- Izvaja lahko arhitekturo, ki temelji na eBPF in se izogiba modulom jedra, da bi zmanjšala vpliv na zmogljivost.
- Ponuja celovito zaščito z EDR, protivirusnim programom naslednje generacije in upravljanjem ranljivosti na osnovi umetne inteligence.
- Združljiv je z večjimi poslovnimi distribucijami, kot so Ubuntu, RHEL, Debian in SUSE na arhitekturah x64 in ARM64.
- Zahteva poslovne licence za Microsoft Defender za Endpoint Plan 2 ali naročnine na Microsoft 365 E5/E7.
Verjetno ste opazili, da je Microsoftov varnostni ekosistem naredil pomemben korak naprej. Ne gre več le za zaščito sistema Windows; uvedli so zmogljivo orodje, imenovano Microsoft Defender for Endpoint, ki je zasnovano posebej za okolje Linux. Najbolj zanimivo je, da se je orodje, čeprav ga mnogi vidijo kot preprosto varnostno preverjanje podjetja, razvilo tako, da pokriva vse od najzmogljivejših strežnikov v oblaku do prenosnika razvijalca, ki dela od doma, in tako združuje celoten tehnološki ekosistem pod enim samim ukazom.
Poteza je preprosta, a ambiciozna: Microsoft želi podjetjem olajšati delo z desetimi različnimi orodji. Z integracijo Linuxa v svojo platformo XDR (Extended Detection and Response) varnostnemu skrbniku omogočajo, da iz enotne nadzorne plošče vidi, kaj se dogaja na virtualnem računalniku Azure, fizičnem strežniku z operacijskim sistemom Red Hat ali namiznem računalniku z operacijskim sistemom Ubuntu . Oglejmo si podrobneje, kako ta sistem deluje, katere računalnike podpira in kako ga zagnati in nemoteno zagnati.
Kaj je pod pokrovom? Funkcionalnost in zmogljivosti
Za razliko od tradicionalnih protivirusnih programov, ki se včasih zdijo breme za sistem, Defender v Linuxu uporablja lahko arhitekturo senzorjev, ki temelji na eBPF (razširjeni paketni filter Berkeley) . To je ključnega pomena, saj pomeni, da ni treba nameščati modulov jedra, kar drastično zmanjša možnost zrušitev sistema in zmanjša vpliv na delovanje računalnika.
Sistem je v osnovi razdeljen na tri glavne obrambne bloke. Prvič, obstaja zaščita naslednje generacije , ki ne išče le starih virusnih podpisov, temveč uporablja strojno učenje in vedenjsko analizo za blokiranje zlonamerne programske opreme v realnem času. Če se proces začne nenavadno obnašati, kar spominja na napad izsiljevalske programske opreme , ga sistem takoj ustavi.
Drugič, v igro pride EDR. Tu postanejo stvari resnejše, saj sistem spremlja aktivnost za odkrivanje napadov brez datotek ali vbrizgavanja pomnilnika. Zahvaljujoč Microsoftovi inteligenci groženj in usklajenosti z ogrodjem MITRE ATT&CK lahko analitiki vidijo natančen časovni potek napada in se dinamično odzovejo, bodisi z brisanjem sumljive datoteke bodisi z oddaljenim zagonom skriptov za sanacijo.
Končno je tu še upravljanje izpostavljenosti. Defender skenira sistem za programske ranljivosti in napačne konfiguracije. Namesto da bi moral skrbnik ročno pregledati vsako CVE, orodje prednostno razvrsti tveganja, tako da veste, kaj morate najprej popraviti , da zmanjšate površino za napad.
Združljiva oprema in tehnične zahteve
Vse distribucije Linuxa sicer ne delujejo, vendar je seznam precej obsežen. Microsoft je vsako distribucijo, ki deluje na strežniku, naredil združljivo tudi z namiznim sistemom Linux (čeprav je slednji še vedno v javni predogledni različici). To je ključnega pomena za programerje, ki pogosto upravljajo z visokimi privilegiji in so glavna tarča hekerjev.
- Sprejete distribucije: Vključuje težkokategornike, kot so Red Hat Enterprise Linux (RHEL), CentOS, Ubuntu LTS (od 16.04 do 24.04 in novejših), Debian, SUSE Linux Enterprise, Oracle Linux, Fedora, Rocky Linux, Alma Linux in Mariner.
