Microsoft Defender eindpuntbeveiliging implementeren op Linux-apparaten met behulp van het hulpprogramma voor Defender-implementatie

  • Van toepassing op: Microsoft Defender for Business, Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Het Defender-implementatieprogramma biedt een efficiënt, gebruiksvriendelijk onboardingproces voor Microsoft Defender voor Eindpunt op Linux apparaten. Hiermee kunnen gebruikers Microsoft Defender voor Eindpunt installeren en onboarden met behulp van één pakket dat kan worden gedownload vanuit de Microsoft Defender-portal. Hierdoor hoeft u Defender niet te installeren met behulp van script-/cli-opdrachten van het installatieprogramma en vervolgens afzonderlijk het apparaat te onboarden met behulp van het onboardingpakket vanuit de portal.

Het hulpprogramma voor defender-implementatie ondersteunt zowel handmatige als bulksgewijs onboarding via hulpprogramma's van derden, zoals Chef, Ansible, Puppet en SaltStack. Het hulpprogramma ondersteunt verschillende parameters die u kunt gebruiken om grootschalige implementaties aan te passen, zodat u installaties op maat kunt maken in verschillende omgevingen.

Vereisten en systeemvereisten

Voordat u aan de slag gaat, raadpleegt u Vereisten voor Microsoft Defender voor Eindpunt op Linux voor een beschrijving van vereisten en systeemvereisten. Daarnaast moet ook aan de volgende vereisten worden voldaan:

  • Verbinding met de URL toestaan: msdefender.download.prss.microsoft.com. Voordat u begint met de implementatie, moet u de connectiviteitstest uitvoeren, waarmee wordt gecontroleerd of de URL's die Defender voor Eindpunt gebruikt, toegankelijk zijn of niet.
  • Op het eindpunt moet wget of curl zijn geïnstalleerd.

Het implementatieprogramma dwingt de volgende set vereistencontroles af. Als niet wordt voldaan, wordt het implementatieproces afgebroken:

  • Apparaatgeheugen: groter dan 1 GB
  • Beschikbare schijfruimte op het apparaat: groter dan 2 GB
  • Glibc-bibliotheekversie op het apparaat: nieuwer dan 2.17
  • Defender-buildversie: moet worden ondersteund en mag niet verlopen zijn. Voer de opdracht -mdatp healthuit om de vervaldatum van het product te controleren.

Tip

Voordat u het implementatieprogramma uitvoert voor het onboarden van Defender op uw Linux server, is het raadzaam om het hulpprogramma uit te voeren met de --pre-req optie om mogelijke problemen te identificeren en op te lossen die van invloed kunnen zijn op de implementatie.

Implementatie: stapsgewijze handleiding

  1. Download het Defender-implementatieprogramma via de Defender-portal met behulp van de volgende stappen.

    1. Ga naar Instellingen>Eindpunten>Apparaatbeheer>Onboarding.

    2. Selecteer Linux als besturingssysteem in de vervolgkeuzelijst Stap 1.

    3. Selecteer onder Onboarding-pakketten of -bestanden downloaden en toepassen de knop Pakket downloaden onder Defender implementatieprogramma.

    Opmerking

    Omdat dit pakket de agent installeert en onboardt, is het een tenantspecifiek pakket en mag het niet worden gebruikt tussen tenants.

    Schermopname van de knop downloadpakket.

  2. Pak vanaf een opdrachtprompt de inhoud van het archief uit:

    unzip GatewayLinuxDefenderDeploymentTool.zip

    Archive: GatewayLinuxDefenderDeploymentTool.zip
inflating: defender_deployment_tool.sh

  3. Verdeel uitvoerbare machtigingen voor het script.

    chmod +x defender_deployment_tool.sh

  4. Voer het script uit met behulp van de volgende opdracht om Microsoft Defender voor Eindpunt op uw eindpunt te installeren en te onboarden.

    sudo bash defender_deployment_tool.sh

    Met deze opdracht installeert u de nieuwste versie van de agent vanuit het productiekanaal en registreert u het apparaat bij de Defender-portal. Het kan 5-20 minuten duren voordat het apparaat wordt weergegeven in de Apparaatinventaris.

    Opmerking

    Als u een systeembrede proxy hebt ingesteld om Defender for Endpoint-verkeer om te leiden, moet u de proxy ook configureren met behulp van het Defender-implementatiehulpprogramma. Raadpleeg de opdrachtregelhelp (--help) voor beschikbare proxyopties.

  5. U kunt de implementatie verder aanpassen door parameters door te geven aan het hulpprogramma op basis van uw vereisten. Gebruik de optie --help om alle beschikbare opties weer te geven:

     ./defender_deployment_tool.sh --help

    Schermopname van de uitvoer van de Help-opdracht.

