- Den implementerar en lättviktsarkitektur baserad på eBPF som undviker kärnmoduler för att minimera prestandapåverkan.
- Den erbjuder omfattande skydd genom EDR, nästa generations antivirusprogram och AI-baserad sårbarhetshantering.
- Den är kompatibel med större företagsdistributioner som Ubuntu, RHEL, Debian och SUSE på x64- och ARM64-arkitekturer.
- Kräver Microsoft Defender för företagslicenser för Endpoint Plan 2 eller Microsoft 365 E5/E7-prenumerationer.
Du har säkert märkt att Microsofts säkerhetsekosystem har tagit ett betydande steg framåt. Det handlar inte längre bara om att skydda Windows; de har distribuerat ett kraftfullt verktyg som heter Microsoft Defender for Endpoint, speciellt utformat för Linux-miljön. Det mest intressanta är att även om många ser det som en enkel säkerhetskontroll för företag, har verktyget utvecklats för att täcka allt från de mest robusta molnservrarna till en utvecklares bärbara dator som arbetar hemifrån, och därmed förenar hela teknikekosystemet under ett enda kommando.
Åtgärden är enkel men ambitiös: Microsoft vill befria företag från att jonglera med tio olika verktyg. Genom att integrera Linux i sin XDR-plattform (Extended Detection and Response) kan en säkerhetsadministratör se vad som händer på en virtuell Azure-maskin, en fysisk server som kör Red Hat eller en stationär dator som kör Ubuntu, allt från en enhetlig instrumentpanel . Låt oss titta närmare på hur det här systemet fungerar, vilka maskiner det stöder och hur man får det igång smidigt.
Vad finns under huven? Funktionalitet och möjligheter
Till skillnad från traditionella antivirusprogram som ibland kan kännas som en belastning för systemet, använder Defender på Linux en lätt sensorarkitektur baserad på eBPF (utökat Berkeley Packet Filter) . Detta är viktigt eftersom det innebär att det inte behöver installera kärnmoduler, vilket drastiskt minskar risken för systemkrascher och minimerar påverkan på maskinens prestanda.
Systemet är i grunden uppdelat i tre huvudsakliga försvarsblock. Först finns nästa generations skydd , som inte bara letar efter gamla virussignaturer, utan använder maskininlärning och beteendeanalys för att blockera skadlig kod i realtid. Om en process börjar bete sig konstigt som liknar en ransomware- attack , stoppar systemet den omedelbart.
För det andra kommer EDR in i bilden. Det är här det blir allvarligt, eftersom systemet övervakar aktivitet för att upptäcka fillösa attacker eller minnesinjektioner. Tack vare Microsofts hotinformation och anpassning till MITRE ATT&CK -ramverket kan analytiker se den exakta tidslinjen för en attack och reagera dynamiskt, antingen genom att ta bort en misstänkt fil eller köra åtgärdsskript på distans.
Slutligen finns det exponeringshantering. Defender skannar systemet efter programvarusårbarheter och felkonfigurationer. Istället för att administratören måste granska varje CVE manuellt prioriterar verktyget risker så att du vet vad som ska uppdateras först för att minska attackytan.
Kompatibel utrustning och tekniska krav
Inte alla Linux-distributioner fungerar, men listan är ganska omfattande. Microsoft har gjort alla distributioner som körs på en server även kompatibla med Linux-skrivbordet (även om den senare fortfarande finns i offentlig förhandsvisning). Detta är viktigt för programmerare, som ofta hanterar höga privilegier och är ett huvudmål för hackare.
- Godkända utdelningar: Det inkluderar tungviktare som Red Hat Enterprise Linux (RHEL), CentOS, Ubuntu LTS (från 16.04 till 24.04 och högre), Debian, SUSE Linux Enterprise, Oracle Linux, Fedora, Rocky Linux, Alma Linux och Mariner.
- Arkitekturer: Den stöder båda processorerna x64 (AMD64/EM64T) som de modernaste ARM64.
- Grafiska miljöer: Det spelar ingen roll om du använder GNOME, KDE eller något annat system; det som spelar roll är systembasen och versionen av systemet. kernel.
När det gäller hårdvaran är den inte alltför krävande. För att agenten ska fungera smidigt behöver du minst en CPU-kärna , 1 GB RAM och cirka 2 GB diskutrymme. Men om du har en mycket tung arbetsbelastning är det lämpligt att öka dessa värden för att undvika flaskhalsar. På programvarusidan är det viktigt att systemet använder systemd som systemhanterare, och om du vill använda enhetsisolering måste du ha iptables eller nftables konfigurerade.
Filsystem och nätverk
Realtidsskydd och skanningar (snabba eller fullständiga) fungerar på de flesta vanliga filsystem. Det finns dock en utökad lista för anpassade skanningar som inkluderar alternativ som btrfs, ext2, ext3, ext4, xfs, nfs (v3 och v4) och ännu mer specifika system som glusterfs eller ocfs2.
För att agenten ska kunna rapportera hot till Microsoft-portalen behöver den sömlös anslutning till molnet . Detta innebär att brandväggar konfigureras korrekt och, om företaget använder en proxy, att statisk proxydetektering aktiveras så att anonym trafik till Microsoft-URL:er inte blockeras.
Så här får du igång det: Distribueringsmetoder
Att installera Defender är inte så enkelt som att klicka på "nästa", eftersom det är ett verktyg på företagsnivå. Manuell installation är möjlig, men för stora distributioner rekommenderas att använda distributionsverktyget eller konfigurationshanterare som Puppet, Ansible eller Chef.
Om du väljer den manuella vägen varierar processen beroende på din distribution. På RHEL-baserade system använder du dnf eller yum för att lägga till Microsoft-arkivet och installera mdatp- paketet . På Ubuntu eller Debian innebär processen att du använder apt , konfigurerar arkivlistan och motsvarande GPG-nycklar.
När programvaran är installerad kommer det avgörande steget: onboardingDu måste ladda ner ett paket från Microsoft Defender-portalen och köra ett Python-skript (vanligtvis MicrosoftDefenderATPOnboardingLinuxServer.py) med root-behörigheter. För att kontrollera att allt fungerar korrekt kan du använda kommandot mdatp healthvilket kommer att berätta om agenten är frisk och licensierad.
Licensiering och operativ ledning
Det är viktigt att förtydliga att detta inte är gratis för hemanvändare. För att använda Defender på Linux behöver du en företagslicens, specifikt Microsoft Defender för Endpoint Plan 2 , eller en prenumeration på en mer omfattande plan som Microsoft 365 E5 eller E7.
Hanteringen sker från molnet, där du kan konfigurera antivirusundantag för att förhindra att skannern saktar ner kritiska applikationer. Plattformsuppdateringar sker månatligen, och det är viktigt att hålla sig till de tre senaste versionerna för att upprätthålla supporten. Dessutom tillåter systemet passivt läge , vilket innebär att Defender kan samexistera med annan antivirusprogramvara från tredje part utan konflikter, bara observera och rapportera utan att automatiskt blockera.
Denna lösning förvandlar Linux-säkerhet till en hanterbar och professionell lösning som eliminerar blinda fläckar i företagsinfrastrukturen. Genom att kombinera en eBPF -baserad arkitektur med centraliserad molnhantering säkerställer Microsoft ett konsekvent och effektivt skydd för servrar och arbetsstationer, vilket kan stoppa allt från enkel skadlig kod till avancerade, ihållande hot.