Configurar configurações de segurança no Microsoft Defender para Ponto de Extremidade no Linux

O Microsoft Defender para Ponto de Extremidade no Linux inclui antivírus, proteção contra malware, detecção de ameaças no endpoint e recursos de resposta. Este artigo resume configurações de segurança importantes a serem definidas e inclui links para outros recursos.

Opções para definir configurações de segurança

Para configurar suas definições de segurança no Defender for Endpoint no Linux, você tem duas opções principais:

• Use o portal do Microsoft Defender (Gerenciamento das Configurações de Segurança do Defender for Endpoint)

  ou

• Usar um perfil de configuração

Você pode usar a linha de comando para definir configurações específicas, coletar diagnósticos, executar verificações e muito mais. Para obter mais informações, consulte Recursos do Linux: Configurar usando a linha de comando.

Configurar configurações com o gerenciamento de configurações de segurança do Defender for Endpoint

Você pode configurar o Defender para Endpoint no Linux no portal do Microsoft Defender (portal do Microsoft Defender) usando o Gerenciamento de configurações de segurança do Defender para Endpoint. Para obter mais informações, incluindo como criar, editar e verificar políticas de segurança, consulte Usar o Gerenciamento de Configurações de Segurança do Microsoft Defender para Ponto de Extremidade para gerenciar o Microsoft Defender Antivírus.

Usar um perfil de configuração para gerenciar as configurações de segurança

Você pode configurar as definições no Defender for Endpoint no Linux por meio de um perfil de configuração que usa um arquivo .json. Depois de configurar seu perfil, você poderá implantá-lo usando a ferramenta de gerenciamento de sua escolha. As preferências gerenciadas pela empresa têm precedência sobre as preferências definidas localmente no dispositivo.

Em outras palavras, os usuários em sua empresa não podem alterar as preferências definidas por meio desse perfil de configuração. Se as exclusões foram adicionadas por meio do perfil de configuração gerenciada, elas só poderão ser removidas por meio do perfil de configuração gerenciada. A linha de comando funciona para exclusões adicionadas localmente.

As diretrizes a seguir sobre o perfil de configuração do Defender para Endpoint no Linux descrevem a estrutura desse perfil de configuração, incluem um perfil inicial recomendado e explicam como implantá-lo.

Estrutura do perfil de configuração

O perfil de configuração é um .json arquivo que consiste em entradas identificadas por uma chave (que denota o nome da preferência), seguida por um valor, que depende da natureza da preferência. Os valores podem ser simples (por exemplo, um valor numérico) ou complexos (por exemplo, uma lista aninhada de preferências).

Normalmente, você usa uma ferramenta de gerenciamento de configuração para enviar um arquivo nomeado mdatp_managed.json para o local /etc/opt/microsoft/mdatp/managed/.

O nível superior do perfil de configuração inclui preferências e entradas em todo o produto para subáreas do produto, como preferências de mecanismo antivírus, preferências de proteção entregues na nuvem, recursos opcionais avançados e configurações de proteção de rede.

Perfil de configuração recomendada

As diretrizes de perfil de configuração recomendadas a seguir incluem dois exemplos de perfil de configuração:

• Exemplo de perfil para ajudar você a começar a usar as configurações recomendadas.
• Exemplo de perfil de configuração completa para organizações que desejam um controle mais granular sobre as configurações de segurança.

Para começar, recomendamos usar o primeiro exemplo de perfil para sua organização. Para um controle mais granular, você pode usar o exemplo de perfil de configuração completo .

Perfil de exemplo

O perfil de configuração a seguir ajuda você a usufruir de recursos de proteção importantes no Defender para Endpoint no Linux. O perfil inclui a seguinte configuração:

• Habilitar a proteção em tempo real (RTP).
• Especifique como os seguintes tipos de ameaças são tratados:
  • Os aplicativos potencialmente indesejados (PUA) estão bloqueados.
  • Bombas de arquivo (arquivos com alta taxa de compactação) são registradas nos logs do produto.
• Habilite as atualizações automáticas de inteligência de segurança.
• Habilite a proteção entregue na nuvem.
• Habilite o envio automático de amostras no nível safe.

{
   "antivirusEngine":{
      "enforcementLevel":"real_time",
      "threatTypeSettings":[
         {
            "key":"potentially_unwanted_application",
            "value":"block"
         },
         {
            "key":"archive_bomb",
            "value":"audit"
         }
      ]
   },
   "cloudService":{
      "automaticDefinitionUpdateEnabled":true,
      "automaticSampleSubmissionConsent":"safe",
      "enabled":true,
      "proxy": "<EXAMPLE DO NOT USE> http://proxy.server:port/"
   }
}

Exemplo de perfil de configuração completa

O exemplo de configuração gerenciada a seguir contém entradas para todas as configurações descritas neste artigo, incluindo mecanismo antivírus, verificação agendada, serviço de nuvem, recurso avançado, proteção de rede, EDR e configurações de exclusão. Você pode usar esse perfil para cenários avançados em que deseja ter controle granular sobre cada configuração.

{
"antivirusEngine":{
      "enforcementLevel":"passive",
      "behaviorMonitoring": "disabled",
      "scanAfterDefinitionUpdate":true,
      "scanArchives":true,
      "scanHistoryMaximumItems": 10000,
      "scanResultsRetentionDays": 90,
      "maximumOnDemandScanThreads":2,
      "exclusionsMergePolicy":"merge",
      "allowedThreats":[
         "<EXAMPLE DO NOT USE>EICAR-Test-File (not a virus)"
      ],
      "disallowedThreatActions":[
         "allow",
         "restore"
      ],
      "nonExecMountPolicy":"unmute",
      "unmonitoredFilesystems": ["nfs,fuse"],
      "enableFileHashComputation": false,
      "threatTypeSettingsMergePolicy":"merge",
      "threatTypeSettings":[
         {
            "key":"potentially_unwanted_application",
            "value":"block"
         },
         {
            "key":"archive_bomb",
            "value":"audit"
         }
      ],
      "scanFileModifyPermissions":true,
      "scanFileModifyOwnership":false,
      "scanNetworkSocketEvent":false,
      "offlineDefinitionUpdateUrl": "http://172.22.199.67:8000/linux/production/<EXAMPLE DO NOT USE>",
      "offlineDefinitionUpdateFallbackToCloud":false,
      "offlineDefinitionUpdate":"disabled",
      "scheduledScan": "enabled"
   },
   "scheduledScan":{
      "weeklyConfiguration":{
         "dayOfWeek": 7,
         "scanType": "full",
         "timeOfDay": 180
      },
      "dailyConfiguration":{
         "timeOfDay": 180
      },
      "runScanWhenIdle": true,
      "lowPriorityScheduledScan": true,
      "checkForDefinitionsUpdate": true,
      "ignoreExclusions": false,
      "randomizeScanStartTime": 3
   },
   "cloudService":{
      "enabled":true,
      "diagnosticLevel":"optional",
      "automaticSampleSubmissionConsent":"safe",
      "automaticDefinitionUpdateEnabled":true,
      "proxy": "<EXAMPLE DO NOT USE> http://proxy.server:port/",
      "definitionUpdatesInterval":28800
   },
   "features":{
      "moduleLoad":"disabled",
      "supplementarySensorConfigurations":{
        "enableFilePermissionEvents":"disabled",
        "enableFileOwnershipEvents":"disabled",
        "enableRawSocketEvent":"disabled",
        "enableBootLoaderCalls":"disabled",
        "enableProcessCalls":"disabled",
        "enablePseudofsCalls":"disabled",
        "enableEbpfModuleLoadEvents":"disabled",
        "sendLowfiEvents":"disabled"
      },
      "ebpfSupplementaryEventProvider":"enabled",
      "offlineDefinitionUpdateVerifySig": "disabled"
   },
   "networkProtection":{
      "enforcementLevel":"disabled",
      "disableIcmpInspection":true
   },
   "edr":{
      "groupIds":"GroupIdExample",
      "tags": [
         {
         "key": "GROUP",
         "value": "Tag"
         }
       ]
   },
"exclusionSettings":{
  "exclusions":[
     {
        "$type":"excludedPath",
        "isDirectory":true,
        "path":"/home/*/git<EXAMPLE DO NOT USE>",
        "scopes": [
              "epp"
        ]
     },
     {
        "$type":"excludedPath",
        "isDirectory":true,
        "path":"/run<EXAMPLE DO NOT USE>",
        "scopes": [
              "global"
        ]
     },
     {
        "$type":"excludedPath",
        "isDirectory":false,
        "path":"/var/log/system.log<EXAMPLE DO NOT USE><EXCLUDED IN ALL SCENARIOS>",
        "scopes": [
              "epp", "global"
        ]
     },
     {
        "$type":"excludedFileExtension",
        "extension":".pdf<EXAMPLE DO NOT USE>",
        "scopes": [
              "epp"
        ]
     },
     {
        "$type":"excludedFileName",
        "name":"/bin/cat<EXAMPLE DO NOT USE><NO SCOPE PROVIDED - GLOBAL CONSIDERED>"
     }
  ],
  "mergePolicy":"admin_only"
}
}

Configurações de antivírus, antimalware e EDR no Defender for Endpoint no Linux

Se você usa um perfil de configuração (arquivo .json) ou o portal Microsoft Defender (Gerenciamento de Configurações de Segurança), você pode definir suas configurações de antivírus, antimalware e EDR no Defender para Ponto de Extremidade no Linux. As seções a seguir descrevem onde e como definir suas configurações.

Preferências do mecanismo antivírus

A seção antivirusEngine do perfil de configuração gerencia as preferências do componente antivírus do produto.

Para obter descrições do conteúdo do dicionário e das propriedades da política, consulte nível de aplicação do Antivírus do Microsoft Defender, exclusões de verificação, configurações de tipo de ameaça e política de mesclagem de exclusões.

Nível de imposição do Microsoft Defender Antivírus

Especifica a preferência de aplicação do mecanismo antivírus. Existem quatro valores para definir o nível de fiscalização:

Verifique o nível de fiscalização

Para verificar o nível ativo de aplicação do antivírus, execute:

mdatp health --field antivirus_enforcement_level

O comando retorna o nível de aplicação ativa (real_time, audit, on_demand, ou passive).

Habilitar ou desabilitar o monitoramento de comportamento (se o RTP estiver habilitado)

Especifica se o recurso de monitoramento e bloqueio de comportamento está habilitado ou desabilitado no dispositivo.

Executar uma verificação após a atualização das definições

Especifica se uma verificação de processo deve ser iniciada após o download de novas atualizações de inteligência de segurança no dispositivo. Habilitar essa configuração dispara uma verificação antivírus nos processos em execução do dispositivo.

Verificar arquivos (somente verificações antivírus sob demanda)

Especifica se você deve examinar arquivos durante verificações antivírus sob demanda.

Grau de paralelismo para varreduras sob demanda

Especifica o grau de paralelismo para verificações sob demanda. Essa configuração corresponde ao número de threads de processamento usadas pela varredura. Essa configuração afeta o uso da CPU e a duração das verificações sob demanda.

Política de mesclagem de exclusão

Especifica se as exclusões definidas pelo usuário devem ser usadas no dispositivo. Os valores válidos são:

• admin_only: Use apenas exclusões definidas pelo administrador configuradas na política do Defender para Endpoint. Use esse valor para impedir que os usuários definam suas próprias exclusões.
• merge: Use uma combinação de exclusões definidas pelo administrador e definidas pelo usuário.

Configurar exclusões de verificação

Entidades excluídas de verificações. Você especifica exclusões como uma matriz de itens. Os administradores podem especificar quantos elementos forem necessários, em qualquer ordem. Você especifica exclusões usando caminhos completos, extensões ou nomes de arquivo.

Para obter uma descrição do conteúdo do dicionário, consulte Tipo de exclusão, Caminho para conteúdo excluído, Tipo de caminho (arquivo/diretório), Extensão de arquivo excluída da verificação e Processo excluído da verificação.

Tipo de exclusão

Especifica o tipo de conteúdo excluído das verificações.

Caminho para o conteúdo excluído

Exclua o conteúdo da verificação pelo caminho completo do arquivo.

Tipo de caminho (arquivo/diretório)

Especifica se a propriedade path se refere a um arquivo ou a um diretório.

Extensão de arquivo excluída da verificação

Exclua conteúdo da verificação por extensão de arquivo.

Processo excluído da verificação

Especifica um processo para o qual todas as atividades do arquivo são excluídas da verificação. Você pode especificar o processo por nome (por exemplo, cat) ou caminho completo (por exemplo, /bin/cat).

Silenciando montagens não exec

Especifica o comportamento do RTP em pontos de montagem marcados como noexec. Os valores válidos são:

• Sem silenciamento (unmute): Todos os pontos de montagem são varridos como parte do RTP. Esse valor é o padrão.
• Silenciado (mute): Pontos de montagem marcados como noexec não são analisados como parte do RTP.
  • Os servidores de banco de dados podem manter o arquivo de banco de dados.
  • Os servidores de arquivos podem conter pontos de montagem para arquivos de dados.
  • O backup pode manter os pontos de montagem de arquivos de dados.

Cancelar o monitoramento de sistemas de arquivos

Especifica os sistemas de arquivos que não são monitorados pelo RTP (são excluídos dele). Os sistemas de arquivos especificados ainda são verificados por verificações rápidas, completas e personalizadas no Microsoft Defender Antivírus.

Quando você adiciona ou remove um sistema de arquivos da lista não monitorada, a Microsoft valida a qualificação do sistema de arquivos para monitoramento por RTP (removido da lista) ou nenhum monitoramento por RTP (adicionado à lista).

• Por padrão, os seguintes sistemas de arquivos são monitorados pelo RTP:

  • btrfs
  • ecryptfs
  • ext2
  • ext3
  • ext4
  • fuseblk
  • jfs
  • overlay
  • ramfs
  • reiserfs
  • tmpfs
  • udf
  • vfat
  • xfs

• Por padrão, os seguintes sistemas de arquivos não são monitorados pelo RTP:

  • cifs^*
  • fuse
  • nfs
  • nfs4^*
  • smb^*

  Esses sistemas de arquivos também não são monitorados por verificações rápidas e completas, mas podem ser verificados por verificações personalizadas.

  ^* Atualmente, o monitoramento RTP deste sistema de arquivos está em versão preliminar.

Para configurar a configuração unmonitoredFilesystems, adicione-a à seção antivirusEngine do seu arquivo de configuração gerenciado. Os sistemas de arquivos incluídos nessa matriz são excluídos do monitoramento de RTP (proteção em tempo real). Por exemplo, para remover nfs e nfs4 da lista não monitorada para que o RTP os monitore após a validação, atualize o arquivo de configuração gerenciado com a seguinte entrada:

{
   "antivirusEngine":{
      "unmonitoredFilesystems": ["cifs","fuse","smb"]
  }
}

Para limpar a lista de sistemas de arquivos não monitorados para que o RTP monitore todos os tipos de sistema de arquivos com suporte, defina unmonitoredFilesystems como uma matriz vazia. Essa configuração garante que nenhum sistema de arquivos seja excluído do monitoramento de proteção em tempo real:

{
   "antivirusEngine":{
      "unmonitoredFilesystems": []
  }
}

Configurar o recurso de computação de hash de arquivo

Habilita ou desabilita o cálculo do hash dos arquivos verificados pelo Defender for Endpoint. A habilitação desse recurso pode afetar o desempenho do dispositivo. Para obter mais informações, consulte Criar indicadores para arquivos.

