Microsoft Defender voor Eindpunt-invoegtoepassing voor Windows-subsysteem voor Linux (WSL)

In dit artikel wordt uitgelegd hoe u de Microsoft Defender voor Eindpunt-invoegtoepassing voor Windows-subsysteem voor Linux (WSL) 2 installeert, configureert en oplost. De plug-in ondersteunt zowel traditionele WSL 2-distributies als WSL-containers (WSLc) die draaien op ondersteunde Windows-apparaten en zijn onboard in Microsoft Defender voor Eindpunt Plan 2.

Overzicht

Windows-subsysteem voor Linux (WSL) 2, die de vorige versie van WSL vervangt (ondersteund door Microsoft Defender voor Eindpunt zonder een invoegtoepassing), biedt een Linux omgeving die naadloos is geïntegreerd met Windows, maar wordt geïsoleerd met behulp van virtualisatietechnologie. De Microsoft Defender voor Eindpunt-plug-in ondersteunt zowel de traditionele WSL 2 Linux-distributies als de nieuwe WSL-containers (WSLc). Met de invoegtoepassing Defender voor Eindpunt voor WSL kan Defender voor Eindpunt meer inzicht bieden in alle actieve WSL-containers door deze aan te sluiten op het geïsoleerde subsysteem.

Vereisten

Voordat u de Defender voor eindpunt-WSL-invoegtoepassing installeert, moet u ervoor zorgen dat aan de volgende vereisten wordt voldaan:

• WSL-versie 2.0.7.0 of hoger moet worden uitgevoerd met ten minste één actieve distributie. Voer uit wsl --update om te controleren of u de nieuwste versie gebruikt. Als wsl -–version een versie wordt weergegeven die ouder is dan 2.0.7.0, voert u uit wsl --update --pre-release om de meest recente update op te halen.
• Voor WSL-containers (WSLc) is WSL-versie 2.9.5 of hoger vereist. WSLc-ondersteuning is momenteel beschikbaar in Public Preview en vereist een ondersteunde previewversie van de Microsoft Defender voor Eindpunt-plug-in voor WSL.
• Het Windows-clientapparaat moet worden toegevoegd aan Defender voor Eindpunt.

Ondersteunde besturingssystemen

De volgende besturingssystemen ondersteunen de Defender voor eindpunt-WSL-invoegtoepassing:

• Windows 10 versie 2004 en hoger (build 19044 en hoger)
• Windows 11 ter ondersteuning van de WSL-versies die met de invoegtoepassing kunnen werken.

Bekende problemen en beperkingen

Houd rekening met de volgende overwegingen voordat u begint:

• De invoegtoepassing biedt geen ondersteuning voor automatische updates voor versies die ouder zijn dan 1.24.522.2. Op versie 1.24.522.2 en hoger. Updates worden ondersteund via Windows Update in alle ringen. Updates via Windows Server Update Services (WSUS), Configuratiebeheer voor System Center (SCCM) en Microsoft Update-catalogus worden alleen ondersteund in de productiering om pakketstabiliteit te garanderen.
• Het duurt enkele minuten voordat de plug-in volledig is geïnitialiseerd, en het kan tot 30 minuten duren voordat een WSL2-instantie is ingericht. Kortdurende WSL-containerinstanties kunnen ertoe leiden dat het WSL2-exemplaar niet wordt weergegeven in de Microsoft Defender-portal. Wanneer een distributie lang genoeg is uitgevoerd (ten minste 30 minuten), wordt het WSL2-exemplaar weergegeven in de Microsoft Defender-portal.
• Het uitvoeren van een aangepaste kernel en een aangepaste kernel-opdrachtregel wordt niet ondersteund. Hoewel de plug-in uitvoering in die configuratie niet blokkeert, garandeert deze geen zichtbaarheid binnen WSL wanneer u een aangepaste kernel en aangepaste kernelopdrachtregel gebruikt. We raden u aan dergelijke configuraties te blokkeren met Microsoft Intune wsl-instellingen.
• De invoegtoepassing wordt niet ondersteund op computers met een ARM64-processor.
• De invoegtoepassing wordt niet ondersteund op varianten met meerdere sessies van Windows 10 en 11.
• De invoegtoepassing biedt inzicht in gebeurtenissen van WSL, maar andere functies, zoals antimalware, Threat and Vulnerability Management en antwoordopdrachten, zijn niet beschikbaar voor het logische WSL-apparaat.
• Het detectie- en waarschuwingsgedrag kan verschillen tussen Linux-distributies.

