Konfigurera uppdateringar av säkerhetsinformation offline för Microsoft Defender för Endpoint på Linux

Offline-uppdateringar av säkerhetsintelligens håller Microsoft Defender för Endpoint på Linux-enheter uppdaterade när de har begränsad eller ingen internetuppkoppling. I den här artikeln konfigurerar du en spegelserver för att ladda ner uppdateringar från Microsoft, konfigurerar Linux-endpoints för att hämta uppdateringarna och verifierar distributionen. Innan du börjar, se till att din miljö uppfyller förutsättningarna.

Så här fungerar uppdateringar av säkerhetsinformation offline

Offline-uppdateringar av säkerhetsintelligens använder en lokal hostingserver, kallad en spegelserver, för att ladda ner säkerhetsintelligensuppdateringar från Microsoft. Linux-enheter hämtar uppdateringarna från spegelservern med konfigurerade intervaller.

Den offline uppdateringsprocessen fungerar enligt följande:

• Du sätter upp en lokal webb- eller nätverksfilsystem (NFS)-server som kan ansluta till Microsoft för att ladda ner uppdateringar.
• Du använder ett cron-jobb eller en schemalagd uppgift för att köra nedladdningsskriptet på spegelservern.
• Linux-endpoints som kör Defender for Endpoint hämtar de nedladdade uppdateringarna från spegelservern med ett konfigurerat intervall.
• Defender for Endpoint verifierar de nedladdade uppdateringarna innan de laddas in i antivirusmotorn.
• Du konfigurerar uppdateringsprocessen på Linux-endpoints genom att använda en endpoint security policy eller den hanterade JSON-filen.
• Du ser uppdateringsstatus genom att använda mdatp kommandoradsverktyget.

Bild 1. Spegelservern laddar ner och hostar offline-uppdateringar av säkerhetsintelligens.

Bild 2. Linux-endpoints hämtar offline-uppdateringar av säkerhetsintelligens från spegelservern.

Speglingsservern kan köra något av följande operativsystem:

• Linux
• Windows
• macOS

Fördelar med att använda uppdateringar av säkerhetsinformation offline

Viktiga fördelar är:

• Kontrollera hur ofta spegelservern laddar ner uppdateringar och hur ofta ändpunkterna hämtar dem.
• Testa nedladdade uppdateringar på en testenhet innan du distribuerar dem i hela organisationen.
• Minska nätverksbandbredden eftersom endast mirror-servern laddar ner uppdateringar från Microsoft.
• Använd en Windows-, macOS- eller Linux-spegelserver utan att installera Defender for Endpoint på den.
• Ladda ner säkerhetsintelligensuppdateringar med den senaste kompatibla antivirusmotorn.
• Behåll den föregående uppdateringen i en backupmapp. Om det är problem med den senaste uppdateringen kan du distribuera den tidigare versionen istället.
• Konfigurera endpoints för att hämta uppdateringar från Microsoft om en uppdatering från mirror-servern misslyckas.

Förhandskrav

• Installera Defender for Endpoint-versionen 101.24022.0001 (mars 2024) eller senare på Linux-endpoints.

• Se till att Linux-endpoints kan ansluta till mirror-servern.

• Använd en stödd Linux-distribution.

• Konfigurera spegelservern som en HTTP- eller HTTPS-server, en NFS-server eller en annan nätverksdelning.

• Se till att spegelservern kan komma åt följande URL:er:

  • https://github.com/microsoft/mdatp-xplat.git
  • https://go.microsoft.com/fwlink/?linkid=2144709
  • https://definitionupdates.microsoft.com

  Den offlineuppdateringshämtaren anropar länken go.microsoft.com och följer dess omdirigeringar till definitionupdates.microsoft.com för att hämta manifestet och uppdateringspaketet. Konfigurera spegelserverns brandvägg eller proxy för att tillåta utgående HTTPS-åtkomst till båda slutpunkterna.

• Installera Bash eller PowerShell på mirror-servern. Bash-nedladdningsskriptet kräver också curl och jq.

• Följande minsta systemspecifikationer krävs för speglingsservern:

  Processorkärnor	RAM	Kostnadsfri disk	Swap
  2 kärnor (4 kärnor föredras)	Minst 1 GB (4 GB föredras)	2 GB	Systemberoende

  Obs!

