Mengonfigurasi dan memvalidasi pengecualian untuk Microsoft Defender untuk Titik Akhir di Linux

Gunakan pengecualian untuk mencegah Microsoft Defender untuk Titik Akhir di Linux memindai atau memantau file, folder, proses, dan ekstensi file yang tepercaya. Pengecualian dapat membantu menghindari deteksi yang salah untuk file atau perangkat lunak yang unik untuk organisasi Anda.

Defender for Endpoint di Linux mendukung cakupan pengecualian berikut:

• Antivirus (lingkup): eppPengecualian berlaku untuk pemindaian sesuai permintaan, perlindungan waktu nyata (RTP), dan pemantauan perilaku (BM), sambil tetap mempertahankan visibilitas deteksi dan respons endpoint (EDR).

  • File yang dikecualikan dari pemindaian antivirus masih dapat menyebabkan peringatan EDR dan deteksi lainnya. Untuk meminta pengecualian hanya EDR, hubungi Microsoft Support melalui pusat admin Microsoft 365.

• Global (cakupan global): Pengecualian berlaku untuk RTP, BM, dan EDR, yang menghentikan deteksi antivirus terkait, peringatan EDR, dan visibilitas untuk item yang dikecualikan. Pengecualian global berlaku pada tingkat sensor dan membisukan kejadian yang memenuhi kondisi pengecualian sebelum diproses.

  • Pengecualian global tersedia di Defender for Endpoint pada versi 101.24092.0001 Linux (Oktober 2024) atau lebih baru.
  • Pengecualian global tidak berlaku untuk perlindungan jaringan. Pengecualian proses dapat memengaruhi perlindungan jaringan dengan mencegahnya memeriksa lalu lintas atau menegakkan aturan untuk proses yang dikecualikan. Untuk informasi lebih lanjut, lihat Ikhtisar pengecualian dan indikator di Microsoft Defender untuk Titik Akhir.
  • Pengecualian global dapat berguna untuk mengurangi masalah performa yang disebabkan oleh Defender for Endpoint di Linux.

Warning

Menetapkan pengecualian mengurangi tingkat perlindungan yang ditawarkan oleh Defender for Endpoint di Linux. Anda harus selalu mengevaluasi risiko yang terkait dengan penerapan pengecualian, dan Anda hanya boleh mengecualikan file yang Anda yakini tidak berbahaya.

Important

Jika Anda ingin menjalankan beberapa solusi keamanan secara berdampingan, lihat Pertimbangan untuk performa, konfigurasi, dan dukungan.

Anda mungkin telah mengonfigurasi pengecualian keamanan bersama untuk perangkat yang di-onboarding ke Microsoft Defender untuk Titik Akhir. Jika Anda masih perlu mengatur pengecualian bersama untuk menghindari konflik, lihat Menambahkan Microsoft Defender untuk Titik Akhir ke daftar pengecualian untuk solusi yang ada.

Jenis pengecualian yang didukung

Defender for Endpoint di Linux mendukung jenis pengecualian berikut:

• Ekstensi file: Semua file dengan ekstensi yang ditentukan di mana saja di perangkat.

  • Pengecualian ekstensi file tidak tersedia untuk pengecualian global.
  • Contoh: .test

• File: File spesifik yang diidentifikasi dengan jalur lengkapnya.

  • Untuk pengecualian global, jalur file harus ada sebelum Anda menambahkan atau menghapus pengecualian.
  • Contoh:
    • /var/log/test.log
    • /var/log/*.log
    • /var/log/install.?.log

• Folder: Semua file dalam folder yang ditentukan, secara rekursif.

  • Contoh:
    • /var/log/
    • /var/*/

• Proses: Proses tertentu, diidentifikasi dengan jalur lengkap atau nama file, dan semua file yang dibuka oleh proses tersebut.

  • Untuk pengecualian antivirus, Anda dapat menentukan jalur lengkap atau nama file. Kami merekomendasikan menggunakan jalur penuh.
  • Untuk pengecualian global, hanya kecualikan yang diperlukan untuk keandalan dan keamanan sistem. Verifikasi bahwa proses tersebut diketahui dan dipercaya, tentukan jalur lengkapnya, dan pastikan bahwa proses tersebut secara konsisten dimulai dari jalur yang dipercaya tersebut.
  • Contoh:
    • /bin/cat
    • cat
    • c?t

Important

Jalur eksklusi harus berupa tautan keras, bukan tautan simbolik. Untuk memeriksa apakah sebuah jalur adalah tautan simbolik, jalankan file <path-name>.

