Ręczne wdrażanie Ochrona punktu końcowego w usłudze Microsoft Defender w systemie Linux

Dotyczy:

• Ochrona punktu końcowego w usłudze Microsoft Defender dla serwerów
• Microsoft Defender dla serwerów plan 1 lub plan 2

Chcesz poznać usługę ochrony punktu końcowego w usłudze Microsoft Defender? Utwórz konto, aby skorzystać z bezpłatnej wersji próbnej.

W tym artykule opisano sposób ręcznego wdrażania Ochrona punktu końcowego w usłudze Microsoft Defender w systemie Linux. Pomyślne wdrożenie wymaga wykonania wszystkich następujących zadań:

• Wymagania wstępne i wymagania systemowe
• Konfigurowanie repozytorium oprogramowania systemu Linux
  • RHEL i warianty (CentOS, Fedora, Oracle Linux, Amazon Linux 2, Rocky i Alma)
  • SLES i warianty
  • Systemy Ubuntu i Debian
  • Marynarz
• Instalacja aplikacji
  • RHEL i warianty (CentOS, Fedora, Oracle Linux, Amazon Linux 2, Rocky i Alma)
  • SLES i warianty
  • Systemy Ubuntu i Debian
  • Marynarz
• Pobieranie pakietu dołączania
• Konfiguracja klienta

Wymagania wstępne i wymagania systemowe

Przed rozpoczęciem zobacz Ochrona punktu końcowego w usłudze Microsoft Defender w systemie Linux, aby zapoznać się z opisem wymagań wstępnych i wymagań systemowych dotyczących bieżącej wersji oprogramowania.

Konfigurowanie repozytorium oprogramowania systemu Linux

Usługę Defender for Endpoint w systemie Linux można wdrożyć z jednego z następujących kanałów (oznaczonego jako [channel]): insiders-fast, insiders-slow lub prod. Każdy z tych kanałów odpowiada repozytorium oprogramowania systemu Linux. Instrukcje w tym artykule opisują konfigurowanie urządzenia do korzystania z jednego z tych repozytoriów.

Wybór kanału określa typ i częstotliwość aktualizacji oferowanych urządzeniu. Urządzenia w insiders-fast są pierwszymi, które otrzymują aktualizacje i nowe funkcje, a następnie insiders-slow i wreszcie przez prod.

Aby zapoznać się z nowymi funkcjami i przekazać wczesne opinie, zaleca się skonfigurowanie niektórych urządzeń w przedsiębiorstwie tak, aby korzystały z funkcji insiders-fast lub insiders-slow.

RHEL i warianty (CentOS, Fedora, Oracle Linux, Amazon Linux 2, Rocky i Alma)

1. Zainstaluj yum-utils , jeśli nie jest jeszcze zainstalowana:

   sudo yum install yum-utils
   

2. Znajdź odpowiedni pakiet dla dystrybucji i wersji. Skorzystaj z poniższej tabeli, aby ułatwić ci znalezienie pakietu:

   Wersja & dystrybucji	Pakiet
   Alma 8.4 i nowsze	https://packages.microsoft.com/config/alma/8/prod.repo
   Alma 9.2 i nowsze	https://packages.microsoft.com/config/alma/9/prod.repo
   RHEL/Centos/Oracle 9.0-9.8	https://packages.microsoft.com/config/rhel/9/prod.repo
   RHEL/Centos/Oracle 8.0-8.10	https://packages.microsoft.com/config/rhel/8/prod.repo
   RHEL/Centos/Oracle 7.2-7.9 & Amazon Linux 2	https://packages.microsoft.com/config/rhel/7.2/prod.repo
   Amazon Linux 2023	https://packages.microsoft.com/config/amazonlinux/2023/prod.repo
   Fedora 33	https://packages.microsoft.com/config/fedora/33/prod.repo
   Fedora 34	https://packages.microsoft.com/config/fedora/34/prod.repo
   Rocky 8.7 i nowsze	https://packages.microsoft.com/config/rocky/8/prod.repo
   Rocky 9.2 i nowsze	https://packages.microsoft.com/config/rocky/9/prod.repo

   Uwaga

   W przypadku dystrybucji i wersji zidentyfikuj najbliższy wpis dla niego (według głównej, a następnie pomocniczej) w obszarze https://packages.microsoft.com/config/rhel/.

