المكون الإضافي ل Microsoft Defender لنقطة النهاية لنظام Windows الفرعي لنظام Linux (WSL)

ينطبق على:

• Defender for Endpoint الخطة 2
• Windows 11
• Windows 10، الإصدار 2004 والإصدارات الأحدث (النسخة 19044 والإصدارات الأحدث)

نظرة عامة

يوفر نظام Windows الفرعي لنظام التشغيل Linux (WSL) 2، الذي يحل محل الإصدار السابق من WSL (المدعوم من Microsoft Defender لنقطة النهاية دون مكون إضافي)، بيئة Linux متكاملة بسلاسة مع Windows، ومع ذلك يتم عزلها باستخدام تقنية المحاكاة الظاهرية. يمكن المكون الإضافي Defender لنقطة النهاية ل WSL Defender لنقطة النهاية من توفير رؤية أكبر لجميع حاويات WSL قيد التشغيل عن طريق توصيل النظام الفرعي المعزول.

المشكلات والقيود المعروفة

كن على دراية بما يلي قبل البدء:

1. لا يدعم المكون الإضافي التحديثات التلقائية على الإصدارات السابقة ل 1.24.522.2. في الإصدار 1.24.522.2 والإصدارات الأحدث؛ يتم دعم التحديثات من خلال Windows Update عبر جميع الحلقات. التحديثات من خلال خدمات Windows Server Update (WSUS) وإدارة تكوين مركز النظام (SCCM) وكتالوج Microsoft Update مدعومة فقط في حلقة الإنتاج لضمان استقرار الحزمة.

2. يستغرق الأمر بضع دقائق للمكون الإضافي لإنشاء مثيل كامل، وما يصل إلى 30 دقيقة لمثيل WSL2 لإلحاق نفسه. قد تؤدي مثيلات حاوية WSL قصيرة الأجل إلى عدم ظهور مثيل WSL2 في مدخل Microsoft Defender (https://security.microsoft.com). بمجرد تشغيل أي توزيع لفترة كافية (30 دقيقة على الأقل)، فإنه يظهر.

3. تشغيل نواة مخصصة وخط أوامر kernel مخصص غير مدعوم. على الرغم من أن المكون الإضافي لا يمنع التشغيل في هذا التكوين، فإنه لا يضمن الرؤية داخل WSL عند تشغيل نواة مخصصة وخط أوامر kernel مخصص. نوصي بحظر مثل هذه التكوينات بمساعدة إعدادات Microsoft Intune wsl.

4. يتم عرض توزيع نظام التشغيل بلا في صفحة نظرة عامة على الجهاز لجهاز WSL في مدخل Microsoft Defender.

5. المكون الإضافي غير مدعوم على الأجهزة المزودة بمعالج ARM64.

6. يوفر المكون الإضافي رؤية للأحداث من WSL ولكن لا تتوفر ميزات أخرى مثل أوامر الحماية من البرامج الضارة وإدارة التهديدات والثغرات الأمنية والاستجابة للجهاز المنطقي WSL.

المتطلبات الأساسية للبرامج

• يجب تشغيل الإصدار 2.0.7.0 من WSL أو أحدث مع توزيعة نشطة واحدة على الأقل.

  قم بتشغيل wsl --update للتأكد من أنك تستخدم أحدث إصدار. إذا wsl -–version كان يعرض إصدارا أقدم من 2.0.7.0، فقم بتشغيل wsl -–update –pre-release للحصول على آخر تحديث.

• يجب إلحاق جهاز عميل Windows ب Defender لنقطة النهاية.

• يجب أن يعمل جهاز عميل Windows بنظام التشغيل Windows 10، الإصدار 2004 والإصدارات الأحدث (النسخة 19044 والإصدارات الأحدث)، أو Windows 11 لدعم إصدارات WSL التي يمكن أن تعمل مع المكون الإضافي.

مكونات البرامج وأسماء ملفات المثبت

المثبت: DefenderPlugin-x64-0.24.426.1.msi. يمكنك تنزيله من صفحة الإعداد في مدخل Microsoft Defender.

دلائل التثبيت:

• %ProgramFiles%

• %ProgramData%

المكونات المثبتة:

• DefenderforEndpointPlug-in.dll. DLL هذه هي مكتبة لتحميل Defender لنقطة النهاية للعمل داخل WSL. يمكنك العثور عليه في المكون الإضافي ٪ProgramFiles٪\Microsoft Defender لنقطة النهاية ل WSL\plug-in.

