Konfigurowanie aktualizacji danych analitycznych zabezpieczeń w trybie offline dla Microsoft Defender dla punktu końcowego w systemie Linux

  • Dotyczy: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Aktualizacje bezpieczeństwa offline pozwalają utrzymać Ochrona punktu końcowego w usłudze Microsoft Defender na urządzeniach z Linuksem aktualnym, gdy mają ograniczone lub żadne połączenie z internetem. W tym artykule konfigurujesz serwer lustrzany, aby pobierał aktualizacje od Microsoft, konfigurujesz punkty końcowe Linuksa do pobierania aktualizacji oraz weryfikujesz wdrożenie. Zanim zaczniesz, upewnij się, że Twoje otoczenie spełnia wymagania.

Jak działają aktualizacje analizy zabezpieczeń w trybie offline

Aktualizacje bezpieczeństwa offline wykorzystują lokalny serwer hostingowy, zwany serwerem lustrzanym, do pobierania aktualizacji inteligencji bezpieczeństwa od Microsoftu. Urządzenia Linux pobierają aktualizacje z serwera lustrzanego w skonfigurowanych odstępach czasu.

Proces aktualizacji offline przebiega następująco:

  • Konfigurujesz lokalny serwer systemu plików sieciowego (NFS), który może łączyć się z Microsoft, aby pobierać aktualizacje.
  • Do uruchamiania skryptu pobierania na serwerze mirror używasz zadania cron lub zaplanowanego zadania.
  • Endpointy Linuksa uruchamiające Defender for Endpoint pobierają pobrane aktualizacje z serwera lustrzanego w skonfigurowanych odstępach czasu.
  • Defender for Endpoint weryfikuje pobrane aktualizacje przed ich wczytaniem do silnika antywirusowego.
  • Proces aktualizacji na endpointach Linuksa konfigurujesz, używając polityki bezpieczeństwa punktów końcowych lub zarządzanego pliku JSON.
  • Status aktualizacji można zobaczyć za pomocą narzędzia wiersza mdatp poleceń.

Schemat pokazujący, jak serwer lustrzany pobiera i hostuje aktualizacje inteligencji bezpieczeństwa offline.

Rysunek 1. Serwer mirror pobiera i hostuje aktualizacje bezpieczeństwa offline.

Schemat pokazujący, jak punkty końcowe Linuksa pobierają aktualizacje inteligencji bezpieczeństwa offline z serwera lustrzanego.

Rysunek 2. Punkty końcowe Linuksa pobierają aktualizacje inteligencji bezpieczeństwa offline z serwera lustrzanego.

Serwer dublowania może uruchamiać dowolny z następujących systemów operacyjnych:

  • Linux
  • Windows
  • macOS

Zalety korzystania z aktualizacji analizy zabezpieczeń w trybie offline

Najważniejsze korzyści to:

  • Kontroluj, jak często serwer lustrzany pobiera aktualizacje i jak często endpointy je pobierają.
  • Przetestuj pobrane aktualizacje na urządzeniu testowym, zanim rozprowadzisz je w całej organizacji.
  • Zmniejsz przepustowość sieci, bo tylko serwer lustrzany pobiera aktualizacje od Microsoftu.
  • Użyj mirror serwera Windows, macOS lub Linux bez instalowania Defender for Endpoint.
  • Pobierz aktualizacje bezpieczeństwa z najnowszym kompatybilnym silnikiem antywirusowym.
  • Zachowaj poprzednią aktualizację w folderze zapasowym. Jeśli pojawi się problem z najnowszą aktualizacją, możesz rozpowszechnić wcześniejszą wersję.
  • Skonfiguruj punkty końcowe tak, aby pobierały aktualizacje z firmy Microsoft, jeśli pobranie aktualizacji z serwera lustrzanego nie powiedzie się.

Wymagania wstępne

  • Zainstaluj Defender for Endpoint (marzec 2024) lub nowszą wersję 101.24022.0001 na endpointach Linuksa.

  • Upewnij się, że punkty końcowe z systemem Linux mogą się łączyć z serwerem mirror.

  • Korzystaj z obsługiwanej dystrybucji Linuksa.

  • Skonfiguruj serwer lustrzany jako serwer HTTP lub HTTPS, serwer NFS lub inny współdział sieciowy.

  • Upewnij się, że serwer lustrzany ma dostęp do następujących adresów URL:

    • https://github.com/microsoft/mdatp-xplat.git
    • https://go.microsoft.com/fwlink/?linkid=2144709
    • https://definitionupdates.microsoft.com

    Pobieracz aktualizacji offline wysyła żądanie do łącza go.microsoft.com i podąża za przekierowaniami do definitionupdates.microsoft.com, aby pobrać manifest i pakiet aktualizacji. Skonfiguruj zaporę lub proxy serwera lustrzanego, aby umożliwić wychodzący dostęp HTTPS do obu punktów końcowych.