3. W następujących poleceniach zastąp ciąg [version] i [channel] zidentyfikowanymi informacjami:

   sudo yum-config-manager --add-repo=https://packages.microsoft.com/config/rhel/[version]/[channel].repo
   

   Porada

   Użyj polecenia hostnamectl, aby zidentyfikować informacje związane z systemem, w tym wydanie [wersja].

   Jeśli na przykład używasz systemu CentOS 7 i chcesz wdrożyć usługę Defender for Endpoint w systemie Linux z kanału prod :

   sudo yum-config-manager --add-repo=https://packages.microsoft.com/config/rhel/7/prod.repo
   

   Jeśli chcesz eksplorować nowe funkcje na wybranych urządzeniach, możesz wdrożyć Ochrona punktu końcowego w usłudze Microsoft Defender w systemie Linux na kanale insiders-fast:

   sudo yum-config-manager --add-repo=https://packages.microsoft.com/config/rhel/7/insiders-fast.repo
   

4. Zainstaluj klucz publiczny usługi Microsoft GPG:

   sudo rpm --import https://packages.microsoft.com/keys/microsoft.asc
   

SLES i warianty

1. W następujących poleceniach zastąp ciąg [dystrybucja] i [wersja] zidentyfikowanymi informacjami:

   sudo zypper addrepo -c -f -n microsoft-[channel] https://packages.microsoft.com/config/[distro]/[version]/[channel].repo
   

   Porada

   Użyj polecenia SPident, aby zidentyfikować informacje związane z systemem, w tym wydanie [wersja].

   Jeśli na przykład używasz protokołu SLES 12 i chcesz wdrożyć Ochrona punktu końcowego w usłudze Microsoft Defender w systemie Linux z kanałuprod:

   sudo zypper addrepo -c -f -n microsoft-prod https://packages.microsoft.com/config/sles/12/prod.repo
   

2. Zainstaluj klucz publiczny usługi Microsoft GPG:

   sudo rpm --import https://packages.microsoft.com/keys/microsoft.asc
   

Systemy Ubuntu i Debian

1. Zainstaluj curl , jeśli nie jest jeszcze zainstalowana:

   sudo apt-get install curl
   

2. Zainstaluj libplist-utils , jeśli nie jest jeszcze zainstalowana:

   sudo apt-get install libplist-utils
   

   Uwaga

   W przypadku dystrybucji i wersji zidentyfikuj najbliższy wpis dla niego (według głównej, a następnie pomocniczej) w obszarze https://packages.microsoft.com/config/[distro]/.

3. W poniższym poleceniu zastąp ciąg [dystrybucja] i [wersja] zidentyfikowanymi informacjami:

   curl -o microsoft.list https://packages.microsoft.com/config/[distro]/[version]/[channel].list
   

   Porada

   Użyj polecenia hostnamectl, aby zidentyfikować informacje związane z systemem, w tym wydanie [wersja].

   Jeśli na przykład używasz systemu Ubuntu 18.04 i chcesz wdrożyć Ochrona punktu końcowego w usłudze Microsoft Defender w systemie Linux z kanałuprod:

   curl -o microsoft.list https://packages.microsoft.com/config/ubuntu/18.04/prod.list
   

4. Zainstaluj konfigurację repozytorium:

   sudo mv ./microsoft.list /etc/apt/sources.list.d/microsoft-[channel].list
   

   Jeśli na przykład wybrano prod kanał:

   sudo mv ./microsoft.list /etc/apt/sources.list.d/microsoft-prod.list
   

5. Zainstaluj pakiet, gpg jeśli nie został jeszcze zainstalowany:

   sudo apt-get install gpg
   

   Jeśli gpg program nie jest dostępny, zainstaluj program gnupg.

   sudo apt-get install gnupg
   

6. Zainstaluj klucz publiczny usługi Microsoft GPG:

   • W przypadku systemu Debian 11 lub starszego uruchom następujące polecenie.

     curl -sSL https://packages.microsoft.com/keys/microsoft.asc | gpg --dearmor | sudo tee /etc/apt/trusted.gpg.d/microsoft.gpg > /dev/null
     