• healthcheck.exe. يتحقق هذا البرنامج من الحالة الصحية ل Defender لنقطة النهاية ويمكنك من رؤية الإصدارات المثبتة من WSL والمكون الإضافي وDefender لنقطة النهاية. يمكنك العثور عليه في المكون الإضافي ٪ProgramFiles٪\Microsoft Defender لنقطة النهاية ل WSL\tools.

خطوات التثبيت

إذا لم يتم تثبيت نظام Windows الفرعي لنظام Linux بعد، فاتبع الخطوات التالية:

1. افتح Terminal أو موجه الأوامر. (في Windows، انتقل إلى البدء>موجه الأوامر. أو انقر بزر الماوس الأيمن فوق زر البدء ثم حدد Terminal.)

2. قم بتشغيل الأمر wsl -–install.

3. تأكد من تثبيت WSL وتشغيله.

   1. باستخدام Terminal أو موجه الأوامر، قم بتشغيل wsl –-update للتأكد من أن لديك أحدث إصدار.

   2. قم بتشغيل الأمر للتأكد من wsl تشغيل WSL قبل الاختبار.

4. قم بتثبيت المكون الإضافي باتباع الخطوات التالية:

   1. قم بتثبيت ملف MSI الذي تم تنزيله من قسم الإعداد في مدخل Microsoft Defender (إعدادات>نقاط> النهايةإلحاق>نظام Windows الفرعي ل Linux 2 (المكون الإضافي)).

   2. افتح موجه الأوامر/المحطة الطرفية وقم بتشغيل wsl.

   يمكنك نشر الحزمة باستخدام Microsoft Intune.

ملاحظة

إذا كان WslService قيد التشغيل، فإنه يتوقف أثناء عملية التثبيت. لا تحتاج إلى إلحاق النظام الفرعي بشكل منفصل؛ بدلا من ذلك، يتم إلحاق المكون الإضافي تلقائيا بالمستأجر الذي تم إلحاق مضيف Windows به.

قائمة التحقق من صحة التثبيت

1. بعد التحديث أو التثبيت، انتظر لمدة خمس دقائق على الأقل حتى يقوم المكون الإضافي بتهيئة إخراج السجل وكتابته بالكامل.

2. افتح Terminal أو موجه الأوامر. (في Windows، انتقل إلى البدء>موجه الأوامر. أو انقر بزر الماوس الأيمن فوق زر البدء ثم حدد Terminal.)

3. قم بتشغيل الأمر: cd "%ProgramFiles%\Microsoft Defender for Endpoint plug-in for WSL\tools".

4. قم بتشغيل الأمر .\healthcheck.exe.

5. راجع تفاصيل Defender وWSL وتأكد من مطابقتها أو تجاوزها المتطلبات التالية:

   • إصدار المكون الإضافي: 1.24.522.2
   • إصدار WSL: 2.0.7.0 أو أحدث
   • إصدار تطبيق Defender: 101.24032.0007
   • الحالة الصحية ل Defender: Healthy

تعيين وكيل ل Defender قيد التشغيل في WSL

يصف هذا القسم كيفية تكوين اتصال الوكيل للمكون الإضافي Defender for Endpoint. إذا كانت مؤسستك تستخدم وكيلا لتوفير الاتصال ب Defender لنقطة النهاية التي تعمل على مضيف Windows، فتابع القراءة لتحديد ما إذا كنت بحاجة إلى تكوينه للمكون الإضافي.

إذا كنت ترغب في استخدام تكوين وكيل بيانات تتبع الاستخدام windows EDR المضيف ل MDE للمكون الإضافي WSL، فلا يلزم أي شيء آخر. يتم اعتماد هذا التكوين بواسطة المكون الإضافي تلقائيا.

إذا كنت ترغب في استخدام تكوين وكيل winhttp المضيف ل MDE للمكون الإضافي WSL، فلا حاجة إلى المزيد. يتم اعتماد هذا التكوين بواسطة المكون الإضافي تلقائيا.