Namen van softwareonderdelen en installatiebestand

Installatieprogramma: Defenderplugin-x64-1.26.813.1.msi. U kunt het installatieprogramma downloaden vanaf de onboardingpagina in de Microsoft Defender-portal. (Ga naar Instellingen>Eindpunten>Onboarding>Windows-subsysteem voor Linux 2 (plug-in).)

Installatiemappen:

• %ProgramFiles%
• %ProgramData%

Geïnstalleerde onderdelen:

• DefenderforEndpointPlug-in.dll. Dit DLL-bestand is de bibliotheek voor het laden van Defender voor Eindpunt om te werken binnen WSL. U vindt deze op %ProgramFiles%\Microsoft Defender voor Eindpunt plug-in for WSL\plug-in.
• healthcheck.exe. Dit programma controleert de status van Defender voor Eindpunt en stelt u in staat om de geïnstalleerde versies van WSL, invoegtoepassing en Defender voor Eindpunt te zien. U vindt deze op %ProgramFiles%\Microsoft Defender voor Eindpunt plug-in for WSL\tools.

De Defender for Endpoint WSL-plug-in installeren

Als uw Windows-subsysteem voor Linux nog niet is geïnstalleerd, voert u de volgende stappen uit:

1. Open Terminal of de opdrachtprompt. (Ga in Windows naar Start>Opdrachtprompt. Of klik met de rechtermuisknop op de startknop en selecteer terminal.)

2. Voer de opdracht wsl -–install uit.

3. Controleer of WSL is geïnstalleerd en actief is.

   1. Voer uit wsl –-update met terminal of opdrachtprompt om te controleren of u de nieuwste versie hebt.

      Voor WSL-containers (WSLc) voert u wsl --update --pre-release uit om de nieuwste WSL-previewversie te installeren die nodig is voor de werking van WSLc.

   2. Voer de wsl opdracht uit om ervoor te zorgen dat WSL wordt uitgevoerd voordat u gaat testen.

4. Installeer de invoegtoepassing door de volgende stappen uit te voeren:

   1. Installeer het MSI-bestand dat is gedownload vanuit de sectie onboarding in de Microsoft Defender-portal (Instellingen>Eindpunten>Onboarding>Windows-subsysteem voor Linux 2 (invoegtoepassing)).

      Voor WSL-containers (WSLc) installeer je de WSLc-compatibele Public Preview-versie van de Microsoft Defender voor Eindpunt-plug-in.

   2. Open een opdrachtprompt/terminal en voer uit wsl.

   U kunt het pakket implementeren met behulp van Microsoft Intune.

Controlelijst voor installatievalidatie

Gebruik de volgende controlelijst om te controleren of de invoegtoepassing correct is geïnstalleerd en wordt uitgevoerd zoals verwacht:

1. Wacht na de update of installatie ten minste vijf minuten totdat de invoegtoepassing volledig is geïnitialiseerd en logboekuitvoer heeft geschreven.

2. Open Terminal of de opdrachtprompt. (Ga in Windows naar Start>Opdrachtprompt. Of klik met de rechtermuisknop op de startknop en selecteer terminal.)

3. Voer de opdracht uit: cd "%ProgramFiles%\Microsoft Defender voor Eindpunt plug-in for WSL\tools".

4. Voer de opdracht .\healthcheck.exe uit.

   Voor WSL-containers (WSLc) controleer je dat alle actieve WSLc-VM's in de HealthCheck-output staan en dat elke VM een gezonde Defender-status rapporteert.

