vai izmantojat GNOME, KDE vai kādu citu; svarīga ir sistēmas bāze un versija. kodols.
Kas attiecas uz aparatūru, tā nav pārāk prasīga. Lai aģents darbotos nevainojami, ir nepieciešams vismaz viens centrālā procesora kodols , 1 GB RAM un aptuveni 2 GB vietas diskā. Tomēr, ja darba slodze ir ļoti liela, ieteicams palielināt šīs vērtības, lai izvairītos no sastrēgumiem. Programmatūras pusē ir svarīgi, lai sistēma kā sistēmas pārvaldnieku izmantotu systemd , un, ja vēlaties izmantot ierīču izolāciju, ir jābūt konfigurētam iptables vai nftables.
Failu sistēmas un tīkls
Reāllaika aizsardzība un skenēšana (ātra vai pilna) darbojas lielākajā daļā izplatītāko failu sistēmu. Tomēr ir pieejams paplašināts pielāgoto skenēšanu saraksts , kas ietver tādas opcijas kā btrfs, ext2, ext3, ext4, xfs, nfs (v3 un v4) un vēl specifiskākas sistēmas, piemēram, glusterfs vai ocfs2.
Lai aģents varētu ziņot par draudiem Microsoft portālam, tam ir nepieciešama netraucēta savienojamība ar mākoņpakalpojumu . Tas ietver pareizu ugunsmūru konfigurēšanu un, ja uzņēmums izmanto starpniekserveri, statiskās starpniekservera noteikšanas iespējošanu , lai netiktu bloķēta anonīma datplūsma uz Microsoft URL.
Kā to iestatīt un darbināt: izvietošanas metodes
Defender instalēšana nav tik vienkārša kā noklikšķināšana uz pogas “Tālāk”, jo tas ir uzņēmuma līmeņa rīks. Lai gan manuāla instalēšana ir iespējama, lieliem izvietojumiem ieteicams izmantot izvietošanas rīku vai konfigurācijas pārvaldniekus, piemēram, Puppet, Ansible vai Chef.
Ja izvēlaties manuālo maršrutu, process atšķiras atkarībā no jūsu distribūcijas. RHEL balstītās sistēmās Microsoft repozitorija pievienošanai un mdatp pakotnes instalēšanai jāizmanto dnf vai yum . Ubuntu vai Debian sistēmā process ietver apt izmantošanu , repozitoriju saraksta un atbilstošo GPG atslēgu konfigurēšanu.
Kad programmatūra ir instalēta, seko izšķirošais solis: iesācēja apmācībaJums ir jālejupielādē pakotne no Microsoft Defender portāla un jāpalaiž Python skripts (parasti MicrosoftDefenderATPOnboardingLinuxServer.py) ar root privilēģijām. Lai pārbaudītu, vai viss darbojas pareizi, varat izmantot komandu mdatp healthkas jums pateiks, vai aģents ir veselīgs un licencēts.
Licencēšana un operatīvā vadība
Ir svarīgi precizēt, ka šī nav bezmaksas iespēja mājas lietotājiem. Lai izmantotu Defender operētājsistēmā Linux, ir nepieciešama korporatīvā licence, proti, Microsoft Defender for Endpoint Plan 2 , vai abonements uz visaptverošāku plānu, piemēram, Microsoft 365 E5 vai E7.
Pārvaldība tiek veikta no mākoņa, kur var konfigurēt pretvīrusu izņēmumus , lai novērstu skenera kritisku lietojumprogrammu palēnināšanu. Platformas atjauninājumi tiek veikti katru mēnesi, un ir svarīgi izmantot trīs jaunākās versijas , lai saglabātu atbalstu. Turklāt sistēma nodrošina pasīvo režīmu , kas nozīmē, ka Defender var pastāvēt līdzās ar citu trešo pušu pretvīrusu programmatūru bez konfliktiem, vienkārši novērojot un ziņojot bez automātiskas bloķēšanas.
Šis risinājums pārveido Linux drošību par pārvaldāmu un profesionālu risinājumu, novēršot aklos punktus uzņēmuma infrastruktūrā. Apvienojot uz eBPF balstītu arhitektūru ar centralizētu mākoņa pārvaldību, Microsoft nodrošina konsekventu un efektīvu serveru un darbstaciju aizsardzību, kas spēj apturēt visu, sākot no vienkāršas ļaunprogrammatūras līdz pat sarežģītiem pastāvīgiem apdraudējumiem.