- Nó triển khai một kiến trúc nhẹ dựa trên eBPF, tránh sử dụng các mô-đun nhân để giảm thiểu tác động đến hiệu năng.
- Nó cung cấp khả năng bảo vệ toàn diện thông qua EDR, phần mềm chống virus thế hệ mới và quản lý lỗ hổng dựa trên trí tuệ nhân tạo.
- Nó tương thích với các bản phân phối doanh nghiệp lớn như Ubuntu, RHEL, Debian và SUSE trên kiến trúc x64 và ARM64.
- Yêu cầu giấy phép doanh nghiệp Microsoft Defender for Endpoint Plan 2 hoặc gói đăng ký Microsoft 365 E5/E7.
Chắc hẳn bạn đã nhận thấy hệ sinh thái bảo mật của Microsoft đã có một bước tiến đáng kể. Giờ đây, nó không chỉ đơn thuần là bảo vệ Windows; họ đã triển khai một công cụ mạnh mẽ có tên Microsoft Defender for Endpoint, được thiết kế đặc biệt cho môi trường Linux. Điều thú vị nhất là, trong khi nhiều người coi nó như một công cụ kiểm tra bảo mật doanh nghiệp đơn giản, thì công cụ này đã phát triển để bao phủ mọi thứ, từ các máy chủ đám mây mạnh mẽ nhất đến máy tính xách tay của một nhà phát triển làm việc tại nhà, do đó thống nhất toàn bộ hệ sinh thái công nghệ dưới một lệnh duy nhất.
Động thái này đơn giản nhưng đầy tham vọng: Microsoft muốn giải phóng các doanh nghiệp khỏi việc phải sử dụng đến mười công cụ khác nhau. Bằng cách tích hợp Linux vào nền tảng XDR (Extended Detection and Response) của mình , họ cho phép quản trị viên bảo mật xem những gì đang xảy ra trên máy ảo Azure, máy chủ vật lý chạy Red Hat hoặc máy tính để bàn chạy Ubuntu, tất cả từ một bảng điều khiển thống nhất . Hãy cùng xem xét kỹ hơn hệ thống này hoạt động như thế nào, nó hỗ trợ những loại máy nào và làm thế nào để thiết lập và vận hành nó một cách trơn tru.
Bên trong có gì? Chức năng và khả năng
Không giống như các chương trình chống virus truyền thống đôi khi gây gánh nặng cho hệ thống, Defender trên Linux sử dụng kiến trúc cảm biến nhẹ dựa trên eBPF (extended Berkeley Packet Filter) . Điều này rất quan trọng vì nó có nghĩa là nó không cần cài đặt các mô-đun kernel, làm giảm đáng kể khả năng hệ thống bị treo và giảm thiểu tác động đến hiệu năng máy.
Hệ thống về cơ bản được chia thành ba khối phòng thủ chính. Đầu tiên là hệ thống bảo vệ thế hệ mới , không chỉ tìm kiếm các chữ ký virus cũ mà còn sử dụng máy học và phân tích hành vi để chặn phần mềm độc hại trong thời gian thực. Nếu một tiến trình bắt đầu hoạt động bất thường, giống như một cuộc tấn công mã độc tống tiền , hệ thống sẽ ngăn chặn nó ngay lập tức.
Thứ hai, EDR phát huy tác dụng. Đây là lúc mọi việc trở nên nghiêm trọng, vì hệ thống giám sát hoạt động để phát hiện các cuộc tấn công không cần tệp hoặc tấn công chèn bộ nhớ. Nhờ vào thông tin tình báo về mối đe dọa của Microsoft và sự tương thích với khung MITRE ATT&CK , các nhà phân tích có thể thấy chính xác diễn biến của một cuộc tấn công và phản hồi một cách linh hoạt, bằng cách xóa tệp đáng ngờ hoặc chạy từ xa các tập lệnh khắc phục.
Cuối cùng là quản lý rủi ro. Defender quét hệ thống để tìm các lỗ hổng phần mềm và cấu hình sai. Thay vì người quản trị phải xem xét thủ công từng CVE, công cụ này ưu tiên các rủi ro để bạn biết cần vá lỗi nào trước nhằm giảm thiểu bề mặt tấn công.
Thiết bị tương thích và các yêu cầu kỹ thuật
Không phải tất cả các bản phân phối Linux đều hoạt động, nhưng danh sách khá dài. Microsoft đã làm cho bất kỳ bản phân phối nào chạy trên máy chủ cũng tương thích với Linux dành cho máy tính để bàn (mặc dù phiên bản dành cho máy tính để bàn vẫn đang trong giai đoạn thử nghiệm công khai). Điều này rất quan trọng đối với các lập trình viên, những người thường có quyền quản trị cao và là mục tiêu hàng đầu của tin tặc.
- Các bản phân phối được chấp nhận: Nó bao gồm những hệ điều hành hàng đầu như Red Hat Enterprise Linux (RHEL), CentOS, Ubuntu LTS (từ 16.04 đến 24.04 trở lên), Debian, SUSE Linux Enterprise, Oracle Linux, Fedora, Rocky Linux, Alma Linux và Mariner.
