คู่มือฉบับสมบูรณ์สำหรับ Microsoft Defender บน Linux: การใช้งานและความเข้ากันได้

อินฟอร์เมเทค ดิจิตอล » ลินุกซ์ » คู่มือฉบับสมบูรณ์สำหรับ Microsoft Defender บน Linux: การใช้งานและความเข้ากันได้

คุณคงสังเกตเห็นแล้วว่าระบบนิเวศด้านความปลอดภัยของ Microsoft ได้ก้าวหน้าไปอย่างมาก ไม่ใช่แค่การปกป้อง Windows อีกต่อไปแล้ว พวกเขาได้เปิดตัวเครื่องมืออันทรงพลังที่เรียกว่าMicrosoft Defender for Endpoint ซึ่งออกแบบมาโดยเฉพาะสำหรับสภาพแวดล้อม Linux สิ่งที่น่าสนใจที่สุดก็คือ ในขณะที่หลายคนมองว่ามันเป็นเพียงการตรวจสอบความปลอดภัยขององค์กรทั่วไป แต่เครื่องมือนี้ได้พัฒนาไปครอบคลุมทุกอย่างตั้งแต่เซิร์ฟเวอร์คลาวด์ที่แข็งแกร่งที่สุดไปจนถึงแล็ปท็อปของนักพัฒนาที่ทำงานจากที่บ้าน จึงเป็นการรวมระบบนิเวศทางเทคโนโลยีทั้งหมดไว้ภายใต้คำสั่งเดียว

การเปลี่ยนแปลงครั้งนี้เรียบง่ายแต่ก็มีความทะเยอทะยานสูง: ไมโครซอฟต์ต้องการปลดปล่อยธุรกิจจากการต้องใช้เครื่องมือที่แตกต่างกันถึงสิบอย่าง ด้วยการผสานรวม Linux เข้ากับ แพลตฟอร์ม XDR (Extended Detection and Response)พวกเขาช่วยให้ผู้ดูแลระบบรักษาความปลอดภัยสามารถดูสิ่งที่เกิดขึ้นบนเครื่องเสมือน Azure เซิร์ฟเวอร์จริงที่ใช้ Red Hat หรือคอมพิวเตอร์เดสก์ท็อปที่ใช้ Ubuntu ได้ทั้งหมดจากแดชบอร์ดเดียวมาดูรายละเอียดเพิ่มเติมเกี่ยวกับวิธีการทำงานของระบบนี้ เครื่องที่รองรับ และวิธีการติดตั้งใช้งานให้ราบรื่นกัน

ข้างในมีอะไรบ้าง? ฟังก์ชันการทำงานและความสามารถ

แตกต่างจากโปรแกรมป้องกันไวรัสแบบดั้งเดิมที่บางครั้งอาจทำให้ระบบทำงานหนัก Defender บน Linux ใช้สถาปัตยกรรมเซ็นเซอร์น้ำหนักเบาที่อิงตามeBPF (extended Berkeley Packet Filter)นี่เป็นจุดสำคัญเพราะหมายความว่าไม่จำเป็นต้องติดตั้งโมดูลเคอร์เนล ซึ่งช่วยลดโอกาสที่ระบบจะล่มและลดผลกระทบต่อประสิทธิภาพของเครื่อง ได้อย่างมาก

ระบบนี้แบ่งออกเป็นสามส่วนหลักๆ ในด้านการป้องกัน ส่วนแรกคือการป้องกันยุคใหม่ซึ่งไม่เพียงแต่ค้นหาลายเซ็นไวรัสเก่าๆ เท่านั้น แต่ยังใช้การเรียนรู้ของเครื่องและการวิเคราะห์พฤติกรรมเพื่อบล็อกมัลแวร์แบบเรียลไทม์ หากกระบวนการใดเริ่มมีพฤติกรรมแปลกๆ ที่คล้ายกับ การโจมตี ด้วยแรนซัมแวร์ระบบจะหยุดกระบวนการนั้นทันที

ประการที่สอง EDR เข้ามามีบทบาท นี่คือจุดที่เรื่องสำคัญ เพราะระบบจะตรวจสอบกิจกรรมเพื่อตรวจจับการโจมตีแบบไร้ไฟล์หรือการแทรกโค้ดลงในหน่วยความจำ ด้วยระบบข่าวกรองภัยคุกคามของ Microsoft และการสอดคล้องกับ กรอบงาน MITRE ATT&CKนักวิเคราะห์สามารถเห็นลำดับเวลาที่แน่นอนของการโจมตีและตอบสนองได้อย่างรวดเร็ว ไม่ว่าจะเป็นการลบไฟล์ที่น่าสงสัยหรือเรียกใช้สคริปต์แก้ไขจากระยะไกล

