Linux-Microsoft Defender for Endpoint tietosuoja
Haluatko kokeilla Defender for Endpointia? Rekisteröidy maksuttomaan kokeiluversioon.
Microsoft on sitoutunut tarjoamaan sinulle tietoja ja ohjausobjekteja, joita tarvitset tehdäksesi valintoja siitä, miten tietoja kerätään ja käytetään, kun käytät Defender for Endpointia Linuxissa.
Tässä artikkelissa kuvataan tuotteen tietosuojatoiminnot, näiden ohjausobjektien hallinta käytäntöasetusten avulla ja annetaan lisätietoja kerättävissä tietotapahtumissa.
Yleiskatsaus tietosuojan ohjausobjekteihin Linuxin Microsoft Defender for Endpoint
Tässä osiossa kuvataan erityyppisten tietojen tietosuojatoiminnot, joita Defender kerää Linuxin päätepisteelle.
Diagnostiikkatiedot
Diagnostiikkatietoja käytetään pitämään Defender for Endpoint suojattuna ja ajan tasalla, tunnistamaan, diagnosoimaan ja korjaamaan ongelmia sekä tekemään myös tuoteparannuksia.
Jotkin diagnostiikkatiedot ovat pakollisia ja jotkin valinnaisia. Microsoft antaa sinulle mahdollisuuden valita, lähetetäänkö microsoftille pakolliset vai valinnaiset diagnostiikkatiedot käyttämällä tietosuojan hallintaa, kuten organisaatioiden käytäntöasetuksia.
Defender for Endpoint -asiakasohjelmiston diagnostiikkatiedoissa on kaksi tasoa, joista voit valita:
- Pakollinen: Pienin tarvittava määrä tietoja, joiden avulla Defender for Endpoint pysyy suojattuna, ajan tasalla ja toimii odotetulla tavalla laitteessa, johon se on asennettu.
- Valinnainen: Muut tiedot, jotka auttavat Microsoftia tekemään tuoteparannuksia ja tarjoavat parannettuja tietoja ongelmien tunnistamiseen, diagnosointiin ja korjaamiseen.
Oletusarvoisesti Microsoftille lähetetään vain pakolliset diagnostiikkatiedot.
Pilvipalveluun toimitetut suojaustiedot
Pilvipalveluun toimitettua suojausta käytetään tarjoamaan entistä nopeampi suojaus ja mahdollisuus käyttää pilvipalvelun uusimpia suojaustietoja.
Pilvipalvelun tarjoaman suojauspalvelun käyttöönotto on valinnaista, mutta se on erittäin suositeltavaa, koska se tarjoaa tärkeän suojan haittaohjelmia vastaan päätepisteissäsi ja verkossasi.
Mallitiedot
Mallitietojen avulla parannetaan tuotteen suojausominaisuuksia lähettämällä Microsoftille epäilyttäviä näytteitä, jotta niitä voidaan analysoida. Automaattisen mallilähetyksen käyttöönotto on valinnaista.
Näytteen lähettämisen hallintaan on kolme tasoa:
- Ei mitään: Microsoftille ei lähetetä epäilyttäviä näytteitä.
- Turvallinen: automaattisesti lähetetään vain epäilyttävät näytteet, jotka eivät sisällä henkilötietoja. Tämä on oletusarvo.
- Kaikki: kaikki epäilyttävät näytteet lähetetään Microsoftille.
Tietosuoja-asetusten hallinta käytäntöasetusten avulla
Jos olet IT-järjestelmänvalvoja, haluat ehkä määrittää nämä ohjausobjektit yritystasolla.
Edellisessä osiossa kuvattujen eri tietotyyppien tietosuojatoiminnot on kuvattu yksityiskohtaisesti kohdassa Defender for Endpointin asetusten määrittäminen Linuxissa.