  • Zainstaluj Bash lub PowerShell na serwerze lustrzanym. Skrypt pobierający Bash również wymaga curl i jq.

  • Dla serwera dublowanego są wymagane następujące minimalne specyfikacje systemowe:

    Rdzenie procesora RAM Bezpłatny dysk Wymiany
    2 rdzenie (preferowane 4 rdzenie) Minimum 1 GB (preferowane 4 GB) 2 GB Zależność od systemu

    Uwaga

    Ta konfiguracja może się różnić w zależności od liczby obsługiwanych żądań i obciążenia, które musi zostać przetworzone przez każdy serwer.

Konfigurowanie serwera dublowania

Uwaga

  • Twoja organizacja zarządza i jest właścicielem serwera lustrzanego w swoim prywatnym środowisku.
  • Nie musisz instalować Defender for Endpoint na serwerze lustrzanym.

Pobieranie skryptu pobierania analizy zabezpieczeń w trybie offline

Microsoft hostuje skrypt narzędzia do pobierania analizy zabezpieczeń w trybie offline w repozytorium GitHub microsoft/mdatp-xplat.

Użyj jednej z poniższych opcji, aby pobrać skrypt pobierania.

Opcja 1: Sklonuj repozytorium (preferowane)

Aby sklonować repozytorium, postępuj zgodnie z następującymi krokami:

  1. Zainstaluj Git na serwerze lustrzanym.

  2. Przejdź do katalogu, w którym chcesz sklonować repozytorium.

  3. Sklonuj repozytorium przez uruchomienie git clone https://github.com/microsoft/mdatp-xplat.git.

Opcja 2. Pobierz spakowany plik

Aby użyć pakietu zip zamiast klonowania repozytorium, wykonaj następujące kroki:

  1. Pobierz spakowany plik.

  2. Skopiuj pobrany plik do folderu, w którym chcesz zachować skrypt.

  3. Wyodrębnij skompresowany folder.

  4. Użyj zaplanowanego zadania lub zadania cron , aby okresowo pobierać i rozpakować najnowszą wersję.

Struktura katalogów lokalnych po sklonowaniu repozytorium lub pobraniu pliku ZIP

Użyj następującej przykładowej listy katalogów, aby sprawdzić, czy kopia lokalna zawiera oczekiwaną linux/definition_downloader strukturę i skrypty:

user@vm:~/mdatp-xplat$ tree linux/definition_downloader/
linux/definition_downloader/
├── README.md
├── settings.json
├── settings.ps1
├── xplat_offline_updates_download.ps1
└── xplat_offline_updates_download.sh

0 directories, 5 files

Uwaga

Zapoznaj się z plikiem, README.md aby poznać szczegóły dotyczące korzystania ze skryptów do pobierania aktualizacji offline.

Skonfiguruj następujące pola w settings.json, aby sterować skryptem pobierającym:

Nazwa pola Wartość Opis
downloadFolder ciąg Określa folder, z którego skrypt pobiera pliki.
downloadLinuxUpdates bool Po ustawieniu na true, pobiera aktualizacje Linuksa do downloadFolder.
logFilePath ciąg Określa plik dziennika diagnostycznego. Możesz udostępnić ten plik pomoc techniczna firmy Microsoft podczas rozwiązywania problemów ze skryptem.
downloadMacUpdates bool Po ustawieniu na true, pobiera aktualizacje macOS do downloadFolder.
downloadPreviewUpdates bool Po ustawieniu na true, pobiera aktualizacje podglądowe wybranych systemów operacyjnych.
backupPreviousUpdates bool Po ustawieniu na true, kopiuje poprzednią aktualizację do folderu _back przed pobraniem nowej aktualizacji.

Wykonywanie skryptu pobierania analizy zabezpieczeń w trybie offline

Aby pobrać najnowszą aktualizację ręcznie, skonfiguruj settings.json, a następnie użyj polecenia shella na serwerze lustrzanym:

  • Bash: Uruchom następujące polecenie, aby pobrać najnowsze aktualizacje definicji offline do skonfigurowanego folderu pobierania:

    ./xplat_offline_updates_download.sh

  • PowerShell: Uruchom skrypt PowerShell downloader na serwerze lustrzanym z PowerShell:

    ./xplat_offline_updates_download.ps1

Uwaga

Zaplanuj zadanie cron lub zadanie według harmonogramu, aby regularnie uruchamiać skrypt, dzięki czemu serwer lustrzany będzie miał najnowsze aktualizacje analizy zagrożeń.

Hostowanie aktualizacji danych analizy zabezpieczeń w trybie offline na serwerze lustrzanym

Po uruchomieniu skrypt pobiera updates.zip i manifest.json do folderów uporządkowanych według systemu operacyjnego, kanału wydań i architektury. Na przykład produkcyjne aktualizacje systemu Linux dla urządzeń x86_64 są przechowywane w skonfigurowanym folderze pobierania w lokalizacji linux/production/arch_x86_64.

Hostuj skonfigurowany folder pobierania na serwerze HTTP lub HTTPS, udziale sieciowym lub lokalnym bądź zdalnym punkcie montażowym, do którego mają dostęp punkty końcowe Linuksa.

Skopiuj adres URL lub absolutną ścieżkę katalogu przez folder release-ring, ale nie uwzględniaj katalogu arch_* .

Uwaga

Na przykład, jeśli skrypt pobierający używa downloadFolder=/tmp/wdav-update, a serwer HTTP pod adresem updates.contoso.com:8000 hostuje /tmp/wdav-update, użyj http://updates.contoso.com:8000/linux/production/. Sprawdź, czy to miejsce zawiera katalogi arch_* .

Możesz też użyć absolutnej ścieżki lokalnego lub zdalnego punktu montażowego. Na przykład, jeśli skrypt pobiera pliki do /tmp/wdav-update, użyj /tmp/wdav-update/linux/production.

Po skonfigurowaniu serwera lustrzanego winstaluj jego adres URL lub ścieżkę do punktów końcowych Linuksa jako wartość offlineDefinitionUpdateUrl . Wybierz jedną z metod w Konfiguracja punktów końcowych.

Konfiguruj endpointy w Microsoft Intune

Microsoft Intune jest zalecanym narzędziem do konfigurowania i wdrażania funkcji Defender for Endpoint na urządzeniach. Jednak usługa Intune jest oddzielnym produktem, który nie jest częścią Defender dla punktu końcowego i nie jest uwzględniony we wszystkich subskrypcjach. Aby korzystać z usługi Intune, potrzebujesz subskrypcji, która ją zawiera, lub możesz kupić ją oddzielnie jako autonomiczną subskrypcję lub dodatek. Jeśli nie masz usługi Intune, możesz użyć dowolnej z innych metod w tym artykule. Aby uzyskać więcej informacji, zobacz licencjonowanie Microsoft Intune.

Aby skonfigurować aktualizacje inteligencji bezpieczeństwa offline w Intune, użyj polityki antywirusowej zabezpieczeń punktów końcowych. Szczegółowe instrukcje znajdziesz w artykule Utworzenie polityk bezpieczeństwa punktów końcowych lub Modyfikacja istniejących polityk (linki otwierają nowe karty w dokumentacji Intune).

Podczas tworzenia polityki użyj następujących konkretnych ustawień:

Podczas tworzenia lub modyfikacji polityki konfiguruj następujące ustawienia na zakładce Ustawienia konfiguracji :

  • Sekcja preferencji ochrony dostarczanej w chmurze:

    • Automatyczne aktualizacje wywiadu bezpieczeństwa: Upewnij się, że to ustawienie jest włączone.
    • Interwał czasu aktualizacji Security Intelligence: Domyślnie endpointy Linuksa pobierają aktualizacje Security Intelligence z serwera lustrzanego co osiem godzin (28800 sekund). Aby użyć innego odstępu czasu, przesuń przełącznik na Skonfigurowano i wprowadź wartość w sekundach.

  • Sekcja: Silnik antywirusowy :

    • Włącz aktualizację inteligencji bezpieczeństwa offline: Wybierz Włącz, aby udostępnić inne ustawienia aktualizacji offline:
      • Aktualizacja bezpieczeństwa offline, powrót do chmury: ustaw tę wartość na True, aby endpoint próbował pobierać aktualizacje inteligencji bezpieczeństwa z chmury Microsoft, jeśli nie może ich pobrać z serwera lustrzanego.
      • Adres URL lub katalog aktualizacji analizy zabezpieczeń w trybie offline: Ustaw przełącznik w pozycji Skonfigurowane, a następnie wprowadź adres URL lub ścieżkę do katalogu na serwerze lustrzanym. Dla serwera HTTP lub HTTPS użyj formatu http://<mirror_server_address>/linux/production/. Możesz też określić współdział sieciowy lub lokalny lub zdalny punkt montażu. Więcej informacji można znaleźć w artykule Hostuj aktualizacje bezpieczeństwa offline na serwerze lustrzanym.