- Kiến trúc: Nó hỗ trợ cả hai bộ xử lý x64 (AMD64/EM64T) giống như những cái hiện đại nhất ARM64.
- Môi trường đồ họa: Không quan trọng bạn sử dụng GNOME, KDE hay bất kỳ hệ điều hành nào khác; điều quan trọng là nền tảng hệ thống và phiên bản của hệ điều hành. hạt nhân.
Về phần cứng, cấu hình không quá khắt khe. Để agent hoạt động trơn tru, bạn cần ít nhất một lõi CPU , 1 GB RAM và khoảng 2 GB dung lượng ổ cứng. Tuy nhiên, nếu khối lượng công việc rất lớn, bạn nên tăng các giá trị này để tránh tắc nghẽn. Về phần mềm, điều cần thiết là hệ thống phải sử dụng systemd làm trình quản lý hệ thống, và nếu bạn muốn sử dụng tính năng cách ly thiết bị, bạn phải cấu hình iptables hoặc nftables.
Hệ thống tập tin và mạng
Chức năng bảo vệ và quét thời gian thực (nhanh hoặc toàn diện) hoạt động trên hầu hết các hệ thống tệp phổ biến. Tuy nhiên, có một danh sách mở rộng cho các bản quét tùy chỉnh bao gồm các tùy chọn như btrfs, ext2, ext3, ext4, xfs, nfs (v3 và v4), và thậm chí cả các hệ thống cụ thể hơn như glusterfs hoặc ocfs2.
Để tác nhân có thể báo cáo các mối đe dọa lên cổng thông tin của Microsoft, nó cần có kết nối liền mạch với đám mây . Điều này bao gồm việc cấu hình tường lửa đúng cách và, nếu công ty sử dụng máy chủ proxy, cần bật tính năng phát hiện proxy tĩnh để lưu lượng truy cập ẩn danh đến các URL của Microsoft không bị chặn.
Cách thức thiết lập và vận hành: Các phương pháp triển khai
Việc cài đặt Defender không đơn giản như nhấn nút "tiếp theo", vì đây là một công cụ cấp doanh nghiệp. Mặc dù có thể cài đặt thủ công, nhưng đối với các triển khai quy mô lớn, nên sử dụng Công cụ triển khai hoặc các trình quản lý cấu hình như Puppet, Ansible hoặc Chef.
Nếu bạn chọn cách thực hiện thủ công, quy trình sẽ khác nhau tùy thuộc vào bản phân phối hệ điều hành của bạn. Trên các hệ thống dựa trên RHEL, bạn sẽ sử dụng dnf hoặc yum để thêm kho lưu trữ của Microsoft và cài đặt gói mdatp . Trên Ubuntu hoặc Debian, quy trình bao gồm sử dụng apt , cấu hình danh sách kho lưu trữ và các khóa GPG tương ứng.
Sau khi phần mềm được cài đặt, bước quan trọng tiếp theo là: hội nhậpBạn cần tải xuống một gói từ cổng thông tin Microsoft Defender và chạy một tập lệnh Python (thường là...) MicrosoftDefenderATPOnboardingLinuxServer.py) với quyền root. Để xác minh rằng mọi thứ hoạt động chính xác, bạn có thể sử dụng lệnh mdatp healthđiều này sẽ cho bạn biết liệu người đại lý có phải là khỏe mạnh và được cấp phép.
Cấp phép và quản lý hoạt động
Điều quan trọng cần làm rõ là đây không phải là phần mềm miễn phí dành cho người dùng cá nhân. Để sử dụng Defender trên Linux, bạn cần có giấy phép doanh nghiệp, cụ thể là Microsoft Defender for Endpoint Plan 2 , hoặc đăng ký gói dịch vụ toàn diện hơn như Microsoft 365 E5 hoặc E7.
Việc quản lý được thực hiện từ đám mây, nơi bạn có thể cấu hình các ngoại lệ chống virus để ngăn trình quét làm chậm các ứng dụng quan trọng. Các bản cập nhật nền tảng được thực hiện hàng tháng và điều cần thiết là phải luôn sử dụng ba phiên bản mới nhất để duy trì hỗ trợ. Hơn nữa, hệ thống cho phép chế độ thụ động , nghĩa là Defender có thể hoạt động song song với các phần mềm chống virus của bên thứ ba khác mà không xung đột, chỉ đơn giản là quan sát và báo cáo mà không tự động chặn.
Giải pháp này biến bảo mật Linux thành một giải pháp chuyên nghiệp và dễ quản lý, loại bỏ các điểm mù trong cơ sở hạ tầng doanh nghiệp. Bằng cách kết hợp kiến trúc dựa trên eBPF với quản lý đám mây tập trung, Microsoft đảm bảo khả năng bảo vệ nhất quán và hiệu quả cho máy chủ và máy trạm, có khả năng ngăn chặn mọi thứ từ phần mềm độc hại đơn giản đến các mối đe dọa dai dẳng nâng cao.