สุดท้ายนี้ คือการจัดการความเสี่ยง Defender จะสแกนระบบเพื่อหาช่องโหว่ของซอฟต์แวร์และการตั้งค่าที่ไม่ถูกต้อง แทนที่ผู้ดูแลระบบจะต้องตรวจสอบ CVE แต่ละรายการด้วยตนเอง เครื่องมือนี้จะจัดลำดับความสำคัญของความเสี่ยงเพื่อให้คุณทราบว่าควรแก้ไขอะไรก่อนเพื่อลดความเสี่ยงจากการโจมตี

อุปกรณ์ที่เข้ากันได้และข้อกำหนดทางเทคนิค

ไม่ใช่ว่าทุกดิสทริบิวชันของลินุกซ์จะใช้งานได้ แต่รายชื่อก็ค่อนข้างครอบคลุม ไมโครซอฟต์ได้ทำให้ดิสทริบิวชันใดๆ ที่ทำงานบนเซิร์ฟเวอร์สามารถใช้งานร่วมกับเดสก์ท็อปลินุกซ์ ได้ด้วย (แม้ว่าเดสก์ท็อปลินุกซ์จะยังอยู่ในช่วงทดลองใช้งานก็ตาม) นี่เป็นสิ่งสำคัญสำหรับโปรแกรมเมอร์ ซึ่งมักจัดการสิทธิ์ระดับสูงและเป็นเป้าหมายหลักของแฮกเกอร์

• การแจกจ่ายที่ยอมรับ: ซึ่งรวมถึงระบบปฏิบัติการยอดนิยม เช่น Red Hat Enterprise Linux (RHEL), CentOS, Ubuntu LTS (ตั้งแต่เวอร์ชัน 16.04 ถึง 24.04 และสูงกว่า), Debian, SUSE Linux Enterprise, Oracle Linux, Fedora, Rocky Linux, Alma Linux และ Mariner
• สถาปัตยกรรม: รองรับทั้งสองโปรเซสเซอร์ x64 (AMD64/EM64T) เหมือนกับรุ่นที่ทันสมัยที่สุด ARM64.
• สภาพแวดล้อมทางกราฟิก: ไม่สำคัญว่าคุณจะใช้ GNOME, KDE หรือระบบอื่นใด สิ่งสำคัญคือระบบพื้นฐานและเวอร์ชันของโปรแกรม เมล็ด.

สำหรับฮาร์ดแวร์นั้น ไม่ได้ต้องการสเปคสูงมากนัก เพื่อให้เอเจนต์ทำงานได้อย่างราบรื่น คุณต้องการอย่างน้อยซีพียู 1 คอร์ , แรม 1 GB และพื้นที่ดิสก์ประมาณ 2 GB อย่างไรก็ตาม หากคุณมีปริมาณงานหนักมาก แนะนำให้เพิ่มค่าเหล่านี้เพื่อหลีกเลี่ยงปัญหาคอขวด ในด้านซอฟต์แวร์ จำเป็นอย่างยิ่งที่ระบบจะต้องใช้systemdเป็นตัวจัดการระบบ และหากคุณต้องการใช้การแยกอุปกรณ์ คุณต้อง กำหนด ค่า iptables หรือ nftablesไว้ ด้วย

ระบบไฟล์และเครือข่าย

การป้องกันและการสแกนแบบเรียลไทม์ (แบบเร็วหรือแบบเต็ม) สามารถใช้งานได้กับระบบไฟล์ทั่วไปส่วนใหญ่ อย่างไรก็ตาม มีรายการเพิ่มเติมสำหรับการสแกนแบบกำหนดเองซึ่งรวมถึงตัวเลือกต่างๆ เช่น btrfs, ext2, ext3, ext4, xfs, nfs (v3 และ v4) และระบบที่เฉพาะเจาะจงมากขึ้น เช่นglusterfs หรือ ocfs2

เพื่อให้เอเจนต์สามารถรายงานภัยคุกคามไปยังพอร์ทัลของ Microsoft ได้ จำเป็นต้องมีการเชื่อมต่อกับคลาวด์อย่างราบรื่นซึ่งรวมถึงการกำหนดค่าไฟร์วอลล์อย่างถูกต้อง และหากบริษัทใช้พร็อกซี ก็ต้องเปิดใช้งานการตรวจจับพร็อกซีแบบคงที่เพื่อไม่ให้การรับส่งข้อมูลที่ไม่ระบุตัวตนไปยัง URL ของ Microsoft ถูกบล็อก

