Configurar atualizações de informações de segurança offline para Microsoft Defender para Endpoint no Linux

As atualizações de inteligência de segurança offline mantêm o Microsoft Defender para Endpoint atualizado em dispositivos Linux quando têm ligação limitada ou inexistente à internet. Neste artigo, configura um servidor espelho para descarregar atualizações da Microsoft, configura os endpoints Linux para recuperar as atualizações e verifica a implementação. Antes de começar, certifique-se de que o seu ambiente cumpre os pré-requisitos.

Como funcionam as atualizações de informações de segurança offline

As atualizações de inteligência de segurança offline utilizam um servidor local de alojamento, chamado servidor espelho, para descarregar atualizações de inteligência de segurança da Microsoft. Os dispositivos Linux recuperam as atualizações do servidor espelho em intervalos configurados.

O processo de atualização offline funciona da seguinte forma:

• Configura um servidor local de sistema de ficheiros web ou de rede (NFS) que pode ligar-se à Microsoft para descarregar atualizações.
• Usas um cron job ou tarefa agendada para executar o script de download no servidor espelho.
• Os endpoints Linux que executam o Defender for Endpoint recuperam as atualizações descarregadas do servidor espelho a intervalos configurados.
• O Defender for Endpoint verifica as atualizações descarregadas antes de as carregar no motor antivírus.
• Configuras o processo de atualização nos endpoints Linux usando uma política de segurança de endpoint ou o ficheiro JSON gerido.
• Visualiza o estado da atualização usando a mdatp ferramenta de linha de comandos.

Figura 1. O servidor espelho descarrega e aloja atualizações de inteligência de segurança offline.

Figura 2. Os endpoints Linux recuperam atualizações de inteligência de segurança offline do servidor espelho.

O servidor espelhado pode executar qualquer um dos seguintes sistemas operativos:

• Linux
• Windows
• macOS

Benefícios da utilização de atualizações de informações de segurança offline

Os principais benefícios incluem:

• Controla com que frequência o servidor espelho descarrega atualizações e com que frequência os endpoints as recuperam.
• Teste as atualizações descarregadas num dispositivo de teste antes de as distribuir pela sua organização.
• Reduz a largura de banda da rede porque só o servidor espelho descarrega as atualizações da Microsoft.
• Usa um servidor espelhador Windows, macOS ou Linux sem instalar o Defender for Endpoint nele.
• Descarregue atualizações de inteligência de segurança com o mais recente motor antivírus compatível.
• Mantém a atualização anterior numa pasta de backup. Se houver algum problema com a atualização mais recente, podes distribuir a versão anterior.
• Configure os endpoints para recuperar atualizações da Microsoft caso uma atualização do servidor espelho falhe.

Pré-requisitos

• Instale a versão 101.24022.0001 (março de 2024) ou posterior do Defender for Endpoint nos dispositivos finais Linux.

• Certifica-te de que os endpoints Linux conseguem ligar-se ao servidor espelho.

• Use uma distribuição Linux suportada.

• Configura o servidor espelho como um servidor HTTP ou HTTPS, um servidor NFS ou outra partilha de rede.

• Certifique-se de que o servidor espelho pode aceder aos seguintes URLs:

  • https://github.com/microsoft/mdatp-xplat.git
  • https://go.microsoft.com/fwlink/?linkid=2144709
  • https://definitionupdates.microsoft.com

  O programa de transferência de atualizações offline solicita a ligação go.microsoft.com e segue os respetivos redirecionamentos para definitionupdates.microsoft.com de modo a obter o ficheiro de manifesto e o pacote de atualização. Configure o firewall ou proxy do servidor espelho para permitir o acesso HTTPS de saída a ambos os endpoints.

• Instala o Bash ou o PowerShell no servidor espelho. O script de download do Bash também requer curl e jq.

• São necessárias as seguintes especificações mínimas do sistema para o servidor espelhado:

  Núcleos de CPU	RAM	Disco gratuito	Trocar
  2 núcleos (4 núcleos preferidos)	Mínimo 1 GB (4 GB preferíveis)	2 GB	Dependente do sistema

  Nota

  Esta configuração pode variar consoante o número de pedidos que são servidos e a carga que cada servidor tem de processar.

