Konfigurera och validera undantag för Microsoft Defender för Endpoint på Linux

Använd undantag för att förhindra att Microsoft Defender för Endpoint på Linux skannar eller övervakar betrodda filer, mappar, processer och filtillägg. Undantag kan hjälpa till att undvika felaktiga upptäckter av filer eller programvara som är unik för din organisation.

Defender for Endpoint på Linux stöder följande exklusionsområden:

• Antivirus (omfattning epp): Undantag gäller för skanningar på begäran, realtidsskydd (RTP) och beteendeövervakning (BM), samtidigt som endpoint-detektering och respons (EDR) bibehålls.

  • Filer som utesluts från antivirusskanning kan ändå leda till EDR-varningar och andra upptäckter. För att begära ett undantag endast för EDR, kontakta Microsoft Support via Administrationscenter för Microsoft 365.

• Global (omfattning global): Undantag gäller RTP, BM och EDR, vilket stoppar associerade antivirusupptäckter, EDR-varningar och synlighet för det uteslutna objektet. Globala exklusioner gäller på sensornivå och tystar händelser som matchar uteslutningsvillkoren innan bearbetning.

  • Globala undantag finns tillgängliga i Defender for Endpoint på Linux-versionen 101.24092.0001 (oktober 2024) eller senare.
  • Globala undantag gäller inte nätverksskydd. Processundantag kan påverka nätverksskyddet genom att förhindra att det inspekterar trafik eller upprätthåller regler för den uteslutna processen. För mer information, se Översikt över undantag och indikatorer i Microsoft Defender för Endpoint.
  • Globala undantag kan vara användbara för att mildra prestandaproblem orsakade av Defender for Endpoint på Linux.

Undantagstyper som stöds

Defender for Endpoint på Linux stöder följande typer av uteslutningar:

• Filändelse: Alla filer med angiven filändelse var som helst på enheten.

  • Filtilläggsundantag är inte tillgängliga för globala undantag.
  • Exempel: .test

• Fil: En specifik fil identifierad av sin fullständiga sökväg.

  • För globala undantag måste filsökvägen finnas innan du lägger till eller tar bort undantaget.
  • Exempel:
    • /var/log/test.log
    • /var/log/*.log
    • /var/log/install.?.log

• Mapp: Alla filer i den angivna mappen, rekursivt.

  • Exempel:
    • /var/log/
    • /var/*/

• Process: En specifik process, identifierad med sin fullständiga sökväg eller filnamn, och alla filer som öppnas av processen.

  • För antivirusundantag kan du ange antingen en fullständig sökväg eller filnamn. Vi rekommenderar att använda den fullständiga sökvägen.
  • För globala undantag, exkludera endast det som behövs för systemets tillförlitlighet och säkerhet. Verifiera att processen är känd och betrodd, specificera dess fullständiga väg och bekräfta att den konsekvent startar från den betrodda vägen.
  • Exempel:
    • /bin/cat
    • cat
    • c?t

Wildcard-tecken som stöds för undantag för filer, mappar och processer

Du kan använda följande wildcard-mönster när du definierar undantag för antivirusfiler, mappar och processer. Jokertecken stöds inte för globala exkluderingar.

• Asterisk (*): Matchar valfritt antal tecken, inklusive inga tecken. Om detta wildcard inte används i slutet av vägen, ersätter det bara en mapp.

  • För antivirusundantag matchar ett * jokerkort i slutet av vägen alla filer och underkataloger under jokerns förälder.
  • Exempel:
    • /var/*/tmp:
      • Inkluderar: Alla filer i /var/abc/tmp och /var/def/tmp deras undermappar.
      • Inkluderar inte: /var/abc/log eller /var/def/log.
    • /var/*/:
      • Inkluderar: Filer i underkataloger såsom /var/abc/
      • Inkluderar inte: Filer direkt i /var.

• Frågetecken (?): Matchar vilken enskild karaktär som helst.

  • Exempel: file?.log
    • Inkluderar: file1.log och file2.log.
    • Inkluderar inte: file123.log.

Konfigurera undantag

Använd en av följande metoder för att konfigurera undantag.

Konfigurera exkluderingar med hanterad JSON

I företagsmiljöer kan du använda ett konfigurationshanteringsverktyg som Puppet eller Ansible för att distribuera en konfigurationsprofil med namnet mdatp_managed.json/etc/opt/microsoft/mdatp/managed/. Mer information finns i Ange inställningar för Defender för Endpoint på Linux.

