- В ней реализована облегченная архитектура на основе eBPF, которая исключает использование модулей ядра для минимизации влияния на производительность.
- Она обеспечивает комплексную защиту благодаря EDR, антивирусу нового поколения и управлению уязвимостями на основе искусственного интеллекта.
- Он совместим с основными корпоративными дистрибутивами, такими как Ubuntu, RHEL, Debian и SUSE, на архитектурах x64 и ARM64.
- Для работы требуется Microsoft Defender для корпоративных лицензий Endpoint Plan 2 или подписки Microsoft 365 E5/E7.
Вы, вероятно, заметили, что экосистема безопасности Microsoft сделала значительный шаг вперед. Речь идет уже не только о защите Windows; компания внедрила мощный инструмент под названием Microsoft Defender for Endpoint, разработанный специально для среды Linux. Самое интересное заключается в том, что, хотя многие считают его простой проверкой корпоративной безопасности, инструмент эволюционировал и теперь охватывает все — от самых надежных облачных серверов до ноутбука разработчика, работающего из дома, тем самым объединяя всю технологическую экосистему под единым управлением.
Этот шаг прост, но амбициозен: Microsoft хочет избавить предприятия от необходимости жонглировать десятью различными инструментами. Интегрировав Linux в свою платформу XDR (Extended Detection and Response) , они позволяют администратору безопасности видеть, что происходит на виртуальной машине Azure, физическом сервере под управлением Red Hat или настольном компьютере под управлением Ubuntu, — и все это с единой панели управления . Давайте подробнее рассмотрим, как работает эта система, какие машины она поддерживает и как ее бесперебойно запустить.
Что скрывается под капотом? Функциональность и возможности.
В отличие от традиционных антивирусных программ, которые иногда могут создавать дополнительную нагрузку на систему, Defender в Linux использует легковесную архитектуру датчиков на основе eBPF (расширенный фильтр пакетов Беркли) . Это ключевой момент, поскольку он означает, что ему не нужно устанавливать модули ядра, что значительно снижает вероятность сбоев системы и минимизирует влияние на производительность машины.
Система в основном разделена на три основных блока защиты. Во-первых, это защита нового поколения , которая не просто ищет старые вирусные сигнатуры, а использует машинное обучение и поведенческий анализ для блокировки вредоносных программ в режиме реального времени. Если процесс начинает вести себя странно, что напоминает атаку программы-вымогателя , система останавливает его на корню.
Во-вторых, вступает в игру EDR. Здесь все становится серьезно, поскольку система отслеживает активность для обнаружения бесфайловых атак или внедрения вредоносного ПО в память. Благодаря системе анализа угроз Microsoft и согласованности с фреймворком MITRE ATT&CK , аналитики могут видеть точную хронологию атаки и динамически реагировать, либо удаляя подозрительный файл, либо удаленно запуская скрипты для устранения угроз.
Наконец, есть управление уязвимостями. Defender сканирует систему на наличие программных уязвимостей и неправильных настроек. Вместо того чтобы администратору вручную проверять каждую CVE, инструмент определяет приоритетность рисков, чтобы вы знали, какие из них следует исправить в первую очередь для уменьшения поверхности атаки.
Совместимое оборудование и технические требования
Не все дистрибутивы Linux работают, но список довольно обширный. Microsoft сделала любой дистрибутив, работающий на сервере, совместимым также с настольной версией Linux (хотя последняя все еще находится в стадии публичного предварительного просмотра). Это жизненно важно для программистов, которые часто работают с высокими привилегиями и являются основной целью для хакеров.
- Принятые дистрибутивы: В него входят такие тяжеловесы, как Red Hat Enterprise Linux (RHEL), CentOS, Ubuntu LTS (от 16.04 до 24.04 и выше), Debian, SUSE Linux Enterprise, Oracle Linux, Fedora, Rocky Linux, Alma Linux и Mariner.
- Архитектуры: Он поддерживает оба процессора. x64 (AMD64/EM64T) как самые современные ARM64.
- Графические среды: Неважно, используете ли вы GNOME, KDE или любую другую среду; важно базовое состояние системы и её версия. ядро.
Что касается аппаратной части, она не слишком требовательна. Для бесперебойной работы агента требуется как минимум одно ядро процессора , 1 ГБ оперативной памяти и около 2 ГБ дискового пространства. Однако, если у вас очень высокая нагрузка, рекомендуется увеличить эти значения, чтобы избежать узких мест. Что касается программного обеспечения, крайне важно, чтобы система использовала systemd в качестве системного менеджера, а если вы хотите использовать изоляцию устройств, необходимо настроить iptables или nftables.
Файловые системы и сети
Защита в реальном времени и сканирование (быстрое или полное) работают на большинстве распространенных файловых систем. Однако существует расширенный список для пользовательского сканирования , включающий такие параметры, как btrfs, ext2, ext3, ext4, xfs, nfs (v3 и v4) и даже более специфические системы, такие как glusterfs или ocfs2.
Для того чтобы агент мог сообщать об угрозах на портал Microsoft, ему необходимо бесперебойное подключение к облаку . Это включает в себя правильную настройку брандмауэров и, если компания использует прокси-сервер, включение статического обнаружения прокси-сервера , чтобы анонимный трафик к URL-адресам Microsoft не блокировался.
Как запустить и настроить: Методы развертывания
Установка Defender — это не просто нажатие кнопки «Далее», поскольку это инструмент корпоративного уровня. Хотя ручная установка возможна, для крупных развертываний рекомендуется использовать инструмент развертывания или менеджеры конфигурации, такие как Puppet, Ansible или Chef.
Если вы выберете ручной способ, процесс будет различаться в зависимости от вашего дистрибутива. В системах на базе RHEL вы будете использовать dnf или yum для добавления репозитория Microsoft и установки пакета mdatp . В Ubuntu или Debian процесс включает использование apt , настройку списка репозиториев и соответствующих ключей GPG.
После установки программного обеспечения наступает решающий шаг: адаптацияВам необходимо загрузить пакет с портала Microsoft Defender и запустить скрипт на Python (обычно это...). MicrosoftDefenderATPOnboardingLinuxServer.py) с правами root. Чтобы убедиться, что всё работает правильно, можно использовать команду. mdatp healthэто покажет вам, является ли агент здоровый и лицензированный.
Лицензирование и оперативное управление
Важно уточнить, что это не бесплатное предложение для домашних пользователей. Для использования Defender на Linux вам потребуется корпоративная лицензия, а именно Microsoft Defender for Endpoint Plan 2 , или подписка на более полный план, например, Microsoft 365 E5 или E7.
Управление осуществляется из облака, где можно настроить исключения для антивируса , чтобы предотвратить замедление работы критически важных приложений сканером. Обновления платформы происходят ежемесячно, и для сохранения поддержки необходимо использовать три последние версии . Кроме того, система поддерживает пассивный режим , что означает, что Defender может сосуществовать с другим сторонним антивирусным программным обеспечением без конфликтов, просто наблюдая и сообщая о проблемах без автоматической блокировки.
Это решение превращает безопасность Linux в управляемое и профессиональное решение, устраняя «слепые зоны» в корпоративной инфраструктуре. Сочетая архитектуру на основе eBPF с централизованным облачным управлением, Microsoft обеспечивает стабильную и эффективную защиту серверов и рабочих станций, способную остановить все — от простого вредоносного ПО до сложных постоянных угроз.