Programma le scansioni antivirus di Microsoft Defender per endpoint su Linux

Le scansioni antivirus programmate integrate in Microsoft Defender per endpoint su Linux aiutano gli amministratori IT e di sicurezza ad applicare programmi di scansione coerenti senza i lavori cron personalizzati. Puoi configurare scansioni rapide giornaliere e basate su intervalli, scansioni rapide o complete settimanali, e opzioni che controllano prestazioni, comportamento in stato di inattività, aggiornamenti di intelligence di sicurezza, esclusioni e orari di inizio casuali.

Usa il portale Microsoft Defender, Microsoft Intune, JSON gestito o la riga di comando per configurare le scansioni. Prima di iniziare, verifica che i dispositivi soddisfino i prerequisiti, inclusi la versione dell'agente richiesta e i permessi di gestione.

Prerequisiti

Prima di configurare le analisi antivirus pianificate in Linux, verificare che siano soddisfatti i requisiti seguenti:

• Microsoft Defender per endpoint è installato e registrato nelle distribuzioni Linux supportate.
• I dispositivi eseguono la versione dell'agente 101.26032.0000 (aprile 2026) o una versione successiva nel ring di produzione.
• I dispositivi sono in buona salute e riportano correttamente al servizio Microsoft Defender.

A seconda del metodo di configurazione, è necessario soddisfare anche i prerequisiti seguenti:

• Configurazione JSON gestita:

  • Capacità di distribuire file di configurazione su /etc/opt/microsoft/mdatp/managed.
  • Permessi per gestire i file di configurazione di sistema.
  • Se si usa già la configurazione gestita per altre impostazioni antivirus, aggiungere al file di configurazione esistente anziché sostituirlo.

• Microsoft Intune:

  • Il ruolo di Gestore della Sicurezza degli Endpoint , o un ruolo personalizzato con permessi equivalenti per creare e assegnare politiche di sicurezza degli endpoint.

• Portale Microsoft Defender:

  • L'opzione Autorizzazione e impostazioni/Impostazioni di sicurezza/Impostazioni di sicurezza principali (gestisci) nel controllo degli accessi in base al ruolo (RBAC) unificato di Microsoft Defender XDR. In alternativa, utilizza il ruolo Intune Endpoint Security Manager oppure il ruolo Microsoft Entra Security Administrator o il ruolo Intune Administrator. Per ulteriori informazioni, vedi Prerequisiti per la gestione delle politiche di sicurezza degli endpoint.

Tipi di analisi antivirus pianificati

Defender per endpoint in Linux supporta i tipi di analisi seguenti per le analisi pianificate:

• Scansioni rapide: Le scansioni rapide esaminano i luoghi dove è probabile che venga registrato e eseguito malware, come i percorsi di avvio e i servizi di sistema. Vengono completate più velocemente e sono consigliate per la pianificazione frequente, ad esempio analisi giornaliere o basate su intervalli.
• Scansioni complete: Le scansioni complete esaminano file e cartelle all'interno /di . Offrono una copertura più completa, ma possono richiedere più tempo per il completamento, a seconda delle dimensioni del sistema e del carico di lavoro. Di solito vengono programmate meno frequentemente, ad esempio settimanalmente.

Opzioni di pianificazione

Le analisi pianificate possono essere configurate usando le opzioni di pianificazione seguenti:

• Analisi rapide orarie: eseguire analisi rapide a intervalli periodici (ogni N ore).
• Analisi rapide giornaliere: eseguire analisi rapide a un'ora specifica ogni giorno.
• Analisi settimanali: eseguire un'analisi in un giorno e un'ora specificati, con l'opzione per scegliere un'analisi rapida o un'analisi completa.

Queste opzioni di pianificazione possono essere configurate in modo indipendente e combinate. Ad esempio, è possibile eseguire analisi rapide giornaliere insieme a un'analisi completa settimanale.

Impostazioni dell'analisi pianificata

Nella tabella seguente vengono descritte le impostazioni disponibili per la configurazione delle analisi antivirus pianificate:

Configurare le analisi antivirus pianificate

Puoi configurare scansioni programmate usando il portale Microsoft Defender, Microsoft Intune, JSON gestito o la riga di comando, a seconda di come gestisci le impostazioni del dispositivo.

Se le impostazioni di scansione programmata sono configurate con più metodi, le policy del portale Microsoft Defender (gestione delle impostazioni di sicurezza) hanno la precedenza sulla configurazione locale (JSON gestito o riga di comando).

