Поделиться через

Развертывание Microsoft Defender для конечной точки в Linux вручную

  • Статья

Применимо к:

Совет

Ищете дополнительные рекомендации по развертыванию Microsoft Defender для конечной точки на Linux? См . руководство по расширенному развертыванию в Defender для конечной точки в Linux.

В этой статье описывается развертывание Microsoft Defender для конечной точки в Linux вручную.

Предварительные требования и требования к системе

Прежде чем приступить к работе, ознакомьтесь с Microsoft Defender для конечной точки в Linux, чтобы узнать о предварительных требованиях и требованиях к системе для текущей версии программного обеспечения.

Предупреждение

Для обновления операционной системы до новой основной версии после установки продукта требуется переустановка продукта. Необходимо удалить существующий Defender для конечной точки в Linux, обновить операционную систему, а затем перенастроить Defender для конечной точки в Linux, выполнив следующие действия.

Настройка репозитория программного обеспечения Linux

Defender для конечной точки в Linux можно развернуть из одного из следующих каналов (обозначаемых как [канал]): участники программы предварительной оценки — fast, insiders-slow или prod. Каждый из этих каналов соответствует репозиторию программного обеспечения Linux. Инструкции в этой статье описывают настройку устройства для использования одного из этих репозиториев.

Выбор канала определяет тип и частоту обновлений, предлагаемых вашему устройству. Устройства в программе предварительной оценки являются первыми, кто получает обновления и новые функции, а затем инсайдеры медленно и, наконец, prod.

Для предварительного просмотра новых функций и предоставления ранних отзывов рекомендуется настроить некоторые устройства в организации для использования программы предварительной оценки быстрой или медленной для участников программы предварительной оценки.

Предупреждение

Переключение канала после начальной установки требует переустановки продукта. Чтобы переключить канал продукта, удалите существующий пакет, перенастройте устройство для использования нового канала и выполните действия, описанные в этом документе, чтобы установить пакет из нового расположения.

Скрипт установщика

Сведения об использовании метода скрипта установщика см. в статье Использование скрипта установщика для развертывания Microsoft Defender для конечной точки в Linux.

Установка приложения

RHEL и варианты (CentOS, Fedora, Oracle Linux, Amazon Linux 2, Rocky и Alma)

sudo yum install mdatp

Примечание.

Если на устройстве настроено несколько репозиториев Майкрософт, вы можете указать, из какого репозитория установить пакет. В следующем примере показано, как установить пакет из канала, production если на этом устройстве также insiders-fast настроен канал репозитория. Такая ситуация может произойти, если вы используете несколько продуктов Майкрософт на своем устройстве. В зависимости от дистрибутива и версии сервера псевдоним репозитория может отличаться от псевдонима в следующем примере.

# list all repositories
yum repolist

...
packages-microsoft-com-prod               packages-microsoft-com-prod        316
packages-microsoft-com-prod-insiders-fast packages-microsoft-com-prod-ins      2
...

# install the package from the production repository
sudo yum --enablerepo=packages-microsoft-com-prod install mdatp

SLES и варианты

sudo zypper install mdatp

Примечание.

Если на устройстве настроено несколько репозиториев Майкрософт, вы можете указать, из какого репозитория установить пакет. В следующем примере показано, как установить пакет из канала, production если на этом устройстве также insiders-fast настроен канал репозитория. Такая ситуация может произойти, если вы используете несколько продуктов Майкрософт на своем устройстве.

zypper repos

...
#  | Alias | Name | ...
XX | packages-microsoft-com-insiders-fast | microsoft-insiders-fast | ...
XX | packages-microsoft-com-prod | microsoft-prod | ...
...

sudo zypper install packages-microsoft-com-prod:mdatp

Системы Ubuntu и Debian

sudo apt-get install mdatp

Примечание.

Если на устройстве настроено несколько репозиториев Майкрософт, вы можете указать, из какого репозитория установить пакет. В следующем примере показано, как установить пакет из канала, production если на этом устройстве также insiders-fast настроен канал репозитория. Такая ситуация может произойти, если вы используете несколько продуктов Майкрософт на своем устройстве.

cat /etc/apt/sources.list.d/*

deb [arch=arm64,armhf,amd64] https://packages.microsoft.com/config/ubuntu/18.04/prod insiders-fast main
deb [arch=amd64] https://packages.microsoft.com/config/ubuntu/18.04/prod bionic main

sudo apt -t bionic install mdatp

Примечание.

