Udostępnij za pośrednictwem

Ochrona punktu końcowego w usłudze Microsoft Defender na Linuxie

  • Artykuł

Porada

Z przyjemnością udostępniamy tę Ochrona punktu końcowego w usłudze Microsoft Defender w systemie Linux rozszerza teraz obsługę serwerów z systemem Linux opartych na usłudze ARM64 w wersji zapoznawczej. Aby uzyskać więcej informacji, zobacz Ochrona punktu końcowego w usłudze Microsoft Defender w systemie Linux dla urządzeń opartych na usłudze ARM64 (wersja zapoznawcza).

Chcesz poznać usługę ochrony punktu końcowego w usłudze Microsoft Defender? Utwórz konto, aby skorzystać z bezpłatnej wersji próbnej.

W tym artykule opisano sposób instalowania, konfigurowania, aktualizowania i używania Ochrona punktu końcowego w usłudze Microsoft Defender w systemie Linux.

Uwaga

Uruchamianie innych produktów ochrony punktów końcowych innych niż Microsoft wraz z Ochrona punktu końcowego w usłudze Microsoft Defender w systemie Linux może prowadzić do problemów z wydajnością i nieprzewidywalnych skutków ubocznych. Jeśli ochrona punktów końcowych innych niż Microsoft jest absolutnym wymaganiem w twoim środowisku, nadal możesz bezpiecznie korzystać z funkcji defender for Endpoint w systemie Linux EDR po skonfigurowaniu funkcji antywirusowej do uruchamiania w trybie pasywnym.

Jak zainstalować Ochrona punktu końcowego w usłudze Microsoft Defender w systemie Linux

Ochrona punktu końcowego w usłudze Microsoft Defender dla systemu Linux obejmuje funkcje ochrony przed złośliwym oprogramowaniem oraz wykrywania i reagowania na punkty końcowe (EDR).

Wymagania wstępne

  • Dostęp do portalu Microsoft Defender
  • Dystrybucja systemu Linux przy użyciu systemowegomenedżera systemu
  • Środowisko dla początkujących w zakresie skryptów bash i systemu Linux
  • Uprawnienia administracyjne na urządzeniu (do wdrożenia ręcznego)

Uwaga

Dystrybucja systemu Linux przy użyciu menedżera systemu obsługuje zarówno systemV, jak i upstart. Ochrona punktu końcowego w usłudze Microsoft Defender agent systemu Linux jest niezależny od agenta pakietu OMS. Ochrona punktu końcowego w usłudze Microsoft Defender opiera się na własnym niezależnym potoku telemetrii.

Wymagania systemowe

  • Procesor CPU: minimalna liczba rdzeni procesora CPU: 1. W przypadku obciążeń o wysokiej wydajności zaleca się korzystanie z większej liczby rdzeni.

  • Miejsce na dysku: minimum 2 GB. W przypadku obciążeń o wysokiej wydajności może być potrzebne więcej miejsca na dysku.

  • Pamięć: minimum 1 GB pamięci RAM. W przypadku obciążeń o wysokiej wydajności może być potrzebna większa ilość pamięci.

    Uwaga

    Dostrajanie wydajności może być wymagane na podstawie obciążeń. Zobacz Rozwiązywanie problemów z wydajnością Ochrona punktu końcowego w usłudze Microsoft Defender w systemie Linux.

  • Obsługiwane są następujące dystrybucje serwerów z systemem Linux i x64 (AMD64/EM64T) i wersje x86_64:

    • Red Hat Enterprise Linux 7.2 lub nowszy
    • Red Hat Enterprise Linux 8.x
    • Red Hat Enterprise Linux 9.x
    • CentOS 7.2 lub nowszy
    • Ubuntu 16.04 LTS
    • Ubuntu 18.04 LTS
    • Ubuntu 20.04 LTS
    • Ubuntu 22.04 LTS
    • Ubuntu 24.04 LTS
    • Debian 9 – 12
    • SUSE Linux Enterprise Server 12.x
    • SUSE Linux Enterprise Server 15.x
    • Oracle Linux 7.2 lub nowszy
    • Oracle Linux 8.x
    • Oracle Linux 9.x
    • Amazon Linux 2
    • Amazon Linux 2023
    • Fedora 33-38
    • Rocky 8.7 i nowsze
    • Rocky 9.2 i nowsze
    • Alma 8.4 i nowsze
    • Alma 9.2 i nowsze
    • Marynarz 2

  • Następujące dystrybucje serwerów systemu Linux w usłudze ARM64 są teraz obsługiwane w wersji zapoznawczej:

    • Ubuntu 20.04 ARM64
    • Ubuntu 22.04 ARM64
    • Amazon Linux 2 ARM64
    • Amazon Linux 2023 ARM64

    Ważna

    Obsługa Ochrona punktu końcowego w usłudze Microsoft Defender w systemie Linux dla urządzeń z systemem Linux opartych na usłudze ARM64 jest teraz dostępna w wersji zapoznawczej. Aby uzyskać więcej informacji, zobacz Ochrona punktu końcowego w usłudze Microsoft Defender w systemie Linux dla urządzeń opartych na usłudze ARM64 (wersja zapoznawcza).

