Implementar Microsoft Defender para Ponto de Extremidade no Linux manualmente

Aplica-se a:

• Microsoft Defender para Ponto de Extremidade para servidores
• Microsoft Defender para Servidores Plano 1 ou Plano 2

Deseja experimentar o Defender para Ponto de Extremidade? Inscreva-se para uma avaliação gratuita.

Este artigo descreve como implementar Microsoft Defender para Ponto de Extremidade manualmente no Linux. Uma implementação bem-sucedida requer a conclusão de todas as seguintes tarefas:

• Pré-requisitos e requisitos de sistema
• Configurar o repositório de software linux
  • RHEL e variantes (CentOS, Fedora, Oracle Linux, Amazon Linux 2, Rocky e Alma)
  • SLES e variantes
  • Sistemas Ubuntu e Debian
  • Mariner
• Instalação do aplicativo
  • RHEL e variantes (CentOS, Fedora, Oracle Linux, Amazon Linux 2, Rocky e Alma)
  • SLES e variantes
  • Sistemas Ubuntu e Debian
  • Mariner
• Transferir o pacote de inclusão
• Configuração do cliente

Pré-requisitos e requisitos de sistema

Antes de começar, consulte Microsoft Defender para Ponto de Extremidade no Linux para obter uma descrição dos pré-requisitos e requisitos de sistema para a versão atual do software.

Configurar o repositório de software linux

O Defender para Endpoint no Linux pode ser implementado a partir de um dos seguintes canais (indicado como [canal]): insiders-fast, insiders-slow ou prod. Cada um destes canais corresponde a um repositório de software Linux. As instruções neste artigo descrevem a configuração do dispositivo para utilizar um destes repositórios.

A escolha do canal determina o tipo e a frequência das atualizações que são oferecidas ao seu dispositivo. Os dispositivos no insider-fast são os primeiros a receber atualizações e novas funcionalidades, seguidos posteriormente por insiders-slow e por último por prod.

Para pré-visualizar as novas funcionalidades e fornecer feedback antecipado, recomenda-se que configure alguns dispositivos na sua empresa para utilizarem insiders fast ou insiders-slow.

RHEL e variantes (CentOS, Fedora, Oracle Linux, Amazon Linux 2, Rocky e Alma)

1. Instale yum-utils se ainda não estiver instalado:

   sudo yum install yum-utils
   

2. Localize o pacote correto para a sua distribuição e versão. Utilize a tabela seguinte para ajudar a orientá-lo na localização do pacote:

   Distribuição & versão	Pacote
   Alma 8.4 e superior	https://packages.microsoft.com/config/alma/8/prod.repo
   Alma 9.2 e superior	https://packages.microsoft.com/config/alma/9/prod.repo
   RHEL/Centos/Oracle 9.0-9.8	https://packages.microsoft.com/config/rhel/9/prod.repo
   RHEL/Centos/Oracle 8.0-8.10	https://packages.microsoft.com/config/rhel/8/prod.repo
   RHEL/Centos/Oracle 7.2-7.9 & Amazon Linux 2	https://packages.microsoft.com/config/rhel/7.2/prod.repo
   Amazon Linux 2023	https://packages.microsoft.com/config/amazonlinux/2023/prod.repo
   Fedora 33	https://packages.microsoft.com/config/fedora/33/prod.repo
   Fedora 34	https://packages.microsoft.com/config/fedora/34/prod.repo
   Rocky 8.7 e superior	https://packages.microsoft.com/config/rocky/8/prod.repo
   Rocky 9.2 e superior	https://packages.microsoft.com/config/rocky/9/prod.repo

   Observação

   Para a sua distribuição e versão, identifique a entrada mais próxima da mesma (por principal e, em seguida, menor) em https://packages.microsoft.com/config/rhel/.

3. Nos seguintes comandos, substitua [versão] e [canal] pelas informações que identificou:

   sudo yum-config-manager --add-repo=https://packages.microsoft.com/config/rhel/[version]/[channel].repo
   

   Dica

   Utilize o comando hostnamectl para identificar informações relacionadas com o sistema, incluindo a versão [versão].

