- Ele implementa uma arquitetura leve baseada em eBPF que evita módulos do kernel para minimizar o impacto no desempenho.
- Oferece proteção abrangente por meio de EDR, antivírus de última geração e gerenciamento de vulnerabilidades baseado em IA.
- É compatível com as principais distribuições empresariais, como Ubuntu, RHEL, Debian e SUSE, em arquiteturas x64 e ARM64.
- Requer licenças corporativas do Microsoft Defender para Endpoint Plano 2 ou assinaturas do Microsoft 365 E5/E7.
Você provavelmente já percebeu que o ecossistema de segurança da Microsoft deu um salto significativo. Não se trata mais apenas de proteger o Windows; eles implementaram uma ferramenta poderosa chamada Microsoft Defender for Endpoint, projetada especificamente para o ambiente Linux. O mais interessante é que, embora muitos a vejam como uma simples verificação de segurança corporativa, a ferramenta evoluiu para abranger tudo, desde os servidores em nuvem mais robustos até o laptop de um desenvolvedor trabalhando em casa, unindo assim todo o ecossistema tecnológico sob um único comando.
A mudança é simples, porém ambiciosa: a Microsoft quer libertar as empresas da necessidade de gerenciar dez ferramentas diferentes. Ao integrar o Linux à sua plataforma XDR (Detecção e Resposta Estendidas) , ela permite que um administrador de segurança veja o que está acontecendo em uma máquina virtual do Azure, um servidor físico executando Red Hat ou um computador desktop executando Ubuntu, tudo a partir de um painel unificado . Vamos analisar mais detalhadamente como esse sistema funciona, quais máquinas ele suporta e como configurá-lo e executá-lo sem problemas.
O que há por baixo do capô? Funcionalidades e capacidades
Ao contrário dos programas antivírus tradicionais, que às vezes podem sobrecarregar o sistema, o Defender no Linux utiliza uma arquitetura de sensores leve baseada em eBPF (Extended Berkeley Packet Filter) . Isso é fundamental, pois significa que ele não precisa instalar módulos do kernel, reduzindo drasticamente a possibilidade de falhas do sistema e minimizando o impacto no desempenho da máquina.
O sistema é basicamente dividido em três blocos principais de defesa. Primeiro, há a proteção de última geração , que não se limita a procurar assinaturas de vírus antigas, mas utiliza aprendizado de máquina e análise comportamental para bloquear malware em tempo real. Se um processo começar a se comportar de maneira estranha, semelhante a um ataque de ransomware , o sistema o interrompe imediatamente.
Em segundo lugar, entra em ação o EDR. É aqui que as coisas ficam sérias, pois o sistema monitora a atividade para detectar ataques sem arquivo ou injeções de memória. Graças à inteligência de ameaças da Microsoft e ao alinhamento com a estrutura MITRE ATT&CK , os analistas podem ver a linha do tempo exata de um ataque e responder dinamicamente, seja excluindo um arquivo suspeito ou executando scripts de correção remotamente.
Por fim, há o gerenciamento de exposição. O Defender verifica o sistema em busca de vulnerabilidades de software e configurações incorretas. Em vez de o administrador ter que revisar manualmente cada CVE, a ferramenta prioriza os riscos para que você saiba o que corrigir primeiro e, assim, reduzir a superfície de ataque.
Equipamentos compatíveis e requisitos técnicos
Nem todas as distribuições Linux funcionam, mas a lista é bastante extensa. A Microsoft tornou qualquer distribuição que rode em um servidor compatível também com o ambiente de desktop Linux (embora este último ainda esteja em versão prévia pública). Isso é vital para programadores, que frequentemente lidam com altos privilégios e são alvos principais de hackers.
- Distribuições aceitas: Inclui distribuições de grande porte como Red Hat Enterprise Linux (RHEL), CentOS, Ubuntu LTS (da versão 16.04 à 24.04 e superiores), Debian, SUSE Linux Enterprise, Oracle Linux, Fedora, Rocky Linux, Alma Linux e Mariner.
- Arquiteturas: É compatível com ambos os processadores. x64 (AMD64/EM64T) como as mais modernas ARM64.
- Ambientes gráficos: Não importa se você usa GNOME, KDE ou qualquer outro; o que importa é a base do sistema e a versão do... núcleo.
Em relação ao hardware, ele não é muito exigente. Para que o agente funcione sem problemas, você precisa de pelo menos um núcleo de CPU , 1 GB de RAM e cerca de 2 GB de espaço em disco. No entanto, se você tiver uma carga de trabalho muito pesada, é recomendável aumentar esses valores para evitar gargalos. No lado do software, é essencial que o sistema utilize o systemd como gerenciador de sistema e, se você quiser usar isolamento de dispositivos, deverá ter o iptables ou o nftables configurados.
Sistemas de arquivos e rede
A proteção em tempo real e as verificações (rápidas ou completas) funcionam na maioria dos sistemas de arquivos comuns. No entanto, existe uma lista extensa de verificações personalizadas que inclui opções como btrfs, ext2, ext3, ext4, xfs, nfs (v3 e v4) e até mesmo sistemas mais específicos como glusterfs ou ocfs2.
Para que o agente reporte ameaças ao portal da Microsoft, ele precisa de conectividade perfeita com a nuvem . Isso envolve a configuração correta de firewalls e, caso a empresa utilize um proxy, a ativação da detecção estática de proxy para que o tráfego anônimo para URLs da Microsoft não seja bloqueado.
Como colocar em funcionamento: Métodos de implantação
A instalação do Defender não é tão simples quanto clicar em um botão "Avançar", pois trata-se de uma ferramenta de nível empresarial. Embora a instalação manual seja possível, para grandes implantações, recomenda-se o uso da Ferramenta de Implantação ou de gerenciadores de configuração como Puppet, Ansible ou Chef.
Se você optar pelo método manual, o processo varia dependendo da sua distribuição. Em sistemas baseados em RHEL, você usará o dnf ou o yum para adicionar o repositório da Microsoft e instalar o pacote mdatp . No Ubuntu ou Debian, o processo envolve o uso do apt , a configuração da lista de repositórios e as chaves GPG correspondentes.
Após a instalação do software, vem a etapa crucial: a integraçãoVocê precisa baixar um pacote do portal do Microsoft Defender e executar um script Python (geralmente MicrosoftDefenderATPOnboardingLinuxServer.py) com privilégios de root. Para verificar se tudo está funcionando corretamente, você pode usar o comando mdatp healtho que lhe dirá se o agente é saudáveis e licenciados.
Gestão de licenciamento e operações
É importante esclarecer que esta não é uma versão gratuita para usuários domésticos. Para usar o Defender no Linux, você precisa de uma licença corporativa, especificamente o Microsoft Defender para Endpoint Plano 2 , ou uma assinatura de um plano mais abrangente, como o Microsoft 365 E5 ou E7.
O gerenciamento é feito na nuvem, onde você pode configurar exclusões de antivírus para evitar que o scanner prejudique o desempenho de aplicativos críticos. As atualizações da plataforma são mensais e é essencial manter-se nas três versões mais recentes para garantir o suporte. Além disso, o sistema permite o modo passivo , o que significa que o Defender pode coexistir com outros softwares antivírus de terceiros sem conflitos, simplesmente observando e relatando, sem bloquear automaticamente.
Essa solução transforma a segurança do Linux em uma solução gerenciável e profissional, eliminando pontos cegos na infraestrutura corporativa. Ao combinar uma arquitetura baseada em eBPF com gerenciamento centralizado na nuvem, a Microsoft garante proteção consistente e eficiente para servidores e estações de trabalho, capaz de impedir desde malwares simples até ameaças persistentes avançadas.