Del via

Kør klientanalysen på Linux

  • Artikel

Gælder for:

Vil du opleve Defender for Endpoint? Tilmeld dig en gratis prøveversion.

Hvis du har problemer med Microsoft Defender for Endpoint på Linux og har brug for support, bliver du muligvis bedt om at angive outputtet fra værktøjet Klientanalyse. I denne artikel forklares det, hvordan du bruger værktøjet på din enhed eller med live-svar. Du kan enten bruge en Python-baseret løsning eller en binær version, der ikke har brug for Python.

Kørsel af den binære version af klientanalysen

  1. Download værktøjet XMDE Client Analyzer Binary til den Linux-maskine, du vil undersøge. Hvis du bruger en terminal, skal du downloade værktøjet ved at angive følgende kommando:

    wget --quiet -O XMDEClientAnalyzerBinary.zip https://aka.ms/XMDEClientAnalyzerBinary

  2. Kontrollér overførslen.

    echo '4E96E75B16244BB25BDBF34CBB3EB596BC2E9CE368BC4E532E8AE12DF2A1E19D XMDEClientAnalyzerBinary.zip' | sha256sum -c

  3. Udtræk indholdet af XMDEClientAnalyzerBinary.zip på maskinen.

    unzip -q XMDEClientAnalyzerBinary.zip -d XMDEClientAnalyzerBinary

  4. Skift mappen:

    cd XMDEClientAnalyzerBinary

  5. Der oprettes to nye zip-filer:

    • SupportToolLinuxBinary.zip: Til alle Linux-enheder
    • SupportToolMacOSBinary.zip: Til Mac-enheder

  6. Pak filen ud SupportToolLinuxBinary.zip .

    unzip -q SupportToolLinuxBinary.zip

  7. Kør værktøjet som rod for at generere diagnosticeringspakken:

    sudo ./MDESupportTool -d

Kørsel af den Python-baserede klientanalyse

Bemærk!

  • Analysen afhænger af nogle få ekstra PIP-pakker (decorator, sh, distro, lxmlog psutil), der installeres i operativsystemet, når de er i roden, for at producere resultatoutputtet. Hvis den ikke er installeret, forsøger analysefunktionen at hente den fra det officielle lager til Python-pakker.
  • Derudover kræver værktøjet i øjeblikket, at Python version 3 eller nyere er installeret på enheden.
  • Hvis enheden er bag en proxy, kan du overføre proxyserveren som en miljøvariabel til scriptet mde_support_tool.sh . For eksempel: https_proxy=https://myproxy.contoso.com:8080 ./mde_support_tool.sh".

Advarsel

Kørsel af den Python-baserede klientanalyse kræver installation af PIP-pakker, som kan medføre problemer i dit miljø. Hvis du vil undgå problemer, anbefaler vi, at du installerer pakkerne i et PIP-brugermiljø.

  1. Download værktøjet XMDE-klientanalyse på den Linux-maskine, du skal undersøge. Hvis du bruger en terminal, skal du downloade værktøjet ved at angive følgende kommando:

    wget --quiet -O XMDEClientAnalyzer.zip https://aka.ms/XMDEClientAnalyzer

  2. Kontrollér overførslen.

    echo '07E6A7B89E28A78309D5B6F1E25E4CDFBA9CA141450E422D76441C03AD3477E7 XMDEClientAnalyzer.zip' | sha256sum -c

  3. Udtræk indholdet af XMDEClientAnalyzer.zip på maskinen.

    unzip -q XMDEClientAnalyzer.zip -d XMDEClientAnalyzer

  4. Skift mappen.

    cd XMDEClientAnalyzer

  5. Giv værktøjet den eksekverbare tilladelse.

    chmod a+x mde_support_tool.sh

  6. Kør som en nonroot-bruger for at installere påkrævede afhængigheder.

    ./mde_support_tool.sh

  7. Hvis du vil indsamle diagnosticeringspakken og generere resultatarkivfilen, skal du køre igen som rod.

    sudo ./mde_support_tool.sh -d

Kommandolinjeindstillinger

Nedenfor er de kommandolinjeindstillinger, der leveres af klientanalysen


usage: MDESupportTool [-h] [--output OUTPUT] [--outdir OUTDIR] [--no-zip]
                      [--force] [--diagnostic] [--skip-mdatp]
                      [--bypass-disclaimer] [--interactive] [--delay DELAY]
                      [--mdatp-log {trace,info,warning,error,debug,verbose}]
                      [--max-log-size MAX_LOG_SIZE]
                      {certinfocollection,performance,installation,exclude,ratelimit,skipfaultyrules,trace,observespikes,connectivitytest}
                      ...