Configurar ameaças permitidas

Especifica os nomes das ameaças não bloqueadas pelo Microsoft Defender for Endpoint. Em vez disso, essas ameaças são autorizadas a ser executadas.

Configurar ações de ameaça não permitidas

Restringe as ações permitidas pelo usuário do dispositivo quando ameaças são detectadas. As ações incluídas nesta lista não são exibidas na interface do usuário.

Configurações do tipo de ameaça

Controlar como certos tipos de ameaças são tratados.

Para obter uma descrição do conteúdo do dicionário, consulte o tipo de ameaça e a ação a serem tomadas.

Tipo de ameaça

Especifica o tipo de ameaça.

O que fazer

Especifica a ação quando os tipos de ameaças especificados anteriormente são detectados. Os valores válidos são:

• Auditoria: o dispositivo não está protegido contra esse tipo de ameaça, mas uma entrada sobre a ameaça é registrada. Esse valor é o Padrão.
• Bloquear: o dispositivo fica protegido contra esse tipo de ameaça e você é notificado no portal do Microsoft Defender.
• Desativado: o dispositivo não está protegido contra esse tipo de ameaça e nada é registrado.

Política de mesclagem de configurações de tipo de ameaça

Especifica se as configurações de tipo de ameaça definidas pelo usuário devem ser usadas no dispositivo. Os valores válidos são:

• admin_only: Use apenas configurações de tipo de ameaça definidas pelo administrador. Use esse valor para impedir que os usuários definam suas próprias configurações de tipo de ameaça.
• merge: Use uma combinação de configurações de tipo de ameaça definidas pelo administrador e pelo usuário.

Retenção do histórico de verificação de antivírus (em dias)

Especifique o número de dias que os resultados são mantidos no histórico de verificação no dispositivo. Os resultados de verificações antigas são removidos do histórico. Os arquivos antigos em quarentena também são removidos do disco.

Número máximo de itens no histórico de verificação de antivírus

Especifique o número máximo de entradas a serem mantidas no histórico de verificação. As entradas incluem todas as verificações sob demanda e todas as detecções de antivírus.

Preferências da configuração de exclusão

A seção exclusionSettings do perfil de configuração configura diversas exclusões para o Microsoft Defender para Ponto de Extremidade para Linux.

Para obter uma descrição do conteúdo do dicionário, consulte Política de mesclagem, política de mesclagem de exclusão e Exclusões.

Política de mesclagem de configurações de exclusão

A configuração a seguir controla como as exclusões definidas pelo administrador e definidas pelo usuário são combinadas.

Política de mesclagem de exclusão

Especifica se as exclusões definidas pelo usuário devem ser usadas no dispositivo. Os valores válidos são:

• admin_only: Use apenas exclusões definidas pelo administrador configuradas na política do Defender para Endpoint. Use esse valor para impedir que os usuários definam suas próprias exclusões.
• merge: Use uma combinação de exclusões definidas pelo administrador e definidas pelo usuário.

Essa configuração se aplica a exclusões de todos os escopos.

Exclusões

Entidades excluídas de verificações. Você especifica exclusões como uma matriz de itens. Os administradores podem especificar quantos elementos forem necessários, em qualquer ordem. Você especifica exclusões usando caminhos completos, extensões ou nomes de arquivo. Para cada exclusão, você pode especificar um escopo. O escopo padrão é global.

O dicionário de exclusão inclui entradas para tipo de exclusão, escopo de exclusão, caminho para conteúdo excluído, tipo de caminho (arquivo ou diretório), extensão de arquivo e nome do processo.

Tipo de exclusão

Especifica o tipo de conteúdo excluído das verificações.

Escopo da exclusão (opcional)

Especifica o escopo de exclusão do conteúdo excluído. Os valores válidos são:

• epp
• global

Se você não especificar um escopo de exclusão na configuração gerenciada, o valor global será usado.

Caminho para o conteúdo excluído

Excluir conteúdo das verificações com base no caminho completo do arquivo.

Tipo de caminho (arquivo/diretório)

Especifica se a propriedade path se refere a um arquivo ou a um diretório.

