Usa la protezione anti-manomissione in modalità audit per Microsoft Defender per endpoint su Linux

Importante

Alcune informazioni in questo articolo fanno riferimento alle caratteristiche di un prodotto prima del rilascio, che possono essere modificate sostanzialmente prima della distribuzione al pubblico. Microsoft non fornisce alcuna garanzia, espressa o implicita, rispetto alle informazioni fornite qui.

La protezione antimanomissione in modalità audit per Microsoft Defender per endpoint su Linux rileva modifiche non autorizzate agli asset di Defender for Endpoint, inclusi file di configurazione, directory, processi e servizi. Rileva le modifiche apportate da qualsiasi utente, incluso l'utente root, e genera avvisi senza bloccare l'attività.

Usa questo articolo per rivedere i prerequisiti, verificare la modalità di audit, indagare sugli avvisi e testare il rilevamento delle manomissioni. Per una spiegazione della protezione antimanomissione e di come le sue modalità differiscano a seconda del sistema operativo, vedi Panoramica della protezione antimanomissione.

Sui dispositivi Linux, la modalità Audit rileva e avvisa le seguenti attività di manomissione:

  • Modifica dei file di configurazione di Defender for Endpoint.
  • Eliminazione dei file di configurazione di Defender per Endpoint, file di stato e binari.
  • Rinominare o spostare Defender per file di configurazione Endpoint, file di stato e binari.
  • Terminazione dei processi di Defender per Endpoint, incluso il riavvio dei servizi Defender for Endpoint.

La modalità Audit offre visibilità sui tentativi di manomissione tramite avvisi e ricerca avanzata nel portale Microsoft Defender.

Prerequisites

Prima di utilizzare la protezione antimanomissione in modalità audit, assicurati che il tuo dispositivo soddisfi i seguenti requisiti:

  • Defender per endpoint versione 101.26072.0004 (settembre 2026) o successiva dall'anello Insiders-Slow.

  • Consentire l'accesso a https://config.edge.skype.com/config/v1. Per altre informazioni, vedere Microsoft Defender per endpoint URL di connettività semplificata - commerciale.

  • La protezione antimanomissione richiede un kernel Linux che supporti il Berkeley Packet Filter esteso (eBPF) con BPF Type Format (BTF). BTF fornisce il contesto di file e processi che Defender for Endpoint utilizza per rilevare tentativi di manomissione. Sono supportate le seguenti distribuzioni Linux e versioni del kernel:

    Distribution Versione supportata Versione minima del kernel
    Alma Linux 10 10.x 6.12.0-55
    Alma Linux 9 9.2+ 5.14.0-284
    Alma Linux 8 8.8+ 4.18.0-477
    Amazon Linux 2023 6.1.132-147.221.amzn2023
    Azure Linux 3 3 6.6.78.1-3.azl3
    CentOS Stream 10 6.12.0
    CentOS Stream 9 5.14.0
    CentOS Stream 8 4.18.0-553
    Debian 13 6.12
    Debian 12 6.1.0-9
    Fedora arm64: 40-43 6.8.5
    Fedora x86_64: 33-43 5.8.15
    Mariner 2 2 5.15
    Oracle Linux 10 10.x (UEK8) 6.12.0
    Oracle Linux 10 10.x (RHCK) 6.12.0-55
    Oracle Linux 9 9.x (UEK8) 6.12.0
    Oracle Linux 9 9.x (UEK7) 5.15.0
    Oracle Linux 9 9.x (RHCK) 5.14.0-70
    Oracle Linux 8 8.10 (UEK7) 5.15.0
    Oracle Linux 8 8.10 (RHCK) 4.18.0-553
    RHEL 10 10.x 6.12.0-55
    RHEL 9 9.x 5.14.0-70
    RHEL 8 8.4+ 4.18.0-305
    Rocky Linux 10 10.x 6.12.0-55
    Rocky Linux 9 9.3+ 5.14.0-362
    Rocky Linux 8 8.9+ 4.18.0-513
    SLES 16 16 6.12.0-160000
    SLES 15 15.5+ 5.14.21-150500
    Ubuntu LTS 24.04 6.8.0
    Ubuntu LTS 22.04 5.15.0*
    Ubuntu LTS 20.04 5.15.0*
    Ubuntu Pro 24.04 6.8.0
    Ubuntu Pro 22.04 5.15.0*

    Importante

    * Per Ubuntu 20.04 e Ubuntu 22.04, le seguenti versioni generiche del kernel non sono supportate: 5.15.0-144, 5.15.0-150, 5.15.0-151, e 5.15.0-152.

Abilita la protezione antimanomissione in modalità audit

Durante l'anteprima, la protezione anti-manomissione in modalità audit è attivata di default. Non è necessaria alcuna configurazione.

La funzione viene distribuita gradualmente nel corso di due settimane ai dispositivi idonei nel Insiders-Slow ring che soddisfano i prerequisiti.

Verifica l'abilitazione della modalità di audit

Esegui il seguente comando per verificare lo stato e gli errori della protezione antimanomissione:

mdatp health --details tamper_protection

Il seguente output mostra che la protezione antimanomissione è abilitata in modalità audit senza errori:

tamper_protection_enforcement_level : "audit"
tamper_protection_errors            : []

Se la protezione antimanomissione non può essere attivata, tamper_protection_enforcement_level mostra disabled. Per descrizioni degli errori e passaggi di risoluzione, vedi Risoluzione problemi di protezione contro manomissioni.

Visualizza gli avvisi di manomissione nel portale Microsoft Defender

Nella pagina dell'inventario dei dispositivi nel portale Microsoft Defender a https://security.microsoft.com/machines, seleziona il dispositivo Linux interessato. Poi, esamina la Timeline e gli Incidenti e gli avvisi per attività di manomissione e avvisi.

Apri un avviso di manomissione per esaminare gli asset interessati, l'albero dei processi, la timeline degli allerti e le attività correlate. Per ulteriori informazioni, consulta Investiga gli avvisi in Microsoft Defender per endpoint.

Tentativi di alterazione delle query con Advanced hunting

Per ottenere l'ID del dispositivo direttamente da un dispositivo Linux, esegui il seguente comando:

mdatp health --field edr_device_id

Usa l'ID del dispositivo per filtrare le query multipiattaforma in Tentativi di manomissione delle query con Advanced hunting.

Testa uno scenario di manomissione

Per generare un tentativo di manomissione a scopo di test, apri il file di configurazione di Defender for Endpoint in vim:

sudo vim /etc/opt/microsoft/mdatp/managed/mdatp_managed.json

Modifica e salva il file. Il tentativo genera un avviso di manomissione nel portale Microsoft Defender. L'avviso include informazioni sul processo di avvio e sul file target.

Per ridurre il rumore degli avvisi dovuto ad attività note e approvate, consulta Ottimizzare gli avvisi per attività di manomissione legittima.

Contenuti correlati

  • Ultimo aggiornamento: