- Implementează o arhitectură ușoară bazată pe eBPF care evită modulele kernel pentru a minimiza impactul asupra performanței.
- Oferă protecție completă prin EDR, antivirus de ultimă generație și gestionare a vulnerabilităților bazată pe inteligență artificială.
- Este compatibil cu distribuții majore pentru întreprinderi, cum ar fi Ubuntu, RHEL, Debian și SUSE, pe arhitecturi x64 și ARM64.
- Necesită licențe corporative Microsoft Defender for Endpoint Plan 2 sau abonamente Microsoft 365 E5/E7.
Probabil ați observat că ecosistemul de securitate al Microsoft a făcut un salt semnificativ înainte. Nu mai este vorba doar despre protejarea Windows; au implementat un instrument puternic numit Microsoft Defender for Endpoint, conceput special pentru mediul Linux. Cel mai interesant este că, deși mulți îl văd ca pe o simplă verificare de securitate corporativă, instrumentul a evoluat pentru a acoperi totul, de la cele mai robuste servere cloud până la laptopul unui dezvoltator care lucrează de acasă, unind astfel întregul ecosistem tehnologic sub o singură comandă.
Mișcarea este simplă, dar ambițioasă: Microsoft dorește să elibereze companiile de jongleria cu zece instrumente diferite. Prin integrarea Linux în platforma sa XDR (Extended Detection and Response) , aceștia permit unui administrator de securitate să vadă ce se întâmplă pe o mașină virtuală Azure, pe un server fizic care rulează Red Hat sau pe un computer desktop care rulează Ubuntu, toate dintr-un tablou de bord unificat . Să aruncăm o privire mai atentă asupra modului în care funcționează acest sistem, a mașinilor pe care le acceptă și a modului în care îl putem pune în funcțiune fără probleme.
Ce se ascunde sub capotă? Funcționalitate și capabilități
Spre deosebire de programele antivirus tradiționale, care uneori pot fi resimțite ca o povară pentru sistem, Defender pe Linux folosește o arhitectură ușoară de senzori bazată pe eBPF (Extended Berkeley Packet Filter) . Acest lucru este esențial deoarece înseamnă că nu este nevoie să instaleze module de kernel, reducând drastic posibilitatea unor erori de sistem și minimizând impactul asupra performanței mașinii.
Sistemul este practic împărțit în trei blocuri principale de apărare. În primul rând, există protecția de generație următoare , care nu doar caută semnături de viruși vechi, ci folosește învățarea automată și analiza comportamentală pentru a bloca programele malware în timp real. Dacă un proces începe să se comporte ciudat, asemănător unui atac ransomware , sistemul îl oprește instantaneu.
În al doilea rând, EDR intră în joc. Aici lucrurile devin serioase, deoarece sistemul monitorizează activitatea pentru a detecta atacuri fără fișiere sau injecții de memorie. Datorită informațiilor despre amenințări de la Microsoft și alinierii cu framework-ul MITRE ATT&CK , analiștii pot vedea cronologia exactă a unui atac și pot răspunde dinamic, fie prin ștergerea unui fișier suspect, fie prin rularea de la distanță a unor scripturi de remediere.
În cele din urmă, există gestionarea expunerii. Defender scanează sistemul pentru vulnerabilități software și configurații greșite. În loc ca administratorul să fie nevoit să revizuiască manual fiecare CVE, instrumentul prioritizează riscurile, astfel încât să știți ce să corectați mai întâi pentru a reduce suprafața de atac.
Echipamente compatibile și cerințe tehnice
Nu toate distribuțiile Linux funcționează, dar lista este destul de extinsă. Microsoft a făcut ca orice distribuție care rulează pe servere să fie compatibilă și cu desktop-ul Linux (deși acesta din urmă este încă în versiune publică de previzualizare). Acest lucru este vital pentru programatori, care gestionează adesea privilegii ridicate și sunt o țintă principală pentru hackeri.
- Distribuții acceptate: Include companii de top precum Red Hat Enterprise Linux (RHEL), CentOS, Ubuntu LTS (de la 16.04 la 24.04 și versiuni ulterioare), Debian, SUSE Linux Enterprise, Oracle Linux, Fedora, Rocky Linux, Alma Linux și Mariner.
- Arhitecturi: Suportă ambele procesoare x64 (AMD64/EM64T) ca cele mai moderne ARM64.
- Medii grafice: Nu contează dacă folosești GNOME, KDE sau oricare altul; ceea ce contează este baza sistemului și versiunea nucleu.
În ceea ce privește hardware-ul, acesta nu este prea solicitant. Pentru ca agentul să ruleze fără probleme, aveți nevoie de cel puțin un nucleu CPU , 1 GB de RAM și aproximativ 2 GB de spațiu pe disc. Totuși, dacă aveți o sarcină de lucru foarte mare, este recomandabil să creșteți aceste valori pentru a evita blocajele. Din punct de vedere software, este esențial ca sistemul să utilizeze systemd ca manager de sistem, iar dacă doriți să utilizați izolarea dispozitivelor, trebuie să aveți configurate iptables sau nftables.
Sisteme de fișiere și rețea
Protecția în timp real și scanările (rapide sau complete) funcționează pe majoritatea sistemelor de fișiere comune. Cu toate acestea, există o listă extinsă pentru scanări personalizate care include opțiuni precum btrfs, ext2, ext3, ext4, xfs, nfs (v3 și v4) și chiar sisteme mai specifice, cum ar fi glusterfs sau ocfs2.
Pentru ca agentul să raporteze amenințările la adresa portalului Microsoft, are nevoie de o conectivitate perfectă la cloud . Aceasta implică configurarea corectă a firewall-urilor și, dacă firma utilizează un proxy, activarea detectării proxy-urilor statice , astfel încât traficul anonim către adresele URL Microsoft să nu fie blocat.
Cum să îl puneți în funcțiune: Metode de implementare
Instalarea Defender nu este la fel de simplă ca un clic pe butonul „următorul”, deoarece este un instrument la nivel de întreprindere. Deși instalarea manuală este posibilă, pentru implementări mari, se recomandă utilizarea Deployment Tool sau a managerilor de configurare precum Puppet, Ansible sau Chef.
Dacă alegeți ruta manuală, procesul variază în funcție de distribuția dvs. Pe sistemele bazate pe RHEL, veți folosi dnf sau yum pentru a adăuga depozitul Microsoft și a instala pachetul mdatp . Pe Ubuntu sau Debian, procesul implică utilizarea apt , configurarea listei de depozite și a cheilor GPG corespunzătoare.
Odată ce software-ul este instalat, urmează pasul crucial: integrareTrebuie să descărcați un pachet de pe portalul Microsoft Defender și să rulați un script Python (de obicei MicrosoftDefenderATPOnboardingLinuxServer.py) cu privilegii de root. Pentru a verifica dacă totul funcționează corect, puteți utiliza comanda mdatp healthcare vă va spune dacă agentul este sănătos și autorizat.
Licențiere și management operațional
Este important de clarificat faptul că acesta nu este un serviciu gratuit pentru utilizatorii casnici. Pentru a utiliza Defender pe Linux, aveți nevoie de o licență corporativă, în special Microsoft Defender for Endpoint Plan 2 , sau de un abonament la un plan mai cuprinzător, cum ar fi Microsoft 365 E5 sau E7.
Gestionarea se face din cloud, unde puteți configura excluderi antivirus pentru a împiedica scanerul să încetinească aplicațiile critice. Actualizările platformei sunt lunare și este esențial să rămâneți la cele mai recente trei versiuni pentru a menține suportul. În plus, sistemul permite modul pasiv , ceea ce înseamnă că Defender poate coexista cu alte programe antivirus terțe fără a intra în conflict, pur și simplu observând și raportând fără a bloca automat.
Această soluție transformă securitatea Linux într-o soluție ușor de gestionat și profesională, eliminând punctele slabe din infrastructura întreprinderii. Prin combinarea unei arhitecturi bazate pe eBPF cu gestionarea centralizată în cloud, Microsoft asigură o protecție consistentă și eficientă pentru servere și stații de lucru, capabilă să oprească totul, de la programe malware simple până la amenințări persistente avansate.