在 Linux 上运行客户端分析器

适用于：

• Microsoft Defender for Endpoint 计划 2
• Microsoft Defender XDR

希望体验 Defender for Endpoint？ 注册免费试用版。

如果 Linux 上的Microsoft Defender for Endpoint出现问题，并且需要支持，系统可能会要求你提供客户端分析器工具的输出。 本文介绍如何在设备上或实时响应中使用该工具。 可以使用基于 Python 的解决方案或不需要 Python 的二进制版本。

运行客户端分析器的二进制版本

1. 将 XMDE 客户端分析器二进制 工具下载到要调查的 Linux 计算机。 如果使用的是终端，请通过输入以下命令下载该工具：

   wget --quiet -O XMDEClientAnalyzerBinary.zip https://aka.ms/XMDEClientAnalyzerBinary
   

2. 验证下载。

   echo 'B5EBD9AB36F2DB92C341ABEBB20A50551D08D769CB061EAFCC1A931EFACE305D XMDEClientAnalyzerBinary.zip' | sha256sum -c
   

3. 在计算机上提取 的内容 XMDEClientAnalyzerBinary.zip 。

   unzip -q XMDEClientAnalyzerBinary.zip -d XMDEClientAnalyzerBinary
   

4. 更改目录：

   cd XMDEClientAnalyzerBinary
   

5. 将生成两个新的 zip 文件：

   • SupportToolLinuxBinary.zip：适用于所有 Linux 设备
   • SupportToolMacOSBinary.zip：适用于 Mac 设备

6. SupportToolLinuxBinary.zip解压缩文件。

   unzip -q SupportToolLinuxBinary.zip
   

7. 以 root 身份运行该工具以生成诊断包：

   sudo ./MDESupportTool -d
   

运行基于 Python 的客户端分析器

1. 在需要调查的 Linux 计算机上下载 XMDE 客户端分析器 工具。 如果使用的是终端，请通过输入以下命令下载该工具：

   wget --quiet -O XMDEClientAnalyzer.zip https://aka.ms/XMDEClientAnalyzer
   

2. 验证下载。

   echo '07E6A7B89E28A78309D5B6F1E25E4CDFBA9CA141450E422D76441C03AD3477E7 XMDEClientAnalyzer.zip' | sha256sum -c
   

3. 在计算机上提取 的内容 XMDEClientAnalyzer.zip 。

   unzip -q XMDEClientAnalyzer.zip -d XMDEClientAnalyzer
   

4. 更改目录。

   cd XMDEClientAnalyzer
   

5. 为工具授予可执行权限。

   chmod a+x mde_support_tool.sh
   

6. 以非根用户身份运行以安装所需的依赖项。

   ./mde_support_tool.sh
   

7. 若要收集诊断包并生成结果存档文件，请再次以 root 身份运行。

   sudo ./mde_support_tool.sh -d
   

命令行选项

下面是客户端分析器提供的命令行选项

usage: MDESupportTool [-h] [--output OUTPUT] [--outdir OUTDIR] [--no-zip]
                      [--force] [--diagnostic] [--skip-mdatp]
                      [--bypass-disclaimer] [--interactive] [--delay DELAY]
                      [--mdatp-log {trace,info,warning,error,debug,verbose}]
                      [--max-log-size MAX_LOG_SIZE]
                      {certinfocollection,performance,installation,exclude,ratelimit,skipfaultyrules,trace,observespikes,connectivitytest}
                      ...

MDE Diagnostics Tool

positional arguments:
  {certinfocollection,performance,installation,exclude,ratelimit,skipfaultyrules,trace,observespikes,connectivitytest}
    certinfocollection  Collect cert information: Subject name and Hashes
    performance         Collect extensive machine performance tracing for
                        analysis of a performance scenario that can be
                        reproduced on demand
    installation        Collect different installation/onboarding reports
    exclude             Exclude specific processes from audit-d monitoring.
    ratelimit           Set the rate limit for auditd events. Rate limit will
                        update the limits for auditd events for all the
                        applications using auditd, which could impact
                        applications other than MDE.
    skipfaultyrules     Continue loading rules in spite of an error. This
                        summarizes the results of loading the rules. The exit
                        code will not be success if any rule fails to load.
    trace               Use OS tracing facilities to record Defender
                        performance traces.
    observespikes       Collect the process logs in case of spike or mdatp
                        crash
    connectivitytest    Perform connectivity test for MDE

