Planen von Antivirusüberprüfungen von Microsoft Defender for Endpoint unter Linux

Eingebaute geplante Antivirenscans in Microsoft Defender for Endpoint auf Linux helfen IT- und Sicherheitsadministratoren, konsistente Scanpläne ohne benutzerdefinierte Cron-Jobs anzuwenden. Sie können tägliche und intervallbasierte Schnellscans, wöchentliche schnelle oder vollständige Scans sowie Optionen konfigurieren, die Leistung, Leerlaufverhalten, Sicherheitsintelligenzupdates, Ausschlüsse und zufällige Startzeiten steuern.

Verwenden Sie das Microsoft Defender-Portal, Microsoft Intune, verwaltetes JSON oder die Kommandozeile, um Scans zu konfigurieren. Bevor Sie beginnen, bestätigen Sie, dass Geräte die Voraussetzungen erfüllen, einschließlich der erforderlichen Agent-Version und der Verwaltungsberechtigungen.

Voraussetzungen

Stellen Sie vor dem Konfigurieren geplanter Antivirenscans auf Linux sicher, dass die folgenden Anforderungen erfüllt sind:

• Microsoft Defender for Endpoint wird auf unterstützten Linux Distributionen installiert und integriert.
• Die Geräte im Produktionsring verwenden Agent-Version 101.26032.0000 (April 2026) oder höher.
• Die Geräte sind gesund und melden korrekt an den Microsoft Defender-Dienst.

Abhängig von Ihrer Konfigurationsmethode müssen auch die folgenden Voraussetzungen erfüllt sein:

• Verwaltete JSON-Konfiguration:

  • Möglichkeit, Konfigurationsdateien auf /etc/opt/microsoft/mdatp/managed bereitzustellen.
  • Berechtigungen zur Verwaltung von Systemkonfigurationsdateien.
  • Wenn Sie bereits eine verwaltete Konfiguration für andere Antivireneinstellungen verwenden, fügen Sie an Ihre vorhandene Konfigurationsdatei an, anstatt sie zu ersetzen.

• Microsoft Intune:

  • Die Endpoint Security Manager-Rolle oder eine benutzerdefinierte Rolle mit gleichwertigen Berechtigungen, um Endpunkt-Sicherheitsrichtlinien zu erstellen und zuzuweisen.

• Microsoft Defender-Portal:

  • Die Berechtigung Autorisierung und Einstellungen/Sicherheitseinstellungen/Zentrale Sicherheitseinstellungen (verwalten) in der einheitlichen rollenbasierten Zugriffssteuerung (RBAC) von Microsoft Defender XDR. Alternativ können Sie die Rolle Intune Endpoint Security Manager oder die Rolle Microsoft Entra Security Administrator oder Intune Administrator verwenden. Weitere Informationen finden Sie unter Voraussetzungen für die Verwaltung von Endpunkt-Sicherheitsrichtlinien.

Geplante Antivirenscantypen

Defender für Endpunkt auf Linux unterstützt die folgenden Überprüfungstypen für geplante Überprüfungen:

• Schnelle Scans: Schnelle Scans untersuchen Standorte, an denen Malware wahrscheinlich registriert und ausgeführt wird, wie Startpfade und Systemdienste. Sie werden schneller abgeschlossen und für eine häufige Planung empfohlen, z. B. für tägliche oder intervallbasierte Überprüfungen.
• Vollständige Scans: Vollständige Scans überprüfen Dateien und Ordner innerhalb von /. Sie bieten eine umfassendere Abdeckung, können aber je nach Systemgröße und Workload länger dauern. Sie werden in der Regel seltener geplant, zum Beispiel wöchentlich.

Planungsoptionen

Geplante Überprüfungen können mit den folgenden Planungsoptionen konfiguriert werden:

• Stündliche Schnellscans: Führen Sie schnelle Scans in regelmäßigen Abständen (alle N Stunden) aus.
• Tägliche Schnellüberprüfungen: Führen Sie täglich Schnellscans zu einer bestimmten Zeit aus.
• Wöchentliche Überprüfungen: Führen Sie eine Überprüfung an einem bestimmten Tag und zu einer bestimmten Uhrzeit mit der Option aus, entweder eine Schnellüberprüfung oder eine vollständige Überprüfung auszuwählen.