    Uwaga

    Dystrybucje i wersja, które nie są jawnie wymienione, są nieobsługiwane (nawet jeśli pochodzą z oficjalnie obsługiwanych dystrybucji). Po wydaniu nowej wersji pakietu obsługa dwóch poprzednich wersji jest ograniczona tylko do pomocy technicznej. Wersje starsze niż wymienione w tej sekcji są udostępniane tylko do obsługi uaktualnień technicznych. Zarządzanie lukami w zabezpieczeniach w usłudze Microsoft Defender nie jest obecnie obsługiwane w systemach Rocky i Alma. Ochrona punktu końcowego w usłudze Microsoft Defender dla wszystkich innych obsługiwanych dystrybucji i wersji jest niezależny od wersji jądra. Przy minimalnym wymaganiu, aby wersja jądra była większa lub większa niż 3.10.0-327.

    Uwaga

    Uruchamianie usługi Defender for Endpoint w systemie Linux obok innych rozwiązań zabezpieczeń opartych na systemie fanotifynie jest obsługiwane. Może to prowadzić do nieprzewidywalnych wyników, w tym zawieszenia systemu operacyjnego. Jeśli w systemie znajdują się inne aplikacje używane fanotify w trybie blokowania, aplikacje są wyświetlane w conflicting_applications polu danych wyjściowych mdatp health polecenia. Funkcja FAPolicyD systemu Linux jest używana fanotify w trybie blokowania i dlatego nie jest obsługiwana podczas uruchamiania usługi Defender for Endpoint w trybie aktywnym. Nadal możesz bezpiecznie korzystać z funkcji usługi Defender for Endpoint w systemie Linux EDR po skonfigurowaniu funkcji antywirusowej Ochrona w czasie rzeczywistym włączona w trybie pasywnym.

  • Lista obsługiwanych systemów plików na potrzeby skanowania rtp, szybkiego, pełnego i niestandardowego.

    RTP, szybkie, pełne skanowanie Skanowanie niestandardowe
    btrfs Wszystkie systemy plików obsługiwane dla rtp, szybkie, pełne skanowanie
    ecryptfs Efs
    ext2 S3fs
    ext3 Blobfuse
    ext4 Lustr
    fuse glustrefs
    fuseblk Afs
    jfs sshfs
    nfs (tylko wersja 3) cifs
    overlay smb
    ramfs gcsfuse
    reiserfs sysfs
    tmpfs
    udf
    vfat
    xfs

  • Struktura inspekcji (auditd) musi być włączona, jeśli używasz inspekcji jako podstawowego dostawcy zdarzeń.

    Uwaga

    Zdarzenia systemowe przechwycone przez reguły dodane do /etc/audit/rules.d/ zostaną dodane do audit.logelementów i mogą mieć wpływ na inspekcję hosta i zbieranie nadrzędne. Zdarzenia dodane przez Ochrona punktu końcowego w usłudze Microsoft Defender w systemie Linux zostaną oznaczone kluczemmdatp.

  • /opt/microsoft/mdatp/sbin/wdavdaemon wymaga uprawnień wykonywalnych. Aby uzyskać więcej informacji, zobacz "Upewnij się, że demon ma uprawnienie do wykonywalnego" w temacie Rozwiązywanie problemów z instalacją Ochrona punktu końcowego w usłudze Microsoft Defender w systemie Linux.

Instrukcje instalacji

Istnieje kilka metod i narzędzi wdrażania, których można użyć do instalowania i konfigurowania Ochrona punktu końcowego w usłudze Microsoft Defender w systemie Linux. Przed rozpoczęciem upewnij się, że zostały spełnione minimalne wymagania dotyczące Ochrona punktu końcowego w usłudze Microsoft Defender.

Do wdrożenia Ochrona punktu końcowego w usłudze Microsoft Defender w systemie Linux można użyć jednej z następujących metod:

Jeśli wystąpią błędy instalacji, zobacz Rozwiązywanie problemów z błędami instalacji w Ochrona punktu końcowego w usłudze Microsoft Defender w systemie Linux.

Ważna

Instalowanie Ochrona punktu końcowego w usłudze Microsoft Defender w dowolnej lokalizacji innej niż domyślna ścieżka instalacji nie jest obsługiwane. Ochrona punktu końcowego w usłudze Microsoft Defender w systemie Linux tworzy użytkownika z losowym identyfikatorem mdatp UID i identyfikatorem GID. Jeśli chcesz kontrolować identyfikator użytkownika i identyfikator GID, utwórz użytkownika przed instalacją mdatp przy użyciu opcji powłoki /usr/sbin/nologin . Oto przykład: mdatp:x:UID:GID::/home/mdatp:/usr/sbin/nologin.