Extensão de arquivo excluída da verificação

Exclua o conteúdo das verificações por extensão de arquivo.

Processo excluído da verificação

Exclua toda a atividade de arquivo de um processo das varreduras. Os valores válidos são:

• Nome do processo. Por exemplo, cat.
• Caminho completo. Por exemplo, /bin/cat.

Opções avançadas de digitalização

Você pode definir as configurações a seguir para habilitar determinados recursos avançados de digitalização.

Configurar a verificação de eventos de permissão de modificação de arquivo

Especifica se o Defender for Endpoint examina arquivos quando suas permissões são alteradas para ativar os bits de execução.

Configurar a varredura de eventos de modificação de propriedade de arquivo

Especifica se o Defender para Endpoint examina arquivos cuja propriedade foi alterada.

Configurar a verificação de eventos de soquete bruto

Especifica se o Defender para Endpoint verifica eventos de socket de rede. Por exemplo:

• Criação de soquetes brutos / soquetes de pacote.
• Configurando opções de soquete.

Preferências de verificação agendada (versão prévia)

A scheduledScan seção do perfil de configuração configura verificações antivírus agendadas internas. Para habilitar as verificações agendadas, defina antivirusEngine.scheduledScan como "enabled".

Para obter uma descrição do conteúdo agendado do dicionário de verificação, consulte Habilitar verificações agendadas, configuração de verificação semanal, configuração de verificação diária e configurações de verificação agendadas avançadas.

Para obter detalhes completos sobre a configuração da verificação agendada, incluindo como usar as configurações de segurança, as políticas de gerenciamento e a linha de comando, consulte Agendar verificações antivírus no Linux (versão prévia).

Habilitar as verificações agendadas

Especifica se as verificações agendadas estão habilitadas.

Configuração de verificação semanal

Configura uma verificação semanal com um dia, hora e tipo de verificação específicos.

Dia da semana

Especifica o dia em que a verificação semanal é executada.

Tipo de verificação (semanal)

Especifica o tipo de verificação para verificações semanais.

Hora do dia (semanal)

Especifica quando a verificação semanal é executada. O valor é em minutos a partir de meia-noite (hora local).

Configuração de verificação diária

Configura uma verificação rápida diária em um horário específico a cada dia.

Hora do dia (diária)

Especifica quando a verificação rápida diária é executada. O valor é em minutos a partir de meia-noite (hora local).

Intervalo

Executa uma verificação rápida a cada N horas (agendamento baseado em intervalos).

Configurações avançadas de verificação agendada

As configurações a seguir permitem ajustar a execução das verificações agendadas.

Executar verificação em inatividade

Adia a verificação até que o sistema esteja ocioso.

Verificação agendada de baixa prioridade

Executa verificações com prioridade de CPU reduzida.

Verificar atualização de definições

Verifica as atualizações de inteligência de segurança mais recentes antes de iniciar a verificação.

Ignorar exclusões

Executa verificações sem respeitar as exclusões configuradas.

Randomizar a hora de início da verificação

Randomiza a hora de início da verificação em uma janela definida (em horas) para evitar verificações simultâneas em vários dispositivos.

Configurar preferências de proteção entregues na nuvem

A entrada cloudService no perfil de configuração configura o recurso de proteção orientada por nuvem.

Consulte as seguintes subseções para obter uma descrição do conteúdo do dicionário e das configurações de política.

Habilitar ou desabilitar a proteção entregue na nuvem

Especifique se a proteção fornecida pela nuvem está habilitada no dispositivo. Para melhorar a segurança, recomendamos manter esse recurso ativado.

Nível de coleção de diagnóstico

Especificar o nível de informações de diagnóstico enviadas à Microsoft. Para obter mais informações, consulte Privacidade do Microsoft Defender para Endpoint no Linux.

Os dados de diagnóstico são usados para manter o Defender for Endpoint seguro e atualizado, detectar, diagnosticar e corrigir problemas, além de aprimorar o produto.