Karakter wildcard yang didukung untuk pengecualian file, folder, dan proses

Anda dapat menggunakan pola wildcard berikut saat mendefinisikan pengecualian file, folder, dan proses antivirus. Wildcard tidak didukung untuk pengecualian global.

• Tanda bintang (*): Cocok dengan jumlah karakter berapa pun, termasuk tanpa karakter. Jika wildcard ini tidak digunakan di akhir jalur, maka hanya menggantikan satu folder.

  • Untuk pengecualian antivirus, wildcard * di akhir jalur cocok dengan semua file dan subdirektori di bawah induk wildcard.
  • Contoh:
    • /var/*/tmp:
      • Termasuk: File apa pun di /var/abc/tmp/var/def/tmp dan subfoldernya.
      • Tidak termasuk: /var/abc/log atau /var/def/log.
    • /var/*/:
      • Termasuk: File dalam subdirektori seperti /var/abc/
      • Tidak termasuk: File yang langsung berada di /var.

• Tanda tanya (?): Cocok dengan karakter tunggal apa pun.

  • Contoh: file?.log
    • Termasuk: file1.log dan file2.log.
    • Tidak termasuk: file123.log.

Konfigurasikan pengecualian

Gunakan salah satu metode berikut untuk mengonfigurasi pengecualian.

Konfigurasikan pengecualian menggunakan managed JSON

Di lingkungan perusahaan, gunakan alat manajemen konfigurasi seperti Puppet atau Ansible untuk menerapkan profil konfigurasi bernama mdatp_managed.json ./etc/opt/microsoft/mdatp/managed/ Untuk informasi selengkapnya, lihat Mengatur preferensi Defender for Endpoint di Linux.

Contoh berikut mdatp_managed.json menunjukkan cara mengonfigurasi antivirus dan pengecualian global untuk file, folder, ekstensi, dan proses:

{
   "exclusionSettings":{
     "exclusions":[
        {
           "$type":"excludedPath",
           "isDirectory":true,
           "path":"/home/*/git<EXAMPLE DO NOT USE>",
           "scopes": [
              "epp"
           ]
        },
        {
           "$type":"excludedPath",
           "isDirectory":true,
           "path":"/run<EXAMPLE DO NOT USE>",
           "scopes": [
              "global"
           ]
        },
        {
           "$type":"excludedPath",
           "isDirectory":false,
           "path":"/var/log/system.log<EXAMPLE DO NOT USE><EXCLUDED IN ALL SCENARIOS>",
           "scopes": [
              "epp", "global"
           ]
        },
        {
           "$type":"excludedFileExtension",
           "extension":".pdf<EXAMPLE DO NOT USE>",
           "scopes": [
              "epp"
           ]
        },
        {
           "$type":"excludedFileName",
           "name":"/bin/cat<EXAMPLE DO NOT USE><NO SCOPE PROVIDED - GLOBAL CONSIDERED>"
        }
     ],
     "mergePolicy":"admin_only"
   }
}

Mengonfigurasi pengecualian menggunakan Defender untuk manajemen pengaturan keamanan Titik Akhir

Note

Sebelum Anda mulai, tinjau prasyarat manajemen pengaturan keamanan Defender for Endpoint.

Anda dapat menggunakan pusat admin Microsoft Intune atau portal Microsoft Defender untuk mengelola pengecualian sebagai kebijakan keamanan endpoint dan menetapkan kebijakan tersebut ke grup Microsoft Entra. Jika Anda menggunakan manajemen pengaturan keamanan untuk pertama kalinya, selesaikan langkah-langkah berikut:

Langkah 1: Aktifkan manajemen pengaturan keamanan untuk Linux

1. Buka halaman Endpoints>Manajemen konfigurasi>Cakupan penerapan pada portal Microsoft Defender di https://security.microsoft.com/securitysettings/endpoints/configuration_management.
2. Pada halaman Lingkup Penegakan Operasi , verifikasi pengaturan berikut di bagian Aktifkan manajemen konfigurasi :
   • Pilih perangkat Linux lalu pilih salah satu nilai berikut:
     • Pilih Pada perangkat yang diberi tag untuk menguji manajemen pengaturan keamanan dengan perangkat terpilih. Tambahkan MDE-Management tag ke setiap perangkat uji. Untuk petunjuk dan metode penandaan lainnya, lihat Buat dan kelola tag perangkat.
     • Pilih Semua perangkat untuk mendaftarkan semua perangkat Linux yang memenuhi syarat.