   Por exemplo, se estiver a executar o CentOS 7 e quiser implementar o Defender para Endpoint no Linux a prod partir do canal:

   sudo yum-config-manager --add-repo=https://packages.microsoft.com/config/rhel/7/prod.repo
   

   Em alternativa, se quiser explorar novas funcionalidades em dispositivos selecionados, poderá querer implementar Microsoft Defender para Ponto de Extremidade no Linux para o canal insider-fast:

   sudo yum-config-manager --add-repo=https://packages.microsoft.com/config/rhel/7/insiders-fast.repo
   

4. Instale a chave pública do Microsoft GPG:

   sudo rpm --import https://packages.microsoft.com/keys/microsoft.asc
   

SLES e variantes

1. Nos seguintes comandos, substitua [distro] e [versão] pelas informações que identificou:

   sudo zypper addrepo -c -f -n microsoft-[channel] https://packages.microsoft.com/config/[distro]/[version]/[channel].repo
   

   Dica

   Utilize o comando SPident para identificar informações relacionadas com o sistema, incluindo a versão [versão].

   Por exemplo, se estiver a executar o SLES 12 e quiser implementar Microsoft Defender para Ponto de Extremidade no Linux a prod partir do canal:

   sudo zypper addrepo -c -f -n microsoft-prod https://packages.microsoft.com/config/sles/12/prod.repo
   

2. Instale a chave pública do Microsoft GPG:

   sudo rpm --import https://packages.microsoft.com/keys/microsoft.asc
   

Sistemas Ubuntu e Debian

1. Instale curl se ainda não estiver instalado:

   sudo apt-get install curl
   

2. Instale libplist-utils se ainda não estiver instalado:

   sudo apt-get install libplist-utils
   

   Observação

   Para a sua distribuição e versão, identifique a entrada mais próxima da mesma (por principal e, em seguida, menor) em https://packages.microsoft.com/config/[distro]/.

3. No seguinte comando, substitua [distro] e [version] pelas informações que identificou:

   curl -o microsoft.list https://packages.microsoft.com/config/[distro]/[version]/[channel].list
   

   Dica

   Utilize o comando hostnamectl para identificar informações relacionadas com o sistema, incluindo a versão [versão].

   Por exemplo, se estiver a executar o Ubuntu 18.04 e quiser implementar Microsoft Defender para Ponto de Extremidade no Linux a prod partir do canal:

   curl -o microsoft.list https://packages.microsoft.com/config/ubuntu/18.04/prod.list
   

4. Instale a configuração do repositório:

   sudo mv ./microsoft.list /etc/apt/sources.list.d/microsoft-[channel].list
   

   Por exemplo, se tiver escolhido prod o canal:

   sudo mv ./microsoft.list /etc/apt/sources.list.d/microsoft-prod.list
   

5. Instale o gpg pacote se ainda não estiver instalado:

   sudo apt-get install gpg
   

   Se gpg não estiver disponível, instale gnupg.

   sudo apt-get install gnupg
   

6. Instale a chave pública do Microsoft GPG:

   • Para Debian 11 e anterior, execute o seguinte comando.

     curl -sSL https://packages.microsoft.com/keys/microsoft.asc | gpg --dearmor | sudo tee /etc/apt/trusted.gpg.d/microsoft.gpg > /dev/null
     

   • Para Debian 12 e posterior, execute o seguinte comando.

     curl -sSL https://packages.microsoft.com/keys/microsoft.asc | gpg --dearmor | sudo tee /usr/share/keyrings/microsoft-prod.gpg > /dev/null
     

7. Instale o controlador HTTPS se ainda não estiver instalado:

   sudo apt-get install apt-transport-https
   

8. Atualize os metadados do repositório:

   sudo apt-get update
   

Mariner

1. Instale dnf-plugins-core se ainda não estiver instalado:

   sudo dnf install dnf-plugins-core
   

2. Configure e ative os repositórios necessários.

   Observação

   No Mariner, o Insider Fast Channel não está disponível.

   Se quiser implementar o Defender para Endpoint no Linux a prod partir do canal. Utilize os seguintes comandos

   sudo dnf install mariner-repos-extras
   sudo dnf config-manager --enable mariner-official-extras
   

   Em alternativa, se quiser explorar novas funcionalidades em dispositivos selecionados, poderá querer implementar Microsoft Defender para Ponto de Extremidade no Linux no canal insider-slow. Utilize os seguintes comandos:

   sudo dnf install mariner-repos-extras-preview
   sudo dnf config-manager --enable mariner-official-extras-preview
   

Instalação do aplicativo

Utilize os comandos nas secções seguintes para instalar o Defender para Endpoint na sua distribuição do Linux.

RHEL e variantes (CentOS, Fedora, Oracle Linux, Amazon Linux 2, Rocky e Alma)

sudo yum install mdatp

# list all repositories
yum repolist

...
packages-microsoft-com-prod               packages-microsoft-com-prod        316
packages-microsoft-com-prod-insiders-fast packages-microsoft-com-prod-ins      2
...

