Offline beveiligingsupdates configureren voor Microsoft Defender voor Eindpunt op Linux

Offline beveiligingsintelligentie-updates houden Microsoft Defender voor Eindpunt op Linux-apparaten up-to-date wanneer ze beperkte of geen internetverbinding hebben. In dit artikel configureer je een mirrorserver om updates van Microsoft te downloaden, stel je Linux-endpoints in om updates op te halen en verifieer je de deployment. Zorg er voordat je begint ervoor dat je omgeving aan de vereisten voldoet.

Hoe offline beveiligingsupdates werken

Offline beveiligingsintelligentie-updates gebruiken een lokale hostingserver, een zogenaamde mirrorserver, om beveiligingsintelligentie-updates van Microsoft te downloaden. Linux-apparaten halen de updates op op geconfigureerde intervallen op van de mirrorserver.

Het offline updateproces werkt als volgt:

• Je zet een lokale web- of netwerkbestandssysteem (NFS) server op die verbinding maakt met Microsoft om updates te downloaden.
• Je gebruikt een cron-taak of een geplande taak om het downloader-script op de mirrorserver uit te voeren.
• Linux-endpoints die Defender for Endpoint draaien, halen de gedownloade updates op van de mirrorserver op een geconfigureerd interval.
• Defender for Endpoint verifieert de gedownloade updates voordat ze in de antivirusengine worden geladen.
• Je configureert het updateproces op Linux-eindpunten door gebruik te maken van een endpoint-beveiligingsbeleid of het beheerde JSON-bestand.
• Je bekijkt de update-status met behulp van de mdatp commandoregeltool.

Afbeelding 1. De mirrorserver downloadt en host offline beveiligingsinformatie-updates.

Afbeelding 2. Linux-endpoints halen offline beveiligingsintelligentie-updates op van de mirrorserver.

De mirrorserver kan een van de volgende besturingssystemen uitvoeren:

• Linux
• Windows
• macOS

Voordelen van het gebruik van offline updates voor beveiligingsinformatie

Belangrijke voordelen zijn:

• Bepaal hoe vaak de mirrorserver updates downloadt en hoe vaak endpoints deze ophalen.
• Test gedownloade updates op een testapparaat voordat je ze verspreidt binnen je organisatie.
• Verminder de netwerkbandbreedte omdat alleen de mirrorserver updates van Microsoft downloadt.
• Gebruik een Windows-, macOS- of Linux-mirrorserver zonder Defender for Endpoint daarop te installeren.
• Download beveiligingsinformatie-updates met de nieuwste compatibele antivirus-engine.
• Bewaar de vorige update in een back-upmap. Als er een probleem is met de laatste update, kun je in plaats daarvan de vorige versie verspreiden.
• Configureer eindpunten om updates van Microsoft op te halen als een update van de mirrorserver faalt.

Vereisten

• Installeer Defender for Endpoint-versie 101.24022.0001 (maart 2024) of hoger op de Linux-endpoints.

• Zorg dat de Linux-endpoints verbinding kunnen maken met de mirrorserver.

• Gebruik een ondersteunde Linux-distributie.

• Configureer de mirrorserver als een HTTP- of HTTPS-server, een NFS-server of een andere netwerkshare.

• Zorg ervoor dat de mirrorserver toegang heeft tot de volgende URL's:

  • https://github.com/microsoft/mdatp-xplat.git
  • https://go.microsoft.com/fwlink/?linkid=2144709
  • https://definitionupdates.microsoft.com

  De downloader voor offline-updates vraagt de koppeling go.microsoft.com op en volgt de omleidingen naar definitionupdates.microsoft.com om het manifest en het updatepakket op te halen. Configureer de firewall of proxy van de mirrorserver om uitgaande HTTPS-toegang tot beide eindpunten toe te staan.

• Installeer Bash of PowerShell op de mirror-server. Het Bash-downloaderscript vereist ook curl en jq.

• De volgende minimale systeemspecificaties zijn vereist voor de mirrorserver:

  CPU-kernen	RAM	Gratis schijf	Swap
  2 cores (4 cores bij voorkeur)	Minimaal 1 GB (4 GB bij voorkeur)	2 GB	Systeemafhankelijk

  Opmerking

  Deze configuratie kan variëren, afhankelijk van het aantal aanvragen dat wordt verwerkt en de belasting die elke server moet verwerken.