- Arhitekture: Podpira oba procesorja x64 (AMD64/EM64T) kot najsodobnejši ARM64.
- Grafična okolja: Ni pomembno, ali uporabljate GNOME, KDE ali katerega koli drugega; pomembna je osnovna sistemska osnova in različica jedra.
Kar zadeva strojno opremo, ni preveč zahtevna. Za nemoteno delovanje agenta potrebujete vsaj eno jedro procesorja , 1 GB RAM-a in približno 2 GB prostora na disku. Če pa imate zelo veliko delovno obremenitev, je priporočljivo povečati te vrednosti, da se izognete ozkim grlom. Na strani programske opreme je bistveno, da sistem uporablja systemd kot upravljalnik sistema, in če želite uporabiti izolacijo naprav, morate imeti konfiguriran iptables ali nftables.
Datotečni sistemi in omrežje
Zaščita v realnem času in pregledi (hitri ali popolni) delujejo na večini pogostih datotečnih sistemov. Vendar pa obstaja razširjen seznam pregledov po meri , ki vključuje možnosti, kot so btrfs, ext2, ext3, ext4, xfs, nfs (v3 in v4) in še bolj specifične sisteme, kot sta glusterfs ali ocfs2.
Da lahko agent poroča o grožnjah Microsoftovemu portalu, potrebuje nemoteno povezavo z oblakom . To vključuje pravilno konfiguracijo požarnih zidov in, če podjetje uporablja posredniški strežnik, omogočanje statičnega zaznavanja posredniškega strežnika , da anonimni promet do Microsoftovih URL-jev ni blokiran.
Kako ga zagnati in zagnati: Metode uvajanja
Namestitev programa Defender ni tako preprosta kot klik na gumb »Naprej«, saj gre za orodje na ravni podjetja. Čeprav je ročna namestitev možna, je za velike uvedbe priporočljiva uporaba orodja Deployment Tool ali upraviteljev konfiguracije, kot so Puppet, Ansible ali Chef.
Če izberete ročno pot, se postopek razlikuje glede na vašo distribucijo. V sistemih, ki temeljijo na RHEL, boste za dodajanje Microsoftovega repozitorija in namestitev paketa mdatp uporabili dnf ali yum . V Ubuntuju ali Debianu postopek vključuje uporabo ukaza apt , konfiguriranje seznama repozitorijev in ustreznih ključev GPG.
Ko je programska oprema nameščena, pride do ključnega koraka: uvajanjePaket morate prenesti s portala Microsoft Defender in zagnati skript Python (običajno MicrosoftDefenderATPOnboardingLinuxServer.py) s korenskimi pravicami. Če želite preveriti, ali vse deluje pravilno, lahko uporabite ukaz mdatp healthki vam bo povedal, ali je agent zdrav in licenciran.
Licenciranje in operativno upravljanje
Pomembno je pojasniti, da to ni brezplačna storitev za domače uporabnike. Za uporabo programa Defender v sistemu Linux potrebujete poslovno licenco, natančneje Microsoft Defender for Endpoint Plan 2 , ali naročnino na obsežnejši paket, kot je Microsoft 365 E5 ali E7.
Upravljanje poteka iz oblaka, kjer lahko konfigurirate izključitve protivirusnega programa , da preprečite, da bi skener upočasnil kritične aplikacije. Posodobitve platforme so mesečne in za ohranitev podpore je bistveno, da ostanete na treh najnovejših različicah . Poleg tega sistem omogoča pasivni način , kar pomeni, da lahko Defender sobiva z drugo protivirusno programsko opremo drugih proizvajalcev brez konfliktov, saj preprosto opazuje in poroča brez samodejnega blokiranja.
Ta rešitev preoblikuje varnost Linuxa v obvladljivo in profesionalno rešitev, ki odpravlja slepe pege v poslovni infrastrukturi. Z združitvijo arhitekture, ki temelji na eBPF , s centraliziranim upravljanjem v oblaku Microsoft zagotavlja dosledno in učinkovito zaščito strežnikov in delovnih postaj, ki lahko ustavi vse od preproste zlonamerne programske opreme do naprednih trajnih groženj.