Configurar o nível de bloqueio da nuvem

Especifique o nível de agressividade do Defender para Endpoint ao bloquear e verificar arquivos suspeitos. Os valores válidos são:

• Normal (normal): o valor é o padrão.
• Moderado (moderate): emita veredictos apenas para detecções com alto grau de confiança.
• Alto (high): Bloqueia agressivamente arquivos desconhecidos enquanto otimiza o desempenho. Esse valor tem maior chance de bloquear arquivos não prejudiciais.
• High Plus (high_plus): Bloqueie agressivamente arquivos desconhecidos e aplique medidas de proteção extras. Esse valor pode afetar o desempenho do dispositivo cliente.
• Tolerância Zero (zero_tolerance): Bloqueie todos os programas desconhecidos.

Se essa configuração estiver habilitada, o Microsoft Defender para Endpoint será mais agressivo na identificação de arquivos suspeitos para bloqueá-los e examiná-los. Caso contrário, ele é menos agressivo e, portanto, bloqueia e verifica com menos frequência.

Habilitar ou desabilitar o envio automático de amostras

Especifica se amostras suspeitas (que provavelmente contêm ameaças) são enviadas à Microsoft. Os valores válidos são:

• Nenhum: nenhuma amostra suspeita é enviada à Microsoft.
• Seguro: somente amostras suspeitas que não contêm informações pessoais são enviadas automaticamente. Esse valor é o padrão.
• Todos: todas as amostras suspeitas são enviadas à Microsoft.

Habilitar ou desabilitar atualizações automáticas de inteligência de segurança

Especifica se as atualizações de inteligência de segurança são instaladas automaticamente.

Dependendo do nível de imposição, as atualizações automáticas de inteligência de segurança são instaladas de forma diferente. No modo RTP, as atualizações são instaladas periodicamente. No modo Passivo ou Sob Demanda, as atualizações são instaladas antes de cada verificação.

Configurar recursos opcionais avançados

Use as configurações a seguir para habilitar determinados recursos opcionais avançados.

Para obter uma descrição do conteúdo do dicionário, consulte o recurso de carregamento do módulo, o recurso Corrigir Arquivo Infectado e as configurações do sensor suplementar.

Recurso de carregamento de módulo

Especifica se os eventos de carregamento de módulo (eventos de abertura de arquivo em bibliotecas compartilhadas) são monitorados.

Recurso Corrigir arquivo infectado

Especifica se os processos infectados que abrem ou carregam arquivos infectados são corrigidos no modo RTP.

Definir configurações de sensor suplementar

Use as configurações a seguir para definir certos recursos suplementares avançados do sensor.

Para obter uma descrição do conteúdo do dicionário, consulte Configurar o monitoramento de eventos de permissões de modificação de arquivo, configurar o monitoramento de eventos de propriedade de modificação de arquivo, configurar o monitoramento de eventos de soquete bruto e relatar eventos antivírus suspeitos para o EDR.

Configurar o monitoramento de eventos de permissão de modificação de arquivo

Especifica se os eventos de permissões de modificação de arquivo (chmod) são monitorados.

Configurar o monitoramento de eventos de alteração de propriedade de arquivos

Especifica se os eventos de propriedade de modificação de arquivo (chown) são monitorados.

Configurar o monitoramento de eventos de socket bruto

Especifica se os eventos de soquete de rede envolvendo a criação de soquetes brutos/soquetes de pacote, ou a definição da opção de soquete, são monitorados.

Configurar o monitoramento de eventos do carregador de inicialização

Especifica se os eventos do carregador de inicialização são monitorados e verificados.

Configurar o monitoramento de eventos ptrace

Especifica se os eventos ptrace são monitorados e analisados.

Configurar o monitoramento de eventos de pseudofs

Especifica se os eventos pseudofs são monitorados e verificados.

Configurar o monitoramento de eventos de carga de módulo usando eBPF

Especifica se os eventos de carga do módulo são monitorados pelo eBPF e verificados.

