Linee guida per la distribuzione per Microsoft Defender per endpoint su Linux per SAP

  • Si applica a: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Queste indicazioni sulla distribuzione per Microsoft Defender per endpoint in Linux per SAP includono note consigliate su SAP OSS (Online Services System), i requisiti di sistema, i prerequisiti, le impostazioni di configurazione importanti, le esclusioni antivirus consigliate e indicazioni sulla pianificazione delle analisi antivirus.

Le difese di sicurezza convenzionali usate comunemente per proteggere i sistemi SAP, ad esempio l'isolamento dell'infrastruttura dietro i firewall e la limitazione degli accessi interattivi del sistema operativo, non sono più considerate sufficienti per attenuare le moderne minacce sofisticate. È essenziale distribuire difese moderne per rilevare e contenere minacce in tempo reale. Le applicazioni SAP, a differenza della maggior parte degli altri carichi di lavoro, richiedono la valutazione e la convalida di base prima di distribuire Microsoft Defender per endpoint. Gli amministratori della sicurezza aziendale devono contattare il team di SAP Basis prima di distribuire Defender per endpoint. Il team SAP Basis dovrebbe ricevere una formazione trasversale e acquisire una conoscenza di base di Defender for Endpoint.

Applicazioni SAP in Linux

Importante

Quando si distribuisce Defender per endpoint in Linux, è consigliabile usare eBPF. Per altre informazioni, vedere la documentazione di eBPF. Defender for Endpoint è stato ottimizzato per usare il framework eBPF.

Le distribuzioni supportate includono tutte le distribuzioni Linux comuni, ma non SUSE 12.x. Si consiglia ai clienti di SUSE 12.x di eseguire l'aggiornamento a SUSE 15. SUSE 12.x utilizza un vecchio sensore basato su auditd che presenta limitazioni in termini di prestazioni.

Per altre informazioni sulle distribuzioni di supporto, vedere Usare un sensore basato su eBPF per Microsoft Defender per endpoint in Linux.

Ecco alcuni punti importanti sulle applicazioni SAP in Linux Server:

  • SAP supporta solo SUSE, Red Hat e Oracle Linux. Altre distribuzioni non sono supportate per le applicazioni SAP S4 o NetWeaver.
  • Sono consigliati SUSE 15.x, Red Hat 9.x e Oracle Linux 9.x. Le distribuzioni supportate includono tutte le distribuzioni Linux comuni, ma non SUSE 12.x.
  • SUSE 11.x, Red Hat 6.x e Oracle Linux 6.x non sono supportati.
  • Red Hat 7.x e 8.x e Oracle Linux 7.x e 8.x sono tecnicamente supportati, ma non vengono più testati in combinazione con il software SAP.
  • SUSE e Red Hat offrono distribuzioni personalizzate per SAP. Queste versioni "per SAP" di SUSE e Red Hat potrebbero avere pacchetti diversi preinstallati ed eventualmente diversi kernel.
  • SAP supporta solo alcuni file system Linux. In generale, vengono usati XFS e EXT3. Il filesystem Oracle Automatic Storage Management (ASM) viene talvolta utilizzato con Oracle DBMS e non può essere letto da Defender for Endpoint.
  • Alcune applicazioni SAP usano motori autonomi, ad esempio TREX, Adobe Document Server, Content Server e LiveCache. Questi motori richiedono specifiche esclusioni di file e configurazione.
  • Le applicazioni SAP hanno spesso directory di trasporto e interfaccia con molte migliaia di file di piccole dimensioni. Se il numero di file è maggiore di 100.000, potrebbe influire sulle prestazioni. È consigliabile archiviare i file.
  • È consigliabile distribuire Defender per endpoint in ambienti SAP non produttivi per diverse settimane prima della distribuzione nell'ambiente di produzione. Il team di SAP Basis dovrebbe utilizzare strumenti, come sysstat, KSAR e nmon, per verificare se la CPU e altri parametri delle prestazioni sono influenzati. È anche possibile configurare esclusioni generali con il parametro di ambito globale e quindi ridurre in modo incrementale il numero di directory escluse.

Prerequisiti per la distribuzione di Microsoft Defender per endpoint in Linux in macchine virtuali SAP

A partire da dicembre 2024, Defender per endpoint in Linux può essere configurato in modo sicuro con la protezione in tempo reale abilitata.

L'opzione di configurazione predefinita per la distribuzione come estensione Azure per antivirus è la modalità passiva. Ciò significa che Microsoft Defender Antivirus, il componente antivirus/antimalware di Microsoft Defender per endpoint, non intercetta le chiamate di I/O. È consigliabile eseguire Defender per endpoint con protezione in tempo reale abilitata in tutte le applicazioni SAP. Di conseguenza:

  • La protezione in tempo reale è attivata: Microsoft Defender Antivirus intercetta le chiamate di I/O in tempo reale.
  • L'analisi su richiesta è attivata: è possibile usare le funzionalità di analisi nell'endpoint.
  • La correzione automatica delle minacce è attivata: Files vengono spostate e l'amministratore della sicurezza viene avvisato.
  • Gli aggiornamenti dell'intelligence per la sicurezza sono attivati: gli avvisi sono disponibili nel portale di Microsoft Defender.

Gli strumenti di applicazione di patch al kernel online, ad esempio Ksplice o simili, possono causare stabilità imprevedibile del sistema operativo se Defender per Endpoint è in esecuzione. Si consiglia di interrompere temporaneamente il daemon di Defender for Endpoint prima di eseguire l’applicazione online delle patch del kernel. Dopo aver aggiornato il kernel, Defender per endpoint in Linux può essere riavviato in modo sicuro. Questa azione è particolarmente importante nelle macchine virtuali SAP HANA di grandi dimensioni con contesti di memoria elevati.

Quando Microsoft Defender Antivirus è in esecuzione con protezione in tempo reale, non è più necessario pianificare le analisi. È consigliabile eseguire un'analisi almeno una volta per impostare una baseline. Quindi, se necessario, il Linux crontab viene in genere usato per pianificare le analisi antivirus Microsoft Defender e le attività di rotazione dei log. Per altre informazioni, vedere Come pianificare le analisi con Microsoft Defender per endpoint (Linux).

La funzionalità di rilevamento e risposta degli endpoint (EDR) è attiva ogni volta che viene installato Microsoft Defender per endpoint in Linux. La funzionalità EDR può essere disabilitata tramite la riga di comando o la configurazione usando esclusioni globali. Per altre informazioni sulla risoluzione dei problemi relativi a EDR, vedere le sezioni Comandi utili e Collegamenti utili (in questo articolo).

Importanti impostazioni di configurazione per Microsoft Defender per endpoint per SAP in ambiente Linux

È consigliabile controllare l'installazione e la configurazione di Defender per endpoint con il comando mdatp health.

I parametri chiave consigliati per le applicazioni SAP sono i seguenti:

healthy = true
release_ring = Production (Prerelease and insider rings shouldn't be used with SAP Applications.)
real_time_protection_enabled = true  (Real-time protection can be enabled for SAP NetWeaver applications and enables real-time IO interception.)
automatic_definition_update_enabled = true
definition_status = "up_to_date" (Run a manual update if a new value is identified.)
edr_early_preview_enabled = "disabled" (If enabled on SAP systems it might lead to system instability.)
conflicting_applications = [ ] (Other antivirus or security software installed on a VM such as Clam.)
supplementary_events_subsystem = "ebpf" (Don't proceed if ebpf isn't displayed. Contact the security admin team.)

Per informazioni sulla risoluzione dei problemi di installazione, vedere Risolvere i problemi di installazione per Microsoft Defender per endpoint in Linux.

Il team responsabile della sicurezza aziendale deve ottenere un elenco completo delle esclusioni antivirus dagli amministratori SAP (in genere il team di base SAP). È consigliabile escludere inizialmente:

  • File di dati DBMS, file di log e file temporanei, inclusi i dischi contenenti file di backup
  • Intero contenuto della directory SAPMNT
  • Intero contenuto della directory SAPLOC
  • Intero contenuto della directory TRANS
  • HANA: escludere /hana/shared, /hana/data e /hana/log. Vedere Note 1730930.
  • SQL Server: Configurare il software antivirus per l'uso con SQL Server
  • Oracle: consultare Come configurare l'antivirus sul server di database Oracle (Doc ID 782354.1).
  • DB2: Documentazione IBM: quali directory DB2 escludere dal software antivirus
  • SAP ASE: contattare SAP.
  • MaxDB: contattare SAP.
  • Adobe Document Server, directory di archivio SAP, TREX, LiveCache, Content Server e altri motori standalone devono essere testati attentamente negli ambienti non di produzione prima di distribuire Defender for Endpoint nell'ambiente di produzione

I sistemi Oracle ASM non necessitano di esclusioni perché Microsoft Defender per endpoint non possono leggere i dischi ASM.