إذا كنت ترغب في استخدام إعداد الشبكة المضيفة ووكيل الشبكة ل MDE للمكون الإضافي WSL، فلا حاجة إلى المزيد. يتم اعتماد هذا التكوين بواسطة المكون الإضافي تلقائيا.

تحديد وكيل المكون الإضافي

إذا كان الجهاز المضيف يحتوي على إعدادات وكيل متعددة، يحدد المكون الإضافي تكوينات الوكيل بالتسلسل الهرمي التالي:

1. إعداد وكيل Defender لنقطة النهاية الثابتة (TelemetryProxyServer).

2. Winhttp الوكيل (تم تكوينه من خلال netsh الأمر).

3. إعدادات وكيل الشبكة & الإنترنت.

مثال: إذا كان الجهاز المضيف يحتوي على كل من وكيل Winhttpووكيل الشبكة & الإنترنت، يتم تحديد Winhttp proxy المكون الإضافي كتكوين الوكيل.

ملاحظة

DefenderProxyServer لم يعد مفتاح التسجيل مدعوما. اتبع الخطوات المذكورة أعلاه لتكوين الوكيل في المكون الإضافي.

اختبار الاتصال ل Defender الذي يعمل في WSL

يصف الإجراء التالي كيفية التأكد من أن Defender في نقطة النهاية في WSL لديه اتصال بالإنترنت.

1. افتح محرر السجل كمسؤول.

2. إنشاء مفتاح تسجيل بالتفاصيل التالية:

   • الاسم: ConnectivityTest
   • النوع: REG_DWORD
   • القيمة: Number of seconds plug-in must wait before running the test. (Recommended: 60 seconds)
   • المسار: Computer\HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Microsoft Defender for Endpoint plug-in for WSL

3. بمجرد تعيين السجل، أعد تشغيل wsl باستخدام الخطوات التالية:

   1. افتح موجه الأوامر وقم بتشغيل الأمر ، wsl --shutdown.

   2. قم بتشغيل الأمر wsl.

4. انتظر لمدة 5 دقائق ثم قم بتشغيل healthcheck.exe (الموجود في %ProgramFiles%\Microsoft Defender for Endpoint plug-in for WSL\tools لنتائج اختبار الاتصال).

   إذا نجحت، يمكنك أن ترى أن اختبار الاتصال كان ناجحا. إذا فشلت، يمكنك أن ترى أن اختبار الاتصال يشير invalid إلى فشل اتصال العميل من WSL إلى Defender لعناوين URL لخدمة نقطة النهاية.

ملاحظة

لتعيين وكيل للاستخدام في حاويات WSL (التوزيعات التي تعمل على النظام الفرعي)، راجع تكوين الإعدادات المتقدمة في WSL.

التحقق من الوظائف وتجربة محلل SOC

بعد تثبيت المكون الإضافي، يتم إلحاق النظام الفرعي وجميع حاوياته قيد التشغيل بمدخل Microsoft Defender.

1. سجل الدخول إلى مدخل Microsoft Defender، وافتح طريقة عرض الأجهزة .

2. تصفية باستخدام العلامة WSL2.

يمكنك مشاهدة جميع مثيلات WSL في بيئتك باستخدام مكون إضافي نشط ل Defender لنقطة النهاية ل WSL. تمثل هذه المثيلات جميع التوزيعات التي تعمل داخل WSL على مضيف معين. يتطابق اسم مضيف الجهاز مع اسم مضيف Windows. ومع ذلك، يتم تمثيله كجهاز Linux.

3. افتح صفحة الجهاز. في جزء Overview ، يوجد ارتباط لمكان استضافة الجهاز. يمكنك الارتباط من فهم أن الجهاز يعمل على مضيف Windows. يمكنك بعد ذلك العرض المحوري للمضيف لمزيد من التحقيق و/أو الاستجابة.

   

يتم ملء المخطط الزمني، على غرار Defender لنقطة النهاية على Linux، مع أحداث من داخل النظام الفرعي (ملف، عملية، شبكة). يمكنك مراقبة النشاط والكشف في طريقة عرض المخطط الزمني. يتم إنشاء التنبيهات والحوادث حسب الاقتضاء أيضا.

اختبار المكون الإضافي

لاختبار المكون الإضافي بعد التثبيت، اتبع الخطوات التالية:

1. افتح Terminal أو موجه الأوامر. (في Windows، انتقل إلى البدء>موجه الأوامر. أو انقر بزر الماوس الأيمن فوق زر البدء ثم حدد Terminal.)