De mirrorserver configureren

Download het offline-downloaderscript voor beveiligingsinformatie

Microsoft biedt een offline downloadscript voor beveiligingsinformatie aan in de GitHub-opslagplaats microsoft/mdatp-xplat.

Gebruik een van de volgende opties om het downloader-script te krijgen.

Optie 1: Klone de repository (voorkeur)

Om de repository te klonen, volg je deze stappen:

1. Installeer Git op de mirrorserver.

2. Ga naar de map waar u de opslagplaats wilt klonen.

3. Kloon de repository door git clone https://github.com/microsoft/mdatp-xplat.git uit te voeren.

Optie 2: Het zip-bestand downloaden

Als u het zip-pakket wilt gebruiken in plaats van de opslagplaats te klonen, voert u de volgende stappen uit:

1. Download het zip-bestand.

2. Kopieer het gedownloade bestand naar de map waarin u het script wilt bewaren.

3. Pak de gecomprimeerde map uit.

4. Gebruik een geplande taak of cron-taak om regelmatig de nieuwste versie te downloaden en uit te pakken.

Lokale mapstructuur na het klonen van de opslagplaats of het downloaden van het zip-bestand

Gebruik de volgende voorbeeldmapvermelding om te controleren of uw lokale kopie de verwachte linux/definition_downloader structuur en scripts bevat:

user@vm:~/mdatp-xplat$ tree linux/definition_downloader/
linux/definition_downloader/
├── README.md
├── settings.json
├── settings.ps1
├── xplat_offline_updates_download.ps1
└── xplat_offline_updates_download.sh

0 directories, 5 files

Configureer de volgende velden in settings.json om het downloader-script te bedienen:

Het offline-beveiligingsinformatiedownloaderscript uitvoeren

Om de nieuwste update handmatig te downloaden, configureer settings.json, en gebruik vervolgens het commando voor de shell op je mirror-server:

• Bash: voer de volgende opdracht uit om de meest recente offlinedefinitie-updates op te halen in de geconfigureerde downloadmap:

  ./xplat_offline_updates_download.sh
  

• PowerShell: Voer het PowerShell downloader-script uit op een mirrorserver met PowerShell:

  ./xplat_offline_updates_download.ps1
  

De offline beveiligingsinformatie-updates hosten op de mirrorserver

Wanneer het script wordt uitgevoerd, downloadt het manifest.json en updates.zip naar mappen die zijn ingedeeld op basis van besturingssysteem, releasekanaal en architectuur. Bijvoorbeeld, Linux-productieupdates voor x86_64 apparaten worden opgeslagen in linux/production/arch_x86_64 de geconfigureerde downloadmap.

Host de geconfigureerde downloadmap op een HTTP- of HTTPS-server, netwerkshare, of lokaal of extern mountpoint waar de Linux-eindpunten toegang toe hebben.

Kopieer de URL of het absolute directorypad door de release-ring-map, maar voeg de arch_* map niet toe.

Nadat je de mirrorserver hebt geconfigureerd, implementeer je de URL of het pad op Linux-eindpunten als de waarde offlineDefinitionUpdateUrl. Kies een van de methoden in Configureer de eindpunten.

Eindpunten configureren in Microsoft Intune

Microsoft Intune is het aanbevolen hulpprogramma voor het configureren en distribueren van Defender voor eindpuntfuncties naar apparaten. Intune is echter een afzonderlijk product dat geen deel uitmaakt van Defender voor Eindpunt en niet is opgenomen in alle abonnementen. Als u Intune wilt gebruiken, hebt u een abonnement nodig dat het bevat of kunt u het afzonderlijk kopen als een zelfstandig abonnement of invoegtoepassing. Als u geen Intune hebt, kunt u een van de andere methoden in dit artikel gebruiken. Zie Microsoft Intune licenties voor meer informatie.

Om offline beveiligingsintelligentie-updates in Intune te configureren, gebruik je een endpoint security Antivirus-beleid . Voor gedetailleerde instructies, zie Endpoint Security policies aanmaken of Bestaande beleidsregels wijzigen (links openen nieuwe tabbladen in de Intune-documentatie).

Wanneer je het beleid aanmaakt, gebruik dan deze specifieke instellingen:

• Beleidstype: Ga naar Antivirus beheren>op deEndpoint security | Overzichtspagina op https://intune.microsoft.com/#view/Microsoft_Intune_Workflows/SecurityManagementMenu/~/overview, en selecteer vervolgens beleid aanmaken.
• Platform: Selecteer Linux.
• Profiel: selecteer Microsoft Defender Antivirus.

