- Implementuje ľahkú architektúru založenú na eBPF, ktorá sa vyhýba modulom jadra, aby sa minimalizoval vplyv na výkon.
- Ponúka komplexnú ochranu prostredníctvom EDR, antivírusu novej generácie a správy zraniteľností založenej na umelej inteligencii.
- Je kompatibilný s hlavnými podnikovými distribúciami ako Ubuntu, RHEL, Debian a SUSE na architektúrach x64 a ARM64.
- Vyžaduje sa firemné licencie Microsoft Defender pre Endpoint Plan 2 alebo predplatné Microsoft 365 E5/E7.
Pravdepodobne ste si všimli, že bezpečnostný ekosystém spoločnosti Microsoft urobil významný krok vpred. Už nejde len o ochranu systému Windows; nasadili výkonný nástroj s názvom Microsoft Defender for Endpoint, ktorý je navrhnutý špeciálne pre prostredie Linuxu. Najzaujímavejšie je, že hoci ho mnohí vnímajú ako jednoduchú firemnú bezpečnostnú kontrolu, nástroj sa vyvinul tak, že pokrýva všetko od najrobustnejších cloudových serverov až po notebook vývojára pracujúceho z domu, čím sa celý technologický ekosystém zjednotil pod jedným príkazom.
Tento krok je jednoduchý, no ambiciózny: Microsoft chce oslobodiť firmy od žonglovania s desiatimi rôznymi nástrojmi. Integráciou Linuxu do svojej platformy XDR (Extended Detection and Response) umožňuje bezpečnostnému správcovi vidieť, čo sa deje na virtuálnom počítači Azure, fyzickom serveri s operačným systémom Red Hat alebo stolnom počítači s operačným systémom Ubuntu, a to všetko z jednotného ovládacieho panela . Pozrime sa bližšie na to, ako tento systém funguje, ktoré počítače podporuje a ako ho bezproblémovo spustiť.
Čo je pod kapotou? Funkčnosť a možnosti
Na rozdiel od tradičných antivírusových programov, ktoré sa niekedy môžu zdať ako záťaž pre systém, Defender v systéme Linux používa ľahkú architektúru senzorov založenú na eBPF (rozšírený filter paketov Berkeley) . To je kľúčové, pretože to znamená, že nevyžaduje inštaláciu modulov jadra, čo drasticky znižuje možnosť zlyhania systému a minimalizuje vplyv na výkon počítača.
Systém je v podstate rozdelený do troch hlavných obranných blokov. Po prvé, existuje ochrana novej generácie , ktorá nielen hľadá staré vírusové podpisy, ale využíva strojové učenie a behaviorálnu analýzu na blokovanie škodlivého softvéru v reálnom čase. Ak sa proces začne správať zvláštne a pripomína útok ransomvéru , systém ho zastaví.
Po druhé, do hry vstupuje EDR. Tu sa veci stávajú vážnymi, pretože systém monitoruje aktivitu s cieľom odhaliť útoky bez použitia súborov alebo injekcie do pamäte. Vďaka informáciám o hrozbách od spoločnosti Microsoft a zosúladeniu s rámcom MITRE ATT&CK môžu analytici vidieť presný časový sled útoku a dynamicky reagovať, buď odstránením podozrivého súboru, alebo spustením nápravných skriptov na diaľku.
Nakoniec je tu správa expozície. Defender skenuje systém a hľadá softvérové zraniteľnosti a nesprávne konfigurácie. Namiesto toho, aby administrátor musel manuálne kontrolovať každé CVE, nástroj uprednostňuje riziká, takže viete, čo opraviť ako prvé , aby sa znížila plocha pre útok.
Kompatibilné vybavenie a technické požiadavky
Nie všetky distribúcie Linuxu fungujú, ale zoznam je pomerne rozsiahly. Spoločnosť Microsoft zabezpečila, aby každá distribúcia, ktorá beží na serveri, bola kompatibilná aj s desktopom Linux (hoci ten je stále vo verejnej ukážke). To je dôležité pre programátorov, ktorí často pracujú s vysokými privilégiami a sú hlavným cieľom hackerov.
- Akceptované distribúcie: Zahŕňa ťažkú váhu ako Red Hat Enterprise Linux (RHEL), CentOS, Ubuntu LTS (od verzie 16.04 do 24.04 a vyššej), Debian, SUSE Linux Enterprise, Oracle Linux, Fedora, Rocky Linux, Alma Linux a Mariner.