Usa Microsoft Intune per configurare le scansioni programmate

Microsoft Intune è lo strumento consigliato per la configurazione e la distribuzione di Defender per le funzionalità degli endpoint nei dispositivi. Tuttavia, Intune è un prodotto separato che non fa parte di Defender per endpoint e non è incluso in tutte le sottoscrizioni. Per usare Intune, è necessaria una sottoscrizione che la include oppure è possibile acquistarla separatamente come sottoscrizione autonoma o componente aggiuntivo. Se Intune non è disponibile, è possibile usare qualsiasi altro metodo in questo articolo. Per altre informazioni, vedere Microsoft Intune licenze.

Per configurare le scansioni antivirus programmate in Microsoft Intune, utilizza una policy antivirus per la sicurezza degli endpoint. Per istruzioni dettagliate, vedi Crea policy di sicurezza endpoint o Modifica policy esistenti (i link aprono nuove schede nella documentazione di Intune).

Quando crei la politica, usa queste impostazioni specifiche:

• Tipo di policy: Vai a Gestisci>l'antivirus sulla sicurezza dell'endpoint | Pagina panoramica a https://intune.microsoft.com/#view/Microsoft_Intune_Workflows/SecurityManagementMenu/~/overview, e poi seleziona Crea policy.
• Piattaforma: seleziona Linux.
• Profilo: selezionare Microsoft Defender Antivirus.

Quando crei o modifichi la policy, configura le impostazioni di scansione programmata nella sezione Scansione Programmata nella scheda Impostazioni di configurazione .

Se usi le policy di sicurezza degli endpoint di Intune per gestire dispositivi Linux che non sono registrati in Intune, prima configura Defender per la gestione delle impostazioni di sicurezza degli endpoint. Assegna la policy a un gruppo di dispositivi Microsoft Entra che contiene i dispositivi Linux che vuoi gestire.

Usa il portale Microsoft Defender per configurare le scansioni programmate

Se la tua organizzazione gestisce le politiche di sicurezza degli endpoint nel portale Microsoft Defender, puoi configurare scansioni antivirus programmate con le stesse politiche di sicurezza degli endpoint utilizzate da Intune.

Per istruzioni dettagliate, vedi Crea una policy di sicurezza per gli endpoint o Modifica una policy di sicurezza per gli endpoint (i link si aprono nuove schede).

Quando crei la politica, usa queste impostazioni specifiche:

• Tipo di policy: Nella scheda delle policy Linux della pagina delle policy di sicurezza degli endpoint nel portale Microsoft Defender a https://security.microsoft.com/policy-inventory, seleziona Crea nuova policy.
• Piattaforma: seleziona Linux.
• Template: Seleziona Microsoft Defender Antivirus.

Quando crei o modifichi la policy, configura le impostazioni di scansione programmata nella sezione Scansione Programmata nella pagina delle impostazioni di configurazione .

Per i dispositivi che non sono registrati in Intune, configura prima Defender per la gestione delle impostazioni di sicurezza degli endpoint. Assegna la policy a un gruppo di dispositivi Microsoft Entra che contiene i dispositivi Linux che vuoi gestire.

Usare la configurazione JSON gestita di mdatp

Negli ambienti aziendali, programmare le scansioni antivirus tramite un profilo di configurazione. Usa uno strumento di gestione della configurazione come Puppet, Ansible o un'altra console di gestione per spingere un file chiamato mdatp_managed.json a /etc/opt/microsoft/mdatp/managed.

Se usi già mdatp_managed.json per configurare altre impostazioni di Defender per Endpoint, come esclusioni o preferenze antivirus, non sostituire il file. Aggiungi le impostazioni di scansione programmata al JSON gestito esistente. Per altre informazioni, vedere Configurare le impostazioni di sicurezza in Microsoft Defender per endpoint in Linux.

L'esempio seguente configura:

• Una scansione completa settimanale ogni sabato alle 3:00.
• Una scansione veloce giornaliera ogni giorno alle 3:00.
• Esegue scansioni solo quando il dispositivo è inattivo.
• Riduce l'impatto sulla CPU utilizzando la pianificazione a bassa priorità.
• Controlla eventuali aggiornamenti di intelligence di sicurezza prima della scansione.
• Ignora le esclusioni durante le scansioni.
• Randomizza i tempi di inizio della scansione fino a 3 ore.