MDE Diagnostics Tool

positional arguments:
  {certinfocollection,performance,installation,exclude,ratelimit,skipfaultyrules,trace,observespikes,connectivitytest}
    certinfocollection  Collect cert information: Subject name and Hashes
    performance         Collect extensive machine performance tracing for
                        analysis of a performance scenario that can be
                        reproduced on demand
    installation        Collect different installation/onboarding reports
    exclude             Exclude specific processes from audit-d monitoring.
    ratelimit           Set the rate limit for auditd events. Rate limit will
                        update the limits for auditd events for all the
                        applications using auditd, which could impact
                        applications other than MDE.
    skipfaultyrules     Continue loading rules in spite of an error. This
                        summarizes the results of loading the rules. The exit
                        code will not be success if any rule fails to load.
    trace               Use OS tracing facilities to record Defender
                        performance traces.
    observespikes       Collect the process logs in case of spike or mdatp
                        crash
    connectivitytest    Perform connectivity test for MDE

optional arguments:
  -h, --help            show this help message and exit
  --output OUTPUT, -o OUTPUT
                        Output path to export report
  --outdir OUTDIR       Directory where diagnostics file will be generated.
  --no-zip, -nz         If set a directory will be created instead of an
                        archive file.
  --force, -f           Will overwrite if output directory exists.
  --diagnostic, -d      Collect extensive machine diagnostic information.
  --skip-mdatp          Skip any mdatp command. Use this when the mdatp
                        command is unresponsive.
  --bypass-disclaimer   Do not display disclaimer banner.
  --interactive, -i     Interactive diagnostic,
  --delay DELAY, -dd DELAY
                        Delay diagnostic by how many minutes (0~2880), use
                        this to wait for more debug logs before it collects.
  --mdatp-log {trace,info,warning,error,debug,verbose}
                        Set MDATP log level. If you use interactive or delay
                        mode, the log level will set to debug automatically,
                        and reset after 48h.
  --max-log-size MAX_LOG_SIZE
                        Maximum log file size in MB before rotating(Will
                        restart mdatp).

Diagnosticeringstilstand

Diagnosticeringstilstand bruges til at indsamle omfattende sæt computeroplysninger, f.eks. hukommelse, disk og MDATP-logfiler. Dette filsæt giver det primære sæt oplysninger, der kræves for at foretage fejlfinding af et hvilket som helst problem, der er relateret til Defender For Endpoint.

De understøttede indstillinger er som følger:


optional arguments:
  -h, --help            show this help message and exit
  --output OUTPUT, -o OUTPUT
                        Output path to export report
  --outdir OUTDIR       Directory where diagnostics file will be generated.
  --no-zip, -nz         If set a directory will be created instead of an
                        archive file.
  --force, -f           Will overwrite if output directory exists.
  --diagnostic, -d      Collect extensive machine diagnostic information.
  --skip-mdatp          Skip any mdatp command. Use this when the mdatp
                        command is unresponsive.
  --bypass-disclaimer   Do not display disclaimer banner.
  --interactive, -i     Interactive diagnostic,
  --delay DELAY, -dd DELAY
                        Delay diagnostic by how many minutes (0~2880), use
                        this to wait for more debug logs before it collects.
  --mdatp-log {trace,info,warning,error,debug,verbose}
                        Set MDATP log level. If you use interactive or delay
                        mode, the log level will set to debug automatically,
                        and reset after 48h.
  --max-log-size MAX_LOG_SIZE
                        Maximum log file size in MB before rotating(Will
                        restart mdatp).

Eksempel på brug: sudo ./MDESupportTool -d

Bemærk!

Funktionen Autoreset på logniveau er kun tilgængelig i agentversion 101.24052.0002 eller nyere.