Konfiguruj punkty końcowe w portalu Microsoft Defender

Jeśli Twoja organizacja zarządza politykami bezpieczeństwa punktów końcowych w portalu Microsoft Defender, możesz konfigurować aktualizacje inteligencji bezpieczeństwa offline z tymi samymi politykami bezpieczeństwa punktów końcowych, które stosuje Intune.

Szczegółowe instrukcje znajdziesz w artykule Utworzenie polityki bezpieczeństwa punktu końcowego lub Edytuj politykę bezpieczeństwa punktu końcowego (linki otwierają nowe zakładki).

Gdy tworzysz politykę na zakładce polityk Linuksa na stronie polityk bezpieczeństwa punktów końcowych w portalu Defender w , https://security.microsoft.com/policy-inventory?osPlatform=Linuxużyj następujących konkretnych ustawień:

  • Wybierz platformę: Wybierz Linux.
  • Wybierz szablon: wybierz pozycję Microsoft Defender Antivirus.

Podczas tworzenia lub modyfikacji polityki używaj ustawień opisanych w sekcji Konfiguruj punkty końcowe w Microsoft Intune na stronie ustawień konfiguracji.

Po przypisaniu polityki ograniczenia grup przydziałów dotyczą urządzeń zarządzanych przez zarządzanie ustawieniami bezpieczeństwa w Defender for Endpoint. Aby uzyskać szczegółowe informacje, zobacz krok Przypisania.

Konfiguruj punkty końcowe za pomocą zarządzanego JSON

Plik mdatp_managed.json to zarządzany plik konfiguracji, który Defender dla punktu końcowego w systemie Linux odczytuje podczas uruchamiania w celu zastosowania ustawień zasad. Użyj tej metody do ręcznej konfiguracji ustawień lub za pomocą zewnętrznego narzędzia zarządzającego, takiego jak Chef czy Ansible. Zaktualizuj poniższy przykład dla swojego środowiska i wdroż go do /etc/opt/microsoft/mdatp/managed/mdatp_managed.json.

{
  "cloudService": {
    "automaticDefinitionUpdateEnabled": true,
    "definitionUpdatesInterval": 1202
  },
  "antivirusEngine": {
    "offlineDefinitionUpdateUrl": "http://172.22.199.67:8000/linux/production/",
    "offlineDefinitionUpdateFallbackToCloud":false,
    "offlineDefinitionUpdate": "enabled"
  }
}
Nazwa pola Wartości Opis
automaticDefinitionUpdateEnabled true lub false Kontroluje, czy Defender for Endpoint próbuje automatycznie instalować aktualizacje inteligencji bezpieczeństwa.
definitionUpdatesInterval Liczbowe Określa odstępy między automatycznymi aktualizacjami wywiadu bezpieczeństwa, w sekundach.
offlineDefinitionUpdateUrl Ciąg Określa adres URL serwera lustrzanego lub ścieżkę do lokalnego lub zdalnego punktu montażu. Wymagania dotyczące ścieżek można znaleźć w artykule Hostuj aktualizacje inteligencji bezpieczeństwa offline na serwerze lustrzanym.
offlineDefinitionUpdate enabled lub disabled Włącza lub wyłącza aktualizacje bezpieczeństwa offline.
offlineDefinitionUpdateFallbackToCloud true lub false Określa, czy usługa Defender for Endpoint podejmie próbę pobrania aktualizacji z firmy Microsoft, jeśli pobranie aktualizacji z serwera lustrzanego się nie powiedzie.

Weryfikacja sygnatury silnika

Od premiery 101.26062.0005 (sierpień 2026) Defender for Endpoint na Linuksie weryfikuje cyfrowy podpis silnika antywirusowego przed jego uruchomieniem. To domyślne działanie chroni urządzenia przed manipulacją lub niepodpisanymi plikami silnika.

Co musisz wiedzieć

  • Weryfikacja podpisu jest włączana automatycznie przy nowych instalacjach i aktualizacjach. Nie jest wymagana żadna osobna akcja.
  • Jeśli plik silnika nie przejdzie weryfikacji sygnatury, Defender for Endpoint go nie ładuje.
  • To offlineDefinitionUpdateVerifySig ustawienie jest przestarzałe i nie ma już żadnego wpływu. Jeśli konfiguracja zarządzana używa tego ustawienia, nie jest wymagane żadne działanie zastępcze, ponieważ weryfikacja sygnatury silnika jest domyślnie włączona.