# install the package from the production repository
sudo yum --enablerepo=packages-microsoft-com-prod install mdatp

SLES e variantes

sudo zypper install mdatp

zypper repos

...
#  | Alias | Name | ...
XX | packages-microsoft-com-insiders-fast | microsoft-insiders-fast | ...
XX | packages-microsoft-com-prod | microsoft-prod | ...
...

sudo zypper install packages-microsoft-com-prod:mdatp

Sistemas Ubuntu e Debian

sudo apt-get install mdatp

cat /etc/apt/sources.list.d/*

deb [arch=arm64,armhf,amd64] https://packages.microsoft.com/config/ubuntu/18.04/prod insiders-fast main
deb [arch=amd64] https://packages.microsoft.com/config/ubuntu/18.04/prod bionic main

sudo apt -t bionic install mdatp

Mariner

sudo dnf install mdatp

sudo dnf config-manager --disable mariner-official-extras-preview
sudo dnf config-manager --enable mariner-official-extras

Transferir o pacote de inclusão

Transfira o pacote de inclusão a partir do portal do Microsoft Defender.

1. No portal Microsoft Defender, aceda a Definições Pontos Finais>Gestão> dedispositivos>Integração.

2. No primeiro menu pendente, selecione Servidor Linux como o sistema operativo. No segundo menu pendente, selecione Script Local como método de implementação.

3. Selecione Baixar pacote de integração. Guarde o ficheiro como WindowsDefenderATPOnboardingPackage.zip.

   

4. Numa linha de comandos, verifique se tem o ficheiro e extraia o conteúdo do arquivo:

   ls -l
   

   total 8
   -rw-r--r-- 1 test  staff  5752 Feb 18 11:22 WindowsDefenderATPOnboardingPackage.zip
   

   unzip WindowsDefenderATPOnboardingPackage.zip
   

   Archive:  WindowsDefenderATPOnboardingPackage.zip
   inflating: MicrosoftDefenderATPOnboardingLinuxServer.py
   

Configuração do cliente

1. Copie MicrosoftDefenderATPOnboardingLinuxServer.py para o dispositivo de destino.

   Observação

   Inicialmente, o dispositivo cliente não está associado a uma organização e o atributo orgId está em branco.

   mdatp health --field org_id
   

2. Execute um dos cenários abaixo.

   Observação

   Para executar este comando, tem de ter python ou python3 instalado no dispositivo, consoante a distribuição e a versão. Se necessário, veja Instruções passo a passo para Instalar o Python no Linux.

   Para integrar um dispositivo que estava anteriormente offboard, tem de remover o ficheiro de mdatp_offboard.json localizado em /etc/opt/microsoft/mdatp.

   Se estiver a executar o RHEL 8.x ou Ubuntu 20.04 ou superior, tem de utilizar python3. Execute o seguinte comando:

   sudo python3 MicrosoftDefenderATPOnboardingLinuxServer.py
   

   Para o resto das distribuições e versões, tem de utilizar python. Execute o seguinte comando:

   sudo python MicrosoftDefenderATPOnboardingLinuxServer.py
   

3. Verifique se o dispositivo está agora associado à sua organização e reporte um identificador de organização válido:

   mdatp health --field org_id
   

4. Verifique o estado de funcionamento status do produto ao executar o seguinte comando. Um valor devolvido de true indica que o produto está a funcionar conforme esperado:

   mdatp health --field healthy
   

   Importante

   Quando o produto é iniciado pela primeira vez, transfere as definições antimalware mais recentes. Este processo pode demorar alguns minutos, consoante a conectividade de rede. Durante este período, o comando mencionado anteriormente devolve um valor de false. Pode marcar a status da atualização de definições com o seguinte comando:

   mdatp health --field definitions_status
   

   Também poderá ter de configurar um proxy depois de concluir a instalação inicial. Veja Configurar o Defender para Endpoint no Linux para deteção de proxy estático: Configuração pós-instalação.

5. Execute um teste de deteção de antivírus para verificar se o dispositivo está corretamente integrado e a reportar ao serviço. Execute os seguintes passos no dispositivo recentemente integrado:

   1. Certifique-se de que a proteção em tempo real está ativada (indicada por um resultado da true execução do seguinte comando):

      mdatp health --field real_time_protection_enabled
      

      Se não estiver ativado, execute o seguinte comando:

      mdatp config real-time-protection --value enabled
      

   2. Para executar um teste de deteção, abra uma janela terminal. e, em seguida, execute o seguinte comando:

      curl -o /tmp/eicar.com.txt https://secure.eicar.org/eicar.com.txt
      

   3. Pode executar mais testes de deteção em ficheiros zip com um dos seguintes comandos:

      curl -o /tmp/eicar_com.zip https://secure.eicar.org/eicar_com.zip
      curl -o /tmp/eicarcom2.zip https://secure.eicar.org/eicarcom2.zip
      

      Os ficheiros devem ser colocados em quarentena pelo Defender para Endpoint no Linux.