De filer, der genereres, når denne tilstand bruges, opsummeres i følgende tabel:

Filer Bemærkninger
mde_diagnostic.zip Defender for Endpoint-logge og -konfigurationer
health.txt Tilstandsstatus for Defender for Endpoint
(Til stede, når Defender for Endpoint er installeret)
health_details_features.txt Tilstandsstatus for andre Defender for Endpoint-funktioner
(Til stede, når Defender for Endpoint er installeret)
permissions.txt Tilladelsesproblemer med de mapper, der ejes/bruges af Defender for Endpoint
(Til stede, når Defender for Endpoint er installeret)
crashes Nedbrudsdumps, der er genereret af Defender for Endpoint
process_information.txt Proces, der kører på maskinen, da værktøjet blev kørt
proc_directory_info.txt Tilknytning af den virtuelle hukommelse i Defender for Endpoint-processer
(Til stede, når Defender for Endpoint er installeret)
auditd_info.txt Overvåget tilstand, regler, logge
auditd_log_analysis.txt Oversigt over hændelser, der behandles af overvågede
auditd_logs.zip Overvågede logfiler
ebpf_kernel_config.txt Aktuelt indlæst linux-kernekonfiguration
ebpf_enabled_func.txt Liste over alle kernefunktioner, der i øjeblikket er aktiveret til sporing
ebpf_syscalls.zip Oplysninger om sporing af systemkald
ebpf_raw_syscalls.zip Sporing af hændelser, der er relateret til rå systemkald
ebpf_maps_info.txt oplysninger om eBPF-korts id og størrelse
syslog.zip Filerne under /var/log/syslog
messages.zip Filerne under /var/log/messages
conflicting_processes_information.txt Defender for Endpoint Conflicting Processes
exclusions.txt Liste over antivirusudeladelser
definitions.txt Oplysninger om definition af antivirus
mde_directories.txt Liste over filer i Defender for Endpoint-mapper
disk_usage.txt Oplysninger om diskforbrug
mde_user.txt Brugeroplysninger om Defender for slutpunkt
mde_definitions_mount.txt Tilslutningspunkt til Defender for Endpoint-definitioner
service_status.txt Defender for Endpoint Service Status
service_file.txt Defender for Endpoint Service-fil
hardware_info.txt Hardwareoplysninger
mount.txt Oplysninger om tilslutningspunkt
uname.txt Kerneoplysninger
memory.txt Oplysninger om systemhukommelse
meminfo.txt Detaljerede oplysninger om systemets hukommelsesforbrug
cpuinfo.txt CPU-oplysninger
lsns_info.txt Oplysninger om Linux-navneområde
lsof.txt Defender for Endpoint Open FileDescriptors Information
(se noten efter denne tabel)
sestatus.txt Defender for Endpoint Open FileDescriptors Information
lsmod.txt Status for moduler i Linux-kernen
dmesg.txt Meddelelser fra kerneringebufferen
kernel_lockdown.txt oplysninger om kernelåsning
rtp_statistics.txt Rtp-statistik (Defender for Endpoint Real Time Protection)
(Til stede, når Defender for Endpoint er installeret)
libc_info.txt biblioteksoplysninger
uptime_info.txt Tid siden sidste genstart
last_info.txt Liste over brugere, der senest er logget på
locale_info.txt Vis aktuel landestandard
tmp_files_owned_by_mdatp.txt /tmp-filer, der ejes af gruppen: mdatp
(Til stede, når Defender for Endpoint er installeret)
mdatp_config.txt Alle Defender for Endpoint-konfigurationer
(Til stede, når Defender for Endpoint er installeret)
mpenginedb.db
mpenginedb.db-wal
mpenginedb.db-shm		 Fil med antivirusdefinitioner
(Til stede, når Defender for Endpoint er installeret)
iptables_rules.txt Linux-regler for iptables
network_info.txt Netværksoplysninger
sysctl_info.txt oplysninger om kerneindstillinger
hostname_diagnostics.txt Diagnosticeringsoplysninger for værtsnavn
mde_event_statistics.txt Hændelsesstatistik for Defender for Endpoint
(Til stede, når Defender for Endpoint er installeret)
mde_ebpf_statistics.txt Statistik for Defender for Endpoint eBPF
(Til stede, når Defender for Endpoint er installeret)
kernel_logs.zip Kernelogge
mdc_log.zip Microsoft Defender til cloudlogge
netext_config.txt
threat_list.txt Liste over trusler, der er registreret af Defender for Endpoint
(Til stede, når Defender for Endpoint er installeret)
top_output.txt Proces, der kører på maskinen, da værktøjet blev kørt
top_summary.txt Hukommelses- og CPU-forbrugsanalyser for den proces, der kører

Valgfrie argumenter for Klientanalyse

Client Analyzer indeholder følgende valgfrie argumenter for ekstra dataindsamling:

Indsaml oplysninger om ydeevne

Indsaml omfattende sporing af maskinydeevne for Defender for Endpoint-processer til analyse af et ydeevnescenarie, der kan genskabes efter behov.