Kuten kaikissa uusissa käytäntöasetuksissa, testaa ne huolellisesti rajoitetussa ja hallitussa ympäristössä varmistaaksesi, että määrittämäsi asetukset vaikuttavat halutulla tavalla, ennen kuin otat käytäntöasetukset käyttöön laajemmin organisaatiossasi.
Diagnostiikkatietotapahtumat
Tässä osiossa kuvataan, mitä pidetään pakollisina diagnostiikkatietoina ja mitä pidetään valinnaisina diagnostiikkatietoina, sekä kuvataan kerätyt tapahtumat ja kentät.
Kaikille tapahtumille yhteiset tietokentät
Jotkin tapahtuman tiedot liittyvät kaikkiin tapahtumiin niiden luokasta tai tietojen alatyypistä riippumatta.
Seuraavia kenttiä pidetään yleisinä kaikissa tapahtumissa:
| Kenttä | Kuvaus |
|---|---|
| lava | Sovelluksen käyttöympäristön laaja luokitus. Tämän avulla microsoft voi tunnistaa, missä ympäristöissä ongelma ilmenee, jotta se voidaan priorisoida oikein. |
| machine_guid | Laitteeseen liittyvä yksilöllinen tunnus. Tämän avulla microsoft voi tunnistaa, vaikuttavatko ongelmat valittuun asennusjoukkoon ja kuinka moneen käyttäjään tämä vaikuttaa. |
| sense_guid | Laitteeseen liittyvä yksilöllinen tunnus. Tämän avulla microsoft voi tunnistaa, vaikuttavatko ongelmat valittuun asennusjoukkoon ja kuinka moneen käyttäjään tämä vaikuttaa. |
| org_id | Yksilöivä tunnus, joka liittyy yritykseen, johon laite kuuluu. Tämän avulla microsoft voi tunnistaa, vaikuttavatko ongelmat valittuun yritysjoukkoon ja kuinka moneen yrityksiin tämä vaikuttaa. |
| isäntänimi | Paikallisen laitteen nimi (ilman DNS-jälkiliitettä). Tämän avulla microsoft voi tunnistaa, vaikuttavatko ongelmat valittuun asennusjoukkoon ja kuinka moneen käyttäjään tämä vaikuttaa. |
| product_guid | Tuotteen yksilöllinen tunnus. Tämän avulla Microsoft voi erottaa tuotteen eri makuihin vaikuttavia ongelmia. |
| app_version | Defender for Endpointin versio Linux-sovelluksessa. Tämän avulla microsoft voi tunnistaa, missä tuotteen versioissa ongelma ilmenee, jotta se voidaan priorisoida oikein. |
| sig_version | Suojaustietotietokannan versio. Tämän avulla microsoft voi tunnistaa, mitkä suojaustietojen versiot näyttävät ongelman, jotta se voidaan priorisoida oikein. |
| supported_compressions | Luettelo sovelluksen tukemista pakkausalgoritmeista, esimerkiksi ['gzip']. Tämän avulla Microsoft voi ymmärtää, millaisia pakkaustyyppejä voidaan käyttää, kun se viestii sovelluksen kanssa. |
| release_ring | Ring, johon laite liittyy (esimerkiksi Insider Fast, Insider Slow, Production). Tämän avulla Microsoft voi tunnistaa, missä julkaisuringissä ongelma ilmenee, jotta se voidaan priorisoida oikein. |
Pakolliset diagnostiikkatiedot
Pakolliset diagnostiikkatiedot ovat pienin tarvittava määrä tietoja, joiden avulla Defender for Endpoint voidaan pitää suojattuna, ajan tasalla ja toimia odotetulla tavalla laitteessa, johon se on asennettu.