    De volgende tabel bevat voorbeelden van opdrachten voor nuttige scenario's.

    Scenario Opdracht
    Controleren op niet-voldaan vereisten sudo ./defender_deployment_tool.sh --pre-req
    De connectiviteitstest uitvoeren sudo ./defender_deployment_tool.sh --connectivity-test
    Implementeren op een aangepaste locatie sudo ./defender_deployment_tool.sh --install-path /usr/microsoft/
    Implementeren vanuit een lokaal geconfigureerde pakketopslagplaats sudo ./defender_deployment_tool.sh --use-local-repo

    Deze optie kan niet worden gecombineerd met --channel of --clean.
    Implementeren vanuit een specifiek kanaal sudo ./defender_deployment_tool.sh --channel insiders-slow
    Implementeren met behulp van een proxy sudo ./defender_deployment_tool.sh --http-proxy <http://username:password@proxy_host:proxy_port>
    Een specifieke agentversie implementeren sudo ./defender_deployment_tool.sh --mdatp 101.25042.0003 --channel prod
    Upgraden naar een specifieke agentversie sudo ./defender_deployment_tool.sh --upgrade --mdatp 101.24082.0004
    Downgraden naar een specifieke agentversie sudo ./defender_deployment_tool.sh --downgrade --mdatp 101.24082.0004
    Defender verwijderen sudo ./defender_deployment_tool.sh --removeZie Microsoft Defender voor Eindpunt offboarden of verwijderen op Linux voor meer informatie
    Alleen onboarden als Defender al is geïnstalleerd sudo ./defender_deployment_tool.sh --only-onboard
    Offboard-Defender sudo ./defender_deployment_tool.sh --offboard MicrosoftDefenderATPOffboardingLinuxServer.py
    (Opmerking: voordat u de optie --offboard gebruikt, moet u eerst het meest recente offboarding-script downloaden van de Defender-portal op System > Instellingen > Eindpunten > Offboarding). Zie Microsoft Defender voor Eindpunt op Linux offboarden of deïnstalleren voor andere methoden om te offboarden.

De voortgang van de implementatie bewaken in de Microsoft Defender-portal

Wanneer het Defender implementatieprogramma wordt uitgevoerd, wordt aan het begin en einde van elke implementatiestap een voortgangsevenement naar de Defender-portal verzonden. Met deze gebeurtenissen kunt u de implementatiestatus voor al uw apparaten bijhouden zonder u aan te melden bij elk apparaat en kunt u de stap aanwijzen waarbij een mislukte implementatie is gestopt.

Controleer de onboardingstatus voor een apparaat in de apparaatinventaris. Gebruik een Advanced Hunting-query om de onboardingsstatus van het hele wagenpark te controleren. Als u de stapsgewijze voortgang wilt zien, raadpleegt u de tijdlijn van het apparaat. Ga naar Apparaatinventaris, selecteer het apparaat en selecteer daarna Tijdlijn.

Als u implementatie-gebeurtenissen op de tijdlijn wilt filteren, voert u DefenderDeployment het zoekvak voor de tijdlijn in. Elke gebeurtenis luidt Defender deployment tool: <step> succeeded of Defender deployment tool: <step> failed, en bevat eventuele aanvullende details die het hulpprogramma voor die stap meldt. In de volgende schermopname ziet u een geslaagde installatie.

Schermopname van de apparaattijdlijn die is gefilterd om geslaagde gebeurtenissen van Defender implementatiehulpprogramma's weer te geven.

Tijdlijn voor implementatie

Een succesvolle installatie- en onboardinguitvoering resulteert in de volgende opeenvolging van gebeurtenissen:

Order Stap (ActionName) Description
1 Start Het implementatieprogramma wordt gestart. De gebeurtenis bevat de versie van het hulpprogramma en de bewerking: installeren, upgraden, downgraden, verwijderen of loskoppelen.
2 Download Het hulpprogramma downloadt het installatiescript van Microsoft. Deze stap wordt overgeslagen als u een vooraf voorbereid script met de --script optie opgeeft.
3 Controle van voorvereisten Het hulpprogramma valideert de systeemvereisten, zoals geheugen, schijfruimte, glibc en kernelfuncties.
4 Installation Het hulpprogramma installeert het Microsoft Defender voor Eindpunt-pakket. De gebeurtenis bevat de geïnstalleerde agentversie.
5 Sensor initialisatie De agent rondt het onboardingproces af en de sensor is gelicentieerd en actief.
6 Reeksvoltooiing De volledige implementatiereeks wordt voltooid. Deze stap is altijd de laatste gebeurtenis voor een uitvoering.