  Den här konfigurationen kan variera beroende på antalet begäranden som hanteras och vilken belastning varje server måste bearbeta.

Konfigurera speglingsservern

Hämta nedladdningsskriptet för säkerhetsinformation offline

Microsoft är värd för ett nedladdningsskript för säkerhetsinformation offline på lagringsplatsen microsoft/mdatp-xplat GitHub.

Använd ett av följande alternativ för att få nedladdningsskriptet.

Alternativ 1: Klona arkivet (föredras)

För att klona arkivet, följ dessa steg:

1. Installera Git på spegelservern.

2. Gå till katalogen där du vill klona lagringsplatsen.

3. Klona arkivet genom att köra git clone https://github.com/microsoft/mdatp-xplat.git.

Alternativ 2: Ladda ned den komprimerade filen

Följ dessa steg om du vill använda zip-paketet i stället för att klona lagringsplatsen:

1. Ladda ned den komprimerade filen.

2. Kopiera den nedladdade filen till mappen där du vill behålla skriptet.

3. Extrahera den komprimerade mappen.

4. Använd en schemalagd uppgift eller cron-jobb för att periodvis ladda ner och extrahera den senaste versionen.

Lokal katalogstruktur efter kloning av lagringsplatsen eller nedladdning av den zippade filen

Använd följande exempelkataloglista för att kontrollera att din lokala kopia innehåller den förväntade linux/definition_downloader strukturen och skripten:

user@vm:~/mdatp-xplat$ tree linux/definition_downloader/
linux/definition_downloader/
├── README.md
├── settings.json
├── settings.ps1
├── xplat_offline_updates_download.ps1
└── xplat_offline_updates_download.sh

0 directories, 5 files

Konfigurera följande fält i settings.json för att styra nedladdningsskriptet:

Kör nedladdningsskriptet för säkerhetsinformation offline

För att ladda ner den senaste uppdateringen manuellt, konfigurera settings.json och använd sedan kommandot för shellen på din spegelserver:

• Bash: Kör följande kommando för att hämta de senaste uppdateringarna av offlinedefinitionen till den konfigurerade nedladdningsmappen:

  ./xplat_offline_updates_download.sh
  

• PowerShell: Kör PowerShell-nedladdningsskriptet på en spegelserver med PowerShell:

  ./xplat_offline_updates_download.ps1
  

Lagra offlineuppdateringar för säkerhetsunderrättelser på speglingsservern

När skriptet körs hämtar det ned manifest.json och updates.zip till mappar som är organiserade efter operativsystem, releasekanal och arkitektur. Till exempel lagras Linux-produktionsuppdateringar för x86_64 enheter under linux/production/arch_x86_64 i den konfigurerade nedladdningsmappen.

Hosta den konfigurerade nedladdningsmappen på en HTTP- eller HTTPS-server, nätverksdelning eller lokal eller fjärrmonteringspunkt som Linux-endpoints kan nå.

Kopiera URL:en eller den absoluta katalogsökvägen genom release-ring-mappen, men inkludera inte katalogen arch_* .

När du har konfigurerat spegelservern distribuerar du dess URL eller sökväg till Linux-slutpunkter som värdet offlineDefinitionUpdateUrl. Välj en av metoderna i Konfigurera endpoints.

Konfigurera slutpunkter i Microsoft Intune

Microsoft Intune är det rekommenderade verktyget för att konfigurera och distribuera Defender för slutpunktsfunktioner till enheter. Intune är dock en separat produkt som inte ingår i Defender för Endpoint och som inte ingår i alla prenumerationer. Om du vill använda Intune behöver du en prenumeration som innehåller den, eller så kan du köpa den separat som en fristående prenumeration eller ett tillägg. Om du inte har Intune kan du använda någon av de andra metoderna i den här artikeln. Mer information finns i Microsoft Intune licensiering.

För att konfigurera offline-uppdateringar av säkerhetsintelligens i Intune, använd en endpoint security Antivirus-policy . För detaljerade instruktioner, se Skapa endpoint-säkerhetspolicyer eller Modifiera befintliga policys (länkar öppnar nya flikar i Intune-dokumentationen).

När du skapar policyn, använd dessa specifika inställningar:

• Policytyp: Gå till Hantera>antivirus på Endpoint Security | Översiktssida på https://intune.microsoft.com/#view/Microsoft_Intune_Workflows/SecurityManagementMenu/~/overview, och välj sedan Skapa policy.
• Plattform: Välj Linux.
• Profil: Välj Microsoft Defender Antivirus.