วิธีการเริ่มต้นใช้งาน: วิธีการปรับใช้

การติดตั้ง Defender ไม่ได้ง่ายเหมือนกับการคลิกปุ่ม "ถัดไป" เพราะเป็นเครื่องมือระดับองค์กร แม้ว่าจะสามารถติดตั้งด้วยตนเองได้ แต่สำหรับการใช้งานขนาดใหญ่ แนะนำให้ใช้เครื่องมือการติดตั้ง (Deployment Tool)หรือตัวจัดการการกำหนดค่า เช่นPuppet, Ansible หรือ Chef

หากคุณเลือกวิธีการแบบแมนนวล ขั้นตอนจะแตกต่างกันไปขึ้นอยู่กับระบบปฏิบัติการที่คุณใช้ บนระบบที่ใช้ RHEL คุณจะต้องใช้dnf หรือ yumเพื่อเพิ่มที่เก็บซอฟต์แวร์ของ Microsoft และติดตั้ง แพ็กเกจ mdatpส่วนบน Ubuntu หรือ Debian ขั้นตอนจะเกี่ยวข้องกับการใช้aptการกำหนดค่ารายการที่เก็บซอฟต์แวร์ และคีย์ GPG ที่เกี่ยวข้อง

เมื่อติดตั้งซอฟต์แวร์เสร็จแล้ว ขั้นตอนที่สำคัญที่สุดก็คือ: การเริ่มต้นใช้งานคุณต้องดาวน์โหลดแพ็กเกจจากพอร์ทัล Microsoft Defender และเรียกใช้สคริปต์ Python (โดยปกติ) MicrosoftDefenderATPOnboardingLinuxServer.py) ด้วยสิทธิ์ระดับรูท เพื่อตรวจสอบว่าทุกอย่างทำงานได้อย่างถูกต้อง คุณสามารถใช้คำสั่งนี้ได้ mdatp healthซึ่งจะบอกคุณได้ว่าตัวแทนนั้นเป็นอย่างไร มีสุขภาพดีและได้รับใบอนุญาต.

การออกใบอนุญาตและการจัดการด้านปฏิบัติการ

สิ่งสำคัญคือต้องชี้แจงว่านี่ไม่ใช่ของฟรีสำหรับผู้ใช้ตามบ้าน หากต้องการใช้ Defender บน Linux คุณต้องมีใบอนุญาตสำหรับองค์กร โดยเฉพาะอย่างยิ่งMicrosoft Defender for Endpoint Plan 2หรือสมัครใช้งานแผนที่ครอบคลุมกว่า เช่นMicrosoft 365 E5 หรือ E7

การจัดการจะดำเนินการผ่านระบบคลาวด์ ซึ่งคุณสามารถกำหนดค่าการยกเว้นโปรแกรมป้องกันไวรัสเพื่อป้องกันไม่ให้โปรแกรมสแกนทำงานช้าลงจนทำให้แอปพลิเคชันที่สำคัญทำงานช้าลง การอัปเดตแพลตฟอร์มจะเกิดขึ้นทุกเดือน และจำเป็นอย่างยิ่งที่จะต้องใช้งานสามเวอร์ชันล่าสุดเพื่อรักษาสิทธิ์การสนับสนุน นอกจากนี้ ระบบยังอนุญาตให้ใช้งานในโหมดพาสซีฟซึ่งหมายความว่า Defender สามารถทำงานร่วมกับซอฟต์แวร์ป้องกันไวรัสของบริษัทอื่นได้โดยไม่เกิดข้อขัดแย้ง เพียงแค่ตรวจสอบและรายงานโดยไม่ทำการบล็อกโดยอัตโนมัติ

โซลูชันนี้เปลี่ยนระบบรักษาความปลอดภัยของ Linux ให้เป็นโซลูชันที่จัดการได้และเป็นมืออาชีพ ช่วยขจัดจุดบอดในโครงสร้างพื้นฐานขององค์กร ด้วยการผสานรวม สถาปัตยกรรมแบบ eBPFเข้ากับการจัดการแบบรวมศูนย์บนคลาวด์ ไมโครซอฟต์จึงมั่นใจได้ถึงการปกป้องที่สม่ำเสมอและมีประสิทธิภาพสำหรับเซิร์ฟเวอร์และเวิร์กสเตชัน ซึ่งสามารถหยุดยั้งได้ทุกอย่างตั้งแต่โปรแกรมมัลแวร์ธรรมดาไปจนถึงภัยคุกคามขั้นสูงที่คงอยู่ถาวร