Een run voor het verwijderen, upgraden of uitfaseren bevat alleen de stappen die daarop van toepassing zijn. Als een stap mislukt, verzendt het hulpprogramma een fout gebeurtenis voor die stap, samen met een afsluitcode en een beschrijving van de fout waarin wordt uitgelegd wat er mis is gegaan.

Implementatiestatus opvragen met geavanceerd opsporen

Als u de gebeurtenissen voor een specifiek apparaat wilt inspecteren, voert u de volgende query uit bij geavanceerde opsporing. Vervang <DeviceId> door de ID van het doelapparaat. Als u de apparaat-id wilt vinden, gaat u naar De apparaatinventaris of voert u deze uit mdatp health --field edr_device_id op het apparaat.

DeviceEvents
| where Timestamp > ago(1d)
| where ActionType == "DefenderDeploymentToolEvent"
| where DeviceId == "<DeviceId>"
| extend Details = parse_json(AdditionalFields)
| project
    Timestamp,
    DeviceName,
    Step = tostring(Details.ActionName),
    Succeeded = tobool(Details.IsSuccess),
    ExitCode = toint(Details.ExitCode),
    Data = tostring(Details.Data),
    ErrorDescription = tostring(Details.ErrorDescription)
| sort by Timestamp asc

Voer de volgende query uit om een overzicht van de implementatiestatus voor al uw apparaten op te halen. Deze retourneert de meest recente stap die elk apparaat in de afgelopen 30 dagen heeft gerapporteerd en classificeert elk apparaat als Onboarded, Onboarding Failed of nog steeds onboarding:

DeviceEvents
| where Timestamp > ago(30d)
| where ActionType == "DefenderDeploymentToolEvent"
| extend Details = parse_json(AdditionalFields)
| extend Step = tostring(Details.ActionName), Succeeded = tobool(Details.IsSuccess)
| summarize arg_max(Timestamp, DeviceName, Step, Succeeded) by DeviceId
| extend Status = case(
    Step == "Sequence completion" and Succeeded, "Onboarded",
    Step == "Sequence completion" and not(Succeeded), "Onboarding Failed",
    not(Succeeded), strcat("Failed at: ", Step),
    "Onboarding")
| project DeviceId, DeviceName, LastEvent = Timestamp, LastStep = Step, Status

Controleren of AV/EDR werkt

  1. Open in de Microsoft Defender-portal de apparaatinventaris. Het kan 5-20 minuten duren voordat het apparaat wordt weergegeven in de portal.

  2. Voer een detectietest van de antivirussoftware uit om te controleren of het apparaat correct is geïntegreerd en gegevens rapporteert aan de service. Voer de volgende stappen uit op het zojuist toegevoegde apparaat:

    1. Zorg ervoor dat realtime-beveiliging is ingeschakeld (aangegeven door een resultaat van true van het uitvoeren van de volgende opdracht):

      mdatp health --field real_time_protection_enabled

      Als deze niet is ingeschakeld, voert u de volgende opdracht uit:

      mdatp config real-time-protection --value enabled

    2. Open een Terminal-venster en voer de volgende opdracht uit om een detectietest uit te voeren:

      curl -o /tmp/eicar.com.txt https://secure.eicar.org/eicar.com.txt

    3. U kunt meer detectietests uitvoeren op zip-bestanden met behulp van een van de volgende opdrachten:

      curl -o /tmp/eicar_com.zip https://secure.eicar.org/eicar_com.zip
curl -o /tmp/eicarcom2.zip https://secure.eicar.org/eicarcom2.zip

    4. De bestanden moeten in quarantaine worden geplaatst door Defender voor Eindpunt op Linux. Gebruik de volgende opdracht om alle gedetecteerde bedreigingen weer te geven:

      mdatp threat list

  3. Voer een EDR-detectietest uit en simuleer een detectie om te verifiëren dat het apparaat correct is geïntegreerd en gegevens aan de service doorgeeft. Voer de volgende stappen uit op het zojuist toegevoegde apparaat:

    1. Download en pak het scriptbestand uit op een Linux-server die al is toegevoegd.

    2. Geef uitvoerbare machtigingen aan het script:

      chmod +x mde_linux_edr_diy.sh

    3. Voer de volgende opdracht uit:

      ./mde_linux_edr_diy.sh

    4. Na een paar minuten moet er een detectie worden gegenereerd in Microsoft Defender XDR.

    5. Controleer de waarschuwingsdetails en de tijdlijn van de machine en voer de gebruikelijke onderzoeksstappen uit.

Implementatieproblemen oplossen

  1. Controleer de foutlogboeken van de implementatie:

    • /tmp/defender_deployment_tool.log registreert de activiteit van het implementatieprogramma.
    • /tmp/defender_deployment_tool_telemetry.logregistreert de voortgangsevenementen die het hulpprogramma naar de Microsoft Defender-portal verzendt.

