Linux でクライアント アナライザーを実行する

適用対象:

• Microsoft Defender for Endpoint Plan 2
• Microsoft Defender XDR

Defender for Endpoint を試す場合は、 無料試用版にサインアップしてください。

Linux でのMicrosoft Defender for Endpointに問題があり、サポートが必要な場合は、クライアント アナライザー ツールからの出力を提供するように求められる場合があります。 この記事では、デバイスまたはライブ応答でツールを使用する方法について説明します。 Python ベースのソリューションまたは Python を必要としないバイナリ バージョンを使用できます。

クライアント アナライザーのバイナリ バージョンの実行

1. 調査対象の Linux マシンに XMDE クライアント アナライザー バイナリ ツールをダウンロードします。 ターミナルを使用している場合は、次のコマンドを入力してツールをダウンロードします。

   wget --quiet -O XMDEClientAnalyzerBinary.zip https://aka.ms/XMDEClientAnalyzerBinary
   

2. ダウンロードを確認します。

   echo 'B5EBD9AB36F2DB92C341ABEBB20A50551D08D769CB061EAFCC1A931EFACE305D XMDEClientAnalyzerBinary.zip' | sha256sum -c
   

3. マシン上の XMDEClientAnalyzerBinary.zip の内容を抽出します。

   unzip -q XMDEClientAnalyzerBinary.zip -d XMDEClientAnalyzerBinary
   

4. ディレクトリを変更します。

   cd XMDEClientAnalyzerBinary
   

5. 2 つの新しい zip ファイルが生成されます。

   • SupportToolLinuxBinary.zip: すべての Linux デバイス
   • SupportToolMacOSBinary.zip: Mac デバイスの場合

6. ファイル SupportToolLinuxBinary.zip 解凍します。

   unzip -q SupportToolLinuxBinary.zip
   

7. ルートとしてツールを実行して診断パッケージを生成します。

   sudo ./MDESupportTool -d
   

Python ベースのクライアント アナライザーの実行

1. 調査する必要がある Linux マシンに XMDE クライアント アナライザー ツールをダウンロードします。 ターミナルを使用している場合は、次のコマンドを入力してツールをダウンロードします。

   wget --quiet -O XMDEClientAnalyzer.zip https://aka.ms/XMDEClientAnalyzer
   

2. ダウンロードを確認します。

   echo '07E6A7B89E28A78309D5B6F1E25E4CDFBA9CA141450E422D76441C03AD3477E7 XMDEClientAnalyzer.zip' | sha256sum -c
   

3. マシン上の XMDEClientAnalyzer.zip の内容を抽出します。

   unzip -q XMDEClientAnalyzer.zip -d XMDEClientAnalyzer
   

4. ディレクトリを変更します。

   cd XMDEClientAnalyzer
   

5. ツールの実行可能なアクセス許可を付与します。

   chmod a+x mde_support_tool.sh
   

6. 必要な依存関係をインストールするには、非ルート ユーザーとしてを実行します。

   ./mde_support_tool.sh
   

7. 診断パッケージを収集し、結果アーカイブ ファイルを生成するには、ルートとしてもう一度実行します。

   sudo ./mde_support_tool.sh -d
   

コマンド ライン オプション

クライアント アナライザーによって提供されるコマンド ライン オプションを次に示します。

usage: MDESupportTool [-h] [--output OUTPUT] [--outdir OUTDIR] [--no-zip]
                      [--force] [--diagnostic] [--skip-mdatp]
                      [--bypass-disclaimer] [--interactive] [--delay DELAY]
                      [--mdatp-log {trace,info,warning,error,debug,verbose}]
                      [--max-log-size MAX_LOG_SIZE]
                      {certinfocollection,performance,installation,exclude,ratelimit,skipfaultyrules,trace,observespikes,connectivitytest}
                      ...

MDE Diagnostics Tool

positional arguments:
  {certinfocollection,performance,installation,exclude,ratelimit,skipfaultyrules,trace,observespikes,connectivitytest}
    certinfocollection  Collect cert information: Subject name and Hashes
    performance         Collect extensive machine performance tracing for
                        analysis of a performance scenario that can be
                        reproduced on demand
    installation        Collect different installation/onboarding reports
    exclude             Exclude specific processes from audit-d monitoring.
    ratelimit           Set the rate limit for auditd events. Rate limit will
                        update the limits for auditd events for all the
                        applications using auditd, which could impact
                        applications other than MDE.
    skipfaultyrules     Continue loading rules in spite of an error. This
                        summarizes the results of loading the rules. The exit
                        code will not be success if any rule fails to load.
    trace               Use OS tracing facilities to record Defender
                        performance traces.
    observespikes       Collect the process logs in case of spike or mdatp
                        crash
    connectivitytest    Perform connectivity test for MDE