Sebagian besar perangkat mendaftar dan menerapkan kebijakan yang ditetapkan dalam beberapa menit, meskipun beberapa perangkat mungkin memakan waktu hingga 24 jam.

Langkah 2: Buat grup perangkat Microsoft Entra

Buat grup perangkat Microsoft Entra dinamis berdasarkan tipe sistem operasi Linux. Keanggotaan dinamis secara otomatis menambahkan perangkat yang sesuai, sehingga Anda tidak perlu mempertahankan keanggotaan grup secara manual. Untuk informasi lebih lanjut, lihat Buat grup Microsoft Entra untuk manajemen pengaturan keamanan.

Langkah 3: Buat kebijakan pengecualian Linux

Untuk petunjuk rinci, lihat Buat kebijakan keamanan endpoint (tautan terbuka di tab baru).

Saat Anda membuat kebijakan di tab kebijakan Linux pada halaman kebijakan keamanan Endpoint di portal Defender di https://security.microsoft.com/policy-inventory?osPlatform=Linux, gunakan pengaturan khusus berikut:

• Pilih platform: Pilih Linux.
• Pilih template:
  • Untuk pengecualian antivirus global dan EDR, pilih Microsoft Defender Global Exclusions (AV+EDR).
  • Untuk pengecualian antivirus, pilih pengecualian Microsoft Defender Antivirus.

Di wizard pembuatan kebijakan, gunakan pengaturan berikut:

• Tab pengaturan konfigurasi : Konfigurasikan pengaturan yang ingin Anda kelola dengan profil ini.
• Tab penugasan: Batasan grup penugasan berlaku untuk perangkat yang dikelola melalui manajemen pengaturan keamanan Defender for Endpoint. Untuk detailnya, lihat langkah Penugasan.

Mengonfigurasi pengecualian menggunakan baris perintah

Untuk melihat subperintah dan opsi yang tersedia untuk mengelola pengecualian, jalankan perintah berikut mdatp exclusion :

mdatp exclusion

Sintaks perintah

Sintaks berikut merangkum subperintah, opsi, dan nilai pengecualian yang tersedia:

mdatp exclusion {extension {add|remove} --name <extension> | file {add|remove} --path <file-path> [--scope {epp|global}] | folder {add|remove} --path <folder-path> [--scope {epp|global}] | process {add|remove} {--path <process-path> [--scope {epp|global}] | --name <process-name> [--scope epp]} | list}

Note

Saat Anda menghapus pengecualian, tentukan ruang lingkup yang sama seperti yang Anda gunakan saat menambahkannya.

Nilai default untuk opsi ini --scope adalah epp, jadi tentukan opsi hanya untuk global pengecualian.

Sebelum opsi --scope diperkenalkan, semua pengecualian baris perintah menggunakan cakupan epp. Pengecualian yang ada masih menggunakan epp.

Ketika nilai pengecualian berisi wildcard, lampirkan nilai tersebut dengan tanda kutip ganda. Sintaks ini mencegah shell memperluas wildcard sebelum mdatp memprosesnya.

Tambahkan atau hapus pengecualian ekstensi file

Pengecualian ekstensi file hanya mendukung lingkup antivirus (epp). Perintah berikut menambahkan dan menghapus eksklusi ekstensi .txt :

mdatp exclusion extension add --name .txt

mdatp exclusion extension remove --name .txt

Tambahkan atau hapus pengecualian file

File harus sudah ada sebelum Anda menambahkan atau menghapus pengecualian dengan cakupan global.

Perintah berikut menambahkan dan menghapus pengecualian file antivirus (epp):

mdatp exclusion file add --path /var/log/dummy.log

mdatp exclusion file remove --path /var/log/dummy.log

Perintah berikut menambahkan dan menghapus pengecualian file global:

mdatp exclusion file add --path /var/log/dummy.log --scope global

mdatp exclusion file remove --path /var/log/dummy.log --scope global

Tambahkan atau hapus pengecualian folder

Perintah berikut menambahkan dan menghapus pengecualian folder antivirus (epp):

mdatp exclusion folder add --path /var/log/

mdatp exclusion folder remove --path /var/log/

Perintah berikut menambahkan dan menghapus pengecualian folder global:

mdatp exclusion folder add --path /var/log/ --scope global

mdatp exclusion folder remove --path /var/log/ --scope global

Jalankan perintah sekali untuk setiap folder yang ingin Anda kecualikan. Anda dapat menetapkan cakupan yang berbeda ke folder yang berbeda.