Wykonaj następujące polecenia, aby zobaczyć stan weryfikacji podpisu:

mdatp health --details definitions
mdatp health --details features

Odpowiednie pola pojawiają się w obu wyjściach poleceń:

offline_definition_update_verify_sig : "DEPRECATED"
engine_signature_verification        : "enabled"

Wartości takie jak wersja definicji, znaczniki czasu oraz URI źródła aktualizacji różnią się w zależności od urządzenia.

Weryfikuj aktualizacje wywiadu bezpieczeństwa offline

Aby zweryfikować konfigurację na punkcie końcowym Linuksa, zobacz ustawienia aktualizacji i status informacji bezpieczeństwa:

mdatp health --details definitions

Poniższy przykładowy wynik przedstawia aktualne urządzenie ze skonfigurowanymi aktualizacjami analizy zabezpieczeń w trybie offline:

user@vm:~$ mdatp health --details definitions
automatic_definition_update_enabled         : true [managed]
definitions_updated                         : Mar 14, 2024 at 12:13:17 PM
definitions_updated_minutes_ago             : 2
definitions_version                         : "1.407.417.0"
definitions_status                          : "up_to_date"
definitions_update_source_uri               : "https://go.microsoft.com/fwlink/?linkid=2144709"
definitions_update_fail_reason              : ""
offline_definition_url_configured           : "http://172.XX.XXX.XX:8000/linux/production/" [managed]
offline_definition_update                   : "enabled" [managed]
offline_definition_update_verify_sig        : "DEPRECATED"
engine_signature_verification               : "enabled"
offline_definition_update_fallback_to_cloud : false[managed]

Wywołaj aktualizacje bezpieczeństwa offline

Aktualizacje analizy zabezpieczeń w trybie offline można wyzwalać automatycznie lub ręcznie.

Konfigurowanie aktualizacji automatycznych

Defender for Endpoint automatycznie pobiera aktualizacje inteligencji bezpieczeństwa offline w skonfigurowanych odstępach czasu, gdy skonfigurowane są następujące ustawienia:

  • Poziom wymuszania silnika antywirusowego jest ustawiony na real_time.
  • automaticDefinitionUpdateEnabled jest ustawiony na true.
  • offlineDefinitionUpdate jest ustawiony na enabled.

Domyślny odstęp aktualizacji to osiem godzin. Używam definitionUpdatesInterval do określania innego interwału w ciągu sekund.

Rozpocznij ręczną aktualizację

Aby punkt końcowy Linuksa natychmiast pobrał aktualizację inteligencji bezpieczeństwa ze swojego skonfigurowanego źródła, wykonaj następujące polecenie:

mdatp definitions update

Sprawdzanie stanu aktualizacji

Po wyzwoleniu aktualizacji użyj następujących testów, aby potwierdzić powodzenie:

  1. Zobacz status aktualizacji, uruchamiając mdatp health --details definitions.

  2. Sprawdź, czy definitions_status jest up_to_date, a definitions_update_fail_reason jest puste. Poniższy przykład pokazuje te pola:

user@vm:~$ mdatp health --details definitions
...
definitions_status                          : "up_to_date"
...
definitions_update_fail_reason              : ""
...

Rozwiązywanie problemów i diagnostyka

Jeśli aktualizacje nie powiodą się, utkną lub nie zostaną uruchomione, wykonaj następujące kroki, aby rozwiązać problemy:

  1. Sprawdź stan aktualizacji analizy zabezpieczeń w trybie offline. Użyj następującego polecenia, aby przejrzeć bieżący stan definicji i źródło aktualizacji:

    mdatp health --details definitions

    Poszukaj informacji w definitions_update_fail_reason sekcji.

  2. Upewnij się, że offline_definition_update i engine_signature_verification są włączone.

  3. Sprawdź, definitions_update_source_uri gdzie urządzenie pobierało aktualizację:

    • Jeśli urządzenie pobrało aktualizację z serwera lustrzanego, offline_definition_url_configured powinno odpowiadać definitions_update_source_uri.
    • Jeśli włączono awaryjne użycie chmury Microsoft, a aktualizacja z serwera lustrzanego nie powiodła się, element definitions_update_source_uri może zamiast tego wyświetlić źródło firmy Microsoft.

  4. Uruchom test łączności, aby potwierdzić, że urządzenie końcowe może połączyć się z serwerem lustrzanym oraz wymaganymi usługami Defender:

    mdatp connectivity test

  5. Jeśli łączność powiedzie się, spróbuj ręcznie ponowić aktualizację definicji za pomocą następującego polecenia:

    mdatp definitions update

Treści powiązane

  • Ostatnia aktualizacja o