Перезагрузки не требуются после установки или обновления Microsoft Defender для конечной точки в Linux, за исключением случаев, когда выполняется auditD в неизменяемом режиме.

Моряк

sudo dnf install mdatp

Примечание.

Если на устройстве настроено несколько репозиториев Майкрософт, вы можете указать, из какого репозитория установить пакет. В следующем примере показано, как установить пакет из канала, production если на этом устройстве также insiders-slow настроен канал репозитория. Такая ситуация может произойти, если вы используете несколько продуктов Майкрософт на своем устройстве.

sudo dnf config-manager --disable mariner-official-extras-preview
sudo dnf config-manager --enable mariner-official-extras

Скачивание пакета подключения

Скачайте пакет подключения с Microsoft Defender портала.

Предупреждение

Переупаковка пакета установки Defender для конечной точки не поддерживается. Это может негативно повлиять на целостность продукта и привести к неблагоприятным результатам, включая, помимо прочего, активацию оповещений и обновлений о незаконном изменении.

Важно!

Если вы пропустите этот шаг, любая выполненная команда отображает предупреждающее сообщение о том, что продукт не лицензирован. Кроме того, mdatp health команда возвращает значение false.

  1. На портале Microsoft Defender перейдите в раздел Параметры Конечные >> точки Подключение управления устройствами>.

  2. В первом раскрывающемся меню выберите Сервер Linux в качестве операционной системы. Во втором раскрывающемся меню выберите Локальный скрипт в качестве метода развертывания.

  3. Выберите Скачать пакет подключения. Сохраните файл как WindowsDefenderATPOnboardingPackage.zip.

    Скачивание пакета подключения на портале Microsoft Defender

  4. В командной строке убедитесь, что у вас есть файл, и извлеките содержимое архива:

    ls -l

    total 8
-rw-r--r-- 1 test  staff  5752 Feb 18 11:22 WindowsDefenderATPOnboardingPackage.zip

    unzip WindowsDefenderATPOnboardingPackage.zip

    Archive:  WindowsDefenderATPOnboardingPackage.zip
inflating: MicrosoftDefenderATPOnboardingLinuxServer.py

Конфигурация клиента

  1. Скопируйте MicrosoftDefenderATPOnboardingLinuxServer.py на целевое устройство.

    Примечание.

    Изначально клиентское устройство не связано с организацией, а атрибут orgId пуст.

    mdatp health --field org_id

  2. Выполните MicrosoftDefenderATPOnboardingLinuxServer.py.

    Примечание.

    Чтобы выполнить эту команду, необходимо иметь python или python3 установить на устройстве в зависимости от дистрибутива и версии. При необходимости см. пошаговые инструкции по установке Python в Linux.

    Примечание.

    Чтобы подключить устройство, которое ранее было отключено, необходимо удалить файл mdatp_offboard.json, расположенный по адресу /etc/opt/microsoft/mdatp.

    Если вы используете RHEL 8.x или Ubuntu 20.04 или более поздней версии, необходимо использовать python3.

    sudo python3 MicrosoftDefenderATPOnboardingLinuxServer.py

    Для остальных дистрибутивов и версий необходимо использовать python.

    sudo python MicrosoftDefenderATPOnboardingLinuxServer.py

  3. Убедитесь, что устройство теперь связано с вашей организацией, и сообщите о допустимом идентификаторе организации:

    mdatp health --field org_id

  4. Проверьте состояние работоспособности продукта, выполнив следующую команду. Возвращаемое значение true означает, что продукт работает должным образом:

    mdatp health --field healthy

    Важно!

    Когда продукт запускается в первый раз, он загружает последние определения защиты от вредоносных программ. Этот процесс может занять до нескольких минут в зависимости от сетевого подключения. В течение этого времени команда, упомянутая ранее, возвращает значение false. Состояние обновления определения можно проверка с помощью следующей команды:

    mdatp health --field definitions_status

    Обратите внимание, что после завершения начальной установки также может потребоваться настроить прокси-сервер. См . раздел Настройка Defender для конечной точки в Linux для обнаружения статических прокси-серверов: конфигурация после установки.

  5. Выполните тест обнаружения AV, чтобы убедиться, что устройство правильно подключено и сообщает службе. На недавно подключенном устройстве выполните следующие действия.