optional arguments:
  -h, --help            show this help message and exit
  --output OUTPUT, -o OUTPUT
                        Output path to export report
  --outdir OUTDIR       Directory where diagnostics file will be generated.
  --no-zip, -nz         If set a directory will be created instead of an
                        archive file.
  --force, -f           Will overwrite if output directory exists.
  --diagnostic, -d      Collect extensive machine diagnostic information.
  --skip-mdatp          Skip any mdatp command. Use this when the mdatp
                        command is unresponsive.
  --bypass-disclaimer   Do not display disclaimer banner.
  --interactive, -i     Interactive diagnostic,
  --delay DELAY, -dd DELAY
                        Delay diagnostic by how many minutes (0~2880), use
                        this to wait for more debug logs before it collects.
  --mdatp-log {trace,info,warning,error,debug,verbose}
                        Set MDATP log level. If you use interactive or delay
                        mode, the log level will set to debug automatically,
                        and reset after 48h.
  --max-log-size MAX_LOG_SIZE
                        Maximum log file size in MB before rotating(Will
                        restart mdatp).

診断モード

診断モードは、メモリ、ディスク、MDATP ログなどの広範なコンピューター情報のセットを収集するために使用されます。 この一連のファイルは、Defender For Endpoint に関連する問題をデバッグするために必要な主要な情報セットを提供します。

サポートされるオプションは次のとおりです。

optional arguments:
  -h, --help            show this help message and exit
  --output OUTPUT, -o OUTPUT
                        Output path to export report
  --outdir OUTDIR       Directory where diagnostics file will be generated.
  --no-zip, -nz         If set a directory will be created instead of an
                        archive file.
  --force, -f           Will overwrite if output directory exists.
  --diagnostic, -d      Collect extensive machine diagnostic information.
  --skip-mdatp          Skip any mdatp command. Use this when the mdatp
                        command is unresponsive.
  --bypass-disclaimer   Do not display disclaimer banner.
  --interactive, -i     Interactive diagnostic,
  --delay DELAY, -dd DELAY
                        Delay diagnostic by how many minutes (0~2880), use
                        this to wait for more debug logs before it collects.
  --mdatp-log {trace,info,warning,error,debug,verbose}
                        Set MDATP log level. If you use interactive or delay
                        mode, the log level will set to debug automatically,
                        and reset after 48h.
  --max-log-size MAX_LOG_SIZE
                        Maximum log file size in MB before rotating(Will
                        restart mdatp).

使用例: sudo ./MDESupportTool -d

このモードを使用するときに生成されるファイルを次の表にまとめます。

Client Analyzer の省略可能な引数

Client Analyzer には、追加のデータ収集用に次の省略可能な引数が用意されています。

パフォーマンス情報を収集する

必要に応じて再現できるパフォーマンス シナリオの分析のために、Defender for Endpoint プロセスの広範なマシン パフォーマンス トレースを収集します。

-h, --help            show this help message and exit
--frequency FREQUENCY
                      profile at this frequency
--length LENGTH       length of time to collect (in seconds)

使用例: sudo ./MDESupportTool performance --frequency 500

このモードを使用するときに生成されるファイルを次に示します。

tar には、 <pid of a MDE process>.data形式のファイルが含まれています。 データ ファイルは、次のコマンドを使用して読み取ることができます。

perf report -i <pid>.data

接続テストを実行する

このモードでは、Defender for Endpoint で必要なクラウド リソースに到達できるかどうかをテストします。

  -h, --help            show this help message and exit
  -o ONBOARDING_SCRIPT, --onboarding-script ONBOARDING_SCRIPT
                        Path to onboarding script
  -g GEO, --geo GEO     Geo string to test <US|UK|EU|AU|CH|IN>

使用例:

sudo ./MDESupportTool connectivitytest -o ~/MicrosoftDefenderATPOnboardingLinuxServer.py`

画面に出力された出力には、URL に到達可能かどうかが表示されます。

さまざまなインストール/オンボード レポートを収集する

このモードでは、ディストリビューションやシステム要件などのインストール関連情報が収集されます。

  -h, --help                show this help message and exit
  -d, --distro              Check for distro support
  -m, --min-requirement     Check for the system info against offical minimum requirements
  -e, --external-dep        Check for externel package dependency
  -c, --connectivity        Check for connectivity for services used by MDE
  -a, --all                 Run all checks
  -o ONBOARDING_SCRIPT, --onboarding-script ONBOARDING_SCRIPT
                            Path to onboarding script
  -g GEO, --geo GEO         Geo string to test <US|UK|EU|AU|CH|IN>

