Linux'ta Uç Nokta için Microsoft Defender için dışlamaları yapılandırma ve doğrulama

Şunlar için geçerlidir:

• Uç Nokta için Microsoft Defender Sunucusu
• Sunucular için Microsoft Defender

Uç nokta için Defender'i deneyimlemek ister misiniz? Ücretsiz deneme için kaydolun.

Bu makalede, Uç Nokta için Microsoft Defender için virüsten koruma ve genel dışlamaların nasıl tanımlanacağı hakkında bilgi sağlanır. Virüsten koruma dışlamaları isteğe bağlı taramalar, gerçek zamanlı koruma (RTP) ve davranış izleme (BM) için geçerlidir. Genel dışlamalar gerçek zamanlı koruma (RTP), davranış izleme (BM) ve uç nokta algılama ve yanıt (EDR) için geçerlidir; böylece tüm ilişkili virüsten koruma algılamaları, EDR uyarıları ve dışlanan öğe için görünürlük durdurulabilir.

Linux'ta Uç Nokta için Defender'da belirli dosyaları, klasörleri, işlemleri ve işlem tarafından açılan dosyaları dışlayabilirsiniz.

Dışlamalar, kuruluşunuz için benzersiz veya özelleştirilmiş dosya veya yazılımlarda yanlış algılamalardan kaçınmak için yararlı olabilir. Genel dışlamalar, Linux'ta Uç Nokta için Defender'ın neden olduğu performans sorunlarını azaltmak için yararlıdır.

Desteklenen dışlama kapsamları

Önceki bir bölümde açıklandığı gibi iki dışlama kapsamını destekliyoruz: virüsten koruma (epp) ve genel (global) dışlamalar.

Virüsten koruma dışlamaları, güvenilir dosyaları ve işlemleri EDR görünürlüğüne sahipken gerçek zamanlı korumanın dışında tutmak için kullanılabilir. Genel dışlamalar algılayıcı düzeyinde uygulanır ve herhangi bir işlem yapılmadan önce akışın başlarında dışlama koşullarıyla eşleşen olayların sesini kapatmak için tüm EDR uyarılarını ve virüsten koruma algılamalarını durdurur.

Desteklenen dışlama türleri

Aşağıdaki tabloda, Linux üzerinde Uç Nokta için Defender tarafından desteklenen dışlama türleri gösterilmektedir.

Dosya, klasör ve işlem dışlamaları aşağıdaki joker karakterleri destekler:

Dışlama listesini yapılandırma

Dışlamaları bir yönetim Json yapılandırması, Uç Nokta için Defender güvenlik ayarları yönetimi veya komut satırı kullanarak yapılandırabilirsiniz.

Yönetim konsolunu kullanma

Kurumsal ortamlarda dışlamalar bir yapılandırma profili aracılığıyla da yönetilebilir. Genellikle puppet, Ansible veya başka bir yönetim konsolu gibi bir yapılandırma yönetim aracı kullanarak konumunda /etc/opt/microsoft/mdatp/managed/adıyla mdatp_managed.json bir dosya gönderebilirsiniz. Daha fazla bilgi için bkz. Linux'ta Uç Nokta için Defender tercihlerini ayarlama. Lütfen aşağıdaki örneğine mdatp_managed.jsonbakın.

{
   "exclusionSettings":{
     "exclusions":[
        {
           "$type":"excludedPath",
           "isDirectory":true,
           "path":"/home/*/git<EXAMPLE DO NOT USE>",
           "scopes": [
              "epp"
           ]
        },
        {
           "$type":"excludedPath",
           "isDirectory":true,
           "path":"/run<EXAMPLE DO NOT USE>",
           "scopes": [
              "global"
           ]
        },
        {
           "$type":"excludedPath",
           "isDirectory":false,
           "path":"/var/log/system.log<EXAMPLE DO NOT USE><EXCLUDED IN ALL SCENARIOS>",
           "scopes": [
              "epp", "global"
           ]
        },
        {
           "$type":"excludedFileExtension",
           "extension":".pdf<EXAMPLE DO NOT USE>",
           "scopes": [
              "epp"
           ]
        },
        {
           "$type":"excludedFileName",
           "name":"/bin/cat<EXAMPLE DO NOT USE><NO SCOPE PROVIDED - GLOBAL CONSIDERED>"
        }
     ],
     "mergePolicy":"admin_only"
   }
}

Uç Nokta için Defender güvenlik ayarları yönetimini kullanma

Dışlamaları uç nokta güvenlik ilkeleri olarak yönetmek ve bu ilkeleri Microsoft Entra ID gruplarına atamak için Microsoft Intune yönetim merkezini veya Microsoft Defender portalını kullanabilirsiniz. Bu yöntemi ilk kez kullanıyorsanız aşağıdaki adımları tamamladığınızdan emin olun:

1. Kiracınızı güvenlik ayarları yönetimini destekleyecek şekilde yapılandırma

1. Microsoft Defender portalındaAyarlar>Uç Noktaları>Yapılandırma Yönetimi>Zorlama Kapsamı'na gidin ve linux platformunu seçin.

