MDE.Linux のアンインストール後の再起動の必要性

Question

検証で利用したDefenderForサーバーを停止したのですがMDE.Linux もアンインストールしたいと考えております。

アンインストール後に再起動を行う必要はありますでしょうか。常時稼働しているVMの停止が必要か気にしております。

Answer 1

stakuya13-8561　ご連絡いただき、ありがとうございます。

Microsoft Defender for Endpoint（MDE.Linux）をアンインストールするために、常時稼働の Linux VM をシャットダウンや再起動する必要はございません。稼働中のままアンインストール可能です。 Defender for Endpoint サービスを停止する：

• sudo systemctl stop mdatp 導入方法に応じてパッケージまたは拡張機能をアンインストールする：

ディストリビューションのパッケージでインストールした場合：

• Ubuntu/Debian の場合：sudo apt remove mdatp
  • RHEL/CentOS の場合：sudo yum remove mdatp Azure VM 拡張機能でデプロイした場合：
    • Shell az vm extension delete
      --resource-group <リソースグループ名>
      --vm-name <VM名>
      --name MDELinux Show more lines エージェントおよびカーネルモジュールがアンロードされていることを確認する：
• systemctl status mdatp
• lsmod | grep ebpf_sensor（何も返ってこないことが期待されます） 必要に応じて、すべての eBPF／カーネルモジュールが完全に削除されていることを保証するために再起動することも可能ですが、アンインストール自体には必須ではございません。

お役に立てば幸いです。

---

• 参考資料： Dependency Agent の削除（再起動不要） https://learn.microsoft.com/ja-jp/azure/azure-monitor/vm/vminsights-dependency-agent-uninstall?tabs=portal Linux 向け MDE の新しい eBPF センサー（アーキテクチャ概要） https://learn.microsoft.com/ja-jp/azure/azure-monitor/vm/vminsights-dependency-agent-uninstall?tabs=portal