使用例:

sudo ./MDESupportTool installation --all

1 つのレポート installation_report.json が生成されます。 ファイル内のキーは次のとおりです。

除外モード

このモードでは、 audit-d 監視の除外が追加されます。

  -h, --help            show this help message and exit
  -e <executable>, --exe <executable>
                        exclude by executable name, i.e: bash
  -p <process id>, --pid <process id>
                        exclude by process id, i.e: 911
  -d <directory>, --dir <directory>
                        exclude by target path, i.e: /var/foo/bar
  -x <executable> <directory>, --exe_dir <executable> <directory>
                        exclude by executable path and target path, i.e: /bin/bash /var/foo/bar
  -q <q_size>, --queue <q_size>
                        set dispatcher q_depth size
  -r, --remove          remove exclusion file
  -s, --stat            get statistics about common executables
  -l, --list            list auditd rules
  -o, --override        Override the existing auditd exclusion rules file for mdatp
  -c <syscall number>, --syscall <syscall number>
                        exclude all process of the given syscall

使用例:

sudo ./MDESupportTool exclude -d /var/foo/bar`

AuditD レートリミッター

このオプションでは、AuditD のレート制限がグローバルに設定され、すべての監査イベントが低下します。 リミッターが有効になっている場合、監査されたイベントは 2500 イベント/秒に制限されます。このオプションは、AuditD 側から CPU 使用率が高い場合に使用できます。

-h, --help                                  show this help message and exit
-e <true/false>, --enable <true/false>      enable/disable the rate limit with default values

使用例:

sudo ./mde_support_tool.sh ratelimit -e true

AuditD skip faulty rules

このオプションを使用すると、監査されたルール ファイルに追加されたエラーのあるルールを読み込み中にスキップできます。 これにより、監査されたサブシステムは、規則に問題がある場合でも、ルールの読み込みを続行できます。

-h, --help                                  show this help message and exit
-e <true/false>, --enable <true/false>      enable/disable the option to skip the faulty rules. In case no argumanet is passed, the option will be true by default.

使用例:

sudo ./mde_support_tool.sh skipfaultyrules -e true

Defender for Endpoint でライブ応答を使用してサポート ログを収集する

XMDE クライアント アナライザー ツールは、Linux マシンで抽出および実行できる バイナリ または Python パッケージとしてダウンロードできます。 XMDE クライアント アナライザーの両方のバージョンは、ライブ応答セッション中に実行できます。

• インストールには、 unzip パッケージが必要です。
• 実行するには、 acl パッケージが必要です。

XMDE クライアント アナライザーをインストールする

XMDE クライアント アナライザーをダウンロードして抽出します。 バイナリバージョンまたは Python バージョンを次のように使用できます。

• Client Analyzer のバイナリ バージョン
• クライアント アナライザーの Python バージョン

ライブ応答で使用できるコマンドは限られているため、詳細な手順は bash スクリプトで実行する必要があります。 これらのコマンドのインストールと実行の部分を分割することで、インストール スクリプトを 1 回実行し、実行スクリプトを複数回実行できます。

バイナリ クライアント アナライザーのインストール スクリプト

次のスクリプトでは、 クライアント アナライザーのバイナリ バージョンの実行に関する最初の 6 つの手順を実行します。 完了すると、XMDE クライアント アナライザー バイナリは、 /tmp/XMDEClientAnalyzerBinary/ClientAnalyzer ディレクトリから使用できます。

1. InstallXMDEClientAnalyzer.sh bash ファイルを作成し、次の内容を貼り付けます。

   #! /usr/bin/bash 
   
   echo "Starting Client Analyzer Script. Running As:"
   whoami
   
   echo "Getting XMDEClientAnalyzerBinary"
   wget --quiet -O /tmp/XMDEClientAnalyzerBinary.zip https://aka.ms/XMDEClientAnalyzerBinary
   echo '4E96E75B16244BB25BDBF34CBB3EB596BC2E9CE368BC4E532E8AE12DF2A1E19D /tmp/XMDEClientAnalyzerBinary.zip' | sha256sum -c
   
   echo "Unzipping XMDEClientAnalyzerBinary.zip"
   unzip -q /tmp/XMDEClientAnalyzerBinary.zip -d /tmp/XMDEClientAnalyzerBinary
   
   echo "Unzipping SupportToolLinuxBinary.zip"
   unzip -q /tmp/XMDEClientAnalyzerBinary/SupportToolLinuxBinary.zip -d /tmp/XMDEClientAnalyzerBinary/ClientAnalyzer
   
   echo "MDESupportTool installed at /tmp/XMDEClientAnalyzerBinary/ClientAnalyzer"
   
   

Python クライアント アナライザーのインストール スクリプト

次のスクリプトでは、 Python バージョンの Client Analyzer の実行に関する最初の 6 つの手順を実行します。 完了すると、XMDE Client Analyzer Python スクリプトは、 /tmp/XMDEClientAnalyzer ディレクトリから使用できます。