  2. Als u verbindingsproblemen ondervindt, voert u deze opdracht uit om een connectiviteitstest uit te voeren:

    sudo ./defender_deployment_tool.sh --connectivity-test

    Het uitvoeren kan enige tijd duren, omdat er controles worden uitgevoerd voor elke URL die Defender nodig heeft en eventuele problemen worden opgespoord.

  3. Voer de query voor geavanceerd opsporen uit voor het apparaat en zoek naar de meest recente gebeurtenis waarbij Succeededfalse is. Het Step veld identificeert de mislukte stap en de ErrorDescription velden ExitCode leggen uit waarom:

    • Als de implementatie mislukt bij de downloadstap , kan het installatiescript niet worden gedownload. Controleer of op het apparaat curl of wget is geïnstalleerd en of het uitgaande HTTPS-connectiviteit naar de download-eindpunten van Microsoft toestaat.

    • Als de implementatie mislukt bij de controlestap Vereisten , voldoet het apparaat niet aan de minimale systeemvereisten. Het ErrorDescription veld bevat de mislukte controles, gescheiden door |. Niet-blokkerende fouten hebben een (non_blocking) voorvoegsel en stoppen de implementatie niet.

    • Als de implementatie mislukt bij de stap Installation, kon de pakketbeheerder de agent niet installeren. Veelvoorkomende oorzaken zijn een onjuist geconfigureerde pakketopslagplaats, een ontbrekende afhankelijkheid of een aangevraagde mdatp versie die niet beschikbaar is in het geselecteerde kanaal.

    • Als de implementatie mislukt tijdens de stap sensorinitialisatie, is de agent wel geïnstalleerd, maar is het onboardingproces niet binnen de verwachte tijd voltooid. Voer mdatp health uit op het apparaat en controleer de velden licensed, healthy en org_id.

    • Als uitrolgebeurtenissen voor een apparaat niet in het portaal worden weergegeven, controleer dan /tmp/defender_deployment_tool_telemetry.log op dat apparaat om te bevestigen of het hulpprogramma deze heeft verzonden.

  4. Als dit u niet helpt het probleem op te lossen, controleert u de volgende stappen:

Schakelen tussen kanalen nadat u vanuit een kanaal hebt geïmplementeerd

Defender voor Eindpunt op Linux kan worden geïmplementeerd via een van de volgende kanalen:

  • insiders-fast
  • insiders-slow
  • prod (productie)

Elk van deze kanalen komt overeen met een Linux softwareopslagplaats. Het kanaal bepaalt het type en de frequentie van updates die aan uw apparaat worden aangeboden. Apparaten in insiders-fast ontvangen als eerste updates en nieuwe functies, later gevolgd door insiders-slow en ten slotte door prod.

Standaard configureert het implementatieprogramma uw apparaat voor het gebruik van het prod-kanaal. U kunt de configuratieopties die in dit document worden beschreven, gebruiken om te implementeren vanuit een ander kanaal.

Als u een voorbeeld van nieuwe functies wilt bekijken en vroege feedback wilt geven, is het raadzaam dat u sommige apparaten in uw onderneming configureert om insiders-fast of insiders-slow te gebruiken. Als u Defender voor Eindpunt al hebt geïmplementeerd op Linux van een kanaal en u wilt overschakelen naar een ander kanaal (van prod naar insiders-fast, bijvoorbeeld), moet u eerst het huidige kanaal verwijderen, vervolgens de huidige kanaalopslagplaats verwijderen en vervolgens Defender installeren vanaf het nieuwe kanaal, zoals wordt geïllustreerd in het volgende voorbeeld, waarbij het kanaal wordt gewijzigd van insiders-fast in prod:

  1. Verwijder de insiders-fast-kanaalversie van Defender voor Eindpunt op Linux.

    sudo ./defender_deployment_tool.sh --remove --channel insiders-fast

  2. Verwijder Defender for Endpoint uit de Linux-opslagplaats voor insiders-fast.

    sudo ./defender_deployment_tool.sh --clean --channel insiders-fast

  3. Installeer Microsoft Defender voor Eindpunt op Linux met behulp van het productiekanaal.

    sudo ./defender_deployment_tool.sh --channel prod

Verwante onderwerpen

  • Last updated on