- 它采用基于 eBPF 的轻量级架构，避免使用内核模块，从而最大限度地减少对性能的影响。
- 它通过 EDR、下一代防病毒和基于 AI 的漏洞管理提供全面保护。
- 它与 Ubuntu、RHEL、Debian 和 SUSE 等主流企业发行版兼容，支持 x64 和 ARM64 架构。
- 需要 Microsoft Defender for Endpoint Plan 2 企业版许可证或 Microsoft 365 E5/E7 订阅。
您可能已经注意到，微软的安全生态系统取得了显著进步。它不再仅仅局限于保护 Windows 系统；微软还推出了一款名为Microsoft Defender for Endpoint 的强大工具，专为 Linux 环境设计。最令人感兴趣的是，虽然许多人将其视为简单的企业安全检查工具，但该工具已经发展到可以覆盖从最强大的云服务器到在家办公的开发人员笔记本电脑的所有内容，从而将整个技术生态系统整合到一个统一的命令之下。
此举看似简单，实则雄心勃勃：微软希望帮助企业摆脱管理十几种不同工具的繁琐工作。通过将 Linux 集成到其XDR（扩展检测与响应）平台中，安全管理员可以从统一的控制面板查看 Azure 虚拟机、运行 Red Hat 的物理服务器或运行 Ubuntu 的桌面计算机上的所有活动。接下来，我们将详细了解该系统的工作原理、支持的设备类型以及如何顺利部署和运行。
其内部构造如何？功能和性能
与有时会给系统带来负担的传统杀毒软件不同，Linux 版 Defender 采用基于eBPF（扩展伯克利数据包过滤器）的轻量级传感器架构。这一点至关重要，因为它无需安装内核模块，从而大幅降低系统崩溃的可能性，并将对机器性能的影响降至最低。
该系统主要分为三个防御模块。首先是新一代防护，它不仅检测旧病毒特征码，还利用机器学习和行为分析实时拦截恶意软件。如果某个进程开始出现异常行为，疑似勒索软件攻击，系统会立即将其阻止。
其次，EDR（端点检测与响应）功能开始发挥作用。这才是真正考验系统的地方，因为它会监控活动以检测无文件攻击或内存注入。得益于微软的威胁情报以及与MITRE ATT&CK框架的契合，分析人员可以查看攻击的确切时间线并做出动态响应，例如删除可疑文件或远程运行修复脚本。
最后，还有风险暴露管理。Defender 会扫描系统，查找软件漏洞和错误配置。管理员无需手动审查每个 CVE，该工具会自动对风险进行优先级排序，以便您了解应该优先修复哪些漏洞，从而缩小攻击面。
兼容设备和技术要求
并非所有 Linux 发行版都能正常工作，但兼容的发行版数量相当多。微软已将所有可在服务器上运行的发行版都与Linux 桌面版兼容（尽管后者仍处于公开预览阶段）。这对于程序员来说至关重要，因为他们通常拥有很高的权限，也是黑客的主要攻击目标。
- 可接受的发行版： 它包括 Red Hat Enterprise Linux (RHEL)、CentOS、Ubuntu LTS（16.04 至 24.04 及更高版本）、Debian、SUSE Linux Enterprise、Oracle Linux、Fedora、Rocky Linux、Alma Linux 和 Mariner 等重量级产品。
- 架构： 它同时支持这两种处理器。 x64 (AMD64/EM64T) 就像最现代的那些 ARM64.
- 图形环境： 你使用 GNOME、KDE 还是其他任何桌面环境都无关紧要；重要的是系统基础和版本。 核心.
至于硬件方面，要求并不高。代理程序流畅运行至少需要一个 CPU 核心、1 GB 内存和大约 2 GB 的磁盘空间。但是，如果工作负载非常繁重，建议增加这些参数以避免瓶颈。软件方面，系统必须使用systemd作为系统管理器，如果要使用设备隔离，则必须配置iptables 或 nftables。
文件系统和网络
实时保护和扫描（快速或完整）适用于大多数常见文件系统。但是，还有一个扩展列表可用于自定义扫描，其中包括 btrfs、ext2、ext3、ext4、xfs、nfs（v3 和 v4）等选项，甚至包括glusterfs 或 ocfs2等更具体的系统。
代理要向微软门户报告威胁，需要与云端无缝连接。这涉及正确配置防火墙，如果公司使用代理，则需要启用静态代理检测，以确保对微软 URL 的匿名流量不会被阻止。
如何启动并运行：部署方法
安装 Windows Defender 并非像点击“下一步”按钮那么简单，因为它是一款企业级工具。虽然可以手动安装，但对于大规模部署，建议使用部署工具或配置管理器，例如Puppet、Ansible 或 Chef。
如果选择手动方式，具体步骤会因发行版而异。在基于 RHEL 的系统上，您需要使用dnf 或 yum添加 Microsoft 软件仓库并安装mdatp软件包。在 Ubuntu 或 Debian 系统上，则需要使用apt 命令，配置软件仓库列表和相应的 GPG 密钥。
软件安装完毕后，就到了关键步骤： 入职您需要从 Microsoft Defender 门户下载一个软件包并运行一个 Python 脚本（通常是 MicrosoftDefenderATPOnboardingLinuxServer.py）以 root 权限。要验证一切是否正常工作，您可以使用以下命令 mdatp health这将告诉你该代理人是否是 健康且持有执照.
许可和运营管理
需要澄清的是，这并非面向家庭用户的免费软件。要在 Linux 系统上使用 Defender，您需要企业许可证，具体来说是Microsoft Defender for Endpoint Plan 2，或者订阅更全面的计划，例如Microsoft 365 E5 或 E7。
管理工作在云端完成，您可以配置防病毒排除项，以防止扫描程序拖慢关键应用程序的速度。平台每月更新，为了保持技术支持，务必使用最新的三个版本。此外，该系统支持被动模式，这意味着 Defender 可以与其他第三方防病毒软件共存而不会发生冲突，它只会进行观察和报告，而不会自动阻止。
该解决方案将 Linux 安全转变为可管理且专业的解决方案，消除了企业基础架构中的安全盲点。通过将基于eBPF 的架构与集中式云管理相结合，微软确保为服务器和工作站提供持续高效的保护，能够抵御从简单恶意软件到高级持续性威胁的各种攻击。