Configurar o servidor espelhado

Obter o script do transferidor de informações de segurança offline

A Microsoft aloja um script de descarregamento de inteligência de segurança offline no repositório Microsoft/mdatp-xplat do GitHub.

Use uma das seguintes opções para obter o script de download.

Opção 1: Clonar o repositório (preferencial)

Para clonar o repositório, siga estes passos:

1. Instala o Git no servidor espelho.

2. Vá para o diretório onde você deseja clonar o repositório.

3. Clone o repositório executando git clone https://github.com/microsoft/mdatp-xplat.git.

Opção 2: Transferir o ficheiro zipado

Para usar o pacote zip em vez de clonar o repositório, siga estes passos:

1. Transfira o ficheiro zipado.

2. Copie o ficheiro transferido para a pasta onde pretende manter o script.

3. Extraia a pasta comprimida.

4. Use uma tarefa agendada ou um cron job para descarregar e extrair periodicamente a versão mais recente.

Estrutura de diretório local após clonar o repositório ou transferir o ficheiro zipado

Use o seguinte exemplo de listagem de diretórios para verificar se a sua cópia local contém a estrutura e os scripts esperados linux/definition_downloader :

user@vm:~/mdatp-xplat$ tree linux/definition_downloader/
linux/definition_downloader/
├── README.md
├── settings.json
├── settings.ps1
├── xplat_offline_updates_download.ps1
└── xplat_offline_updates_download.sh

0 directories, 5 files

Configure os campos seguintes em settings.json para controlar o script de transferência:

Executar o script do transferidor de informações de segurança offline

Para descarregar manualmente a atualização mais recente, configure settings.json, e depois use o comando para o shell no seu servidor espelho:

• Bash: Execute o seguinte comando para obter as últimas atualizações de definições offline para a pasta de download configurada:

  ./xplat_offline_updates_download.sh
  

• PowerShell: Executa o script de download do PowerShell num servidor espelho com PowerShell:

  ./xplat_offline_updates_download.ps1
  

Aloje as atualizações da inteligência de segurança offline no servidor de réplica

Quando o script é executado, updates.zip e manifest.json são transferidos para pastas organizadas por sistema operativo, canal de lançamento e arquitetura. Por exemplo, as atualizações de produção do Linux para dispositivos x86_64 são armazenadas em linux/production/arch_x86_64 na pasta de transferência configurada.

Aloja a pasta de download configurada num servidor HTTP ou HTTPS, partilha de rede, ou ponto de montagem local ou remota que os endpoints Linux possam aceder.

Copie o URL ou o caminho absoluto do diretório através da pasta release-ring, mas não inclua o arch_* diretório.

Depois de configurar o servidor espelho, implemente o respetivo URL ou caminho nos endpoints Linux como o valor offlineDefinitionUpdateUrl. Escolha um dos métodos em Configurar os endpoints.

Configurar pontos finais no Microsoft Intune

O Microsoft Intune é a ferramenta recomendada para configurar e distribuir funcionalidades do Defender for Endpoint para dispositivos. No entanto, o Intune é um produto separado que não faz parte do Defender for Endpoint, e não está incluído em todas as subscrições. Para usar o Intune, precisa de uma subscrição que o inclua, ou pode comprá-lo separadamente como subscrição autónoma ou complemento. Se não tiver o Intune, pode usar qualquer um dos outros métodos mencionados neste artigo. Para obter mais informações, veja licenciamento Microsoft Intune.

Para configurar atualizações offline de inteligência de segurança no Intune, utilize uma política de segurança de ponto final Antivirus. Para obter instruções detalhadas, consulte Criar políticas de segurança para pontos finais ou Modificar políticas existentes (as hiperligações abrem em novos separadores na documentação do Intune).

Ao criar a política, utilize estas definições específicas:

• Tipo de política: Aceda a Gerir>Antivírus na página Segurança de ponto final | Descrição geral em https://intune.microsoft.com/#view/Microsoft_Intune_Workflows/SecurityManagementMenu/~/overview, e, em seguida, selecione Criar política.
• Plataforma: Selecione Linux.
• Perfil: selecione Microsoft Defender Antivírus.