1. InstallXMDEClientAnalyzer.sh bash ファイルを作成し、次の内容を貼り付けます。

   #! /usr/bin/bash
   
   echo "Starting Client Analyzer Install Script. Running As:"
   whoami
   
   echo "Getting XMDEClientAnalyzer.zip"
   wget --quiet -O /tmp/XMDEClientAnalyzer.zip https://aka.ms/XMDEClientAnalyzer 
   echo '07E6A7B89E28A78309D5B6F1E25E4CDFBA9CA141450E422D76441C03AD3477E7 /tmp/XMDEClientAnalyzer.zip' | sha256sum -c  
   
   echo "Unzipping XMDEClientAnalyzer.zip"
   unzip -q /tmp/XMDEClientAnalyzer.zip -d /tmp/XMDEClientAnalyzer  
   
   echo "Setting execute permissions on mde_support_tool.sh script"
   cd /tmp/XMDEClientAnalyzer 
   chmod a+x mde_support_tool.sh  
   
   echo "Performing final support tool setup"
   ./mde_support_tool.sh
   
   

クライアント アナライザーのインストール スクリプトを実行する

1. 調査するマシンで ライブ応答セッション を開始します。

2. [ ファイルをライブラリにアップロード] を選択します。

3. [ ファイルの選択] を選択します。

4. InstallXMDEClientAnalyzer.shという名前のダウンロードしたファイルを選択し、[確認] を選択します。

5. LiveResponse セッションでは引き続き、次のコマンドを使用してアナライザーをインストールします。

   run InstallXMDEClientAnalyzer.sh
   

XMDE クライアント アナライザーを実行する

ライブ応答では XMDE クライアント アナライザーまたは Python の直接実行はサポートされていないため、実行スクリプトが必要です。

バイナリ クライアント アナライザーを実行するためのスクリプト

クライアント アナライザーのバイナリ バージョンでは、コマンド ライン パラメーターを使用してさまざまな分析テストを実行できます。 ライブ応答中に同様の機能を提供するために、実行スクリプトは $@ bash 変数を利用して、スクリプトに指定されたすべての入力パラメーターを XMDE クライアント アナライザーに渡します。

1. MDESupportTool.sh bash ファイルを作成し、次の内容を貼り付けます。

   #! /usr/bin/bash
   
   echo "cd /tmp/XMDEClientAnalyzerBinary/ClientAnalyzer"
   cd /tmp/XMDEClientAnalyzerBinary/ClientAnalyzer
   
   echo "Running MDESupportTool"
   ./MDESupportTool $@
   
   

Python クライアント アナライザーを実行するためのスクリプト

クライアント アナライザーの Python バージョンでは、コマンド ライン パラメーターを受け入れて、さまざまな分析テストを実行できます。 ライブ応答中に同様の機能を提供するために、実行スクリプトは $@ bash 変数を利用して、スクリプトに指定されたすべての入力パラメーターを XMDE クライアント アナライザーに渡します。

1. MDESupportTool.sh bash ファイルを作成し、次の内容を貼り付けます。

   #! /usr/bin/bash  
   
   echo "cd /tmp/XMDEClientAnalyzer"
   cd /tmp/XMDEClientAnalyzer 
   
   echo "Running mde_support_tool"
   ./mde_support_tool.sh $@
   
   

クライアント アナライザー スクリプトを実行する

1. 調査するマシンで ライブ応答セッション を開始します。

2. [ ファイルをライブラリにアップロード] を選択します。

3. [ ファイルの選択] を選択します。

4. MDESupportTool.shという名前のダウンロードしたファイルを選択し、[確認] を選択します。

5. ライブ応答セッション中は、次のコマンドを使用してアナライザーを実行し、結果のファイルを収集します。

   run MDESupportTool.sh -parameters "--bypass-disclaimer -d"
   GetFile "/tmp/your_archive_file_name_here.zip"
   

関連項目

• クライアント アナライザーの概要

• クライアント アナライザーのダウンロードと実行

• Windows でのクライアント アナライザーの実行

• macOS または Linux でのクライアント アナライザーの実行

• Windows で高度なトラブルシューティングを行うためのデータ収集

• アナライザー HTML レポートの理解

Defender for Endpoint on Linux のトラブルシューティング ドキュメント

• Linux でのMicrosoft Defender for Endpointのインストールに関する問題のトラブルシューティング

• エージェントの正常性に関する問題の調査

• Linux 上のMicrosoft Defender for Endpointのクラウド接続に関する問題のトラブルシューティング

• Linux でのMicrosoft Defender for Endpointのパフォーマンスに関する問題のトラブルシューティング

• Linux 上のMicrosoft Defender for Endpointに関するイベントまたはアラートの不足に関する問題のトラブルシューティング

• Microsoft Defender for Endpoint での誤検出/検出漏れに対処する