Pakolliset diagnostiikkatiedot auttavat tunnistamaan laite- tai ohjelmistokokoonpanoon mahdollisesti liittyviä Microsoft Defender for Endpoint liittyviä ongelmia. Se voi esimerkiksi auttaa määrittämään, kaatuuko Defender for Endpoint -ominaisuus useammin tietyssä käyttöjärjestelmäversiossa, äskettäin käyttöön otetut ominaisuudet tai kun tietyt Defender for Endpoint -ominaisuudet on poistettu käytöstä. Pakolliset diagnostiikkatiedot auttavat Microsoftia havaitsemaan, tunnistamaan ja korjaamaan näitä ongelmia nopeammin, jotta vaikutus käyttäjiin tai organisaatioihin pienenee.
Ohjelmiston asennus- ja inventointitietotapahtumat
Microsoft Defender for Endpoint asennus tai asennuksen poisto:
Seuraavat kentät kerätään:
| Kenttä | Kuvaus |
|---|---|
| correlation_id | Asennukseen liittyvä yksilöllinen tunnus. |
| versio | Paketin versio. |
| vakavuus | Viestin vakavuus (esimerkiksi Tiedote). |
| koodi | Koodi, joka kuvaa toimintoa. |
| Tekstiviesti | Tuotteen asennukseen liittyvät lisätiedot. |
Microsoft Defender for Endpoint määritys:
Seuraavat kentät kerätään:
| Kenttä | Kuvaus |
|---|---|
| antivirus_engine.enable_real_time_protection | Onko reaaliaikainen suojaus käytössä laitteessa vai ei. |
| antivirus_engine.passive_mode | Onko passiivitila käytössä laitteessa vai ei. |
| cloud_service.enabled | Onko pilvipalvelun tarjoama suojaus käytössä laitteessa vai ei. |
| cloud_service.aikakatkaisu | Aikakatkaisu, kun sovellus viestii Defender for Endpoint -pilvipalvelun kanssa. |
| cloud_service.heartbeat_interval | Aikaväli tuotteen pilvipalveluun lähettämien peräkkäisten sykkeiden välillä. |
| cloud_service.service_URI | URI,jota käytetään tiedonvälitykseen pilvipalvelun kanssa. |
| cloud_service.diagnostic_level | Laitteen diagnostiikkataso (pakollinen, valinnainen). |
| cloud_service.automatic_sample_submission | Laitteen automaattinen lähetyksen mallitaso (ei mitään, turvallinen, kaikki). |
| cloud_service.automatic_definition_update_enabled | Onko automaattisen määrityksen päivitys käytössä vai ei. |
| edr.early_preview | Määrittää, tuleeko laitteen suorittaa EDR:n varhaisen esikatselun ominaisuudet. |
| edr.group_id | Tunnistamis- ja vastausosan käyttämä ryhmätunnus. |
| edr.tags | Käyttäjän määrittämät tunnisteet. |
| Ominaisuuksia. [valinnainen ominaisuuden nimi] | Esikatseluominaisuuksien luettelo sekä se, onko ne otettu käyttöön vai ei. |
Tuotteiden ja palvelujen käyttötietotapahtumat
Suojaustietojen päivitysraportti:
Seuraavat kentät kerätään:
| Kenttä | Kuvaus |
|---|---|
| from_version | Alkuperäinen suojaustietojen versio. |
| to_version | Uusi suojaustietoversio. |
| tila | Onnistumista tai epäonnistumista ilmaisevan päivityksen tila. |
| using_proxy | Onko päivitys tehty välityspalvelimella. |
| virhe | Virhekoodi, jos päivitys epäonnistui. |
| syy | Virhesanoma, jos päivitys epäonnistui. |
Tuotteiden ja palveluiden suorituskykytietotapahtumat pakollisille diagnostiikkatieduksille
Ytimen laajennuksen tilastotiedot:
Seuraavat kentät kerätään:
| Kenttä | Kuvaus |
|---|---|
| versio | Defender for Endpointin versio Linuxissa. |
| instance_id | Ytimen laajennuksen käynnistyksen yhteydessä luotu yksilöllinen tunnus. |
| trace_level | Ytimen jatkeen jäljitystaso. |
| osajärjestelmä | Taustalla oleva osajärjestelmä, jota käytetään reaaliaikaiseen suojaukseen. |
| ipc.connects | Ytimen laajennuksen vastaanottamien yhteyspyyntöjen määrä. |
| ipc.rejects | Ytimen laajennuksen hylkäämien yhteyspyyntöjen määrä. |
| ipc.connected | Onko ydinlaajennukseen aktiivista yhteyttä. |
Tukitiedot
Diagnostiikkalokit:
Diagnostiikkalokit kerätään vain käyttäjän suostumuksella osana palautteen lähettämisominaisuutta. Seuraavat tiedostot kerätään osana tukilokeja:
- Kaikki tiedostot kohdassa /var/log/microsoft/mdatp
- Alijoukko tiedostoja kohdassa /etc/opt/microsoft/mdatp , jotka Defender luo ja käyttää Linux-päätepisteelle
- Tuotteen asennus- ja asennuksen poistolokit kohdassa /var/log/microsoft/mdatp/*.log
Valinnaiset diagnostiikkatiedot
Valinnaiset diagnostiikkatiedot ovat lisätietoja, joiden avulla Microsoft voi tehdä tuoteparannuksia, sekä parannettuja tietoja ongelmien tunnistamiseen, diagnosointiin ja korjaamiseen.
Jos päätät lähettää Microsoftille valinnaiset diagnostiikkatietoja, myös pakolliset diagnostiikkatiedot lähetetään.
Valinnaisia diagnostiikkatietoja ovat esimerkiksi tiedot, joita Microsoft kerää tuotteen kokoonpanosta (esimerkiksi laitteessa määritettyjen poissulkemisten määrä) ja tuotteen suorituskyvystä (koostemittareita tuotteen osien suorituskyvystä).
Ohjelmiston asennus- ja inventaariotietotapahtumat valinnaisille diagnostiikkatieduksille
Microsoft Defender for Endpoint määritys:
Seuraavat kentät kerätään:
| Kenttä | Kuvaus |
|---|---|
| connection_retry_timeout | Yhteyden uudelleenyritysten aikakatkaisu, kun yhteys pilvipalveluun on muodostettu. |
| file_hash_cache_maximum | Tuotevälimuistin koko. |
| crash_upload_daily_limit | Päivittäin ladattavien kaatumislokien enimmäismäärä. |
| antivirus_engine.exclusions[].is_directory | Onko poissulkeminen skannauksesta hakemisto vai ei. |
| antivirus_engine.exclusions[].path | Polku, joka jätettiin pois skannauksesta. |
| antivirus_engine.exclusions[].extension | Laajennusta ei voi skannata. |
| antivirus_engine.exclusions[].name | Skannauksesta pois jätetyn tiedoston nimi. |
| antivirus_engine.scan_cache_maximum | Tuotevälimuistin koko. |
| antivirus_engine.maximum_scan_threads | Skannauksessa käytettävien säikeiden enimmäismäärä. |
| antivirus_engine.threat_restore_exclusion_time | Aikakatkaisu, ennen kuin karanteenista palautettu tiedosto voidaan havaita uudelleen. |
| antivirus_engine.threat_type_settings | Määritys sille, miten tuote käsittelee erilaisia uhkatyyppejä. |
| filesystem_scanner.full_scan_directory | Täyden tarkistuksen hakemisto. |
| filesystem_scanner.quick_scan_directories | Luettelo pikatarkistuksen hakemistoista. |
| edr.latency_mode | Tunnistamis- ja vastausosan käyttämä viivetila. |
