Linux 上のMicrosoft Defender for Endpoint用のオフラインセキュリティインテリジェンス更新プログラムを構成する

[アーティクル]
05/23/2024

適用対象:

このドキュメントでは、Linux 上のMicrosoft Defender for Endpointのオフラインセキュリティインテリジェンス更新機能について説明します。

重要

この記事の情報は、市販される前に大幅に変更される可能性があるプレリリース製品に関連しています。 Microsoft は、ここに記載された情報に関して、明示または黙示を問わず、いかなる保証も行いません。

この機能を使用すると、organizationは、ローカルホスティングサーバー (このドキュメントでは Mirror Server と呼ばれます) を使用して、インターネットへの公開が制限されているかまったくない Linux エンドポイント上のセキュリティインテリジェンス (このドキュメントでは定義または署名とも呼ばれます) を更新できます。

Mirror Server は、Microsoft クラウドに接続して署名をダウンロードできる、お客様の環境内の任意のサーバーです。他の Linux エンドポイントは、定義済みの間隔でミラーサーバーから署名をプルします。

主な利点を以下に示します。

エンドポイントがローカルサーバーから署名をプルする頻度 &、ローカルサーバーでの署名ダウンロードの頻度を制御および管理する機能。
ダウンロードした署名は、フリート全体に伝達される前にテストデバイスでテストできるため、保護 & コントロールの追加レイヤーを追加します。
これで、1 つのローカルサーバーのみが MS クラウドをポーリングし、フリート全体に代わって最新の署名を取得するため、ネットワーク帯域幅を削減します。
ローカルサーバーは、Windows、Mac、Linux の 3 つの OS のいずれかを実行でき、Defender for Endpoint をインストールする必要はありません。
署名は常に最新の互換性のある AV エンジンと共にダウンロードされるため、最新のウイルス対策保護を提供します。
各イテレーションでは、n-1 バージョンの署名がローカルサーバー上のバックアップフォルダーに移動されます。最新の署名に問題がある場合は、バックアップフォルダーからエンドポイントに n-1 署名バージョンをプルできます。
まれにオフライン更新プログラムが失敗する場合は、Microsoft クラウド (従来の方法) からオンライン更新プログラムにフォールバックすることもできます。

オフラインセキュリティインテリジェンス更新プログラムのしくみ

組織は、Microsoft クラウドから到達可能なローカル Web/NFS サーバーである Mirror Server を設定する必要があります。
署名は、ローカルサーバーで cron ジョブ/タスクスケジューラを使用してスクリプトを実行することで、このミラーサーバー上の Microsoft Cloud からダウンロードされます。
Defender for Endpoint を実行している Linux エンドポイントは、ユーザー定義の時間間隔で、このミラーサーバーからダウンロードした署名をプルします。
ローカルサーバーから Linux エンドポイントにプルされた署名は、AV エンジンに読み込む前に最初に検証されます。
更新プロセスをトリガーして構成するには、Linux エンドポイント上のマネージド構成 json ファイルを更新します。
更新の状態は、mdatp CLI で確認できます。

図 1: セキュリティインテリジェンス更新プログラムをダウンロードするためのミラーサーバーのプロセスフロー図

図 2: セキュリティインテリジェンス更新プログラムの Linux エンドポイント上のプロセスフロー図

前提条件

Defender for Endpoint バージョン "101.24022.0001" 以上を Linux エンドポイントにインストールする必要があります。
Linux エンドポイントには、ミラーサーバーへの接続が必要です。
Linux エンドポイントは、Defender for Endpoint でサポートされているディストリビューションのいずれかを実行している必要があります。
ミラーサーバーは、HTTP/HTTPS サーバーまたはネットワーク共有サーバーのいずれかです。たとえば、NFS サーバーなどです。
ミラーサーバーは、次の URL にアクセスできる必要があります。
- https://github.com/microsoft/mdatp-xplat.git
- https://go.microsoft.com/fwlink/?linkid=2144709
ミラーサーバーでは、次のオペレーティングシステムがサポートされています。
- Linux (Any Flavor)
- Windows (任意のバージョン)
- Mac (任意のバージョン)
ミラーサーバーは bash または PowerShell をサポートする必要があります。
ミラーサーバーには、次の最小システム仕様が必要です。