Diese Planungsoptionen können unabhängig voneinander konfiguriert und kombiniert werden. Beispielsweise können Sie tägliche Schnellscans zusammen mit einer wöchentlichen vollständigen Überprüfung ausführen.

Einstellungen für den geplanten Scan

In der folgenden Tabelle werden die verfügbaren Einstellungen zum Konfigurieren geplanter Antivirenscans beschrieben:

Konfigurieren geplanter Antivirenscans

Man kann geplante Scans über das Microsoft Defender-Portal, Microsoft Intune, verwaltetes JSON oder die Kommandozeile konfigurieren, je nachdem, wie man die Geräteeinstellungen verwaltet.

Wenn geplante Scan-Einstellungen mit mehreren Methoden konfiguriert werden, haben Microsoft Defender-Portal-Richtlinien (Sicherheitseinstellungsmanagement) Vorrang gegenüber der lokalen Konfiguration (verwaltetes JSON oder die Kommandozeile).

Verwenden Sie Microsoft Intune, um geplante Scans zu konfigurieren

Microsoft Intune ist das empfohlene Werkzeug zum Konfigurieren und Verteilen von Microsoft Defender for Endpoint-Funktionen auf Geräten. Intune ist jedoch ein separates Produkt, das nicht Teil von Defender für Endpunkt ist und nicht in allen Abonnements enthalten ist. Um Intune zu verwenden, benötigen Sie ein Abonnement, das es enthält, oder Sie können es separat als eigenständiges Abonnement oder Add-On kaufen. Wenn Sie nicht über Intune verfügen, können Sie eine der anderen Methoden in diesem Artikel verwenden. Weitere Informationen finden Sie unter Microsoft Intune-Lizenzierung.

Um geplante Antivirenscans in Microsoft Intune zu konfigurieren, verwenden Sie eine Endpunkt-Sicherheits-Antivirenrichtlinie. Für detaillierte Anweisungen siehe Endpoint-Sicherheitsrichtlinien erstellen oder bestehende Richtlinien ändern (Links öffnen neue Tabs in der Intune-Dokumentation).

Wenn Sie die Richtlinie erstellen, verwenden Sie diese spezifischen Einstellungen:

• Richtlinientyp: Wechseln Sie zu Verwalten> auf der Seite Endpunktsicherheit | Übersicht unter https://intune.microsoft.com/#view/Microsoft_Intune_Workflows/SecurityManagementMenu/~/overview, und wählen Sie dann Richtlinie erstellen.
• Plattform: Linux auswählen.
• Profil: Wählen Sie Microsoft Defender Antivirus aus.

Wenn Sie die Richtlinie erstellen oder ändern, konfigurieren Sie die geplanten Scan-Einstellungen im Abschnitt Schedule Scan im Tab Konfigurationseinstellungen .

Wenn du Intune-Endpunkt-Sicherheitsrichtlinien verwendest, um Linux-Geräte zu verwalten, die nicht in Intune registriert sind, konfiguriere zuerst Defender für die Verwaltung der Endpunkt-Sicherheitseinstellungen. Weise die Richtlinie einer Microsoft Entra-Gerätegruppe zu, die die Linux-Geräte enthält, die du verwalten möchtest.

Nutzen Sie das Microsoft Defender-Portal, um geplante Scans zu konfigurieren

Wenn Ihre Organisation Endpunkt-Sicherheitsrichtlinien im Microsoft Defender-Portal verwaltet, können Sie geplante Antiviren-Scans mit denselben Endpunkt-Sicherheitsrichtlinien konfigurieren, die Intune verwendet.

Für ausführliche Anweisungen siehe Eine Endpunkt-Sicherheitsrichtlinie erstellen oder eine Endpunkt-Sicherheitsrichtlinie bearbeiten (Links öffnen neue Tabs).