5. Controleer de details van Defender en WSL en zorg ervoor dat ze overeenkomen met of hoger zijn dan de volgende vereisten:

   • Invoegtoepassingsversie: 1.24.522.2
   • WSL-versie: 2.0.7.0 of hoger
   • Versie van Defender-app: 101.24032.0007
   • Status van Defender: Healthy

Een proxy instellen voor Defender die wordt uitgevoerd in WSL

U kunt de proxyverbinding configureren voor de Defender for Endpoint-plug-in voor WSL. Als uw onderneming een proxy gebruikt om verbinding te bieden met Defender voor Eindpunt dat wordt uitgevoerd op de Windows-host, leest u verder om te bepalen of u deze moet configureren voor de invoegtoepassing.

Als u voor de WSL-plug-in de hostconfiguratie Windows EDR-telemetrieproxy voor MDE wilt gebruiken, hoeft u verder niets te doen. De configuratie van de Windows EDR-telemetrieproxy wordt automatisch door de plug-in overgenomen.

Als u de configuratie van de host winhttp-proxy wilt gebruiken voor MDE voor de WSL-invoegtoepassing, is er niets meer vereist. De WinHTTP-proxyconfiguratie van de host wordt automatisch door de plug-in overgenomen.

Als u de instelling voor het hostnetwerk en de netwerkproxy wilt gebruiken voor MDE voor de WSL-invoegtoepassing, is er niets meer vereist. De proxyconfiguratie van het hostnetwerk wordt automatisch door de invoegtoepassing overgenomen.

Hoe de WSL-invoegtoepassing een proxy selecteert

Als uw hostcomputer meerdere proxy-instellingen bevat, selecteert de invoegtoepassing de proxyconfiguraties met de volgende hiërarchie:

1. Statische proxy-instelling voor Defender for Endpoint (TelemetryProxyServer).

2. Winhttp proxy (geconfigureerd via netsh opdracht).

3. Netwerk & internetproxy-instellingen.

   Als uw hostcomputer bijvoorbeeld zowel Winhttp proxy als Network & Internet proxy heeft, selecteert de plug-in Winhttp proxy als de proxyconfiguratie.

Connectiviteitstest voor Defender for Endpoint uitgevoerd in WSL

De Defender voor Eindpunt-connectiviteitstest wordt geactiveerd wanneer er een proxywijziging op uw apparaat is en wordt elk uur uitgevoerd.

Nadat u uw WSL-machine hebt gestart, wacht u 5 minuten en voert u vervolgens healthcheck.exe uit (te vinden op %ProgramFiles%\Microsoft Defender voor Eindpunt plug-in for WSL\tools voor de resultaten van de connectiviteitstest). Als de connectiviteitstest slaagt, rapporteert de statuscontrole een geslaagd resultaat. Als de connectiviteitstest mislukt, rapporteert de statuscontrole de status als invalid, waarmee wordt aangegeven dat clientconnectiviteit van de MDE-invoegtoepassing voor WSL naar Defender voor EINDPUNT-service-URL's mislukt.

Functionaliteit en SOC-analistervaring verifiëren

Na het installeren van de plug-in worden het subsysteem en alle actieve containers opgenomen in het Microsoft Defender portal.

1. Meld u aan bij de Microsoft Defender-portal en open de weergave Apparaten.

2. Filter met de tag WSL2.

   

   U kunt alle WSL-exemplaren in uw omgeving zien met een actieve Defender for Endpoint-invoegtoepassing voor WSL. Deze exemplaren vertegenwoordigen alle distributies die worden uitgevoerd in WSL op een bepaalde host. De hostnaam van een apparaat komt overeen met die van de Windows-host. Het wordt echter weergegeven als een Linux-apparaat.

3. Open de pagina van het apparaat. In het deelvenster Overzicht ziet u aan de hostlink dat het apparaat op een Windows-host wordt gehost. U kunt deze link selecteren om door te gaan naar de Windows-host voor verder onderzoek en/of respons.

   

De tijdlijn wordt ingevuld, vergelijkbaar met Defender voor Eindpunt op Linux, met gebeurtenissen van binnen het subsysteem (bestand, proces, netwerk). U kunt activiteiten en detecties bekijken in de tijdlijnweergave. Waarschuwingen en incidenten worden ook naar behoren gegenereerd.