optional arguments:
  -h, --help            show this help message and exit
  --output OUTPUT, -o OUTPUT
                        Output path to export report
  --outdir OUTDIR       Directory where diagnostics file will be generated.
  --no-zip, -nz         If set a directory will be created instead of an
                        archive file.
  --force, -f           Will overwrite if output directory exists.
  --diagnostic, -d      Collect extensive machine diagnostic information.
  --skip-mdatp          Skip any mdatp command. Use this when the mdatp
                        command is unresponsive.
  --bypass-disclaimer   Do not display disclaimer banner.
  --interactive, -i     Interactive diagnostic,
  --delay DELAY, -dd DELAY
                        Delay diagnostic by how many minutes (0~2880), use
                        this to wait for more debug logs before it collects.
  --mdatp-log {trace,info,warning,error,debug,verbose}
                        Set MDATP log level. If you use interactive or delay
                        mode, the log level will set to debug automatically,
                        and reset after 48h.
  --max-log-size MAX_LOG_SIZE
                        Maximum log file size in MB before rotating(Will
                        restart mdatp).

诊断模式

诊断模式用于收集大量计算机信息，例如内存、磁盘和 MDATP 日志。 这组文件提供了调试与 Defender For Endpoint 相关的任何问题所需的主要信息集。

支持的选项如下所示：

optional arguments:
  -h, --help            show this help message and exit
  --output OUTPUT, -o OUTPUT
                        Output path to export report
  --outdir OUTDIR       Directory where diagnostics file will be generated.
  --no-zip, -nz         If set a directory will be created instead of an
                        archive file.
  --force, -f           Will overwrite if output directory exists.
  --diagnostic, -d      Collect extensive machine diagnostic information.
  --skip-mdatp          Skip any mdatp command. Use this when the mdatp
                        command is unresponsive.
  --bypass-disclaimer   Do not display disclaimer banner.
  --interactive, -i     Interactive diagnostic,
  --delay DELAY, -dd DELAY
                        Delay diagnostic by how many minutes (0~2880), use
                        this to wait for more debug logs before it collects.
  --mdatp-log {trace,info,warning,error,debug,verbose}
                        Set MDATP log level. If you use interactive or delay
                        mode, the log level will set to debug automatically,
                        and reset after 48h.
  --max-log-size MAX_LOG_SIZE
                        Maximum log file size in MB before rotating(Will
                        restart mdatp).

用法示例： sudo ./MDESupportTool -d

下表汇总了使用此模式时生成的文件：

客户端分析器的可选参数

客户端分析器为额外的数据收集提供了以下可选参数：

收集性能信息

收集 Defender for Endpoint 进程的广泛计算机性能跟踪，以分析可按需重现的性能方案。

-h, --help            show this help message and exit
--frequency FREQUENCY
                      profile at this frequency
--length LENGTH       length of time to collect (in seconds)

用法示例： sudo ./MDESupportTool performance --frequency 500

下面是使用此模式时生成的文件：

tar 包含格式 <pid of a MDE process>.data为 的文件。 可以使用 命令读取数据文件：

perf report -i <pid>.data

运行连接测试

此模式测试 Defender for Endpoint 所需的云资源是否可访问。

  -h, --help            show this help message and exit
  -o ONBOARDING_SCRIPT, --onboarding-script ONBOARDING_SCRIPT
                        Path to onboarding script
  -g GEO, --geo GEO     Geo string to test <US|UK|EU|AU|CH|IN>

用法示例：

sudo ./MDESupportTool connectivitytest -o ~/MicrosoftDefenderATPOnboardingLinuxServer.py`

屏幕上打印的输出显示 URL 是否可访问。

收集不同的安装/载入报告

此模式收集与安装相关的信息，例如发行版和系统要求。

  -h, --help                show this help message and exit
  -d, --distro              Check for distro support
  -m, --min-requirement     Check for the system info against offical minimum requirements
  -e, --external-dep        Check for externel package dependency
  -c, --connectivity        Check for connectivity for services used by MDE
  -a, --all                 Run all checks
  -o ONBOARDING_SCRIPT, --onboarding-script ONBOARDING_SCRIPT
                            Path to onboarding script
  -g GEO, --geo GEO         Geo string to test <US|UK|EU|AU|CH|IN>