Wanneer je het beleid aanmaakt of aanpast, configureer dan de volgende instellingen op het tabblad Configuratie-instellingen :

• Sectie voor voorkeuren voor via de cloud geleverde bescherming:

  • Automatische updates van beveiligingsintelligentie: Zorg ervoor dat deze instelling op Ingeschakeld staat.
  • Beveiligingsintelligentie-updatetijdinterval: Standaard halen Linux-endpoints beveiligingsintelligentie-updates elke acht uur (28800 seconden) van de spiegelserver. Om een ander interval te gebruiken, schuif je de schakelaar naar Geconfigureerd en voer je het interval binnen enkele seconden in.

• Sectie Antivirus-engine:

  • Schakel offline beveiligingsintelligentie-updates in: Selecteer Inschakelen om de andere offline update-instellingen beschikbaar te maken:
    • Offline-update van beveiligingsinformatie: terugvallen op de cloud: Stel deze waarde in op True zodat het eindpunt probeert updates van beveiligingsinformatie op te halen uit de Microsoft-cloud als het die niet kan ophalen van de spiegelserver.
    • URL of map voor offline-updates van beveiligingsinformatie: Schuif de schakelaar naar Geconfigureerd, en voer vervolgens de URL of het mappad van de spiegelserver in. Voor een HTTP- of HTTPS-server gebruik je het formaat http://<mirror_server_address>/linux/production/. Je kunt ook een netwerkdeling of lokaal of extern mountpoint specificeren. Raadpleeg voor meer informatie Updates voor offline beveiligingsinformatie hosten op de spiegelserver.

Configureer eindpunten in het Microsoft Defender-portaal

Als uw organisatie endpoint-beveiligingsbeleid beheert in het Microsoft Defender-portaal, kunt u offline beveiligingsintelligentie-updates configureren met dezelfde endpoint-beveiligingsbeleid als Intune.

Voor gedetailleerde instructies, zie Maak een endpointbeveiligingsbeleid aan of Bewerk een endpointbeveiligingsbeleid (links openen nieuwe tabbladen).

Wanneer je het beleid aanmaakt op het tabblad Linux-beleid's op de pagina Endpoint security policies in het Defender-portaal op https://security.microsoft.com/policy-inventory?osPlatform=Linux, gebruik deze specifieke instellingen:

• Selecteer het platform: Selecteer Linux.
• Sjabloon selecteren: selecteer Microsoft Defender Antivirus.

Wanneer je het beleid aanmaakt of aanpast, gebruik dan de instellingen die zijn beschreven in Endpoints configureren in Microsoft Intune op de configuratie-instellingenpagina.

Wanneer je het beleid toewijst, gelden toewijzingsgroepbeperkingen voor apparaten die worden beheerd via Defender for Endpoint security settings management. Zie de stap Toewijzingen voor details.

Configureer eindpunten met managed JSON

Het mdatp_managed.json bestand is het beheerde configuratiebestand dat Defender voor Eindpunt op Linux leest bij het opstarten om beleidsinstellingen toe te passen. Gebruik deze methode om de instellingen handmatig of met een externe beheertool zoals Chef of Ansible te configureren. Werk het volgende voorbeeld bij voor je omgeving en deploy het naar /etc/opt/microsoft/mdatp/managed/mdatp_managed.json.

{
  "cloudService": {
    "automaticDefinitionUpdateEnabled": true,
    "definitionUpdatesInterval": 1202
  },
  "antivirusEngine": {
    "offlineDefinitionUpdateUrl": "http://172.22.199.67:8000/linux/production/",
    "offlineDefinitionUpdateFallbackToCloud":false,
    "offlineDefinitionUpdate": "enabled"
  }
}

Verificatie van motorsignatuur

Vanaf de release 101.26062.0005 (augustus 2026) verifieert Defender for Endpoint op Linux de digitale handtekening van de antivirusengine voordat deze wordt geladen. Dit standaardgedrag helpt je apparaten te beschermen tegen gemanipuleerde of niet-ondertekende enginebestanden.

Wat u moet weten

• Handtekeningverificatie wordt automatisch ingeschakeld bij nieuwe installaties en upgrades. Er is geen aparte actie vereist.
• Als een enginebestand faalt bij handtekeningverificatie, laadt Defender for Endpoint het niet.
• De offlineDefinitionUpdateVerifySig setting is verouderd en heeft geen effect meer. Als je beheerde configuratie deze instelling gebruikt, is geen vervangingsactie nodig omdat motorhandtekeningverificatie standaard is ingeschakeld.