   • W przypadku systemu Debian 12 lub nowszego uruchom następujące polecenie.

     curl -sSL https://packages.microsoft.com/keys/microsoft.asc | gpg --dearmor | sudo tee /usr/share/keyrings/microsoft-prod.gpg > /dev/null
     

7. Zainstaluj sterownik HTTPS, jeśli nie został jeszcze zainstalowany:

   sudo apt-get install apt-transport-https
   

8. Zaktualizuj metadane repozytorium:

   sudo apt-get update
   

Marynarz

1. Zainstaluj dnf-plugins-core , jeśli nie jest jeszcze zainstalowana:

   sudo dnf install dnf-plugins-core
   

2. Skonfiguruj i włącz wymagane repozytoria.

   Uwaga

   Na Mariner, Insider Fast Channel nie jest dostępny.

   Jeśli chcesz wdrożyć usługę Defender for Endpoint w systemie Linux z kanału prod . Użyj następujących poleceń

   sudo dnf install mariner-repos-extras
   sudo dnf config-manager --enable mariner-official-extras
   

   Jeśli chcesz też eksplorować nowe funkcje na wybranych urządzeniach, możesz wdrożyć Ochrona punktu końcowego w usłudze Microsoft Defender w systemie Linux na kanale z wolnym dostępem do informacji poufnych. Użyj następujących poleceń:

   sudo dnf install mariner-repos-extras-preview
   sudo dnf config-manager --enable mariner-official-extras-preview
   

Instalacja aplikacji

Użyj poleceń w poniższych sekcjach, aby zainstalować usługę Defender for Endpoint w dystrybucji systemu Linux.

RHEL i warianty (CentOS, Fedora, Oracle Linux, Amazon Linux 2, Rocky i Alma)

sudo yum install mdatp

# list all repositories
yum repolist

...
packages-microsoft-com-prod               packages-microsoft-com-prod        316
packages-microsoft-com-prod-insiders-fast packages-microsoft-com-prod-ins      2
...

# install the package from the production repository
sudo yum --enablerepo=packages-microsoft-com-prod install mdatp

SLES i warianty

sudo zypper install mdatp

zypper repos

...
#  | Alias | Name | ...
XX | packages-microsoft-com-insiders-fast | microsoft-insiders-fast | ...
XX | packages-microsoft-com-prod | microsoft-prod | ...
...

sudo zypper install packages-microsoft-com-prod:mdatp

Systemy Ubuntu i Debian

sudo apt-get install mdatp

cat /etc/apt/sources.list.d/*

deb [arch=arm64,armhf,amd64] https://packages.microsoft.com/config/ubuntu/18.04/prod insiders-fast main
deb [arch=amd64] https://packages.microsoft.com/config/ubuntu/18.04/prod bionic main

sudo apt -t bionic install mdatp

Marynarz

sudo dnf install mdatp

sudo dnf config-manager --disable mariner-official-extras-preview
sudo dnf config-manager --enable mariner-official-extras

Pobieranie pakietu dołączania

Pobierz pakiet dołączania z portalu Microsoft Defender.

1. W portalu Microsoft Defender przejdź do pozycji Ustawienia>Punkty końcowe>Dołączanie urządzeń dozarządzania urządzeniami>.

2. W pierwszym menu rozwijanym wybierz pozycję Linux Server jako system operacyjny. W drugim menu rozwijanym wybierz pozycję Skrypt lokalny jako metodę wdrażania.

3. Wybierz pozycję Pobierz pakiet dołączania. Zapisz plik jako WindowsDefenderATPOnboardingPackage.zip.

   

4. W wierszu polecenia sprawdź, czy masz plik, i wyodrębnij zawartość archiwum:

   ls -l
   

   total 8
   -rw-r--r-- 1 test  staff  5752 Feb 18 11:22 WindowsDefenderATPOnboardingPackage.zip
   

   unzip WindowsDefenderATPOnboardingPackage.zip
   

   Archive:  WindowsDefenderATPOnboardingPackage.zip
   inflating: MicrosoftDefenderATPOnboardingLinuxServer.py
   

Konfiguracja klienta

1. Skopiuj MicrosoftDefenderATPOnboardingLinuxServer.py na urządzenie docelowe.

   Uwaga

   Początkowo urządzenie klienckie nie jest skojarzone z organizacją, a atrybut orgId jest pusty.

   mdatp health --field org_id
   

2. Uruchom jeden z poniższych scenariuszy.

   Uwaga

   Aby uruchomić to polecenie, musisz mieć python lub python3 zainstalować na urządzeniu w zależności od dystrybucji i wersji. W razie potrzeby zobacz Instrukcje krok po kroku dotyczące instalowania języka Python w systemie Linux.