I följande mdatp_managed.json exempel visas hur du konfigurerar antivirusprogram och globala undantag för filer, mappar, tillägg och processer:

{
   "exclusionSettings":{
     "exclusions":[
        {
           "$type":"excludedPath",
           "isDirectory":true,
           "path":"/home/*/git<EXAMPLE DO NOT USE>",
           "scopes": [
              "epp"
           ]
        },
        {
           "$type":"excludedPath",
           "isDirectory":true,
           "path":"/run<EXAMPLE DO NOT USE>",
           "scopes": [
              "global"
           ]
        },
        {
           "$type":"excludedPath",
           "isDirectory":false,
           "path":"/var/log/system.log<EXAMPLE DO NOT USE><EXCLUDED IN ALL SCENARIOS>",
           "scopes": [
              "epp", "global"
           ]
        },
        {
           "$type":"excludedFileExtension",
           "extension":".pdf<EXAMPLE DO NOT USE>",
           "scopes": [
              "epp"
           ]
        },
        {
           "$type":"excludedFileName",
           "name":"/bin/cat<EXAMPLE DO NOT USE><NO SCOPE PROVIDED - GLOBAL CONSIDERED>"
        }
     ],
     "mergePolicy":"admin_only"
   }
}

Konfigurera undantag med hjälp av Defender för hantering av slutpunktssäkerhetsinställningar

Du kan använda Microsoft Intune admincenter eller Microsoft Defender-portalen för att hantera undantag som endpoint-säkerhetspolicys och tilldela policyerna till Microsoft Entra-grupper. Om du använder säkerhetsinställningshantering för första gången, genomför följande steg:

Steg 1: Aktivera hantering av säkerhetsinställningar för Linux

1. Gå till sidan Endpoints>Configuration Management>Tillämpningsomfång i Microsoft Defender-portalen på https://security.microsoft.com/securitysettings/endpoints/configuration_management.
2. På sidan Enforcement scope , kontrollera följande inställning i avsnittet Aktivera konfigurationshantering :
   • Välj Linux-enheter och välj sedan ett av följande värden:
     • Välj På taggade enheter för att testa säkerhetsinställningarna med valda enheter. Lägg till taggen MDE-Management på varje testenhet. För instruktioner och andra taggningsmetoder, se Skapa och hantera enhetstaggar.
     • Välj Alla enheter för att registrera alla berättigade Linux-enheter.

De flesta enheter registrerar sig och tillämpar tilldelade policyer inom några minuter, även om vissa enheter kan ta upp till 24 timmar.

Steg 2: Skapa en Microsoft Entra-enhetsgrupp

Skapa en dynamisk Microsoft Entra-enhetsgrupp baserad på Linux-operativsystemets typ. Dynamiskt medlemskap lägger automatiskt till matchande enheter, så du behöver inte underhålla gruppmedlemskap manuellt. För mer information, se Create Microsoft Entra-grupper för hantering av säkerhetsinställningar.

Steg 3: Skapa en policy för Linux-undantag

För detaljerade instruktioner, se Skapa en endpoint-säkerhetspolicy (länk öppnas i en ny flik).

När du skapar policyn under fliken Linux policies på sidan Endpoint security policies i Defender-portalen på https://security.microsoft.com/policy-inventory?osPlatform=Linux, använd dessa specifika inställningar:

• Välj plattform: Välj Linux.
• Välj mall:
  • För globala antivirus- och EDR-undantag, välj Microsoft Defender Global Exclusions (AV+EDR).
  • För antivirusundantag, välj Microsoft Defender Antivirus-undantag.

I guiden för policyskapande, använd dessa inställningar:

• Konfigurationsinställningsflik : Konfigurera de inställningar du vill hantera med denna profil.
• Fliken Tilldelningar: Begränsningar för tilldelningsgrupper gäller för enheter som hanteras via Defender for Endpoint säkerhetsinställningar. Mer information finns i steget Tilldelningar.

Konfigurera undantag med hjälp av kommandoraden

För att se tillgängliga delkommandon och alternativ för att hantera undantag, kör kommandot mdatp exclusion :

mdatp exclusion

Kommandosyntax

Följande syntax sammanfattar de tillgängliga uteslutningsdelkommandon, alternativen och värdena:

mdatp exclusion {extension {add|remove} --name <extension> | file {add|remove} --path <file-path> [--scope {epp|global}] | folder {add|remove} --path <folder-path> [--scope {epp|global}] | process {add|remove} {--path <process-path> [--scope {epp|global}] | --name <process-name> [--scope epp]} | list}

Lägg till eller ta bort undantag för filändelser

Undantag för filtillägg stöds endast för omfattningen antivirus (epp). Följande kommandon lägger till och tar bort extension-exkluderingen .txt :

mdatp exclusion extension add --name .txt

mdatp exclusion extension remove --name .txt

Lägg till eller ta bort filundantag

Filen måste finnas innan du lägger till eller tar bort ett undantag med omfattningen global .