Aangepaste tag instellen voor uw WSL-computer

De invoegtoepassing onboardt de WSL-machine met de tag WSL2. Als u of uw organisatie een aangepaste tag nodig heeft, volgt u deze stappen om er een te configureren:

1. Open Register-editor als beheerder.

2. Maak een registersleutel met de volgende details:

   • Naam: GROUP
   • Typ: REG_SZ of registertekenreeks
   • Waarde: Custom tag
   • Pad: HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Advanced Threat Protection\DeviceTagging

3. Zodra het register is ingesteld, start u wsl opnieuw met behulp van de volgende stappen:

   1. Open de opdrachtprompt en voer de opdracht uit, wsl --shutdown.

   2. Voer de opdracht wsl uit.

4. Wacht 5-10 minuten totdat de wijzigingen in de portal worden weergegeven.

De invoegtoepassing testen

Voer de volgende stappen uit om de invoegtoepassing na de installatie te testen:

1. Open Terminal of de opdrachtprompt. (Ga in Windows naar Start>Opdrachtprompt. Of klik met de rechtermuisknop op de startknop en selecteer terminal.)

2. Voer de opdracht wsl uit.

3. Download en pak het scriptbestand uit het MDE Linux EDR DIY-testpakket.

4. Voer bij de Linux-prompt de opdracht ./mde_linux_edr_diy.shuit. Er moet na enkele minuten in het portaal een waarschuwing verschijnen van een detectie op de WSL2-instantie.

   Opmerking

   Het duurt ongeveer vijf minuten voordat de gebeurtenissen worden weergegeven in de Microsoft Defender portal.

Behandel de machine alsof deze een normale Linux host in uw omgeving is om tests op uit te voeren. In het bijzonder willen we graag uw feedback ontvangen over de mogelijkheid om mogelijk schadelijk gedrag aan de oppervlakte te krijgen met behulp van de nieuwe invoegtoepassing.

Geavanceerde opsporing gebruiken om WSL-apparaten te onderzoeken

De ervaring met Advanced Hunting is hetzelfde voor WSL 2 en WSL-containerworkloads. Bestaande queries blijven werken zonder aanpassing.

In het schema voor Geavanceerd zoeken is er onder de tabel DeviceInfo een nieuw kenmerk met de naam HostDeviceId dat u kunt gebruiken om een WSL-instantie te koppelen aan het Windows-hostapparaat. Hier volgen enkele voorbeelden van opsporingsquery's:

Alle WSL-apparaat-id's ophalen voor de huidige organisatie/tenant

Gebruik de volgende query om alle WSL-apparaat-id's in uw tenant weer te geven:

//Get all WSL device ids for the current organization/tenant
let wsl_endpoints = DeviceInfo
| where OSPlatform == "Linux" and isnotempty(HostDeviceId)
| distinct DeviceId;
wsl_endpoints

WSL-apparaat-id's en de bijbehorende hostapparaat-id's ophalen

Gebruik de volgende query om elke WSL-apparaat-id toe te wijzen aan de bijbehorende Windows hostapparaat-id:

//Get WSL device ids and their corresponding host device ids
DeviceInfo
| where OSPlatform == "Linux" and isnotempty(HostDeviceId)
| distinct WSLDeviceId=DeviceId, HostDeviceId

Een lijst met WSL-apparaat-id's ophalen waarop curl of wget is uitgevoerd

Gebruik de volgende query om WSL-apparaten te vinden waarop curl of wget werd uitgevoerd:

//Get a list of WSL device ids where curl or wget was run
let wsl_endpoints = DeviceInfo
| where OSPlatform == "Linux" and isnotempty(HostDeviceId)
| distinct DeviceId;
DeviceProcessEvents
| where FileName == "curl" or FileName == "wget"
| where DeviceId in (wsl_endpoints)
| sort by Timestamp desc

Problemen oplossen

[! OPMERKING] Voor probleemoplossing gerelateerd aan WSLc, bekijk deze sectie.

Gebruik de volgende stappen voor probleemoplossing om veelvoorkomende problemen met de Defender voor eindpunt-WSL-invoegtoepassing vast te stellen en op te lossen.