Voer de volgende commando's uit om de status van de handtekeningverificatie te bekijken:

mdatp health --details definitions
mdatp health --details features

De relevante velden verschijnen in beide commando-uitvoeren:

offline_definition_update_verify_sig : "DEPRECATED"
engine_signature_verification        : "enabled"

Waarden zoals de definitieversie, tijdstempels en updatebron-URI verschillen per apparaat.

Controleer offline updates voor beveiligingsinformatie

Om de configuratie op een Linux-endpoint te verifiëren, bekijk de instellingen en status van de security intelligence update:

mdatp health --details definitions

De volgende voorbeelduitvoer toont een up-to-date apparaat waarop offline-updates voor beveiligingsinformatie zijn geconfigureerd:

user@vm:~$ mdatp health --details definitions
automatic_definition_update_enabled         : true [managed]
definitions_updated                         : Mar 14, 2024 at 12:13:17 PM
definitions_updated_minutes_ago             : 2
definitions_version                         : "1.407.417.0"
definitions_status                          : "up_to_date"
definitions_update_source_uri               : "https://go.microsoft.com/fwlink/?linkid=2144709"
definitions_update_fail_reason              : ""
offline_definition_url_configured           : "http://172.XX.XXX.XX:8000/linux/production/" [managed]
offline_definition_update                   : "enabled" [managed]
offline_definition_update_verify_sig        : "DEPRECATED"
engine_signature_verification               : "enabled"
offline_definition_update_fallback_to_cloud : false[managed]

Offline beveiligingsinformatie-updates activeren

U kunt updates voor offlinebeveiligingsinformatie automatisch of handmatig activeren.

Automatische updates configureren

Defender for Endpoint haalt offline beveiligingsintelligentie-updates automatisch op op geconfigureerde intervallen wanneer de volgende instellingen zijn geconfigureerd:

• Het handhavingsniveau van de antivirusmotor is ingesteld op real_time.
• automaticDefinitionUpdateEnabled is ingesteld op true.
• offlineDefinitionUpdate is ingesteld op enabled.

Het standaard update-interval is acht uur. Gebruik definitionUpdatesInterval om een ander interval in seconden aan te geven.

Een handmatige update activeren

Om een Linux-endpoint een onmiddellijke security intelligence-update van zijn geconfigureerde bron te laten ophalen, voer je het volgende commando uit:

mdatp definitions update

Updatestatus controleren

Nadat u een update hebt geactiveerd, gebruikt u de volgende controles om het succes te bevestigen:

1. Bekijk de update-status door te draaien mdatp health --details definitions.

2. Controleer of definitions_status en up_to_datedefinitions_update_fail_reason leeg is. Het volgende voorbeeld toont deze velden:

user@vm:~$ mdatp health --details definitions
...
definitions_status                          : "up_to_date"
...
definitions_update_fail_reason              : ""
...

Probleemoplossing en diagnostische gegevens

Als updates mislukken, vastlopen of niet starten, volgt u deze stappen om problemen op te lossen:

1. Controleer de status van offline security intelligence-updates. Gebruik de volgende opdracht om de huidige definitiestatus te controleren en de bron bij te werken:

   mdatp health --details definitions
   

   Zoek naar informatie in de definitions_update_fail_reason sectie.

2. Zorg ervoor dat offline_definition_update en engine_signature_verification zijn ingeschakeld.

3. Bekijk definitions_update_source_uri om te achterhalen waar het apparaat de update heeft opgehaald:

   • Als het apparaat de update van de mirrorserver heeft opgehaald, moet definitions_update_source_uri overeenkomen met offline_definition_url_configured.
   • Als de fallback naar Microsoft Cloud is ingeschakeld en de mirror server-update is mislukt, definitions_update_source_uri kun je in plaats daarvan een Microsoft-bron tonen.

4. Voer een connectiviteitstest uit om te bevestigen dat het eindpunt de mirrorserver en vereiste Defender services kan bereiken:

   mdatp connectivity test
   

5. Als de verbinding slaagt, voert u de definitie-update handmatig opnieuw uit met de volgende opdracht:

   mdatp definitions update
   

Verwante onderwerpen

• Linux-resources
• Microsoft Defender voor Eindpunt op Linux
• Beveiligingsinstellingen en -beleid configureren voor Microsoft Defender voor Eindpunt op Linux