-h, --help            show this help message and exit
--frequency FREQUENCY
                      profile at this frequency
--length LENGTH       length of time to collect (in seconds)

Eksempel på brug: sudo ./MDESupportTool performance --frequency 500

Nedenfor vises den fil, der genereres, når denne tilstand bruges:

Filer Bemærkninger
perf_benchmark.tar.gz Defender for Endpoint behandler ydeevnedata

Bemærk!

De filer, der svarer til diagnosticeringstilstand, genereres også.

Tar indeholder filer i formatet <pid of a MDE process>.data. Datafilen kan læses ved hjælp af kommandoen :

perf report -i <pid>.data

Kør forbindelsestest

Denne tilstand tester, om de cloudressourcer, der kræves af Defender for Endpoint, er tilgængelige eller ej.


  -h, --help            show this help message and exit
  -o ONBOARDING_SCRIPT, --onboarding-script ONBOARDING_SCRIPT
                        Path to onboarding script
  -g GEO, --geo GEO     Geo string to test <US|UK|EU|AU|CH|IN>

Eksempel på brug:

sudo ./MDESupportTool connectivitytest -o ~/MicrosoftDefenderATPOnboardingLinuxServer.py`

Det output, der udskrives på skærmen, viser, om URL-adresserne er tilgængelige eller ej.

Indsaml forskellige installations-/onboardingrapporter

Denne tilstand indsamler installationsrelaterede oplysninger, f.eks. distro og systemkrav.


  -h, --help    show this help message and exit
  -d, --distro  Check for distro support
  -a, --all     Run all checks

Eksempel på brug:

sudo ./MDESupportTool installation --all

Der genereres en enkelt rapport installation_report.json . Nøglerne i filen er som følger:

Nøgle Bemærkninger
agent_version Versionen af Defender for Endpoint er installeret
onboarding_status Onboarding- og ringoplysninger

Udelad tilstand

Denne tilstand tilføjer udeladelser til audit-d overvågning.


  -h, --help            show this help message and exit
  -e <executable>, --exe <executable>
                        exclude by executable name, i.e: bash
  -p <process id>, --pid <process id>
                        exclude by process id, i.e: 911
  -d <directory>, --dir <directory>
                        exclude by target path, i.e: /var/foo/bar
  -x <executable> <directory>, --exe_dir <executable> <directory>
                        exclude by executable path and target path, i.e: /bin/bash /var/foo/bar
  -q <q_size>, --queue <q_size>
                        set dispatcher q_depth size
  -r, --remove          remove exclusion file
  -s, --stat            get statistics about common executables
  -l, --list            list auditd rules
  -o, --override        Override the existing auditd exclusion rules file for mdatp
  -c <syscall number>, --syscall <syscall number>
                        exclude all process of the given syscall

Eksempel på brug:

sudo ./MDESupportTool exclude -d /var/foo/bar`

Grænseværdi for overvåget sats

Denne indstilling angiver satsgrænsen globalt for Overvåget, hvilket medfører et fald i alle overvågningshændelser. Når begrænseren er aktiveret, er de overvågede hændelser begrænset til 2500 hændelser pr. sekund. Denne indstilling kan bruges i tilfælde, hvor vi kan se et højt CPU-forbrug fra den overvågede side.


-h, --help                                  show this help message and exit
-e <true/false>, --enable <true/false>      enable/disable the rate limit with default values

Eksempel på brug:

sudo ./mde_support_tool.sh ratelimit -e true

Bemærk!

Denne funktionalitet bør bruges omhyggeligt, da den begrænser antallet af hændelser, som det overvågede undersystem rapporterer som helhed. Dette kan også reducere antallet af hændelser for andre abonnenter.