2. قم بتشغيل الأمر wsl.

3. قم بتنزيل ملف البرنامج النصي واستخراجه من https://aka.ms/LinuxDIY.

4. في موجه Linux، قم بتشغيل الأمر ./mde_linux_edr_diy.sh.

   يجب أن يظهر تنبيه في المدخل بعد بضع دقائق للكشف على مثيل WSL2.

   ملاحظة

   يستغرق ظهور الأحداث على مدخل Microsoft Defender حوالي 5 دقائق.

تعامل مع الجهاز كما لو كان مضيف Linux عاديا في بيئتك لإجراء الاختبار عليه. على وجه الخصوص، نود الحصول على ملاحظاتك حول القدرة على عرض السلوك الضار المحتمل باستخدام المكون الإضافي الجديد.

الصيد المتقدم

في مخطط التتبع المتقدم، ضمن DeviceInfo الجدول، هناك سمة جديدة تسمى HostDeviceId يمكنك استخدامها لتعيين مثيل WSL إلى جهاز مضيف Windows الخاص به. فيما يلي بعض نماذج استعلامات التتبع:

الحصول على جميع معرفات جهاز WSL للمؤسسة/المستأجر الحالي

//Get all WSL device ids for the current organization/tenant 
let wsl_endpoints = DeviceInfo  
| where OSPlatform == "Linux" and isempty(HostDeviceId) != true
| distinct DeviceId; 

wsl_endpoints

الحصول على معرفات جهاز WSL ومعرفات الجهاز المضيف المقابلة لها

//Get WSL device ids and their corresponding host device ids 
DeviceInfo  
| where OSPlatform == "Linux" and isempty(HostDeviceId) != true
| distinct WSLDeviceId=DeviceId, HostDeviceId

الحصول على قائمة بمعرفات جهاز WSL حيث تم تشغيل curl أو wget

//Get a list of WSL device ids where curl or wget was run
let wsl_endpoints = DeviceInfo  
| where OSPlatform == "Linux" and isempty(HostDeviceId) != true
| distinct DeviceId; 

DeviceProcessEvents   
| where FileName == "curl" or FileName == "wget" 
| where DeviceId in (wsl_endpoints) 
| sort by Timestamp desc

استكشاف الأخطاء وإصلاحها

1. يعرض الأمر healthcheck.exe الإخراج، "تشغيل توزيعة WSL باستخدام الأمر "bash" وإعادة المحاولة في 5 دقائق."

   

2. إذا حدث الخطأ المذكور سابقا، فاتخذ الخطوات التالية:

   1. افتح مثيل محطة طرفية وقم بتشغيل الأمر wsl.

   2. انتظر لمدة 5 دقائق على الأقل قبل إعادة تشغيل الفحص الصحي.

3. healthcheck.exe قد يظهر الأمر الإخراج، "في انتظار بيانات تتبع الاستخدام. يرجى إعادة المحاولة في غضون 5 دقائق."

   

   إذا حدث هذا الخطأ، فانتظر لمدة 5 دقائق وأعد تشغيل healthcheck.exe.

4. إذا لم تشاهد أي أجهزة في مدخل Microsoft Defender، أو لم تشاهد أي أحداث في المخطط الزمني، فتحقق من الأشياء التالية:

   • إذا كنت لا ترى كائن جهاز، فتأكد من مرور وقت كاف لإكمال الإلحاق (عادة ما يصل إلى 10 دقائق).

   • تأكد من استخدام عوامل التصفية الصحيحة، ومن أن لديك الأذونات المناسبة المعينة لعرض جميع عناصر الجهاز. (على سبيل المثال، هل حسابك/مجموعتك مقيد بمجموعة معينة؟)

   • استخدم أداة التحقق من الصحة لتوفير نظرة عامة على صحة المكون الإضافي بشكل عام. افتح Terminal، وقم بتشغيل healthcheck.exe الأداة من %ProgramFiles%\Microsoft Defender for Endpoint plug-in for WSL\tools.

     

   • تمكين اختبار الاتصال والتحقق من اتصال Defender لنقطة النهاية في WSL. إذا فشل اختبار الاتصال، فوفر إخراج أداة التحقق من الصحة لفريق الدعم لدينا.

