مشاركة عبر

استكشاف مشكلات الأحداث أو التنبيهات المفقودة Microsoft Defender لنقطة النهاية على Linux وإصلاحها

  • مقالة

ينطبق على:

  • Microsoft Defender لنقطة النهاية للخوادم
  • Microsoft Defender للخوادم الخطة 1 أو الخطة 2

توفر هذه المقالة بعض الخطوات العامة للتخفيف من الأحداث أو التنبيهات المفقودة في مدخل Microsoft Defender.

بمجرد تثبيت Microsoft Defender لنقطة النهاية بشكل صحيح على جهاز، سيتم إنشاء صفحة جهاز في المدخل. يمكنك مراجعة جميع الأحداث المسجلة في علامة تبويب المخطط الزمني في صفحة الجهاز، أو في صفحة التتبع المتقدمة. يستكشف هذا القسم حالة بعض الأحداث المتوقعة أو جميعها مفقودة. على سبيل المثال، إذا كانت جميع أحداث CreatedFile مفقودة.

أحداث الشبكة وتسجيل الدخول المفقودة

Microsoft Defender لنقطة النهاية إطار العمل المستخدم audit من linux لتتبع نشاط الشبكة وتسجيل الدخول.

  1. تأكد من عمل إطار عمل التدقيق.

    service auditd status

    الإخراج المتوقع:

    ● auditd.service - Security Auditing Service
Loaded: loaded (/usr/lib/systemd/system/auditd.service; enabled; vendor preset: enabled)
Active: active (running) since Mon 2020-12-21 10:48:02 IST; 2 weeks 0 days ago
    Docs: man:auditd(8)
        https://github.com/linux-audit/audit-documentation
Process: 16689 ExecStartPost=/sbin/augenrules --load (code=exited, status=1/FAILURE)
Process: 16665 ExecStart=/sbin/auditd (code=exited, status=0/SUCCESS)
Main PID: 16666 (auditd)
    Tasks: 25
CGroup: /system.slice/auditd.service
        ├─16666 /sbin/auditd
        ├─16668 /sbin/audispd
        ├─16670 /usr/sbin/sedispatch
        └─16671 /opt/microsoft/mdatp/sbin/mdatp_audisp_plugin -d

  2. إذا auditd تم وضع علامة على أنه متوقف، فابدأ تشغيله.

    service auditd start

في أنظمة SLES ، قد يتم تعطيل تدقيق SYSCALL في auditd بشكل افتراضي ويمكن حساب الأحداث المفقودة.

  1. للتحقق من أن تدقيق SYSCALL غير معطل، قم بإدراج قواعد التدقيق الحالية:

    sudo auditctl -l

    إذا كان السطر التالي موجودا، فقم بإزالته أو تحريره لتمكين Microsoft Defender لنقطة النهاية من تعقب SYSCALLs معينة.

    -a task, never

    توجد قواعد التدقيق في /etc/audit/rules.d/audit.rules.

أحداث الملفات المفقودة

يتم تجميع أحداث الملفات مع fanotify إطار العمل. في حالة فقدان بعض أحداث الملفات أو كلها، تأكد من fanotify تمكينها على الجهاز ومن دعم نظام الملفات.

سرد أنظمة الملفات على الجهاز باستخدام:

df -Th

تلميح

هل تريد معرفة المزيد؟ Engage مع مجتمع أمان Microsoft في مجتمعنا التقني: Microsoft Defender لنقطة النهاية Tech Community.