Installatie mislukt

Als u een fout ziet bij het starten van WSL, zoals A fatal error was returned by plugin 'DefenderforEndpointPlug-in' Error code: Wsl/Service/CreateInstance/CreateVm/Plugin/ERROR_FILE_NOT_FOUND, betekent dit dat de Defender for Endpoint-invoegtoepassing voor WSL-installatie defect is. Voer de volgende stappen uit om het te herstellen:

1. Ga in Configuratiescherm naar Programma's>Programma's en onderdelen.

2. Zoek en selecteer Microsoft Defender voor Eindpunt-invoegtoepassing voor WSL. Selecteer vervolgens Herstellen. Met deze actie wordt het probleem opgelost door de juiste bestanden in de verwachte mappen te plaatsen.

   

De opdracht healthcheck.exe geeft de uitvoer weer: "Start de WSL-distributie met de opdracht 'bash' en probeer het over vijf minuten opnieuw."

Als u dit bericht ziet, start u een WSL-distributie en wacht u voordat u de statuscontrole opnieuw uitvoert:

1. Open een terminalvenster en voer de opdracht wsl uit.

2. Wacht ten minste vijf minuten voordat u de statuscontrole opnieuw uitvoert.

Met de healthcheck.exe opdracht wordt mogelijk de uitvoer 'Wachten op telemetrie' weergegeven. Probeer het over vijf minuten opnieuw.

Mogelijk ziet u het volgende bericht terwijl telemetrie nog steeds wordt geïnitialiseerd:

Als het bericht Wachten op telemetrie optreedt, wacht u vijf minuten en voert u het opnieuw uit healthcheck.exe.

U ziet geen apparaten in de Microsoft Defender portal of u ziet geen gebeurtenissen in de tijdlijn

Controleer het volgende:

• Als u een machineobject niet ziet, controleert u of er voldoende tijd is verstreken om de onboarding te voltooien (meestal maximaal 10 minuten).

• Zorg ervoor dat u de juiste filters gebruikt en dat u de juiste machtigingen hebt toegewezen om alle apparaatobjecten weer te geven. (Is uw account/groep bijvoorbeeld beperkt tot een specifieke groep?)

• Gebruik het hulpprogramma statuscontrole om een overzicht te geven van de algehele status van de invoegtoepassing. Open Terminal en voer het healthcheck.exe hulpprogramma uit vanuit %ProgramFiles%\Microsoft Defender voor Eindpunt plug-in for WSL\tools.

  

• Schakel de connectiviteitstest in en controleer op Defender for Endpoint-connectiviteit in WSL. Als de connectiviteitstest mislukt, geeft u de uitvoer van het hulpprogramma voor statuscontrole op aan ons ondersteuningsteam.

Connectiviteitstest meldt "ongeldig" in gezondheidscontrole

Als uit de connectiviteitstest invalid blijkt, gebruikt u de volgende controles om het probleem te diagnosticeren:

• Als uw computer een proxy-installatie heeft, voert u de opdracht healthCheck --extendedProxyuit. Dit geeft informatie over welke proxy(s) is ingesteld op uw computer en of deze configuraties ongeldig zijn voor WSL Defender.

  

• Als het uitvoeren van healthCheck --extendedProxy de mislukte verbindingstest niet verhelpt, voegt u de volgende configuratie-instellingen toe aan het bestand .wslconfig in uw %UserProfile% en start u WSL opnieuw. Meer informatie over instellingen vindt u in WSL-instellingen.

  In Windows 11

  Voeg de volgende instellingen toe aan uw .wslconfig bestand om DNS-tunneling en gespiegelde netwerken in te schakelen:

  
  # Settings apply across all Linux distros running on WSL 2
  [wsl2]
  
  dnsTunneling=true
  
  networkingMode=mirrored
  

  In Windows 10

  Voeg de volgende instelling toe aan uw .wslconfig bestand om de DNS-proxy uit te schakelen:

  # Settings apply across all Linux distros running on WSL 2
  [wsl2]
  
  dnsProxy=false
  

Verbindingsproblemen blijven bestaan

Verzamel de netwerklogboeken door deze stappen uit te voeren:

