- 它採用基於 eBPF 的輕量級架構，避免使用核心模組，從而最大限度地減少對效能的影響。
- 它透過 EDR、下一代防毒和基於 AI 的漏洞管理提供全面保護。
- 它與 Ubuntu、RHEL、Debian 和 SUSE 等主流企業發行版相容，支援 x64 和 ARM64 架構。
- 需要 Microsoft Defender for Endpoint Plan 2 企業版授權或 Microsoft 365 E5/E7 訂閱。
您可能已經注意到，微軟的安全生態系統取得了顯著進展。它不再僅限於保護 Windows 系統；微軟還推出了一款名為Microsoft Defender for Endpoint 的強大工具，專為 Linux 環境設計。最令人感興趣的是，雖然許多人將其視為簡單的企業安全檢查工具，但該工具已經發展到可以覆蓋從最強大的雲端伺服器到在家工作的開發人員筆記型電腦的所有內容，從而將整個技術生態系統整合到一個統一的命令之下。
此舉看似簡單，其實雄心勃勃：微軟希望幫助企業擺脫管理十幾種不同工具的繁瑣工作。透過將 Linux 整合到其XDR（擴展偵測與回應）平台中，安全性管理員可以從統一的控制面板查看 Azure 虛擬機器、執行 Red Hat 的實體伺服器或執行 Ubuntu 的桌上型電腦上的所有活動。接下來，我們將詳細了解該系統的工作原理、支援的設備類型以及如何順利部署和運作。
其內部構造如何？功能和性能
與有時會給系統帶來負擔的傳統防毒軟體不同，Linux 版 Defender 採用基於eBPF（擴展伯克利資料包過濾器）的輕量級感測器架構。這一點至關重要，因為它無需安裝核心模組，從而大幅降低系統崩潰的可能性，並將對機器性能的影響降至最低。
本系統主要分為三個防禦模組。首先是新一代防護，它不僅偵測舊病毒特徵碼，還利用機器學習和行為分析即時攔截惡意軟體。如果某個進程開始出現異常行為，疑似勒索軟體攻擊，系統會立即將其封鎖。
其次，EDR（端點偵測與反應）功能開始發揮作用。這才是真正考驗系統的地方，因為它會監控活動以偵測無檔案攻擊或記憶體注入。由於微軟的威脅情報以及與MITRE ATT&CK框架的契合，分析人員可以查看攻擊的確切時間軸並做出動態回應，例如刪除可疑檔案或遠端執行修復腳本。
最後，還有風險暴露管理。 Defender 會掃描系統，找出軟體漏洞和錯誤設定。管理員無需手動審查每個 CVE，該工具會自動對風險進行優先排序，以便您了解應該優先修復哪些漏洞，從而縮小攻擊面。
相容設備和技術要求
並非所有 Linux 發行版都能正常運作，但相容的發行版數量相當多。微軟已將所有可在伺服器上運行的發行版都與Linux 桌面版相容（儘管後者仍處於公開預覽階段）。這對程式設計師來說至關重要，因為他們通常擁有很高的權限，也是駭客的主要攻擊目標。
- 可接受的發行版： 它包括 Red Hat Enterprise Linux (RHEL)、CentOS、Ubuntu LTS（16.04 至 24.04 及更高版本）、Debian、SUSE Linux Enterprise、Oracle Linux、Fedora、Rocky Linux、Alma Linux 和 Mariner 等重量級產品。
- 架構： 它同時支援這兩種處理器。 x64 (AMD64/EM64T) 就像最現代的那些 ARM64.
- 圖形環境： 你使用 GNOME、KDE 或其他任何桌面環境都無關緊要；重要的是系統基礎和版本。 核心.
至於硬體方面，要求並不高。代理程式流暢運行至少需要一個 CPU 核心、1 GB 記憶體和大約 2 GB 的磁碟空間。但是，如果工作負載非常繁重，建議增加這些參數以避免瓶頸。軟體方面，系統必須使用systemd作為系統管理器，如果要使用設備隔離，則必須設定iptables 或 nftables。
檔案系統和網路
即時保護和掃描（快速或完整）適用於大多數常見檔案系統。但是，還有一個擴充功能清單可用於自訂掃描，其中包括 btrfs、ext2、ext3、ext4、xfs、nfs（v3 和 v4）等選項，甚至包括glusterfs 或 ocfs2等更具體的系統。
代理要向微軟入口網站報告威脅，需要與雲端無縫連接。這涉及正確配置防火牆，如果公司使用代理，則需要啟用靜態代理檢測，以確保對微軟 URL 的匿名流量不會被阻止。
如何啟動並運行：部署方法
安裝 Windows Defender 並非像點擊「下一步」按鈕那麼簡單，因為它是一款企業級工具。雖然可以手動安裝，但對於大規模部署，建議使用部署工具或設定管理器，例如Puppet、Ansible 或 Chef。
如果選擇手動方式，具體步驟會因發行版而異。在基於 RHEL 的系統上，您需要使用dnf 或 yum新增 Microsoft 軟體倉庫並安裝mdatp軟體套件。在 Ubuntu 或 Debian 系統上，則需要使用apt 指令，設定軟體倉庫清單和對應的 GPG 金鑰。
軟體安裝完畢後，就到了關鍵步驟： 入職您需要從 Microsoft Defender 入口網站下載軟體包並執行一個 Python 腳本（通常是 MicrosoftDefenderATPOnboardingLinuxServer.py）以 root 權限。要驗證一切是否正常運作，您可以使用以下命令 mdatp health這將告訴你該代理人是否是 健康且持有執照.
許可和營運管理
需要澄清的是，這並非面向家庭用戶的免費軟體。要在 Linux 系統上使用 Defender，您需要企業許可證，具體來說是Microsoft Defender for Endpoint Plan 2，或訂閱更全面的計劃，例如Microsoft 365 E5 或 E7。
管理工作在雲端完成，您可以設定防毒排除項，以防止掃描程式拖慢關鍵應用程式的速度。平台每月更新，為了保持技術支持，請務必使用最新的三個版本。此外，該系統支援被動模式，這意味著 Defender 可以與其他第三方防毒軟體共存而不會發生衝突，它只會進行觀察和報告，而不會自動阻止。
該解決方案將 Linux 安全性轉變為可管理且專業的解決方案，消除了企業基礎架構中的安全盲點。透過將基於eBPF 的架構與集中式雲端管理相結合，微軟確保為伺服器和工作站提供持續高效的保護，能夠抵禦從簡單惡意軟體到進階持續性威脅的各種攻擊。