Ao criar ou modificar a política, configure as seguintes definições no separador Definições de configuração:

• Preferências de proteção fornecida através da cloud secção:

  • Atualizações automáticas de inteligência de segurança: Certifique-se de que esta definição está definida como Ativada.
  • Intervalo de tempo de atualização de inteligência de segurança: Por defeito, os endpoints Linux retiram atualizações de inteligência de segurança do servidor espelho a cada oito horas (28800 segundos). Para usar um intervalo diferente, deslize o botão para Configurado e introduza o intervalo em segundos.

• Secção do motor antivírus :

  • Ativar a atualização de inteligência de segurança offline: Selecione Ativar para disponibilizar as outras definições de atualização offline:
    • Recurso à cloud para atualização offline de inteligência de segurança: Defina este valor como True para que o dispositivo tente obter atualizações de inteligência de segurança a partir da cloud da Microsoft, caso não consiga obtê-las a partir do servidor de réplica.
    • URL ou diretório de atualização de inteligência de segurança offline: Deslize a opção para Configurado, e depois introduza o URL ou caminho do diretório do servidor espelho. Para um servidor HTTP ou HTTPS, use o formato http://<mirror_server_address>/linux/production/. Também pode especificar uma partilha de rede ou um ponto de montagem local ou remoto. Para mais informações, consulte Hospedar as atualizações de inteligência de segurança offline no servidor espelho.

Configurar endpoints no Portal do Microsoft Defender

Se a sua organização gerir políticas de segurança de endpoints no portal Microsoft Defender, pode configurar atualizações de inteligência de segurança offline com as mesmas políticas de segurança endpoint que o Intune utiliza.

Para instruções detalhadas, consulte Criar uma política de segurança de endpoint ou Editar uma política de segurança de endpoint (as ligações abrem em novos separadores).

Quando criar a política no separador Políticas do Linux da página Políticas de segurança de pontos finais no portal do Defender em https://security.microsoft.com/policy-inventory?osPlatform=Linux, utilize estas definições específicas:

• Selecionar plataforma: Selecionar Linux.
• Selecionar modelo: selecione Microsoft Defender Antivírus.

Ao criar ou modificar a política, use as definições descritas em Configurar endpoints no Microsoft Intune na página de definições de Configuração.

Quando atribui a política, as limitações do grupo de atribuição aplicam-se a dispositivos geridos através do Defender para a gestão das definições de segurança dos endpoints. Para mais detalhes, consulte o passo de Atribuições.

Configurar endpoints usando JSON gerido

O mdatp_managed.json ficheiro é o ficheiro de configuração gerido que o Defender for Endpoint no Linux lê no arranque para aplicar as definições de políticas. Use este método para configurar as definições manualmente ou com uma ferramenta de gestão de terceiros, como o Chef ou o Ansible. Atualize o exemplo seguinte para o seu ambiente e implemente-o em /etc/opt/microsoft/mdatp/managed/mdatp_managed.json.

{
  "cloudService": {
    "automaticDefinitionUpdateEnabled": true,
    "definitionUpdatesInterval": 1202
  },
  "antivirusEngine": {
    "offlineDefinitionUpdateUrl": "http://172.22.199.67:8000/linux/production/",
    "offlineDefinitionUpdateFallbackToCloud":false,
    "offlineDefinitionUpdate": "enabled"
  }
}

Verificação da assinatura do motor

A partir da versão 101.26062.0005 (agosto de 2026), o Defender for Endpoint para Linux verifica a assinatura digital do motor de antivírus antes de o carregar. Este comportamento predefinido de ativação ajuda a proteger os seus dispositivos contra ficheiros do motor adulterados ou não assinados.

O que precisa de saber

• A verificação de assinatura é ativada automaticamente em novas instalações e atualizações. Não é necessária qualquer ação separada.
• Se um ficheiro do motor falhar na verificação de assinatura, o Defender for Endpoint não o carrega.
• A offlineDefinitionUpdateVerifySig configuração está obsoleta e já não tem qualquer efeito. Se a sua configuração gerida utilizar esta definição, não é necessária qualquer substituição, porque a verificação da assinatura do motor está, por defeito, ativada.