1. Open een PowerShell-prompt met verhoogde bevoegdheid (beheerder).

2. Downloaden en uitvoeren: .\collect-networking-logs.ps1

   Invoke-WebRequest -UseBasicParsing "https://raw.githubusercontent.com/microsoft/WSL/master/diagnostics/collect-networking-logs.ps1" -OutFile collect-networking-logs.ps1
   Set-ExecutionPolicy Bypass -Scope Process -Force
   .\collect-networking-logs.ps1
   

3. Open een nieuwe opdrachtprompt en voer de volgende opdracht uit: wsl.

4. Open een opdrachtprompt met verhoogde bevoegdheid (beheerder) en voer de volgende opdracht uit: wsl --debug-shell.

5. Voer in de foutopsporingsshell het volgende uit: mdatp connectivity test.

6. Toestaan dat de connectiviteitstest wordt voltooid.

7. Stop het .ps1-script dat in stap #2 is uitgevoerd.

8. Deel het gegenereerde .zip-bestand samen met een supportbundel die is verzameld door healthcheck.exe --supportBundle uit te voeren vanuit %ProgramFiles%\Microsoft Defender voor Eindpunt plug-in for WSL\tools.

Een ondersteuningsbundel verzamelen

Als u diagnostische gegevens voor ondersteuning wilt verzamelen, genereert u een ondersteuningsbundel met behulp van de volgende stappen:

1. Als u andere uitdagingen of problemen ondervindt, opent u Terminal. Navigeer eerst naar de map met hulpprogramma's voor de Defender for Endpoint WSL-invoegtoepassing en voer vervolgens het hulpprogramma healthcheck.exe uit om een supportbundel te genereren:

   cd "%ProgramFiles%\Microsoft Defender for Endpoint plug-in for WSL\tools"
   

   Voer vervolgens de volgende opdracht uit om een ondersteuningsbundel te genereren die diagnostische gegevens verzamelt voor probleemoplossing:

   .\healthcheck.exe --supportBundle
   

   De ondersteuningsbundel vindt u in het pad dat is opgegeven met de vorige opdracht.

   

WSL1 versus WSL2

Microsoft Defender Endpoint-invoegtoepassing voor WSL ondersteunt Linux distributies die worden uitgevoerd op WSL 2. Als deze Linux-distributies zijn gekoppeld aan WSL 1, kunnen er problemen optreden. Daarom is het raadzaam om WSL 1 uit te schakelen. Voer de volgende stappen uit om dit te doen met het Intune-beleid:

1. Ga naar het Microsoft Intune-beheercentrum.

2. Ga naar Apparaten>Configuratieprofielen>Nieuw beleid>.

3. Selecteer Windows 10 en hoger>Instellingencatalogus.

4. Maak een naam voor het nieuwe profiel en zoek naar Windows-subsysteem voor Linux om de volledige lijst met beschikbare instellingen weer te geven en toe te voegen.

5. Stel de instelling WSL1 toestaan in op Uitgeschakeld om ervoor te zorgen dat alleen WSL 2-distributies kunnen worden gebruikt.

   Als u WSL 1 wilt blijven gebruiken of niet het Intune-beleid wilt gebruiken, kunt u selectief een specifieke geïnstalleerde distributie van WSL 1 upgraden naar WSL 2 door de volgende opdracht uit te voeren in PowerShell:

   wsl --set-version <YourDistroName> 2
   

   Als u ervoor wilt zorgen dat alle toekomstige distributies standaard met WSL 2 worden gemaakt, voert u de volgende opdracht uit in PowerShell om WSL 2 in te stellen als de standaardversie:

   wsl --set-default-version 2
   

De releasering voor de WSL-invoegtoepassing overschrijven

U kunt de standaardreleasering voor de invoegtoepassing overschrijven door een registerinstelling te configureren.

• De invoegtoepassing maakt standaard gebruik van de Windows EDR-ring. Als je wilt overschakelen naar een eerdere ring, stel OverrideReleaseRing dan een van de volgende in onder het register en start WSL opnieuw:
  • Naam: OverrideReleaseRing
  • Typ: REG_SZ
  • Waarde: Dogfood or External or InsiderFast or Production
  • Pad: Computer\HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Microsoft Defender voor Eindpunt plug-in for WSL