   Aby dołączyć urządzenie, które zostało wcześniej dołączone, należy usunąć plik mdatp_offboard.json znajdujący się pod adresem /etc/opt/microsoft/mdatp.

   Jeśli używasz systemu RHEL 8.x lub Ubuntu 20.04 lub nowszego, musisz użyć programu python3. Uruchom następujące polecenie:

   sudo python3 MicrosoftDefenderATPOnboardingLinuxServer.py
   

   W pozostałych dystrybucjach i wersjach należy użyć polecenia python. Uruchom następujące polecenie:

   sudo python MicrosoftDefenderATPOnboardingLinuxServer.py
   

3. Sprawdź, czy urządzenie jest teraz skojarzone z Twoją organizacją i zgłosi prawidłowy identyfikator organizacji:

   mdatp health --field org_id
   

4. Sprawdź stan kondycji produktu, uruchamiając następujące polecenie. Zwracana wartość true oznacza, że produkt działa zgodnie z oczekiwaniami:

   mdatp health --field healthy
   

   Ważna

   Gdy produkt zostanie uruchomiony po raz pierwszy, pobierze najnowsze definicje chroniące przed złośliwym oprogramowaniem. Ten proces może potrwać do kilku minut w zależności od łączności sieciowej. W tym czasie wymienione wcześniej polecenie zwraca wartość false. Stan aktualizacji definicji można sprawdzić za pomocą następującego polecenia:

   mdatp health --field definitions_status
   

   Może być również konieczne skonfigurowanie serwera proxy po zakończeniu instalacji początkowej. Zobacz Konfigurowanie usługi Defender dla punktu końcowego w systemie Linux w celu odnajdywania statycznego serwera proxy: konfiguracja po instalacji.

5. Uruchom test wykrywania oprogramowania antywirusowego, aby sprawdzić, czy urządzenie jest prawidłowo dołączone i jest raportowane do usługi. Wykonaj następujące kroki na nowo dołączonym urządzeniu:

   1. Upewnij się, że ochrona w czasie rzeczywistym jest włączona (oznaczona wynikiem uruchomienia następującego true polecenia):

      mdatp health --field real_time_protection_enabled
      

      Jeśli nie jest włączona, wykonaj następujące polecenie:

      mdatp config real-time-protection --value enabled
      

   2. Aby uruchomić test wykrywania, otwórz okno Terminal. a następnie uruchom następujące polecenie:

      curl -o /tmp/eicar.com.txt https://secure.eicar.org/eicar.com.txt
      

   3. Możesz uruchomić więcej testów wykrywania plików zip przy użyciu jednego z następujących poleceń:

      curl -o /tmp/eicar_com.zip https://secure.eicar.org/eicar_com.zip
      curl -o /tmp/eicarcom2.zip https://secure.eicar.org/eicarcom2.zip
      

      Pliki powinny zostać poddane kwarantannie przez usługę Defender for Endpoint w systemie Linux.

   4. Użyj następującego polecenia, aby wyświetlić listę wszystkich wykrytych zagrożeń:

      mdatp threat list
      

6. Uruchom test wykrywania EDR i symuluj wykrywanie, aby sprawdzić, czy urządzenie jest prawidłowo dołączone i raportuje do usługi. Wykonaj następujące kroki na nowo dołączonym urządzeniu:

   1. Sprawdź, czy dołączony serwer z systemem Linux jest wyświetlany w Microsoft Defender XDR. Jeśli jest to pierwsze dołączenie maszyny, jej wyświetlenie może potrwać do 20 minut.

   2. Pobierz i wyodrębnij plik skryptu na dołączony serwer z systemem Linux, a następnie uruchom następujące polecenie: ./mde_linux_edr_diy.sh

      Po kilku minutach należy podnieść wykrywanie w Microsoft Defender XDR.