    • Убедитесь, что включена защита в режиме реального true времени (обозначается результатом выполнения следующей команды):

      mdatp health --field real_time_protection_enabled

      Если он не включен, выполните следующую команду:

      mdatp config real-time-protection --value enabled

    • Откройте окно терминала и выполните следующую команду, чтобы запустить тест обнаружения:

      curl -o /tmp/eicar.com.txt https://secure.eicar.org/eicar.com.txt

    • Вы можете выполнить дополнительные тесты обнаружения в ZIP-файлах с помощью любой из следующих команд:

      curl -o /tmp/eicar_com.zip https://secure.eicar.org/eicar_com.zip
curl -o /tmp/eicarcom2.zip https://secure.eicar.org/eicarcom2.zip

    • Файлы должны быть помещены в карантин Defender для конечной точки в Linux. Используйте следующую команду, чтобы получить список всех обнаруженных угроз:

      mdatp threat list

  6. Запустите тест обнаружения EDR и имитируйте обнаружение, чтобы убедиться, что устройство правильно подключено и сообщает службе. На недавно подключенном устройстве выполните следующие действия.

    • Убедитесь, что подключенный сервер Linux отображается в Microsoft Defender XDR. Если это первое подключение к компьютеру, это может занять до 20 минут, пока он появится.

    • Скачайте и извлеките файл скрипта на подключенный сервер Linux и выполните следующую команду: ./mde_linux_edr_diy.sh

    • Через несколько минут обнаружение должно быть поднято в Microsoft Defender XDR.

    • Просмотрите сведения об оповещении, временная шкала компьютера и выполните типичные действия по расследованию.

Microsoft Defender для конечной точки зависимости внешнего пакета

Для пакета mdatp существуют следующие внешние зависимости пакета:

  • Для пакета MDATP RPM требуется glibc >= 2.17, policycoreutils, selinux-policy-targeted, , mde-netfilter
  • Для DEBIAN пакет mdatp требует libc6 >= 2.23, uuid-runtimemde-netfilter
  • Для Mariner пакет mdatp требует attr, , diffutils, libacl, libattrlibselinux-utils, selinux-policy, , policycoreutils.mde-netfilter

Примечание.

Начиная с версии 101.24082.0004Defender для конечной точки в Linux больше не поддерживает Auditd поставщик событий. Мы полностью переходим на более эффективную технологию eBPF. Если eBPF не поддерживается на ваших компьютерах или если существуют определенные требования, чтобы остаться в auditd, и на ваших компьютерах используется Defender для конечной точки в Linux или более поздней версии 101.24072.0001 , для mdatp существуют следующие другие зависимости от пакета аудита:

  • Для пакета MDATP RPM требуется audit, semanage.
  • Для DEBIAN пакет mdatp требует auditd.
  • Для Mariner пакет mdatp требует .audit

Пакет mde-netfilter также имеет следующие зависимости пакета:

  • Для DEBIAN mde-netfilter пакет требует libnetfilter-queue1, libglib2.0-0
  • Для RPM пакет mde-netfilter требует libmnl, libnfnetlink, libnetfilter_queue, , . glib2
  • Для Mariner mde-netfilter пакет требует libnfnetlink, libnetfilter_queue

Если установка Microsoft Defender для конечной точки завершается сбоем из-за отсутствующих зависимостей, можно вручную скачать необходимые зависимости.

Журнал проблем с установкой

Дополнительные сведения о том, как найти автоматически созданный журнал, который создается установщиком при возникновении ошибки, см. в разделе Проблемы с установкой журнала .

Переход с Insiders-Fast на производственный канал

  1. Удалите версию Insiders-Fast channel Defender для конечной точки в Linux.

    sudo yum remove mdatp

  2. Отключение репозитория Defender для конечной точки в Linux Insiders-Fast

    sudo yum repolist

    Примечание.

    В выходных данных должно отображаться значение packages-microsoft-com-fast-prod.

    sudo yum-config-manager --disable packages-microsoft-com-fast-prod

  3. Повторное развертывание Microsoft Defender для конечной точки в Linux с помощью производственного канала.

Удаление

Дополнительные сведения о том, как удалить Defender для конечной точки в Linux с клиентских устройств, см. в разделе Удаление .

См. также

Совет

Хотите узнать больше? Engage с сообществом Microsoft Security в нашем техническом сообществе: Microsoft Defender для конечной точки Техническое сообщество.