CPU コア RAM 空きディスクスワップ

2 コア (優先 4 コア) 1 GB 分 (推奨 4 GB) 2 GB システム依存

注:

この構成は、提供される要求の数と、各サーバーが処理する必要がある負荷によって異なる場合があります。

CPU コア	RAM	空きディスク	スワップ
2 コア (優先 4 コア)	1 GB 分 (推奨 4 GB)	2 GB	システム依存

ミラーサーバーの構成

注:

ミラーサーバーの管理と所有権は、お客様のプライベート環境に存在する場合にのみお客様にあります。

注:

ミラーサーバーには Defender for Endpoint がインストールされている必要はありません。

オフラインセキュリティインテリジェンスダウンローダースクリプトを取得する

Microsoft は、この GitHub リポジトリでオフラインセキュリティインテリジェンスダウンローダースクリプトをホストします。

ダウンローダースクリプトを取得するには、次の手順に従います。

オプション 1: リポジトリを複製する (推奨)

ミラーサーバーに git をインストールします。
リポジトリを複製するディレクトリに移動します。
コマンドを実行します。 git clone https://github.com/microsoft/mdatp-xplat.git

オプション 2: zip ファイルをダウンロードする

リポジトリの zip ファイルをここからダウンロードする
スクリプトを保持するフォルダーに zip ファイルをコピーします
zip を抽出する

注:

リポジトリ/ダウンロードした zip ファイルを定期的に最新バージョンに更新するように cron ジョブをスケジュールします。

リポジトリ/ダウンロードした zip ファイルを複製した後、ローカルディレクトリ構造は次のようになります。

user@vm:~/mdatp-xplat$ tree linux/definition_downloader/
linux/definition_downloader/
├── README.md
├── settings.json
├── settings.ps1
├── xplat_offline_updates_download.ps1
└── xplat_offline_updates_download.sh

0 directories, 5 files

注:

スクリプトの使用方法の詳細については、README.md ファイルを参照してください。

ファイルは settings.json 、スクリプト実行の出力を決定するためにユーザーが構成できるいくつかの変数で構成されます。

フィールドの名前	値	説明
`downloadFolder`	string	スクリプトがファイルをダウンロードする場所にマップします。
`downloadLinuxUpdates`	bool	に `true`設定すると、スクリプトは Linux 固有の更新プログラムをにダウンロードします。 `downloadFolder`
`logFilePath`	string	特定のフォルダーに診断ログを設定します。このファイルは、問題がある場合にスクリプトをデバッグするために Microsoft と共有できます
`downloadMacUpdates`	bool	このスクリプトは、Mac 固有の更新プログラムをにダウンロードします。 `downloadFolder`
`downloadPreviewUpdates`	bool	特定の OS で利用可能な更新プログラムのプレビューバージョンをダウンロードします
`backupPreviousUpdates`	bool	スクリプトが _back フォルダー内の以前の更新プログラムをコピーすることを許可し、新しい更新プログラムがにダウンロードされます。 `downloadFolder`

オフラインセキュリティインテリジェンスダウンローダースクリプトを実行する

ダウンローダースクリプトを手動で実行するには、前のセクションの説明に従ってファイル内 settings.json のパラメーターを構成し、ミラーサーバーの OS に基づいて次のいずれかのコマンドを使用します。

Bash：
```
./xplat_offline_updates_download.sh
```
Powershell：
```
./xplat_offline_updates_download.ps1
```

注:

Cron ジョブをスケジュールして、このスクリプトを実行して、ミラーサーバーの最新のセキュリティインテリジェンス更新プログラムを定期的にダウンロードします。

ミラーサーバーでオフラインセキュリティインテリジェンス更新プログラムをホストする

スクリプトが実行されると、ファイル (updates.zip) で構成されたフォルダーに最新の署名がsettings.jsonダウンロードされます。

署名 zip がダウンロードされると、ミラーサーバーを使用してホストできます。ミラーサーバーは、任意の HTTP/HTTPS/ネットワーク共有サーバーを使用してホストできます。

ホストされたら、ホストされているサーバーの絶対パスをコピーします (ディレクトリは含 arch_* まれません)。

たとえば、スクリプトがで downloadFolder=/tmp/wdav-update実行され、HTTP サーバー (www.example.server.com:8000) がパスを /tmp/wdav-update ホストしている場合、対応する URI は次のようになります。 www.example.server.com:8000/linux/production/

