- Den implementerer en lettvektsarkitektur basert på eBPF som unngår kjernemoduler for å minimere påvirkningen på ytelsen.
- Den tilbyr omfattende beskyttelse gjennom EDR, neste generasjons antivirus og AI-basert sårbarhetshåndtering.
- Den er kompatibel med store bedriftsdistribusjoner som Ubuntu, RHEL, Debian og SUSE på x64- og ARM64-arkitekturer.
- Krever Microsoft Defender for Endpoint Plan 2-bedriftslisenser eller Microsoft 365 E5/E7-abonnementer.
Du har sikkert lagt merke til at Microsofts sikkerhetsøkosystem har tatt et betydelig sprang fremover. Det handler ikke lenger bare om å beskytte Windows; de har distribuert et kraftig verktøy kalt Microsoft Defender for Endpoint, spesielt utviklet for Linux-miljøet. Det mest interessante er at selv om mange ser det som en enkel sikkerhetssjekk for bedrifter, har verktøyet utviklet seg til å dekke alt fra de mest robuste skyserverne til den bærbare datamaskinen til en utvikler som jobber hjemmefra, og dermed forene hele teknologiøkosystemet under én kommando.
Tiltaket er enkelt, men ambisiøst: Microsoft ønsker å frigjøre bedrifter fra å sjonglere ti forskjellige verktøy. Ved å integrere Linux i XDR-plattformen (Extended Detection and Response) lar de en sikkerhetsadministrator se hva som skjer på en virtuell Azure-maskin, en fysisk server som kjører Red Hat eller en stasjonær datamaskin som kjører Ubuntu, alt fra et enhetlig dashbord . La oss se nærmere på hvordan dette systemet fungerer, hvilke maskiner det støtter, og hvordan du får det i gang uten problemer.
Hva er under panseret? Funksjonalitet og muligheter
I motsetning til tradisjonelle antivirusprogrammer som noen ganger kan føles som en byrde for systemet, bruker Defender på Linux en lett sensorarkitektur basert på eBPF (utvidet Berkeley Packet Filter) . Dette er viktig fordi det betyr at det ikke trenger å installere kjernemoduler, noe som reduserer muligheten for systemkrasj drastisk og minimerer påvirkningen på maskinens ytelse.
Systemet er i hovedsak delt inn i tre hovedforsvarsblokker. For det første er det neste generasjons beskyttelse , som ikke bare ser etter gamle virussignaturer, men bruker maskinlæring og atferdsanalyse for å blokkere skadelig programvare i sanntid. Hvis en prosess begynner å oppføre seg merkelig som ligner et ransomware- angrep , stopper systemet den umiddelbart.
For det andre kommer EDR inn i bildet. Det er her ting blir alvorlige, ettersom systemet overvåker aktivitet for å oppdage filløse angrep eller minneinjeksjoner. Takket være Microsofts trusselintelligens og samsvar med MITRE ATT&CK- rammeverket , kan analytikere se den nøyaktige tidslinjen for et angrep og reagere dynamisk, enten ved å slette en mistenkelig fil eller kjøre utbedringsskript eksternt.
Til slutt har vi eksponeringshåndtering. Defender skanner systemet for programvaresårbarheter og feilkonfigurasjoner. I stedet for at administratoren må gjennomgå hver CVE manuelt, prioriterer verktøyet risikoer slik at du vet hva du skal oppdatere først for å redusere angrepsflaten.
Kompatibelt utstyr og tekniske krav
Ikke alle Linux-distribusjoner fungerer, men listen er ganske omfattende. Microsoft har gjort alle distribusjoner som kjører på en server også kompatible med Linux-skrivebordet (selv om sistnevnte fortsatt er i offentlig forhåndsvisning). Dette er viktig for programmerere, som ofte håndterer høye rettigheter og er et hovedmål for hackere.
- Aksepterte utdelinger: Den inkluderer tungvektere som Red Hat Enterprise Linux (RHEL), CentOS, Ubuntu LTS (fra 16.04 til 24.04 og høyere), Debian, SUSE Linux Enterprise, Oracle Linux, Fedora, Rocky Linux, Alma Linux og Mariner.