Zależność pakietu zewnętrznego

Jeśli instalacja Ochrona punktu końcowego w usłudze Microsoft Defender zakończy się niepowodzeniem z powodu błędów braku zależności, możesz ręcznie pobrać zależności wymagań wstępnych. Dla pakietu mdatp istnieją następujące zależności pakietów zewnętrznych:

  • Pakiet MDATP RPM wymagaglibc >= 2.17, , auditpolicycoreutils, semanageselinux-policy-targeted, imde-netfilter
  • W przypadku RHEL6 pakiet RPM mdatp wymagaaudit, , libselinuxpolicycoreutils, imde-netfilter
  • W przypadku debiana pakiet mdatp wymaga libc6 >= 2.23, uuid-runtime, auditdi mde-netfilter

Pakietmde-netfilter ma również następujące zależności pakietów:

  • W przypadku debiana pakiet mde-netfilter wymaga libnetfilter-queue1, i libglib2.0-0
  • W przypadku modułu RPM pakiet mde-netfilter wymaga libmnl, libnfnetlink, libnetfilter_queuei glib2

Konfigurowanie wykluczeń

Podczas dodawania wykluczeń do programu antywirusowego Microsoft Defender należy pamiętać o typowych błędach wykluczania dla programu antywirusowego Microsoft Defender.

Połączenia sieciowe

Upewnij się, że na urządzeniach jest możliwa łączność z usługami w chmurze Ochrona punktu końcowego w usłudze Microsoft Defender. Aby przygotować środowisko, zobacz KROK 1: Konfigurowanie środowiska sieciowego w celu zapewnienia łączności z usługą Defender for Endpoint.

Usługa Defender for Endpoint w systemie Linux może łączyć się za pośrednictwem serwera proxy przy użyciu następujących metod odnajdywania:

  • Przezroczysty serwer proxy
  • Ręczna konfiguracja statycznego serwera proxy

Jeśli serwer proxy lub zapora blokują ruch anonimowy, upewnij się, że ruch anonimowy jest dozwolony we wcześniej wymienionych adresach URL. W przypadku przezroczystych serwerów proxy nie jest wymagana żadna inna konfiguracja dla usługi Defender for Endpoint. W przypadku statycznego serwera proxy wykonaj kroki opisane w temacie Ręczna konfiguracja statycznego serwera proxy.

Ostrzeżenie

Serwery proxy PAC, WPAD i uwierzytelnione nie są obsługiwane. Upewnij się, że jest używany tylko statyczny serwer proxy lub przezroczysty serwer proxy. Inspekcja protokołu SSL i przechwytywanie serwerów proxy również nie są obsługiwane ze względów bezpieczeństwa. Skonfiguruj wyjątek inspekcji protokołu SSL i serwera proxy w celu bezpośredniego przekazywania danych z usługi Defender for Endpoint w systemie Linux do odpowiednich adresów URL bez przechwytywania. Dodanie certyfikatu przechwytywania do magazynu globalnego nie pozwoli na przechwycenie.

Aby uzyskać instrukcje rozwiązywania problemów, zobacz Rozwiązywanie problemów z łącznością w chmurze dla Ochrona punktu końcowego w usłudze Microsoft Defender w systemie Linux.

Jak zaktualizować Ochrona punktu końcowego w usłudze Microsoft Defender w systemie Linux

Firma Microsoft regularnie publikuje aktualizacje oprogramowania w celu zwiększenia wydajności, bezpieczeństwa i dostarczania nowych funkcji. Aby zaktualizować Ochrona punktu końcowego w usłudze Microsoft Defender w systemie Linux, zapoznaj się z tematem Wdrażanie aktualizacji dla Ochrona punktu końcowego w usłudze Microsoft Defender w systemie Linux.

Konfigurowanie ochrony punktu końcowego w usłudze Microsoft Defender na Linuxie

Wskazówki dotyczące konfigurowania produktu w środowiskach przedsiębiorstwa są dostępne w temacie Ustawianie preferencji dla Ochrona punktu końcowego w usłudze Microsoft Defender w systemie Linux.

Typowe aplikacje do Ochrona punktu końcowego w usłudze Microsoft Defender mogą mieć wpływ

Wysokie obciążenia we/wy z niektórych aplikacji mogą występować problemy z wydajnością podczas instalowania Ochrona punktu końcowego w usłudze Microsoft Defender. Takie aplikacje dla scenariuszy deweloperskich obejmują usługi Jenkins i Jira oraz obciążenia baz danych, takie jak OracleDB i Postgres. Jeśli występuje spadek wydajności, rozważ ustawienie wykluczeń dla zaufanych aplikacji, pamiętając o typowych błędach wykluczania dla programu antywirusowego Microsoft Defender. Aby uzyskać więcej wskazówek, rozważ zapoznanie się z dokumentacją dotyczącą wykluczeń antywirusowych z aplikacji innych niż Microsoft.

Zasoby

  • Aby uzyskać więcej informacji na temat rejestrowania, odinstalowywania lub innych artykułów, zobacz Zasoby.

Porada

Chcesz dowiedzieć się więcej? Engage ze społecznością microsoft security w naszej społeczności technicznej: Ochrona punktu końcowego w usłudze Microsoft Defender Tech Community.