2. Cihazları etiketle etiketleyin MDE-Management . Çoğu cihaz dakikalar içinde ilkeyi kaydeder ve alır, ancak bazıları 24 saate kadar sürebilir. Daha fazla bilgi için bkz. Intune uç nokta güvenlik ilkelerini kullanarak Intune kaydedilmemiş cihazlarda Uç Nokta için Microsoft Defender yönetmeyi öğrenin.

2. Microsoft Entra grubu oluşturma

Uç Nokta için Defender'a eklenen tüm cihazların uygun ilkeleri aldığından emin olmak için işletim sistemi türünü temel alan dinamik bir Microsoft Entra grubu oluşturun. Bu dinamik grup, Uç Nokta için Defender tarafından yönetilen cihazları otomatik olarak içerir ve yöneticilerin el ile yeni ilkeler oluşturma gereksinimini ortadan kaldırır. Daha fazla bilgi için şu makaleye bakın: Microsoft Entra Grupları Oluşturma

3. Uç nokta güvenlik ilkesi oluşturma

1. Microsoft Defender portalındaUç Noktalar>Yapılandırma yönetimi>Uç nokta güvenlik ilkeleri'ne gidin ve Yeni İlke oluştur'u seçin.

2. Platform için Linux'ı seçin.

3. Gerekli dışlama şablonunu seçin (Microsoft defender global exclusions (AV+EDR) genel dışlamalar ve Microsoft defender antivirus exclusions virüsten koruma dışlamaları için) ve ardından İlke oluştur'u seçin.

4. Temel Bilgiler sayfasında, profil için bir ad ve açıklama girin, ardından İleri'yi seçin.

5. Ayarlar sayfasında, her bir ayar grubunu genişletin ve bu profille yönetmek istediğiniz ayarları yapılandırın.

6. Ayarları yapılandırmayı tamamladığınızda İleri'yi seçin.

7. Atamalar sayfasında, bu profili alan grupları seçin. Ardından İleri'yi seçin.

8. Gözden Geçir + oluştur sayfasında, işiniz bittiğinde Kaydet'i seçin. Oluşturduğunuz profil için ilke türünü seçtiğinizde yeni profil listede görüntülenir.

Daha fazla bilgi için bkz. Uç Nokta için Microsoft Defender'da uç nokta güvenlik ilkelerini yönetme.

Komut satırını kullanma

Dışlamaları yönetmek için kullanılabilir anahtarları görmek için aşağıdaki komutu çalıştırın:

mdatp exclusion

Bu bölüm çeşitli örnekler içerir.

Örnek 1: Dosya uzantısı için dışlama ekleme

Dosya uzantısı için dışlama ekleyebilirsiniz. Uzantı dışlamalarının genel dışlama kapsamı için desteklenmediğini unutmayın.

mdatp exclusion extension add --name .txt

Extension exclusion configured successfully

mdatp exclusion extension remove --name .txt

Extension exclusion removed successfully

Örnek 2: Dosya dışlama ekleme veya kaldırma

Bir dosya için dışlama ekleyebilir veya kaldırabilirsiniz. Genel kapsamlı bir dışlama ekliyor veya kaldırıyorsanız dosya yolu zaten mevcut olmalıdır.

mdatp exclusion file add --path /var/log/dummy.log --scope epp

File exclusion configured successfully

mdatp exclusion file remove --path /var/log/dummy.log --scope epp

File exclusion removed successfully"

mdatp exclusion file add --path /var/log/dummy.log --scope global

File exclusion configured successfully

mdatp exclusion file remove --path /var/log/dummy.log --scope global

File exclusion removed successfully"

Örnek 3: Klasör dışlama ekleme veya kaldırma

Bir klasör için dışlama ekleyebilir veya kaldırabilirsiniz.