| edr.proxy_address | Tunnistamis- ja vastausosan käyttämä välityspalvelimen osoite. |
Microsoftin automaattisen päivityksen määritys:
Seuraavat kentät kerätään:
| Kenttä | Kuvaus |
|---|---|
| how_to_check | Määrittää, miten tuotepäivitykset tarkistetaan (esimerkiksi automaattinen tai manuaalinen). |
| channel_name | Laitteeseen liittyvän kanavan päivittäminen. |
| manifest_server | Päivitysten lataamiseen käytettävä palvelin. |
| update_cache | Päivitysten tallentamiseen käytettävän välimuistin sijainti. |
Tuotteiden ja palvelujen käyttö
Diagnostiikkalokin latauksen aloitusraportti
Seuraavat kentät kerätään:
| Kenttä | Kuvaus |
|---|---|
| sha256 | Tukilokin SHA256-tunnus. |
| koko | Tukilokin koko. |
| original_path | Tukilokin polku (aina kohdassa /var/opt/microsoft/mdatp/wdavdiag/). |
| formaatti | Tukilokin muoto. |
Diagnostiikkalokin latauksen valmis raportti
Seuraavat kentät kerätään:
| Kenttä | Kuvaus |
|---|---|
| request_id | Tukilokin latauspyynnön korrelaatiotunnus. |
| sha256 | Tukilokin SHA256-tunnus. |
| blob_sas_uri | URI, jota sovellus käyttää tukilokin lataamiseen. |
Tuotteiden ja palveluiden suorituskykytietotapahtumat tuotepalvelua ja käyttöä varten
Sovelluksen odottamaton sulkeutuminen (kaatuminen):
Sovelluksen odottamaton sulkeutuminen ja sovelluksen tila tämän tapahtuessa.
Ytimen laajennuksen tilastotiedot:
Seuraavat kentät kerätään:
| Kenttä | Kuvaus |
|---|---|
| pkt_ack_timeout | Seuraavat ominaisuudet ovat koostettuja numeerisia arvoja, jotka edustavat ydinlaajennuksen käynnistyksen jälkeen tapahtuneiden tapahtumien määrää. |
| pkt_ack_conn_timeout | |
| ipc.ack_pkts | |
| ipc.nack_pkts | |
| ipc.send.ack_no_conn | |
| ipc.send.nack_no_conn | |
| ipc.send.ack_no_qsq | |
| ipc.send.nack_no_qsq | |
| ipc.ack.no_space | |
| ipc.ack.timeout | |
| ipc.ack.ackd_fast | |
| ipc.ack.ackd | |
| ipc.recv.bad_pkt_len | |
| ipc.recv.bad_reply_len | |
| ipc.recv.no_waiter | |
| ipc.recv.copy_failed | |
| ipc.kauth.vnode.mask | |
| ipc.kauth.vnode.read | |
| ipc.kauth.vnode.write | |
| ipc.kauth.vnode.exec | |
| ipc.kauth.vnode.del | |
| ipc.kauth.vnode.read_attr | |
| ipc.kauth.vnode.write_attr | |
| ipc.kauth.vnode.read_ex_attr | |
| ipc.kauth.vnode.write_ex_attr | |
| ipc.kauth.vnode.read_sec | |
| ipc.kauth.vnode.write_sec | |
| ipc.kauth.vnode.take_own | |
| ipc.kauth.vnode.link | |
| ipc.kauth.vnode.create | |
| ipc.kauth.vnode.move | |
| ipc.kauth.vnode.mount | |
| ipc.kauth.vnode.denied | |
| ipc.kauth.vnode.ackd_before_deadline | |
| ipc.kauth.vnode.missed_deadline | |
| ipc.kauth.file_op.mask | |
| ipc.kauth_file_op.open | |
| ipc.kauth.file_op.close | |
| ipc.kauth.file_op.close_modified | |
| ipc.kauth.file_op.siirrä | |
| ipc.kauth.file_op.link | |
| ipc.kauth.file_op.exec | |
| ipc.kauth.file_op.remove | |
| ipc.kauth.file_op.unmount | |
| ipc.kauth.file_op.fork | |
| ipc.kauth.file_op.create |
Resurssit
Vihje
Haluatko tietää lisää? Engage Microsoft security -yhteisön kanssa teknologiayhteisössämme: Microsoft Defender for Endpoint Tech Community.