- Architektúry: Podporuje oba procesory x64 (AMD64/EM64T) ako tie najmodernejšie ARM64.
- Grafické prostredia: Nezáleží na tom, či používate GNOME, KDE alebo akékoľvek iné; dôležitý je základný systém a verzia... jadro.
Čo sa týka hardvéru, nie je príliš náročný. Pre plynulý chod agenta potrebujete aspoň jedno jadro CPU , 1 GB RAM a približne 2 GB miesta na disku. Ak však máte veľmi vysokú záťaž, je vhodné tieto hodnoty zvýšiť, aby ste sa vyhli úzkym miestam. Na strane softvéru je nevyhnutné, aby systém používal systemd ako správcu systému a ak chcete použiť izoláciu zariadení, musíte mať nakonfigurovaný iptables alebo nftables.
Súborové systémy a siete
Ochrana v reálnom čase a kontroly (rýchle alebo úplné) fungujú na väčšine bežných súborových systémov. Existuje však rozšírený zoznam vlastných kontrol , ktorý zahŕňa možnosti ako btrfs, ext2, ext3, ext4, xfs, nfs (v3 a v4) a ešte špecifickejšie systémy ako glusterfs alebo ocfs2.
Aby agent mohol hlásiť hrozby na portál spoločnosti Microsoft, potrebuje bezproblémové pripojenie ku cloudu . To zahŕňa správnu konfiguráciu firewallov a v prípade, že spoločnosť používa proxy, povolenie statickej detekcie proxy , aby sa neblokovala anonymná prevádzka na adresy URL spoločnosti Microsoft.
Ako to spustiť a spustiť: Metódy nasadenia
Inštalácia Defenderu nie je taká jednoduchá ako kliknutie na tlačidlo „Ďalej“, pretože ide o nástroj na podnikovej úrovni. Hoci je možná manuálna inštalácia, pre rozsiahle nasadenia sa odporúča použiť nástroj Deployment Tool alebo konfiguračných správcov, ako sú Puppet, Ansible alebo Chef.
Ak zvolíte manuálnu cestu, proces sa líši v závislosti od vašej distribúcie. Na systémoch založených na RHEL použijete dnf alebo yum na pridanie repozitára Microsoft a nainštalovanie balíka mdatp . V Ubuntu alebo Debiane proces zahŕňa použitie apt , konfiguráciu zoznamu repozitárov a zodpovedajúcich kľúčov GPG.
Po nainštalovaní softvéru prichádza kľúčový krok: nástupný systémMusíte si stiahnuť balík z portálu Microsoft Defender a spustiť skript Pythonu (zvyčajne MicrosoftDefenderATPOnboardingLinuxServer.py) s oprávneniami root. Ak chcete overiť, či všetko funguje správne, môžete použiť príkaz mdatp healthktorý vám povie, či je agent zdravý a licencovaný.
Licenčné a prevádzkové riadenie
Je dôležité objasniť, že nejde o bezplatnú službu pre domácich používateľov. Na používanie Defenderu v systéme Linux potrebujete firemnú licenciu, konkrétne Microsoft Defender for Endpoint Plan 2 , alebo predplatné komplexnejšieho plánu, ako je Microsoft 365 E5 alebo E7.
Správa sa vykonáva z cloudu, kde môžete nakonfigurovať antivírusové výnimky , aby ste zabránili spomaleniu kritických aplikácií skenerom. Aktualizácie platformy sú mesačné a pre zachovanie podpory je nevyhnutné používať tri najnovšie verzie . Systém navyše umožňuje pasívny režim , čo znamená, že Defender môže koexistovať s iným antivírusovým softvérom tretích strán bez konfliktov, jednoducho pozorovať a hlásiť problémy bez automatického blokovania.
Toto riešenie transformuje zabezpečenie Linuxu na spravovateľné a profesionálne riešenie, ktoré eliminuje slepé miesta v podnikovej infraštruktúre. Kombináciou architektúry založenej na eBPF s centralizovanou správou cloudu spoločnosť Microsoft zaisťuje konzistentnú a efektívnu ochranu serverov a pracovných staníc, ktorá dokáže zastaviť všetko od jednoduchého malvéru až po pokročilé pretrvávajúce hrozby.