mdatp exclusion folder add --path /var/log/ --scope epp

Folder exclusion configured successfully

mdatp exclusion folder remove --path /var/log/ --scope epp

Folder exclusion removed successfully

mdatp exclusion folder add --path /var/log/ --scope global

Folder exclusion configured successfully

mdatp exclusion folder remove --path /var/log/ --scope global

Folder exclusion removed successfully

Örnek 4: İkinci klasör için dışlama ekleme

İkinci bir klasör için dışlama ekleyebilirsiniz.

mdatp exclusion folder add --path /var/log/ --scope epp
mdatp exclusion folder add --path /other/folder  --scope global

Folder exclusion configured successfully

Örnek 5: Joker karakterle klasör dışlaması ekleme

Joker karakter içeren bir klasör için dışlama ekleyebilirsiniz. Genel dışlamalar yapılandırırken Joker Karakterlerin desteklenmediğini unutmayın.

mdatp exclusion folder add --path "/var/*/tmp"

Önceki komut, altındaki */var/*/tmp/*yolları dışlar, ancak eşdüzey olan klasörleri dışlamaz *tmp*. Örneğin, */var/this-subfolder/tmp* dışlanır, ancak */var/this-subfolder/log* dışlanmaz.

mdatp exclusion folder add --path "/var/" --scope epp

VEYA

mdatp exclusion folder add --path "/var/*/" --scope epp

Önceki komut, gibi üst öğesi */var/**/var/this-subfolder/and-this-subfolder-as-well*olan tüm yolları dışlar.

Folder exclusion configured successfully

Örnek 6: İşlem için dışlama ekleme

Bir işlem için dışlama ekleyebilirsiniz.

mdatp exclusion process add --path /usr/bin/cat --scope global 

Process exclusion configured successfully

mdatp exclusion process remove --path /usr/bin/cat  --scope global

Process exclusion removed successfully

mdatp exclusion process add --name cat --scope epp 

Process exclusion configured successfully

mdatp exclusion process remove --name cat --scope epp

Process exclusion removed successfully

Örnek 7: İkinci bir işlem için dışlama ekleme

İkinci bir işlem için dışlama ekleyebilirsiniz.

mdatp exclusion process add --name cat --scope epp
mdatp exclusion process add --path /usr/bin/dog --scope global

Process exclusion configured successfully

EICAR test dosyasıyla dışlama listelerini doğrulama

Bir test dosyasını indirmek için kullanarak curl dışlama listelerinizin çalıştığını doğrulayabilirsiniz.

Aşağıdaki Bash kod parçacığında öğesini dışlama kurallarınıza uygun bir dosyayla değiştirin test.txt . Örneğin, uzantıyı .testing dışladıysanız değerini ile test.testingdeğiştirintest.txt. Bir yolu test ediyorsanız, komutu bu yol içinde çalıştırdığınızdan emin olun.

curl -o test.txt https://secure.eicar.org/eicar.com.txt

Linux'ta Uç Nokta için Defender kötü amaçlı yazılım bildiriyorsa kural çalışmıyor demektir. Kötü amaçlı yazılım raporu yoksa ve indirilen dosya varsa, dışlama çalışıyor demektir. İçeriğin EICAR test dosyası web sitesinde açıklananla aynı olduğunu onaylamak için dosyayı açabilirsiniz.

İnternet erişiminiz yoksa kendi EICAR test dosyanızı oluşturabilirsiniz. Aşağıdaki Bash komutuyla EICAR dizesini yeni bir metin dosyasına yazın:

echo 'X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*' > test.txt

Ayrıca dizeyi boş bir metin dosyasına kopyalayabilir ve dosya adıyla veya dışlamaya çalıştığınız klasöre kaydetmeye çalışabilirsiniz.

Bir tehdide izin verme

Belirli içeriğin taranmasını dışlamanın yanı sıra, Tehdit adıyla tanımlanan bazı tehdit sınıflarını algılamamak için Linux'ta Uç Nokta için Defender'ı da yapılandırabilirsiniz.

İzin verilenler listesine bir tehdit adı eklemek için aşağıdaki komutu çalıştırın:

mdatp threat allowed add --name [threat-name]

Algılanan bir tehdidin adını almak için aşağıdaki komutu çalıştırın:

mdatp threat list

Örneğin, allowlist'e eklemek EICAR-Test-File (not a virus) için aşağıdaki komutu çalıştırın:

mdatp threat allowed add --name "EICAR-Test-File (not a virus)"

Ayrıca bkz.

• Linux'ta Uç Nokta için Microsoft Defender
• Linux'ta Uç Nokta için Microsoft Defender tercihlerini ayarlayın