ミラーサーバーを設定したら、次のセクションで説明するように、マネージド構成を使用してこの URL を Linux エンドポイントに伝達する必要があります。

エンドポイントの構成

次のサンプル mdatp_managed.json を使用し、構成に従ってパラメーターを更新し、ファイルを場所 /etc/opt/microsoft/mdatp/managed/mdatp_managed.jsonにコピーします。

{
  "cloudService": {
    "automaticDefinitionUpdateEnabled": true,
    "definitionUpdatesInterval": 1202
  },
  "antivirusEngine": {
    "offlineDefinitionUpdateUrl": "http://172.22.199.67:8000/linux/production/",
    "offlineDefintionUpdateFallbackToCloud":false,
    "offlineDefinitionUpdate": "enabled"
  },
"features": {
"offlineDefinitionUpdateVerifySig": "enabled"
}
}

フィールドの名前	値	注釈
`automaticDefinitionUpdateEnabled`	`True` / `False`	更新を自動的に実行しようとする Defender for Endpoint の動作を決定します。それぞれオンまたはオフになっています。
`definitionUpdatesInterval`	数値	署名の自動更新の間隔 (秒単位)。
`offlineDefinitionUpdateUrl`	String	ミラーサーバーの設定の一部として生成される URL 値。
`offlineDefinitionUpdate`	`enabled` / `disabled`	に `enabled`設定すると、オフラインセキュリティインテリジェンス更新機能が有効になり、その逆も有効になります。
`offlineDefinitionUpdateFallbackToCloud`	`True` / `False`	オフラインの Mirror Server が更新要求の処理に失敗した場合に、Defender for Endpoint セキュリティインテリジェンスの更新アプローチを決定します。 true に設定した場合、オフラインセキュリティインテリジェンス更新プログラムが失敗した場合は Microsoft クラウド経由で更新が再試行されます。それ以外の場合は再試行されます。
`offlineDefinitionUpdateVerifySig`	`enabled` / `disabled`	に `enabled`設定すると、ダウンロードされた定義はエンドポイントで検証されます。それ以外の場合は検証されます。

注:

現時点では、オフラインセキュリティインテリジェンス更新機能は、マネージド json のみを使用して Linux エンドポイントで構成できます。セキュリティポータルでのセキュリティ設定管理との統合は、ロードマップにあります。

構成を確認する

Linux エンドポイントで設定が正しく適用されているかどうかをテストするには、次のコマンドを実行します。

mdatp health --details definitions

出力例は、次のコードスニペットのようになります。

user@vm:~$ mdatp health --details definitions
automatic_definition_update_enabled         : true [managed]
definitions_updated                         : Mar 14, 2024 at 12:13:17 PM
definitions_updated_minutes_ago             : 2
definitions_version                         : "1.407.417.0"
definitions_status                          : "up_to_date"
definitions_update_source_uri               : "https://go.microsoft.com/fwlink/?linkid=2144709"
definitions_update_fail_reason              : ""
offline_definition_url_configured           : "http://172.XX.XXX.XX:8000/linux/production/" [managed]
offline_definition_update                   : "enabled" [managed]
offline_definition_update_verify_sig        : "enabled"
offline_definition_update_fallback_to_cloud : false[managed]

オフラインセキュリティインテリジェンス Updatesのトリガー

自動更新

マネージド json のフィールド automaticDefinitionUpdateEnabled と 'offline_definition_update' が true に設定されている場合、オフラインセキュリティインテリジェンスの更新は定期的な間隔で自動的にトリガーされます。
既定では、この定期的な間隔は 8 時間です。ただし、マネージド json でを definitionUpdatesInterval 設定することで構成できます。

手動更新

オフラインセキュリティインテリジェンス更新プログラムを手動でトリガーして、Linux エンドポイント上の Mirror Server から署名をダウンロードするには、次のコマンドを実行します。
```
mdatp definitions update
```

更新の状態を確認する

自動または手動のいずれかの方法でオフラインセキュリティインテリジェンス更新プログラムをトリガーした後、コマンドを実行して更新が成功したことを確認します mdatp health --details --definitions。

次のフィールドを確認します。

user@vm:~$ mdatp health --details definitions
...
definitions_status                          : "up_to_date"
...
definitions_update_fail_reason              : ""
...