{
  "antivirusEngine": {
    "scheduledScan": "enabled"
  },
  "scheduledScan": {
    "weeklyConfiguration": {
      "dayOfWeek": 7,
      "scanType": "full",
      "timeOfDay": 180
    },
    "dailyConfiguration": {
      "timeOfDay": 180
    },
    "runScanWhenIdle": true,
    "lowPriorityScheduledScan": true,
    "checkForDefinitionsUpdate": true,
    "ignoreExclusions": true,
    "randomizeScanStartTime": 3
  }
}

Usare la riga di comando per configurare le analisi pianificate

È possibile configurare analisi antivirus pianificate direttamente in un dispositivo Linux usando lo strumento da riga di comando Microsoft Defender per endpoint (mdatp). Questo approccio è utile per il test o la configurazione a dispositivo singolo.

• Abilita le scansioni programmate:

  mdatp config scheduled-scan settings feature --value enabled
  

• Configura una scansione rapida giornaliera: Esegui una scansione rapida quotidiana a un orario specifico (in pochi minuti dalla mezzanotte).

  Esempio: Analisi rapida giornaliera alle 2:00

  mdatp config scheduled-scan quick-scan time-of-day --value 120
  

• Configura scansioni rapide basate su intervalli: esegui scansioni rapide a intervalli orari regolari.

  Esempio: Eseguire un'analisi rapida ogni 6 ore

  mdatp config scheduled-scan quick-scan hourly-interval --value 6
  

• Configura la scansione settimanale: Programma una scansione settimanale con un giorno, un orario e un tipo di scansione specifici.

  Esempio: analisi completa settimanale ogni mercoledì alle 3:00

  mdatp config scheduled-scan weekly-scan --day-of-week 4 --time-of-day 180 --scan-type full
  

Verificare le analisi antivirus pianificate

Dopo aver configurato le scansioni programmate, verifica che la configurazione sia applicata correttamente e che le scansioni procedano come previsto.

Verificare lo stato della configurazione

Eseguire il comando seguente per verificare che siano applicate le impostazioni di analisi pianificata:

mdatp health --details scheduled_scan

Controlla l'esecuzione della scansione pianificata

Usa il seguente comando per visualizzare la cronologia della scansione:

mdatp scan list

Puoi anche verificare l'attività di scansione nella pagina del dispositivo nel portale Defender. La pagina mostra l'ultima scansione completa e l'ultima scansione rapida:

1. Nella pagina Inventario dispositivi nel portale Microsoft Defender a https://security.microsoft.com/machines, seleziona il dispositivo Linux di destinazione.
2. Nella scheda Panoramica individuare la sezione Stato di integrità del dispositivo .

Le informazioni di scansione aiutano a confermare se le scansioni programmate stanno eseguendo come previsto sul dispositivo.

Domande frequenti

Le analisi pianificate richiedono l'abilitazione della protezione in tempo reale?

No. Le analisi pianificate funzionano in modo indipendente dalla protezione in tempo reale. Possono essere eseguite anche quando la protezione in tempo reale è disabilitata o il dispositivo è in modalità passiva o su richiesta.

Le analisi giornaliere e settimanali possono essere configurate insieme?

Sì. Le configurazioni giornaliere e settimanali possono coesistere. Un modello comune è costituito dalle analisi giornaliere per la copertura regolare e da un'analisi completa settimanale per un'ispezione più approfondita.

Quale tipo di analisi viene usato per le analisi giornaliere?

Le scansioni giornaliere seguono il comportamento predefinito del motore. Sono sempre scansioni rapide. Puoi configurare esplicitamente il tipo di scansione per le scansioni settimanali.

Le esclusioni vengono applicate durante le analisi pianificate?

Per impostazione predefinita, le analisi pianificate rispettano le esclusioni configurate. Se ignoreExclusions è impostato su true, le analisi pianificate ignoreranno le esclusioni durante l'esecuzione.

Quale fuso orario viene usato per la pianificazione dell'analisi?

Tutte le ore di analisi pianificate vengono valutate usando il fuso orario locale del dispositivo.

Cosa accade se non viene specificata alcuna configurazione giornaliera o settimanale?

Se non viene definita alcuna configurazione giornaliera o settimanale, le analisi pianificate non verranno eseguite.

Posso scaglionare gli orari di avvio della scansione sui dispositivi?

Usalo randomizeScanStartTime per randomizzare l'inizio della scansione all'interno di una finestra definita, il che aiuta a ridurre il carico simultaneo sui tuoi dispositivi.

Cosa accade se il server è offline?

Le analisi pianificate non vengono eseguite all'ora pianificata mentre il dispositivo è in stato di sospensione. Le analisi pianificate vengono invece eseguite quando il dispositivo riprende dalla modalità sospensione. Se il dispositivo è disattivato, l'analisi viene eseguita all'ora di analisi pianificata successiva.

Contenuto correlato

• Configurare le impostazioni di sicurezza in Microsoft Defender per endpoint in Linux