Wenn Sie die Richtlinie erstellen, verwenden Sie diese spezifischen Einstellungen:

• Richtlinientyp: Wählen Sie auf der Registerkarte Linux-Richtlinien auf der Seite Endpunktsicherheitsrichtlinien im Microsoft Defender-Portal unter https://security.microsoft.com/policy-inventoryNeue Richtlinie erstellen.
• Plattform: Linux auswählen.
• Vorlage: Wählen Sie Microsoft Defender Antivirus.

Wenn Sie die Richtlinie erstellen oder ändern, konfigurieren Sie die geplanten Scan-Einstellungen im Abschnitt Schedule Scan auf der Konfigurationseinstellungen-Seite .

Für Geräte, die nicht in Intune registriert sind, konfigurieren Sie zuerst Defender für das Management der Endpunkt-Sicherheitseinstellungen. Weise die Richtlinie einer Microsoft Entra-Gerätegruppe zu, die die Linux-Geräte enthält, die du verwalten möchtest.

Verwenden der mdatp-verwalteten JSON-Konfiguration

In Unternehmensumgebungen planen Sie Antivirenscans über ein Konfigurationsprofil. Verwenden Sie ein Konfigurationsmanagement-Tool wie Puppet, Ansible oder eine andere Verwaltungskonsole, um eine Datei namens mdatp_managed.json nach /etc/opt/microsoft/mdatp/managed zu übertragen.

Wenn Sie mdatp_managed.json bereits zum Konfigurieren anderer Defender for Endpoint-Einstellungen verwenden, z. B. für Ausschlüsse oder Antiviren-Einstellungen, ersetzen Sie die Datei nicht. Füge die geplanten Scan-Einstellungen zum bestehenden verwalteten JSON hinzu. Weitere Informationen finden Sie unter Konfigurieren von Sicherheitseinstellungen in Microsoft Defender for Endpoint auf Linux.

Im folgenden Beispiel wird Folgendes konfiguriert:

• Eine wöchentliche vollständige Überprüfung jeden Samstag um 3:00 Uhr.
• Ein täglicher Schnellscan jeden Tag um 3:00 Uhr.
• Scans werden nur durchgeführt, wenn das Gerät im Leerlauf ist.
• Verringert die CPU-Auswirkung durch Verwendung von Low-Priority-Scheduling.
• Überprüft vor dem Scannen, ob Updates für Sicherheitsinformationen verfügbar sind.
• Ignoriert Ausschlüsse während der Scans.
• Randomisiert die Startzeiten des Scans um bis zu 3 Stunden.

{
  "antivirusEngine": {
    "scheduledScan": "enabled"
  },
  "scheduledScan": {
    "weeklyConfiguration": {
      "dayOfWeek": 7,
      "scanType": "full",
      "timeOfDay": 180
    },
    "dailyConfiguration": {
      "timeOfDay": 180
    },
    "runScanWhenIdle": true,
    "lowPriorityScheduledScan": true,
    "checkForDefinitionsUpdate": true,
    "ignoreExclusions": true,
    "randomizeScanStartTime": 3
  }
}

Verwenden der Befehlszeile zum Konfigurieren geplanter Scans

Sie können geplante Antivirusscans direkt auf einem Linux-Gerät konfigurieren, indem Sie das Befehlszeilentool (mdatpMicrosoft Defender for Endpoint) verwenden. Dieser Ansatz ist nützlich für Tests oder die Konfiguration mit einem einzelnen Gerät.

• Aktiviere geplante Scans:

  mdatp config scheduled-scan settings feature --value enabled
  

• Konfigurieren Sie den täglichen Schnellscan: Führen Sie einen täglichen Schnellscan zu einer bestimmten Zeit durch (in Minuten ab Mitternacht).

  Beispiel: Tägliche Schnellüberprüfung um 2:00 Uhr

  mdatp config scheduled-scan quick-scan time-of-day --value 120
  

• Intervallbasierte Schnelluntersuchungen konfigurieren: Führen Sie Schnellscans in regelmäßigen stündlichen Abständen durch.