トラブルシューティングと診断

問題: MDATP 更新エラー

更新がスタックしているか、更新がトリガーされませんでした。
更新に失敗しました。

一般的なトラブルシューティング手順

コマンドを使用して、オフラインセキュリティインテリジェンス更新機能の状態を確認します。
```
mdatp health --details definitions
```
- このコマンドは、セクションでわかりやすいメッセージを提供する definitions_update_fail_reason 必要があります。
- と offline_definition_update_verify_sig が有効になっているかどうかをoffline_definition_update確認します。
- がと等しいかどうかを definitions_update_source_uri 確認する offline_definition_url_configured
  - definitions_update_source_uri は、署名がダウンロードされたソースです。
  - offline_definition_url_configured は、署名をダウンロードするソースであり、マネージド構成ファイルに記載されているソースです。
Mirror Server がホストから到達可能な場合は、接続テストを実行してチェックしてみてください。
```
mdatp connectivity test
```
コマンドを使用して手動更新をトリガーしてみてください。
```
mdatp definitions update
```

既知の問題:

オフライン署名の更新は、次のシナリオで失敗する可能性があります。

この機能を有効にし、署名の更新プログラムを適用した後、機能を無効にしてクラウドから追加の署名更新プログラムを適用した後、追加の署名更新プログラムの機能を再度有効にしました。

軽減策の手順:

この問題の修正プログラムは、近日中にリリースされる予定です。

役に立つリンク

ダウンローダースクリプト

GitHub リポジトリ

次の方法で共有

Linux 上のMicrosoft Defender for Endpoint用のオフラインセキュリティインテリジェンス更新プログラムを構成する

オフラインセキュリティインテリジェンス更新プログラムのしくみ

前提条件

ミラーサーバーの構成

オフラインセキュリティインテリジェンスダウンローダースクリプトを取得する

オプション 1: リポジトリを複製する (推奨)

オプション 2: zip ファイルをダウンロードする

オフラインセキュリティインテリジェンスダウンローダースクリプトを実行する

ミラーサーバーでオフラインセキュリティインテリジェンス更新プログラムをホストする

エンドポイントの構成

構成を確認する

オフラインセキュリティインテリジェンス Updatesのトリガー

自動更新

手動更新

更新の状態を確認する

トラブルシューティングと診断

問題: MDATP 更新エラー

一般的なトラブルシューティング手順

既知の問題:

役に立つリンク

ダウンローダースクリプト

cron ジョブのスケジュール設定

フィードバック

フィードバック

その他のリソース

次の方法で共有

Linux 上のMicrosoft Defender for Endpoint用のオフライン セキュリティ インテリジェンス更新プログラムを構成する

オフライン セキュリティ インテリジェンス更新プログラムのしくみ

前提条件

ミラー サーバーの構成

オフライン セキュリティ インテリジェンス ダウンローダー スクリプトを取得する

オプション 1: リポジトリを複製する (推奨)

オプション 2: zip ファイルをダウンロードする

オフライン セキュリティ インテリジェンス ダウンローダー スクリプトを実行する

ミラー サーバーでオフライン セキュリティ インテリジェンス更新プログラムをホストする

エンドポイントの構成

構成を確認する

オフライン セキュリティ インテリジェンス Updatesのトリガー

自動更新

手動更新

更新の状態を確認する

トラブルシューティングと診断

問題: MDATP 更新エラー

一般的なトラブルシューティング手順

既知の問題:

役に立つリンク

ダウンローダー スクリプト

cron ジョブのスケジュール設定

フィードバック

フィードバック

その他のリソース

Linux 上のMicrosoft Defender for Endpoint用のオフラインセキュリティインテリジェンス更新プログラムを構成する

オフラインセキュリティインテリジェンス更新プログラムのしくみ

ミラーサーバーの構成

オフラインセキュリティインテリジェンスダウンローダースクリプトを取得する

オフラインセキュリティインテリジェンスダウンローダースクリプトを実行する

ミラーサーバーでオフラインセキュリティインテリジェンス更新プログラムをホストする

オフラインセキュリティインテリジェンス Updatesのトリガー

ダウンローダースクリプト