   4. Utilize o seguinte comando para listar todas as ameaças detetadas:

      mdatp threat list
      

6. Execute um teste de deteção EDR e simule uma deteção para verificar se o dispositivo está corretamente integrado e a reportar ao serviço. Execute os seguintes passos no dispositivo recentemente integrado:

   1. Verifique se o servidor Linux integrado aparece no Microsoft Defender XDR. Se esta for a primeira integração da máquina, pode demorar até 20 minutos até aparecer.

   2. Transfira e extraia o ficheiro de script para um servidor Linux integrado e, em seguida, execute o seguinte comando: ./mde_linux_edr_diy.sh

      Após alguns minutos, deve ser criada uma deteção no Microsoft Defender XDR.

   3. Observe os detalhes do alerta, o computador linha do tempo e execute os passos típicos de investigação.

Microsoft Defender para Ponto de Extremidade empacotar dependências de pacotes externos

Existem as seguintes dependências de pacotes externos para o mdatp pacote:

• O pacote Mdatp RPM requer glibc >= 2.17, , policycoreutils, selinux-policy-targetedmde-netfilter
• Para DEBIAN, o pacote mdatp requer libc6 >= 2.23, , uuid-runtimemde-netfilter
• Para Mariner, o pacote mdatp requer attr, diffutils, , libacl, libselinux-utilslibattr, selinux-policy, , policycoreutilsmde-netfilter

O mde-netfilter pacote também tem as seguintes dependências de pacote:

• Para o DEBIAN, o mde-netfilter pacote requer libnetfilter-queue1, libglib2.0-0
• Para o RPM, o mde-netfilter pacote requer libmnl, , libnfnetlink, libnetfilter_queueglib2
• Para o Mariner, o mde-netfilter pacote requer libnfnetlink, libnetfilter_queue

Se a instalação do Microsoft Defender para Ponto de Extremidade falhar devido a erros de dependências em falta, pode transferir manualmente as dependências de pré-requisitos.

Solucionar problemas de instalação

Se tiver problemas de instalação, para resolução automática de problemas, siga estes passos:

1. Para obter informações sobre como localizar o registo gerado automaticamente quando ocorre um erro de instalação, veja Problemas de instalação de registos.

2. Para obter informações sobre problemas comuns de instalação, veja Problemas de instalação.

3. Se o estado de funcionamento do dispositivo for false, consulte Problemas de estado de funcionamento do agente do Defender para Endpoint.

4. Para problemas de desempenho do produto, veja Resolver problemas de desempenho.

5. Para problemas de proxy e conectividade, veja Resolver problemas de conectividade da cloud.

Para obter suporte da Microsoft, abra um pedido de suporte e forneça os ficheiros de registo criados com o analisador de cliente.

Como alternar entre canais

Por exemplo, para alterar o canal de Insiders-Fast para Produção, faça o seguinte:

1. Desinstale a Insiders-Fast channel versão do Defender para Endpoint no Linux.

   sudo yum remove mdatp
   

2. Desativar o Defender para Endpoint no canal de Insiders-Fast do Linux

   sudo yum-config-manager --disable packages-microsoft-com-fast-prod
   

3. Reinstale Microsoft Defender para Ponto de Extremidade no Linux com o Production channele integre o dispositivo no portal do Microsoft Defender.

Como configurar políticas para Microsoft Defender para Ponto de Extremidade no Linux

Pode configurar as definições de antivírus e EDR nos pontos finais. Para saber mais, confira os seguintes artigos:

• Definir preferências para Microsoft Defender para Ponto de Extremidade no Linux descreve as definições disponíveis
• A gestão de definições de segurança descreve como configurar as definições no portal do Microsoft Defender.

Desinstalar Microsoft Defender para Ponto de Extremidade no Linux

Para desinstalação manual, execute o seguinte comando para a distribuição do Linux.

• sudo yum remove mdatp para RHEL e variantes (CentOS e Oracle Linux).
• sudo zypper remove mdatp para SLES e variantes.
• sudo apt-get purge mdatp para sistemas Ubuntu e Debian.
• sudo dnf remove mdatp para Mariner