  Beispiel: Ausführen einer Schnellüberprüfung alle 6 Stunden

  mdatp config scheduled-scan quick-scan hourly-interval --value 6
  

• Konfigurieren Sie den wöchentlichen Scan: Planen Sie einen wöchentlichen Scan mit einem bestimmten Tag, einer Uhrzeit und einem bestimmten Scantyp.

  Beispiel: Wöchentlicher vollständiger Scan jeden Mittwoch um 3:00 Uhr

  mdatp config scheduled-scan weekly-scan --day-of-week 4 --time-of-day 180 --scan-type full
  

Geplante Antivirenscans überprüfen

Nachdem du geplante Scans konfiguriert hast, prüfe, dass die Konfiguration korrekt angewendet wird und die Scans wie erwartet ablaufen.

Konfigurationsstatus überprüfen

Führen Sie den folgenden Befehl aus, um zu überprüfen, dass die Einstellungen für den geplanten Scan übernommen wurden:

mdatp health --details scheduled_scan

Ausführung des geplanten Scans prüfen

Verwenden Sie den folgenden Befehl, um den Scan-Verlauf einzusehen:

mdatp scan list

Sie können die Scanaktivität auch auf der Geräteseite im Defender-Portal überprüfen. Die Seite zeigt den letzten vollständigen Scan und den letzten Schnellscan:

1. Wählen Sie auf der Seite Geräteinventar im Microsoft Defender-Portal unter https://security.microsoft.com/machines das Ziel-Linux-Gerät aus.
2. Suchen Sie auf der Registerkarte Übersicht den Abschnitt Geräteintegritätsstatus.

Die Scan-Informationen helfen zu bestätigen, ob geplante Scans wie erwartet auf dem Gerät laufen.

Häufig gestellte Fragen

Muss für geplante Überprüfungen ein Echtzeitschutz aktiviert werden?

Nein Geplante Scans funktionieren unabhängig vom Echtzeitschutz. Sie können auch dann ausgeführt werden, wenn der Echtzeitschutz deaktiviert ist oder sich das Gerät im passiven oder bedarfsgesteuerten Modus befindet.

Können tägliche und wöchentliche Scans zusammen konfiguriert werden?

Ja. Tägliche und wöchentliche Konfigurationen können gleichzeitig vorhanden sein. Ein gängiges Vorgehen sind tägliche Scans für die routinemäßige Abdeckung und ein wöchentlicher vollständiger Scan zur gründlicheren Prüfung.

Welcher Scantyp wird für tägliche Scans verwendet?

Tägliche Scans folgen dem Standardverhalten der Engine. Es sind immer schnelle Scans. Man kann den Scan-Typ explizit für wöchentliche Scans konfigurieren.

Werden Ausschlüsse während geplanter Überprüfungen angewendet?

Standardmäßig berücksichtigen geplante Überprüfungen konfigurierte Ausschlüsse. Wenn ignoreExclusions auf true festgelegt ist, ignorieren geplante Überprüfungen Ausschlüsse während der Ausführung.

Welche Zeitzone wird für die Scanplanung verwendet?

Alle geplanten Scanzeiten werden mithilfe der lokalen Zeitzone des Geräts ausgewertet.

Was geschieht, wenn weder die tägliche noch die wöchentliche Konfiguration angegeben wird?

Wenn keine tägliche oder wöchentliche Konfiguration definiert ist, werden geplante Überprüfungen nicht ausgeführt.

Kann ich die Startzeiten der Scans auf Geräten staffeln?

Verwende randomizeScanStartTime, um den Start des Scanvorgangs innerhalb eines definierten Fensters zufällig festzulegen und so die gleichzeitige Belastung deiner Geräte zu verringern.

Was geschieht, wenn der Server offline ist?

Geplante Überprüfungen werden nicht zur geplanten Zeit ausgeführt, während das Gerät im Ruhezustand ist. Stattdessen werden geplante Scans durchgeführt, wenn das Gerät aus dem Energiesparmodus reaktiviert wird. Wenn das Gerät ausgeschaltet ist, wird die Überprüfung zum nächsten geplanten Scanzeitpunkt ausgeführt.

Verwandte Inhalte

• Konfigurieren von Sicherheitseinstellungen in Microsoft Defender for Endpoint auf Linux