用法示例：

sudo ./MDESupportTool installation --all

生成单个报表 installation_report.json 。 文件中的键如下所示：

排除模式

此模式添加了用于监视的 audit-d 排除项。

  -h, --help            show this help message and exit
  -e <executable>, --exe <executable>
                        exclude by executable name, i.e: bash
  -p <process id>, --pid <process id>
                        exclude by process id, i.e: 911
  -d <directory>, --dir <directory>
                        exclude by target path, i.e: /var/foo/bar
  -x <executable> <directory>, --exe_dir <executable> <directory>
                        exclude by executable path and target path, i.e: /bin/bash /var/foo/bar
  -q <q_size>, --queue <q_size>
                        set dispatcher q_depth size
  -r, --remove          remove exclusion file
  -s, --stat            get statistics about common executables
  -l, --list            list auditd rules
  -o, --override        Override the existing auditd exclusion rules file for mdatp
  -c <syscall number>, --syscall <syscall number>
                        exclude all process of the given syscall

用法示例：

sudo ./MDESupportTool exclude -d /var/foo/bar`

AuditD 速率限制器

此选项全局设置 AuditD 的速率限制，导致所有审核事件下降。 启用限制器后，审核的事件限制为 2500 个事件/秒。在从 AuditD 端看到 CPU 使用率过高的情况下，可以使用此选项。

-h, --help                                  show this help message and exit
-e <true/false>, --enable <true/false>      enable/disable the rate limit with default values

用法示例：

sudo ./mde_support_tool.sh ratelimit -e true

AuditD 跳过错误规则

使用此选项，可以在加载时跳过在审核规则文件中添加的错误规则。 它允许审核的子系统继续加载规则，即使存在错误的规则。

-h, --help                                  show this help message and exit
-e <true/false>, --enable <true/false>      enable/disable the option to skip the faulty rules. In case no argumanet is passed, the option will be true by default.

用法示例：

sudo ./mde_support_tool.sh skipfaultyrules -e true

使用 Defender for Endpoint 中的实时响应收集支持日志

XMDE 客户端分析器工具可以作为 二进制 包或 Python 包下载，可在 Linux 计算机上提取和执行。 这两个版本的 XMDE 客户端分析器都可以在实时响应会话期间执行。

• 对于安装， unzip 需要包。
• 若要执行， acl 需要包。

安装 XMDE 客户端分析器

下载并提取 XMDE 客户端分析器。 可以使用二进制或 Python 版本，如下所示：

• 客户端分析器的二进制版本
• 客户端分析器的 Python 版本

由于实时响应中可用的命令有限，因此必须在 bash 脚本中执行详细步骤。 通过拆分这些命令的安装和执行部分，可以运行一次安装脚本，并多次运行执行脚本。

二进制客户端分析器安装脚本

以下脚本执行 客户端分析器运行二进制版本的前六个步骤。 完成后，可从 目录中获取 /tmp/XMDEClientAnalyzerBinary/ClientAnalyzer XMDE 客户端分析器二进制文件。

1. 创建 bash 文件 InstallXMDEClientAnalyzer.sh 并将以下内容粘贴到其中。

   #! /usr/bin/bash 
   
   echo "Starting Client Analyzer Script. Running As:"
   whoami
   
   echo "Getting XMDEClientAnalyzerBinary"
   wget --quiet -O /tmp/XMDEClientAnalyzerBinary.zip https://aka.ms/XMDEClientAnalyzerBinary
   echo '4E96E75B16244BB25BDBF34CBB3EB596BC2E9CE368BC4E532E8AE12DF2A1E19D /tmp/XMDEClientAnalyzerBinary.zip' | sha256sum -c
   
   echo "Unzipping XMDEClientAnalyzerBinary.zip"
   unzip -q /tmp/XMDEClientAnalyzerBinary.zip -d /tmp/XMDEClientAnalyzerBinary
   
   echo "Unzipping SupportToolLinuxBinary.zip"
   unzip -q /tmp/XMDEClientAnalyzerBinary/SupportToolLinuxBinary.zip -d /tmp/XMDEClientAnalyzerBinary/ClientAnalyzer
   
   echo "MDESupportTool installed at /tmp/XMDEClientAnalyzerBinary/ClientAnalyzer"
   
   