- Arkitekturer: Den støtter begge prosessorene x64 (AMD64/EM64T) som de mest moderne ARM64.
- Grafiske miljøer: Det spiller ingen rolle om du bruker GNOME, KDE eller noe annet; det som betyr noe er systembasen og versjonen av den. kjerne.
Når det gjelder maskinvaren, er den ikke for krevende. For at agenten skal kjøre problemfritt, trenger du minst én CPU-kjerne , 1 GB RAM og omtrent 2 GB diskplass. Men hvis du har en veldig tung arbeidsmengde, er det lurt å øke disse verdiene for å unngå flaskehalser. På programvaresiden er det viktig at systemet bruker systemd som systemadministrator, og hvis du vil bruke enhetsisolering, må du ha iptables eller nftables konfigurert.
Filsystemer og nettverk
Sanntidsbeskyttelse og skanninger (raske eller fullstendige) fungerer på de fleste vanlige filsystemer. Det finnes imidlertid en utvidet liste for tilpassede skanninger som inkluderer alternativer som btrfs, ext2, ext3, ext4, xfs, nfs (v3 og v4), og enda mer spesifikke systemer som glusterfs eller ocfs2.
For at agenten skal kunne rapportere trusler til Microsoft-portalen, trenger den sømløs tilkobling til skyen . Dette innebærer riktig konfigurering av brannmurer, og hvis selskapet bruker en proxy, aktivering av statisk proxy-deteksjon slik at anonym trafikk til Microsoft-URL-er ikke blokkeres.
Slik får du det i gang: Distribusjonsmetoder
Det er ikke så enkelt å installere Defender som å klikke på en «neste»-knapp, ettersom det er et verktøy på bedriftsnivå. Selv om manuell installasjon er mulig, anbefales det å bruke distribusjonsverktøyet eller konfigurasjonsbehandlere som Puppet, Ansible eller Chef for store distribusjoner.
Hvis du velger den manuelle ruten, varierer prosessen avhengig av distribusjonen din. På RHEL-baserte systemer bruker du dnf eller yum til å legge til Microsoft-repositoriet og installere mdatp- pakken . På Ubuntu eller Debian innebærer prosessen å bruke apt , konfigurere repositorilisten og de tilhørende GPG-nøklene.
Når programvaren er installert, kommer det avgjørende trinnet: onboardingDu må laste ned en pakke fra Microsoft Defender-portalen og kjøre et Python-skript (vanligvis MicrosoftDefenderATPOnboardingLinuxServer.py) med root-rettigheter. For å bekrefte at alt fungerer som det skal, kan du bruke kommandoen mdatp healthsom vil fortelle deg om agenten er sunn og autorisert.
Lisensiering og driftsledelse
Det er viktig å presisere at dette ikke er gratis for hjemmebrukere. For å bruke Defender på Linux trenger du en bedriftslisens, nærmere bestemt Microsoft Defender for Endpoint Plan 2 , eller et abonnement på en mer omfattende plan som Microsoft 365 E5 eller E7.
Administrasjon gjøres fra skyen, hvor du kan konfigurere antivirus-ekskluderinger for å forhindre at skanneren bremser kritiske applikasjoner. Plattformoppdateringer skjer månedlig, og det er viktig å holde seg på de tre nyeste versjonene for å opprettholde støtten. Videre tillater systemet passiv modus , som betyr at Defender kan sameksistere med annen tredjeparts antivirusprogramvare uten konflikt, bare observere og rapportere uten automatisk blokkering.
Denne løsningen forvandler Linux-sikkerhet til en håndterbar og profesjonell løsning, og eliminerer blindsoner i bedriftsinfrastrukturen. Ved å kombinere en eBPF -basert arkitektur med sentralisert skyadministrasjon, sikrer Microsoft konsistent og effektiv beskyttelse for servere og arbeidsstasjoner, som er i stand til å stoppe alt fra enkel skadelig programvare til avanserte, vedvarende trusler.