Pengecualian folder Antivirus mendukung karakter wildcard. Perintah berikut mengecualikan jalur di bawah */var/*/tmp/*, tetapi tidak mengecualikan folder setingkat seperti */var/this-subfolder/log*:

mdatp exclusion folder add --path "/var/*/tmp"

Untuk mengecualikan semua jalur di bawah /var/, gunakan salah satu perintah berikut:

mdatp exclusion folder add --path "/var/"

mdatp exclusion folder add --path "/var/*/"

Tambahkan atau hapus pengecualian proses

Untuk pengecualian proses global, tentukan seluruh jalur proses dengan menggunakan --path. Perintah berikut menambahkan dan menghapus pengecualian proses global:

mdatp exclusion process add --path /usr/bin/cat --scope global

mdatp exclusion process remove --path /usr/bin/cat  --scope global

Untuk pengecualian proses antivirus (epp), Anda dapat menentukan nama proses atau jalur lengkap. Perintah berikut menambahkan dan menghapus pengecualian proses antivirus berdasarkan nama:

mdatp exclusion process add --name cat

mdatp exclusion process remove --name cat

Jalankan perintah sekali untuk setiap proses yang ingin Anda kecualikan. Anda dapat menetapkan cakupan yang berbeda untuk proses yang berbeda.

Validasi pengecualian dengan file uji EICAR

File uji EICAR adalah file teks kecil yang tidak berbahaya yang berisi string standar yang diakui oleh produk antivirus sebagai malware. Anda dapat menggunakannya untuk mengonfirmasi dengan aman bahwa pengecualian bekerja tanpa menggunakan malware sungguhan. Defender for Endpoint di Linux mendeteksi file berdasarkan isinya, bukan nama filenya.

Sebelum menguji pengecualian, pastikan perlindungan real-time diaktifkan. Jalankan perintah berikut dan pastikan bahwa perintah tersebut mengembalikan true:

mdatp health --field real_time_protection_enabled

Buat file uji EICAR agar nama file, ekstensi, atau lokasinya sesuai dengan pengecualian yang ingin Anda validasi:

• Gunakan nama file tertentu atau buat file tersebut di folder tertentu untuk memvalidasi pengecualian file dan folder.
• Gunakan nama file apa pun dengan ekstensi yang dikecualikan untuk memvalidasi pengecualian ekstensi file.

Jika Defender for Endpoint mendeteksi file tersebut, pengecualian tidak berfungsi. Jika file sudah ada dan Defender for Endpoint tidak mendeteksinya, pengecualian akan berfungsi.

Langkah-langkah ini dirancang untuk memvalidasi pengecualian file, folder, dan ekstensi file. Mereka tidak menyediakan tes umum untuk pengecualian proses, yang tergantung pada proses yang membuat atau membuka file.

Gunakan salah satu metode berikut untuk membuat file uji EICAR yang sesuai dengan pengecualian Anda:

• Dengan akses internet: Gunakan sintaks berikut curl untuk mengunduh file uji:

  curl -o <file-name-or-path> https://secure.eicar.org/eicar.com.txt
  

  Misalnya, jika Anda mengecualikan ekstensi tersebut .testing , unduh file uji dengan ekstensi tersebut:

  curl -o test.testing https://secure.eicar.org/eicar.com.txt
  

  Untuk menguji pengecualian folder, jalankan perintah di folder tersebut.

• Tanpa akses internet: Buat file uji EICAR secara lokal. Misalnya, ubah test.txt ke nama file atau jalur yang sesuai dengan pengecualian Anda:

  echo 'X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*' > test.txt
  

Konten terkait

Artikel berikut ini menyediakan informasi selengkapnya tentang mengonfigurasi dan mengelola Defender untuk Titik Akhir di Linux:

• Microsoft Defender untuk Endpoint di Linux
• Mengatur preferensi untuk Microsoft Defender untuk Titik Akhir di Linux