När du skapar eller ändrar policyn, konfigurera följande inställningar under fliken Konfigurationsinställningar :

• Sektionen för molnlevererade skyddsinställningar :

  • Automatiska uppdateringar av säkerhetsintelligens: Se till att denna inställning är inställd på Aktiverad.
  • Uppdateringsintervall för säkerhetsintelligens: Som standard hämtar Linux-endpoints säkerhetsintelligensuppdateringar från spegelservern var åttonde timme (28800 sekund). För att använda ett annat intervall, dra reglaget till Konfigurerad och ange intervallet på några sekunder.

• Antivirusmotor-avsnittet:

  • Aktivera offline-uppdatering av säkerhetsintelligens: Välj Aktivera för att göra de andra offline-uppdateringsinställningarna tillgängliga:
    • Reserv till molnet för offlineuppdatering av säkerhetsunderrättelser: Ange värdet till True så att slutpunktenheten försöker hämta uppdateringar av säkerhetsunderrättelser från Microsoft-molnet om den inte kan hämta dem från speglingsservern.
    • URL eller katalog för uppdatering av offline-säkerhetsinformation: Skjut reglaget till Konfigurerat och ange sedan URL:en eller katalogsökvägen till spegelservern. För en HTTP- eller HTTPS-server, använd formatet http://<mirror_server_address>/linux/production/. Du kan också ange en nätverksdelning eller lokal eller fjärrmonteringspunkt. För mer information, se Lagra offlineuppdateringar av säkerhetsinformation på spegelservern.

Konfigurera slutpunkter i Microsoft Defender-portalen

Om din organisation hanterar endpoint-säkerhetspolicys i Microsoft Defender-portalen kan du konfigurera offline-uppdateringar av säkerhetsintelligens med samma endpoint-säkerhetspolicys som Intune använder.

För detaljerade instruktioner, se Skapa en endpoint-säkerhetspolicy eller Redigera en endpoint-säkerhetspolicy (länkar öppnar nya flikar).

När du skapar policyn under fliken Linux policies på sidan Endpoint security policies i Defender-portalen på https://security.microsoft.com/policy-inventory?osPlatform=Linux, använd dessa specifika inställningar:

• Välj plattform: Välj Linux.
• Välj mall: Välj Microsoft Defender Antivirus.

När du skapar eller ändrar policyn, använd inställningarna som beskrivs i Konfigurera endpoints i Microsoft Intune på sidan Konfigurationsinställningar.

När du tilldelar policyn gäller begränsningar för tilldelningsgrupper för enheter som hanteras via Defender for Endpoint säkerhetsinställningar. Mer information finns i steget Tilldelningar.

Konfigurera endpoints med hanterad JSON

Filen mdatp_managed.json är den hanterade konfigurationsfilen som Defender för Endpoint i Linux läser vid start för att tillämpa principinställningar. Använd denna metod för att konfigurera inställningarna manuellt eller med ett tredjepartshanteringsverktyg som Chef eller Ansible. Uppdatera följande exempel för din miljö och distribuera det till /etc/opt/microsoft/mdatp/managed/mdatp_managed.json.

{
  "cloudService": {
    "automaticDefinitionUpdateEnabled": true,
    "definitionUpdatesInterval": 1202
  },
  "antivirusEngine": {
    "offlineDefinitionUpdateUrl": "http://172.22.199.67:8000/linux/production/",
    "offlineDefinitionUpdateFallbackToCloud":false,
    "offlineDefinitionUpdate": "enabled"
  }
}

Verifiering av motorsignatur

Från och med lanseringen 101.26062.0005 (augusti 2026) verifierar Defender for Endpoint på Linux antivirusmotorns digitala signatur innan den laddas. Detta standardaktiverade beteende hjälper till att skydda dina enheter mot manipulerade eller osignerade motorfiler.

Vad du behöver veta

• Signaturverifiering aktiveras automatiskt vid nya installationer och uppgraderingar. Ingen separat åtgärd krävs.
• Om en motorfil misslyckas med signaturverifiering laddar inte Defender for Endpoint in den.
• Inställningen offlineDefinitionUpdateVerifySig är föråldrad och har inte längre någon effekt. Om din hanterade konfiguration använder denna inställning krävs ingen ersättningsåtgärd eftersom motorns signaturverifiering är aktiverad som standard.