Python 客户端分析器安装脚本

以下脚本执行 运行 Python 版本的客户端分析器的前六个步骤。 完成后，可从 目录中获取 /tmp/XMDEClientAnalyzer XMDE 客户端分析器 Python 脚本。

1. 创建 bash 文件 InstallXMDEClientAnalyzer.sh 并将以下内容粘贴到其中。

   #! /usr/bin/bash
   
   echo "Starting Client Analyzer Install Script. Running As:"
   whoami
   
   echo "Getting XMDEClientAnalyzer.zip"
   wget --quiet -O /tmp/XMDEClientAnalyzer.zip https://aka.ms/XMDEClientAnalyzer 
   echo '07E6A7B89E28A78309D5B6F1E25E4CDFBA9CA141450E422D76441C03AD3477E7 /tmp/XMDEClientAnalyzer.zip' | sha256sum -c  
   
   echo "Unzipping XMDEClientAnalyzer.zip"
   unzip -q /tmp/XMDEClientAnalyzer.zip -d /tmp/XMDEClientAnalyzer  
   
   echo "Setting execute permissions on mde_support_tool.sh script"
   cd /tmp/XMDEClientAnalyzer 
   chmod a+x mde_support_tool.sh  
   
   echo "Performing final support tool setup"
   ./mde_support_tool.sh
   
   

运行客户端分析器安装脚本

1. 在要调查的计算机上启动 实时响应会话 。

2. 选择“ 将文件上传到库”。

3. 选择“ 选择文件”。

4. 选择名为 InstallXMDEClientAnalyzer.sh的下载文件，然后选择“ 确认”。

5. 仍在 LiveResponse 会话中时，使用以下命令安装分析器：

   run InstallXMDEClientAnalyzer.sh
   

运行 XMDE 客户端分析器

实时响应不支持直接运行 XMDE 客户端分析器或 Python，因此需要执行脚本。

用于执行二进制客户端分析器的脚本

客户端分析器的二进制版本接受命令行参数来执行不同的分析测试。 为了在实时响应期间提供类似的功能，执行脚本利用 $@ bash 变量将提供给脚本的所有输入参数传递给 XMDE 客户端分析器。

1. 创建 bash 文件 MDESupportTool.sh 并将以下内容粘贴到其中。

   #! /usr/bin/bash
   
   echo "cd /tmp/XMDEClientAnalyzerBinary/ClientAnalyzer"
   cd /tmp/XMDEClientAnalyzerBinary/ClientAnalyzer
   
   echo "Running MDESupportTool"
   ./MDESupportTool $@
   
   

用于执行 Python 客户端分析器的脚本

客户端分析器的 Python 版本接受命令行参数来执行不同的分析测试。 为了在实时响应期间提供类似的功能，执行脚本利用 $@ bash 变量将提供给脚本的所有输入参数传递给 XMDE 客户端分析器。

1. 创建 bash 文件 MDESupportTool.sh 并将以下内容粘贴到其中。

   #! /usr/bin/bash  
   
   echo "cd /tmp/XMDEClientAnalyzer"
   cd /tmp/XMDEClientAnalyzer 
   
   echo "Running mde_support_tool"
   ./mde_support_tool.sh $@
   
   

运行客户端分析器脚本

1. 在要调查的计算机上启动 实时响应会话 。

2. 选择“ 将文件上传到库”。

3. 选择“ 选择文件”。

4. 选择名为 MDESupportTool.sh的下载文件，然后选择“ 确认”。

5. 仍处于实时响应会话中时，请使用以下命令运行分析器并收集生成的文件：

   run MDESupportTool.sh -parameters "--bypass-disclaimer -d"
   GetFile "/tmp/your_archive_file_name_here.zip"
   

另请参阅

• 客户端分析器概述

• 下载并运行分析器

• 在 Windows 上运行客户端分析器

• 在 macOS 或 Linux 上运行客户端分析器

• 用于在 Windows 上进行高级故障排除的数据收集

• 了解分析器 HTML 报表

Linux 上的 Defender for Endpoint 故障排除文档

• 排查 Linux 上Microsoft Defender for Endpoint的安装问题

• 调查代理运行状况问题

• 排查 Linux 上Microsoft Defender for Endpoint的云连接问题

• 排查 Linux 上Microsoft Defender for Endpoint的性能问题

• 排查 Linux 上Microsoft Defender for Endpoint缺少事件或警报问题

• 解决 Microsoft Defender for Endpoint 中的误报/漏报