Configurar o monitoramento de eventos abertos de sistemas de arquivos específicos usando eBPF

Especifica se os eventos abertos de procfs são monitorados pelo eBPF.

Configurar o enriquecimento de origem de eventos usando eBPF

Especifica se os eventos são enriquecidos com metadados na origem no eBPF.

Habilitar o cache do mecanismo antivírus

Especifica se os metadados de eventos verificados pelo mecanismo antivírus são armazenados em cache.

Relatar eventos de antivírus suspeitos ao EDR

Especifica se eventos suspeitos do Antivírus são reportados ao EDR.

Definir configurações de proteção de rede

Use as configurações a seguir para configurar os recursos de inspeção avançados da Proteção de Rede que controlam o tráfego inspecionado pela Proteção de Rede.

Para obter uma descrição do conteúdo do dicionário, consulte Enforcement Level e Configure ICMP inspection.

Nível de Aplicação

Use essa configuração para controlar como a proteção de rede é imposta no dispositivo.

Configurar a inspeção ICMP

Especifica se os eventos ICMP são monitorados e verificados.

Adicionar ID de marca ou grupo ao perfil de configuração

Quando você executa o mdatp health comando pela primeira vez, os valores de ID de grupo e tag estão em branco. Para adicionar uma tag ou ID de grupo ao mdatp_managed.json arquivo, siga estas etapas:

1. Abra o perfil de configuração no caminho /etc/opt/microsoft/mdatp/managed/mdatp_managed.json.

2. No bloco cloudService na parte inferior do arquivo, adicione a tag necessária ou o ID do grupo ao final da chave de fechamento do bloco cloudService, conforme mostrado no exemplo a seguir.

   },
   "cloudService": {
    "enabled": true,
    "diagnosticLevel": "optional",
    "automaticSampleSubmissionConsent": "safe",
    "automaticDefinitionUpdateEnabled": true,
    "proxy": "http://proxy.server:port/"
   },
   "edr": {
   "groupIds":"GroupIdExample",
   "tags": [
            {
            "key": "GROUP",
            "value": "Tag"
            }
          ]
      }
   }
   

   Observação

   • Adicione uma vírgula após a chave de fechamento no final do bloco cloudService.
   • Verifique se há duas chaves de fechamento depois de adicionar os blocos tags ou groupIds, conforme mostrado no exemplo.
   • Atualmente, o único nome de chave com suporte para tags é GROUP.

Validação do perfil de configuração

Antes de implantar o perfil de configuração, valide se o arquivo JSON gerenciado está formatado corretamente e confirme se o Microsoft Defender for Endpoint aplica as configurações conforme esperado.

Validar o arquivo JSON gerenciado

O perfil de configuração deve ser um arquivo válido formatado em JSON. Antes de implantar o perfil, verifique se a sintaxe JSON está correta e se o arquivo pode ser analisado sem erros. Muitas ferramentas estão disponíveis para essa validação. Por exemplo, o comando a seguir usa o módulo Python json.tool para verificar se há sintaxe JSON válida e imprimir seu conteúdo para inspeção. Execute este comando se você tiver python instalado em seu dispositivo:

python -m json.tool mdatp_managed.json

Se o arquivo estiver formatado corretamente, o comando retornará o código 0de saída . Caso contrário, os erros serão exibidos e o comando retornará o código 1de saída .

Verificando se o arquivo mdatp_managed.json está funcionando conforme o esperado

Para verificar se o seu /etc/opt/microsoft/mdatp/managed/mdatp_managed.json está funcionando corretamente, você deve ver [managed] ao lado destas configurações:

• cloud_enabled
• cloud_automatic_sample_submission_consent
• passive_mode_enabled
• real_time_protection_enabled
• automatic_definition_update_enabled

Implantação do perfil de configuração

Depois de criar o perfil de configuração para sua organização, você pode implantá-lo usando suas ferramentas de gerenciamento atuais. O Defender for Endpoint no Linux lê a configuração gerenciada do /etc/opt/microsoft/mdatp/managed/mdatp_managed.json.