   3. Przyjrzyj się szczegółom alertu, osi czasu maszyny i wykonaj typowe kroki badania.

Ochrona punktu końcowego w usłudze Microsoft Defender zależności pakietów zewnętrznych

Dla pakietu istnieją następujące zależności pakietów mdatp zewnętrznych:

• Pakiet MDATP RPM wymaga glibc >= 2.17, , policycoreutils, selinux-policy-targetedmde-netfilter
• W przypadku debiana pakiet mdatp wymaga libc6 >= 2.23, , uuid-runtimemde-netfilter
• W przypadku programu Mariner pakiet mdatp wymaga attr, diffutils, libacl, libattr, libselinux-utils, selinux-policy, , policycoreutilsmde-netfilter

Pakiet mde-netfilter ma również następujące zależności pakietów:

• W przypadku debiana mde-netfilter pakiet wymaga polecenia libnetfilter-queue1, libglib2.0-0
• W przypadku modułu mde-netfilter RPM pakiet wymaga libmnl, , libnfnetlink, libnetfilter_queueglib2
• W przypadku programu Mariner mde-netfilter pakiet wymaga polecenia libnfnetlink, libnetfilter_queue

Jeśli instalacja Ochrona punktu końcowego w usłudze Microsoft Defender zakończy się niepowodzeniem z powodu błędów braku zależności, możesz ręcznie pobrać zależności wymagań wstępnych.

Rozwiąż problemy z instalacją

Jeśli wystąpią problemy z instalacją, w celu samodzielnego rozwiązywania problemów wykonaj następujące kroki:

1. Aby uzyskać informacje na temat znajdowania dziennika wygenerowanego automatycznie po wystąpieniu błędu instalacji, zobacz Problemy z instalacją dziennika.

2. Aby uzyskać informacje o typowych problemach z instalacją, zobacz Problemy z instalacją.

3. Jeśli kondycja urządzenia to false, zobacz Problemy z kondycją agenta punktu końcowego w usłudze Defender for Endpoint.

4. W przypadku problemów z wydajnością produktu zobacz Rozwiązywanie problemów z wydajnością.

5. Aby uzyskać informacje o problemach z serwerem proxy i łącznością, zobacz Rozwiązywanie problemów z łącznością w chmurze.

Aby uzyskać pomoc techniczną od firmy Microsoft, otwórz bilet pomocy technicznej i podaj pliki dziennika utworzone przy użyciu analizatora klienta.

Jak przełączać się między kanałami

Aby na przykład zmienić kanał z Insiders-Fast na Produkcyjny, wykonaj następujące czynności:

1. Odinstaluj Insiders-Fast channel wersję usługi Defender for Endpoint w systemie Linux.

   sudo yum remove mdatp
   

2. Wyłączanie usługi Defender dla punktu końcowego w kanale Insiders-Fast systemu Linux

   sudo yum-config-manager --disable packages-microsoft-com-fast-prod
   

3. Zainstaluj ponownie Ochrona punktu końcowego w usłudze Microsoft Defender w systemie Linux przy użyciu Production channelpolecenia i dołącz urządzenie w portalu Microsoft Defender.

Jak skonfigurować zasady dla Ochrona punktu końcowego w usłudze Microsoft Defender w systemie Linux

Ustawienia oprogramowania antywirusowego i EDR można skonfigurować w punktach końcowych. Aby uzyskać więcej informacji, zapoznaj się z następującymi artykułami:

• Ustawienie preferencji dla Ochrona punktu końcowego w usłudze Microsoft Defender w systemie Linux opisuje dostępne ustawienia
• Zarządzanie ustawieniami zabezpieczeń opisuje sposób konfigurowania ustawień w portalu Microsoft Defender.

Odinstalowywanie Ochrona punktu końcowego w usłudze Microsoft Defender w systemie Linux

Aby ręcznie odinstalować, wykonaj następujące polecenie dla dystrybucji systemu Linux.

• sudo yum remove mdatp dla RHEL i wariantów (CentOS i Oracle Linux).
• sudo zypper remove mdatp dla SLES i wariantów.
• sudo apt-get purge mdatp systemów Ubuntu i Debian.
• sudo dnf remove mdatp dla marynarza