Execute os seguintes comandos para visualizar o estado de verificação da assinatura:

mdatp health --details definitions
mdatp health --details features

Os campos relevantes aparecem em ambas as saídas de comandos:

offline_definition_update_verify_sig : "DEPRECATED"
engine_signature_verification        : "enabled"

Valores como a versão das definições, carimbos temporais e URI da fonte de atualização variam consoante o dispositivo.

Verificar atualizações de inteligência de segurança offline

Para verificar a configuração num endpoint Linux, consulte as definições e o estado da atualização de inteligência de segurança:

mdatp health --details definitions

O exemplo seguinte apresenta um dispositivo atualizado com atualizações offline da inteligência de segurança configuradas:

user@vm:~$ mdatp health --details definitions
automatic_definition_update_enabled         : true [managed]
definitions_updated                         : Mar 14, 2024 at 12:13:17 PM
definitions_updated_minutes_ago             : 2
definitions_version                         : "1.407.417.0"
definitions_status                          : "up_to_date"
definitions_update_source_uri               : "https://go.microsoft.com/fwlink/?linkid=2144709"
definitions_update_fail_reason              : ""
offline_definition_url_configured           : "http://172.XX.XXX.XX:8000/linux/production/" [managed]
offline_definition_update                   : "enabled" [managed]
offline_definition_update_verify_sig        : "DEPRECATED"
engine_signature_verification               : "enabled"
offline_definition_update_fallback_to_cloud : false[managed]

Acionar atualizações de inteligência de segurança offline

Pode ativar atualizações de inteligência de segurança offline automaticamente ou manualmente.

Configurar atualizações automáticas

O Defender for Endpoint recupera automaticamente atualizações de inteligência de segurança offline em intervalos configurados quando as seguintes definições são configuradas:

• O nível de aplicação do motor antivírus está definido para real_time.
• automaticDefinitionUpdateEnabled está definido como true.
• offlineDefinitionUpdate está definido como enabled.

O intervalo padrão de atualização é de oito horas. definitionUpdatesInterval Use para especificar um intervalo diferente em segundos.

Acionar uma atualização manual

Para que um endpoint Linux recupere imediatamente uma atualização de inteligência de segurança da sua fonte configurada, execute o seguinte comando:

mdatp definitions update

Verificar o estado da atualização

Depois de ativar uma atualização, use as seguintes verificações para confirmar o sucesso:

1. Veja o estado da atualização executando mdatp health --details definitions.

2. Confirme que up_to_date está definitions_update_fail_reason e que definitions_status está vazio. O exemplo seguinte mostra estes campos:

user@vm:~$ mdatp health --details definitions
...
definitions_status                          : "up_to_date"
...
definitions_update_fail_reason              : ""
...

Resolução de problemas e diagnósticos

Se as atualizações falharem, estiverem bloqueadas ou não iniciarem, siga estes passos para resolver o problema:

1. Verifique o estado das atualizações de inteligência de segurança offline. Use o seguinte comando para rever o estado atual da definição e atualizar a fonte:

   mdatp health --details definitions
   

   Procure informações na definitions_update_fail_reason secção .

2. Certifique-se de que offline_definition_update e engine_signature_verification estão ativados.

3. Revise definitions_update_source_uri para identificar onde o dispositivo recuperou a atualização:

   • Se o dispositivo recuperou a atualização do servidor espelho, definitions_update_source_uri deverá corresponder a offline_definition_url_configured.
   • Se o Fallback to Microsoft Cloud estiver ativado e a atualização do servidor espelho falhou, definitions_update_source_uri pode aparecer uma fonte Microsoft em vez disso.

4. Execute um teste de conectividade para confirmar que o endpoint pode aceder ao servidor espelho e aos serviços Defender necessários:

   mdatp connectivity test
   

5. Se a conectividade for bem-sucedida, tente manualmente a atualização da definição com o seguinte comando:

   mdatp definitions update
   

Conteúdo relacionado

• recursos de Linux
• Microsoft Defender para Endpoint no Linux
• Configurar definições e políticas de segurança para Microsoft Defender para Endpoint no Linux