Kör följande kommandon för att se signaturverifieringsstatusen:

mdatp health --details definitions
mdatp health --details features

De relevanta fälten visas i båda kommandoutgångarna:

offline_definition_update_verify_sig : "DEPRECATED"
engine_signature_verification        : "enabled"

Värden som definitionsversion, tidsstämplar och uppdateringskälls-URI varierar beroende på enhet.

Kontrollera offlineuppdateringar av säkerhetsinformation

För att verifiera konfigurationen på en Linux-endpoint, se säkerhetsintelligensuppdateringens inställningar och status:

mdatp health --details definitions

Följande exempel på utdata visar en uppdaterad enhet med offlineuppdateringar för säkerhetsinformation konfigurerade:

user@vm:~$ mdatp health --details definitions
automatic_definition_update_enabled         : true [managed]
definitions_updated                         : Mar 14, 2024 at 12:13:17 PM
definitions_updated_minutes_ago             : 2
definitions_version                         : "1.407.417.0"
definitions_status                          : "up_to_date"
definitions_update_source_uri               : "https://go.microsoft.com/fwlink/?linkid=2144709"
definitions_update_fail_reason              : ""
offline_definition_url_configured           : "http://172.XX.XXX.XX:8000/linux/production/" [managed]
offline_definition_update                   : "enabled" [managed]
offline_definition_update_verify_sig        : "DEPRECATED"
engine_signature_verification               : "enabled"
offline_definition_update_fallback_to_cloud : false[managed]

Utlösa offlineuppdateringar av säkerhetsunderrättelser

Du kan utlösa uppdateringar av säkerhetsinformation offline automatiskt eller manuellt.

Konfigurera automatiska uppdateringar

Defender for Endpoint hämtar automatiskt offlineuppdateringar av säkerhetsintelligens med konfigurerade intervaller när följande inställningar konfigureras:

• Antivirusmotorns kontrollnivå är satt till real_time.
• automaticDefinitionUpdateEnabled är inställt på true.
• offlineDefinitionUpdate är inställt på enabled.

Standardintervallet för uppdateringar är åtta timmar. Använd definitionUpdatesInterval för att ange ett annat intervall i sekunder.

Trigga en manuell uppdatering

För att en Linux-endpoint omedelbart ska hämta en säkerhetsintelligensuppdatering från sin konfigurerade källa, kör följande kommando:

mdatp definitions update

Kontrollera uppdateringsstatus

När du har utlöst en uppdatering använder du följande kontroller för att bekräfta att den har slutförts:

1. Visa uppdateringsstatusen genom att köra mdatp health --details definitions.

2. Verifiera att definitions_status är up_to_date och definitions_update_fail_reason är tom. Följande exempel visar dessa fält:

user@vm:~$ mdatp health --details definitions
...
definitions_status                          : "up_to_date"
...
definitions_update_fail_reason              : ""
...

Felsökning och diagnostik

Om uppdateringar misslyckas, har fastnat eller inte startar följer du dessa steg för att felsöka:

1. Kontrollera statusen för uppdateringar av säkerhetsinformation offline. Använd följande kommando för att granska det aktuella definitionstillståndet och uppdateringskällan:

   mdatp health --details definitions
   

   Leta efter information i avsnittet definitions_update_fail_reason .

2. Kontrollera att offline_definition_update och engine_signature_verification är aktiverade.

3. Gå igenom definitions_update_source_uri för att identifiera var enheten hämtade uppdateringen:

   • Om enheten hämtade uppdateringen från spegelservern definitions_update_source_uri borde det matcha offline_definition_url_configured.
   • Om reservläge till Microsoft-molnet är aktiverat och uppdateringen av spegelservern misslyckades kan definitions_update_source_uri istället visa en Microsoft-källa.

4. Kör ett anslutningstest för att bekräfta att slutpunkten kan nå speglingsservern och nödvändiga Defender tjänster:

   mdatp connectivity test
   

5. Om anslutningen lyckas gör du ett nytt försök med definitionsuppdateringen med följande kommando:

   mdatp definitions update
   

Relaterat innehåll

• Linux resurser
• Microsoft Defender för Endpoint på Linux
• Konfigurera säkerhetsinställningar och principer för Microsoft Defender för Endpoint på Linux