Protección contra manipulaciones en modo auditoría para Microsoft Defender para punto de conexión en Linux (Vista previa)

La protección contra manipulaciones en modo de auditoría para Microsoft Defender para punto de conexión en Linux detecta modificaciones no autorizadas en los activos de Defender for Endpoint, incluyendo archivos de configuración, directorios, procesos y servicios, incluso cuando el usuario raíz realiza cambios.

El modo de auditoría detecta y alerta sobre las siguientes actividades de manipulación:

• Modificación de los archivos de configuración de Defender para Endpoint.
• Eliminación de archivos de configuración, archivos de estado y binarios de Defender for Endpoint.
• Cambiar el nombre o mover los archivos de configuración, los archivos de estado y los binarios de Defender for Endpoint.
• Terminación de los procesos de Defender para Endpoint, incluyendo el reinicio de los servicios de Defender para Endpoint.

El modo de auditoría ofrece visibilidad sobre los intentos de manipulación mediante alertas y Caza Avanzada en el portal de Microsoft Defender sin bloquear la actividad.

Prerequisites

Antes de usar la protección contra manipulaciones en modo auditoría, asegúrate de que tu dispositivo cumple con los siguientes requisitos:

• Defender for Endpoint, versión 101.26072.0004 o posterior, del canal Insiders-Slow.
• Permitir el acceso a https://config.edge.skype.com/config/v1. Para más información, consulta Microsoft Defender para punto de conexión: direcciones URL de conectividad simplificada - comercial.
• Utiliza una distribución de Linux compatible y una versión del kernel.

El soporte para la protección contra manipulaciones se limita a versiones del núcleo que soportan el Berkeley Packet Filter (eBPF) extendido con formato de tipo BPF (BTF). BTF proporciona un enriquecimiento mejorado de eventos que permite a Defender for Endpoint capturar el contexto de archivos y procesos necesario para detectar intentos de manipulación.

Activar la protección contra manipulaciones en modo auditoría

Durante la vista previa, la protección contra manipulaciones en modo auditoría está activada por defecto. No se requiere ninguna configuración manual.

La función se despliega gradualmente durante dos semanas en dispositivos elegibles del anillo de Insiders-Slow que cumplen los requisitos previos.

Una vez activado el modo de auditoría, el tamper_protection_enforcement_level campo está disponible en la mdatp health salida.

Verificar la habilitación del modo de auditoría

Para verificar que la protección contra manipulaciones está activada en modo de auditoría:

1. Ejecute el siguiente comando:

   mdatp health
   

2. Localiza tamper_protection_enforcement_level en la salida.

3. Verifica que el valor esté fijado en audit:

   tamper_protection_enforcement_level : "audit"
   

4. Alternativamente, ejecuta el siguiente comando para comprobar el estado de protección contra manipulaciones:

   mdatp health --details tamper_protection
   

   tamper_protection_enforcement_level : "audit"
   tamper_protection_errors            : []
   

   Si tamper_protection_errors está vacío, la protección contra manipulaciones se activa correctamente en modo de auditoría.

   Si la protección contra manipulaciones no se puede activar, tamper_protection_enforcement_level se muestra como disabled.

   Los siguientes errores pueden indicar por qué el modo de auditoría no está activado:

   Error	Descripción
   tamper_protection_unsupported_kernel_version	La versión del kernel del dispositivo no soporta protección contra manipulaciones.
   not_supported_in_the_current_configuration	La protección contra manipulaciones no puede activarse porque no hay una configuración interna necesaria.

Solucionar problemas de habilitación del modo de auditoría

Si el dispositivo cumple los requisitos pero tamper_protection_enforcement_level está configurado en disabled:

1. Ejecute el siguiente comando:

   mdatp health --details cloud
   

2. Localiza ecs_configuration_version en la salida.

3. Comprueba si el valor es unavailable:

   ecs_configuration_version : unavailable
   

   Si el valor es unavailable, verifica que https://config.edge.skype.com/config/v1 está permitido. Para más información, consulta Microsoft Defender para punto de conexión: direcciones URL de conectividad simplificada - comercial.

Consulta las alertas de manipulación en el portal de Microsoft Defender

En la página del dispositivo del portal de Microsoft Defender, las alertas de manipulación están disponibles en Timeline e Incidentes y alertas.

Abre una alerta de manipulación para revisar más información sobre la actividad, incluyendo el árbol de procesos y la cronología de la alerta.

Intentos de manipulación de consultas con Advanced Hunting

Puedes usar Advanced Hunting para investigar eventos de manipulación y alertas.

Consultar eventos de manipulación de un dispositivo

Para consultar intentos de manipulación en un dispositivo específico:

1. Inicie sesión en el portal de Microsoft Defender.

2. Selecciona Caza>Caza Avanzada.

3. Encuentra el ID del dispositivo que quieres investigar en el inventario del dispositivo, o ejecuta el siguiente comando en el dispositivo:

   mdatp health --field edr_device_id
   

4. Ejecuta la siguiente consulta, reemplazando <DeviceId> por el ID del dispositivo:

   DeviceEvents
   | where Timestamp > ago(10d)
   | where ActionType == "TamperingAttempt"
   | where DeviceId == "<DeviceId>"
   

   Ajusta el Timestamp valor de la consulta según sea necesario.

Alertas de manipulación de consultas

Para consultar alertas de manipulación generadas:

1. Inicie sesión en el portal de Microsoft Defender.

2. Selecciona Caza>Caza Avanzada.

3. Ejecute la siguiente consulta:

   AlertInfo
   | where Timestamp > ago(10d)
   | where Title == "Tampering with the Microsoft Defender for Endpoint sensor"
   | where DetectionSource == "EDR"
   

   Ajusta el Timestamp valor de la consulta según sea necesario.

Prueba un escenario de manipulación

Puedes generar un intento de manipulación de prueba para verificar que el modo de auditoría detecta la actividad.

Por ejemplo, ejecute el siguiente comando:

sudo vim /etc/opt/microsoft/mdatp/managed/mdatp_managed.json

La actividad genera una alerta de manipulación en el portal de Microsoft Defender. La alerta incluye información sobre el proceso de inicio y el archivo objetivo.

Ajusta las alertas para actividades legítimas de manipulación

Si una actividad conocida y aprobada genera alertas de manipulación, puedes ajustar las alertas para reducir ruidos innecesarios en el portal de Microsoft Defender.

Para más información sobre cómo crear reglas de ajuste de alertas, véase Ajusta una alerta.

Contenido relacionado

• Microsoft Defender para punto de conexión en Linux
• Configurar políticas y ajustes de seguridad para Microsoft Defender para punto de conexión en Linux
• Configurar un sensor basado en eBPF para Microsoft Defender para punto de conexión en Linux
• Investigar alertas en Microsoft Defender XDR