Overvåget over fejlbehæftede regler

Med denne indstilling kan du springe de fejlbehæftede regler, der er tilføjet i filen med overvågede regler, over, mens du indlæser dem. Det gør det muligt for det overvågede undersystem at fortsætte indlæsningsregler, selvom der er en fejlbehæftet regel.


-h, --help                                  show this help message and exit
-e <true/false>, --enable <true/false>      enable/disable the option to skip the faulty rules. In case no argumanet is passed, the option will be true by default.

Eksempel på brug:

sudo ./mde_support_tool.sh skipfaultyrules -e true

Bemærk!

Denne funktionalitet springer de fejlbehæftede regler over. Fejlbehæftede regler skal identificeres yderligere og rettes.

Brug direkte svar i Defender for Endpoint til at indsamle supportlogge

Værktøjet XMDE-klientanalyse kan downloades som en binær eller Python-pakke , der kan udtrækkes og udføres på Linux-maskiner. Begge versioner af XMDE-klientanalysen kan udføres under en Live Response-session.

  • Pakken er påkrævet til unzip installation.
  • Pakken er påkrævet for at kunne udføres acl .

Vigtigt!

Window bruger usynlige tegn for vognretur og linjeskift til at repræsentere slutningen af én linje og begyndelsen af en ny linje i en fil, men Linux-systemer bruger kun det usynlige tegn Line Feed i slutningen af fillinjerne. Når du bruger følgende scripts, kan denne forskel resultere i fejl og fejl i de scripts, der skal køres, hvis du gør det på Windows. En potentiel løsning på dette er at bruge Windows-undersystem til Linux og dos2unix pakken til at omformatere scriptet, så det justeres i overensstemmelse med Unix- og Linux-formatstandarden.

Installér XMDE-klientanalysen

Download og udtræk XMDE-klientanalysen. Du kan bruge enten den binære version eller Python-versionen på følgende måde:

På grund af de begrænsede kommandoer, der er tilgængelige i live-svar, skal de detaljerede trin udføres i et bash-script. Ved at opdele installations- og udførelsesdelen af disse kommandoer er det muligt at køre installationsscriptet én gang og køre kørselsscriptet flere gange.

Vigtigt!

I eksempelscripts antages det, at computeren har direkte internetadgang og kan hente XMDE-klientanalysen fra Microsoft. Hvis computeren ikke har direkte internetadgang, skal installationsscripts opdateres for at hente XMDE-klientanalysen fra en placering, som maskinerne har adgang til.

Script til installation af binær klientanalyse

Følgende script udfører de første seks trin i Kørsel af den binære version af Klientanalyse. Når processen er fuldført, er den binære XMDE-klientanalyse tilgængelig fra /tmp/XMDEClientAnalyzerBinary/ClientAnalyzer mappen.

  1. Opret en bash-fil InstallXMDEClientAnalyzer.sh , og indsæt følgende indhold i den.

    #! /usr/bin/bash 

echo "Starting Client Analyzer Script. Running As:"
whoami

echo "Getting XMDEClientAnalyzerBinary"
wget --quiet -O /tmp/XMDEClientAnalyzerBinary.zip https://aka.ms/XMDEClientAnalyzerBinary
echo '4E96E75B16244BB25BDBF34CBB3EB596BC2E9CE368BC4E532E8AE12DF2A1E19D /tmp/XMDEClientAnalyzerBinary.zip' | sha256sum -c

echo "Unzipping XMDEClientAnalyzerBinary.zip"
unzip -q /tmp/XMDEClientAnalyzerBinary.zip -d /tmp/XMDEClientAnalyzerBinary

echo "Unzipping SupportToolLinuxBinary.zip"
unzip -q /tmp/XMDEClientAnalyzerBinary/SupportToolLinuxBinary.zip -d /tmp/XMDEClientAnalyzerBinary/ClientAnalyzer

echo "MDESupportTool installed at /tmp/XMDEClientAnalyzerBinary/ClientAnalyzer"

Script til installation af Python-klientanalyse

Følgende script udfører de første seks trin i Kørsel af Python-versionen af Klientanalyse. Når processen er fuldført, er Python-scripts til XMDE-klientanalyse tilgængelige fra /tmp/XMDEClientAnalyzer mappen.