   • إذا أبلغ اختبار الاتصال عن "غير صالح" في التحقق من الصحة، فبادر بتضمين إعدادات التكوين التالية في .wslconfig الموجود في WSL %UserProfile% وإعادة تشغيله. يمكن العثور على تفاصيل حول الإعدادات في إعدادات WSL.

     • في Windows 11

       # Settings apply across all Linux distros running on WSL 2
       [wsl2]
       
       dnsTunneling=true
       
       networkingMode=mirrored  
       

     • في Windows 10

       # Settings apply across all Linux distros running on WSL 2
       [wsl2]
       
       dnsProxy=false
       

   • إذا استمرت مشكلات الاتصال، فاجمع سجلات الشبكات باستخدام الطريقة المذكورة في الارتباط، وقم بتضمين هذه السجلات مع حزمة الدعم الخاصة بك.

5. إذا واجهت أي تحديات أو مشكلات أخرى، فافتح Terminal، وقم بتشغيل الأوامر التالية لإنشاء حزمة دعم:

   cd "%ProgramFiles%\Microsoft Defender for Endpoint plug-in for WSL\tools"
   

   .\healthcheck.exe --supportBundle 
   

   يمكن العثور على حزمة الدعم في المسار الذي يوفره الأمر السابق.

   

6. تدعم نقطة نهاية Microsoft Defender ل WSL توزيعات Linux التي تعمل على WSL 2. إذا كانت مقترنة ب WSL 1، فقد تواجه مشكلات. لذلك، ينصح بتعطيل WSL 1. للقيام بذلك باستخدام نهج Intune، قم بتنفيذ الخطوات التالية:

   1. انتقل إلى مركز إدارة Microsoft Intune.

   2. انتقل إلىملفات تعريف> تكوين الأجهزة>إنشاء>نهج جديد.

   3. حدد Windows 10 ولاحقا>كتالوج الإعدادات.

   4. أنشئ اسما لملف التعريف الجديد، وابحث عن نظام Windows الفرعي لنظام Linux للاطلاع على القائمة الكاملة للإعدادات المتوفرة وإضافتها.

   5. قم بتعيين إعداد السماح ب WSL1 إلى معطل، للتأكد من أنه يمكن استخدام توزيعات WSL 2 فقط.

      بدلا من ذلك، إذا كنت تريد الاستمرار في استخدام WSL 1، أو عدم استخدام نهج Intune، يمكنك ربط التوزيعات المثبتة بشكل انتقائي للتشغيل على WSL 2، عن طريق تشغيل الأمر في PowerShell:

      wsl --set-version <YourDistroName> 2
      

      للحصول على WSL 2 كإصدار WSL افتراضي للتوزيعات الجديدة ليتم تثبيتها في النظام، قم بتشغيل الأمر التالي في PowerShell:

      wsl --set-default-version 2
      

7. يستخدم المكون الإضافي حلقة Windows EDR بشكل افتراضي. إذا كنت ترغب في التبديل إلى حلقة سابقة، فقم بتعيين OverrideReleaseRing إلى أحد الإجراءات التالية ضمن السجل وأعد تشغيل WSL:

   • الاسم: OverrideReleaseRing
   • النوع: REG_SZ
   • القيمة: Dogfood or External or InsiderFast or Production
   • المسار: Computer\HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Microsoft Defender for Endpoint plug-in for WSL

8. إذا رأيت خطأ عند تشغيل WSL، مثل "تم إرجاع خطأ فادح بواسطة المكون الإضافي "DefenderforEndpointPlug-in" رمز الخطأ: Wsl/Service/CreateInstance/CreateVm/Plugin/ERROR_FILE_NOT_FOUND"، فهذا يعني أن المكون الإضافي ل Defender لنقطة النهاية لتثبيت WSL خاطئ. لإصلاحه، اتبع الخطوات التالية:

   1. في لوحة التحكم، انتقل إلى البرامج>والميزات.

   2. ابحث عن المكون الإضافي ل Microsoft Defender لنقطة النهاية وحدده ل WSL. ثم حدد إصلاح.

   يجب أن يحل هذا المشكلة عن طريق وضع الملفات الصحيحة في الدلائل المتوقعة.