Anche i clienti con cluster Pacemaker devono configurare queste esclusioni:

mdatp exclusion folder add --path /usr/lib/pacemaker/  (for RedHat /var/lib/pacemaker/)

mdatp exclusion process add --name pacemakerd

mdatp exclusion process add --name pacemaker-controld

mdatp exclusion process add --name pacemaker-schedulerd

mdatp exclusion process add --name pacemaker-attrd

mdatp exclusion process add --name pacemaker-based

mdatp exclusion process add --name pacemaker-execd

mdatp exclusion process add --name pacemaker-fenced

mdatp exclusion process add --name crm_*

I clienti che eseguono i criteri di sicurezza Azure Security potrebbero attivare un'analisi usando la soluzione Freeware Clam AV. È consigliabile disabilitare l'analisi Clam AV dopo che una macchina virtuale è stata protetta con Microsoft Defender per endpoint usando i comandi seguenti:

sudo azsecd config  -s clamav -d "Disabled"

sudo service azsecd restart

sudo azsecd status

Gli articoli seguenti illustrano come configurare le esclusioni antivirus per processi, file e cartelle per ogni singola macchina virtuale:

Pianificare un'analisi antivirus giornaliera (facoltativo)

La configurazione consigliata per le applicazioni SAP consente l'intercettazione in tempo reale delle chiamate di I/O per l'analisi antivirus. L'impostazione consigliata è la protezione in tempo reale, in cui real_time_protection_enabled = true.

Le applicazioni SAP in esecuzione su versioni meno recenti di Linux o su hardware sovraccarico potrebbero prendere in considerazione l’uso di real_time_protection_enabled = false. In questo caso, le analisi antivirus devono essere pianificate.

Per altre informazioni, vedere Come pianificare le analisi con Microsoft Defender per endpoint (Linux).

I sistemi SAP di grandi dimensioni potrebbero avere più di 20 server applicazioni SAP, ognuno con una connessione alla condivisione NFS SAPMNT. Venti o più server applicazioni che eseguono simultaneamente l'analisi dello stesso server NFS probabilmente sovraccarichino il server NFS. Per impostazione predefinita, Defender per endpoint in Linux non analizza le origini NFS.

Se è necessario analizzare SAPMNT, questa analisi deve essere configurata solo in una o due macchine virtuali.

Le scansioni pianificate per SAP ECC, BW, CRM, SCM, Solution Manager e altri componenti devono essere programmate in orari diversi per evitare che tutti i componenti SAP sovraccarichino una risorsa di archiviazione NFS condivisa.

Comandi utili

Se durante l'installazione manuale tramite zypper su SUSE si verifica l'errore "Nothing provides 'policycoreutils'", consulta Risolvere i problemi di installazione di Microsoft Defender per Endpoint in Linux.

Diversi comandi della riga di comando possono controllare l'operazione di mdatp. Per abilitare la modalità passiva, è possibile usare il comando seguente:

mdatp config passive-mode --value enabled

Nota

La modalità passiva è la modalità predefinita quando si installa Defender per endpoint in Linux.

Per attivare la protezione in tempo reale, è possibile usare il comando :

mdatp config real-time-protection --value enabled

Questo comando indica a mdatp di recuperare le definizioni più recenti dal cloud:

mdatp definitions update

Questo comando verifica se mdatp può connettersi agli endpoint basati sul cloud nella rete:

mdatp connectivity test

Questi comandi aggiornano il software mdatp, se necessario:

yum update mdatp

zypper update mdatp

Poiché mdatp viene eseguito come servizio di sistema Linux, è possibile controllare mdatp usando il comando del servizio, ad esempio:

service mdatp status

Questo comando crea un file di diagnostica che può essere caricato nel supporto Tecnico Microsoft:

sudo mdatp diagnostic create
  • Last updated on