  1. Opret en bash-fil InstallXMDEClientAnalyzer.sh , og indsæt følgende indhold i den.

    #! /usr/bin/bash

echo "Starting Client Analyzer Install Script. Running As:"
whoami

echo "Getting XMDEClientAnalyzer.zip"
wget --quiet -O /tmp/XMDEClientAnalyzer.zip https://aka.ms/XMDEClientAnalyzer 
echo '07E6A7B89E28A78309D5B6F1E25E4CDFBA9CA141450E422D76441C03AD3477E7 /tmp/XMDEClientAnalyzer.zip' | sha256sum -c  

echo "Unzipping XMDEClientAnalyzer.zip"
unzip -q /tmp/XMDEClientAnalyzer.zip -d /tmp/XMDEClientAnalyzer  

echo "Setting execute permissions on mde_support_tool.sh script"
cd /tmp/XMDEClientAnalyzer 
chmod a+x mde_support_tool.sh  

echo "Performing final support tool setup"
./mde_support_tool.sh

Kør klientanalysens installationsscripts

  1. Start en Live Response-session på den computer, du vil undersøge.

  2. Vælg Overfør fil til bibliotek.

  3. Vælg Vælg fil.

  4. Vælg den downloadede fil med navnet InstallXMDEClientAnalyzer.sh, og vælg derefter Bekræft.

  5. Mens du stadig er i LiveResponse-sessionen, skal du bruge følgende kommandoer til at installere analysen:

    run InstallXMDEClientAnalyzer.sh

Kør XMDE-klientanalysen

Direkte svar understøtter ikke direkte kørsel af XMDE-klientanalysen eller Python, så det er nødvendigt med et udførelsesscript.

Vigtigt!

Følgende scripts forudsætter, at XMDE-klientanalysen blev installeret på samme placering fra de scripts, der er nævnt tidligere. Hvis din organisation vælger at installere scripts på en anden placering, skal scriptene opdateres, så de passer til din organisations valgte installationsplacering.

Script til udførelse af den binære klientanalyse

Den binære version af klientanalysen accepterer kommandolinjeparametre for at udføre forskellige analysetest. Hvis du vil levere lignende funktioner under direkte svar, benytter udførelsesscriptet bashvariablen $@ til at overføre alle inputparametre, der er angivet til scriptet, til XMDE-klientanalysen.

  1. Opret en bash-fil MDESupportTool.sh , og indsæt følgende indhold i den.

    #! /usr/bin/bash

echo "cd /tmp/XMDEClientAnalyzerBinary/ClientAnalyzer"
cd /tmp/XMDEClientAnalyzerBinary/ClientAnalyzer

echo "Running MDESupportTool"
./MDESupportTool $@

Script til udførelse af Python-klientanalyse

Python-versionen af klientanalysen accepterer kommandolinjeparametre for at udføre forskellige analysetest. Hvis du vil levere lignende funktioner under direkte svar, benytter udførelsesscriptet bashvariablen $@ til at overføre alle inputparametre, der er angivet til scriptet, til XMDE-klientanalysen.

  1. Opret en bash-fil MDESupportTool.sh , og indsæt følgende indhold i den.

    #! /usr/bin/bash  

echo "cd /tmp/XMDEClientAnalyzer"
cd /tmp/XMDEClientAnalyzer 

echo "Running mde_support_tool"
./mde_support_tool.sh $@

Kør klientanalysescriptet

Bemærk!

Hvis du har en aktiv live-svarsession, kan du springe trin 1 over.

  1. Start en Live Response-session på den computer, du vil undersøge.

  2. Vælg Overfør fil til bibliotek.

  3. Vælg Vælg fil.

  4. Vælg den downloadede fil med navnet MDESupportTool.sh, og vælg derefter Bekræft.

  5. Mens du stadig er i live-svarsessionen, skal du bruge følgende kommandoer til at køre analysen og indsamle den resulterende fil:

    run MDESupportTool.sh -parameters "--bypass-disclaimer -d"
GetFile "/tmp/your_archive_file_name_here.zip"

Se også

Defender for Endpoint på Linux-fejlfindingsdokumenter

Tip

Vil du vide mere? Engage med Microsoft Security-community'et i vores tech-community: Microsoft Defender for Endpoint Tech Community.