Följande kommandon lägger till och tar bort ett antivirus (epp) filundantag:

mdatp exclusion file add --path /var/log/dummy.log

mdatp exclusion file remove --path /var/log/dummy.log

Följande kommandon lägger till och tar bort ett globalt filundantag:

mdatp exclusion file add --path /var/log/dummy.log --scope global

mdatp exclusion file remove --path /var/log/dummy.log --scope global

Lägg till eller ta bort mappundantag

Följande kommandon lägger till och tar bort ett undantag för en mapp i ett antivirusprogram (epp):

mdatp exclusion folder add --path /var/log/

mdatp exclusion folder remove --path /var/log/

Följande kommandon lägger till och tar bort ett globalt mappundantag:

mdatp exclusion folder add --path /var/log/ --scope global

mdatp exclusion folder remove --path /var/log/ --scope global

Kör kommandot en gång för varje mapp du vill utesluta. Du kan tilldela olika scopes till olika mappar.

Undantag för antivirusmappar stödjer joker. Följande kommando exkluderar vägar under */var/*/tmp/*, men inte syskonmappar såsom */var/this-subfolder/log*:

mdatp exclusion folder add --path "/var/*/tmp"

För att utesluta alla vägar under /var/, använd någon av följande kommandon:

mdatp exclusion folder add --path "/var/"

mdatp exclusion folder add --path "/var/*/"

Lägg till eller ta bort processundantag

För globala processexkluderingar, specificera hela processvägen genom att använda --path. Följande kommandon lägger till och tar bort ett globalt processundantag:

mdatp exclusion process add --path /usr/bin/cat --scope global

mdatp exclusion process remove --path /usr/bin/cat  --scope global

För antivirus (epp) processexkluderingar kan du ange processnamnet eller hela sökvägen. Följande kommandon lägger till och tar bort ett undantag för antivirusprocesser efter namn:

mdatp exclusion process add --name cat

mdatp exclusion process remove --name cat

Kör kommandot en gång för varje process du vill utesluta. Du kan tilldela olika omfattningar till olika processer.

Validera undantag med EICAR-testfilen

EICAR-testfilen är en liten, harmlös textfil som innehåller en standardsträng som antivirusprodukter känner igen som skadlig kod. Du kan använda den för att säkert bekräfta att en exkludering fungerar utan att använda riktig skadlig kod. Defender for Endpoint på Linux upptäcker filen utifrån dess innehåll, inte dess filnamn.

Innan du testar ett undantag, kontrollera att realtidsskydd är aktiverat. Kör följande kommando och bekräfta att det returnerar true:

mdatp health --field real_time_protection_enabled

Skapa EICAR-testfilen så att dess filnamn, filändelse eller plats matchar det undantag du vill validera:

• Använd ett specifikt filnamn eller skapa filen i en specifik mapp för att verifiera undantag för filer och mappar.
• Använd vilket filnamn som helst med den uteslutna filändelsen för att validera ett filtilläggsundantag.

Om Defender for Endpoint upptäcker filen fungerar inte undantaget. Om filen finns och Defender for Endpoint inte upptäcker den, fungerar uteslutningen.

Dessa steg är utformade för att validera undantag för fil, mapp och filändelser. De ger inget allmänt test för processundantag, som beror på vilken process som skapar eller öppnar filen.

Använd en av följande metoder för att skapa en EICAR-testfil som matchar din exklusion:

• Med internetåtkomst: Använd följande curl syntax för att ladda ner testfilen:

  curl -o <file-name-or-path> https://secure.eicar.org/eicar.com.txt
  

  Till exempel, om du har uteslutit .testing filändelsen, ladda ner testfilen med den filändelsen:

  curl -o test.testing https://secure.eicar.org/eicar.com.txt
  

  För att testa en mappexkludering, kör kommandot i den mappen.

• Utan internetåtkomst: Skapa EICAR-testfilen lokalt. Till exempel, byt test.txt till ett filnamn eller en sökväg som matchar din exkludering:

  echo 'X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*' > test.txt
  

Relaterat innehåll

Följande artiklar innehåller mer information om hur du konfigurerar och hanterar Defender för Endpoint i Linux:

• Microsoft Defender för Endpoint för Linux
• Ange inställningar för Microsoft Defender för Endpoint i Linux