设置 Linux 上 Microsoft Defender for Endpoint 的首选项

项目
05/01/2024

适用于：

希望体验 Defender for Endpoint？注册免费试用版。

重要

本主题包含有关如何在企业环境中为 Linux 上的 Defender for Endpoint 设置首选项的说明。如果有兴趣通过命令行在设备上配置产品，请参阅资源。

在企业环境中，Linux 上的 Defender for Endpoint 可以通过配置文件进行管理。此配置文件是从所选的管理工具部署的。企业管理的首选项优先于设备上本地设置的首选项。换句话说，企业中的用户无法更改通过此配置文件设置的首选项。如果通过托管配置文件添加排除项，则只能通过托管配置文件将其删除。命令行适用于本地添加的排除项。

本文介绍此配置文件的结构 (包括可用于开始) 的建议配置文件以及如何部署配置文件的说明。

配置文件结构

配置文件是一个.json文件，由键 (标识的条目组成，该项表示首选项) 的名称，后跟一个值，该值取决于首选项的性质。值可以是简单的（如数值），也可以是复杂值，例如首选项的嵌套列表。

通常，使用配置管理工具在位置/etc/opt/microsoft/mdatp/managed/推送名称mdatp_managed.json为的文件。

配置文件的顶层包括产品范围的首选项和产品子区域条目，后续部分将更详细地介绍这些内容。

防病毒引擎首选项

配置文件的 防病毒Engine 部分用于管理产品的防病毒组件的首选项。

说明	值
键	防病毒Engine
数据类型	字典 (嵌套首选项)
注释	有关字典内容的说明，请参阅以下部分。

防病毒引擎的强制级别

指定防病毒引擎的强制首选项。设置强制级别有三个值：

实时 (real_time) ：在启用) 修改文件时，实时保护 (扫描这些文件。
按需 (on_demand) ：仅按需扫描文件。在此中：
- 实时保护已关闭。
被动 (passive) ：在被动模式下运行防病毒引擎。在此中：
- 实时保护已关闭：Microsoft Defender防病毒无法修正威胁。
- 按需扫描已打开：仍使用终结点上的扫描功能。
- 自动威胁修正已关闭：不会移动任何文件，安全管理员应采取所需的操作。
- 安全智能更新已打开：警报将在安全管理员租户上可用。

说明	值
键	enforcementLevel
数据类型	String
可能的值	real_time on_demand 被动 (默认)
注释	在 Defender for Endpoint 版本 101.10.72 或更高版本中可用。终结点版本 101.23062.0001 或更高版本的默认值已从 real_time 更改为被动。

启用/禁用行为监视

确定是否在设备上启用行为监视和阻止功能。

注意

仅当启用了 Real-Time 保护功能时，此功能才适用。

说明	值
键	behaviorMonitoring
数据类型	String
可能的值	已禁用 (默认) enabled
注释	在 Defender for Endpoint 版本 101.45.00 或更高版本中可用。

更新定义后运行扫描

指定在设备上下载新的安全智能更新后是否启动进程扫描。启用此设置会在设备的正在运行的进程上触发防病毒扫描。

说明	值
键	scanAfterDefinitionUpdate
数据类型	布尔值
可能的值	true (默认) false
注释	在 Defender for Endpoint 版本 101.45.00 或更高版本中可用。

仅扫描存档 (按需防病毒扫描)

指定是否在按需防病毒扫描期间扫描存档。

注意

存档文件永远不会在实时保护期间扫描。提取存档中的文件时，将扫描这些文件。 scanArchives 选项可用于仅在按需扫描期间强制扫描存档。

说明	值
键	scanArchives
数据类型	布尔值
可能的值	true (默认) false
注释	在 Microsoft Defender for Endpoint 版本 101.45.00 或更高版本中可用。

按需扫描的并行度

指定按需扫描的并行度。这对应于用于执行扫描并影响 CPU 使用率的线程数，以及按需扫描的持续时间。

说明	值
键	maximumOnDemandScanThreads
数据类型	整数
可能的值	2 (默认) 。允许的值是介于 1 和 64 之间的整数。
注释	在 Microsoft Defender for Endpoint 版本 101.45.00 或更高版本中可用。

排除合并策略

指定排除项的合并策略。它可以是管理员定义的排除项和用户定义的排除项 () merge 的组合，也可以是管理员定义的排除项 () admin_only 的组合。此设置可用于限制本地用户定义其自己的排除项。

说明	值
键	exclusionsMergePolicy
数据类型	String
可能的值	合并 (默认) admin_only
注释	在 Defender for Endpoint 版本 100.83.73 或更高版本中可用。

扫描排除项

已从扫描中排除的实体。排除项可以由完整路径、扩展名或文件名指定。 (排除项指定为项数组，管理员可以根据需要指定任意数量的元素，按任意顺序。)

说明	值
键	排除
数据类型	字典 (嵌套首选项)
注释	有关字典内容的说明，请参阅以下部分。

排除类型

指定从扫描中排除的内容的类型。

说明	值
键	$type
数据类型	String
可能的值	excludedPath excludedFileExtension excludedFileName

说明

值

键

$type

数据类型

String

可能的值

excludedPath

excludedFileExtension

excludedFileName

已排除内容的路径

用于按完整文件路径从扫描中排除内容。

说明	值
键	path
数据类型	String
可能的值	有效路径
注释	仅当排除$type时适用Path

路径类型 (文件/目录)

指示路径属性是否引用文件或目录。

说明	值
键	isDirectory
数据类型	布尔值
可能的值	false（默认值） true
注释	仅当排除$type时适用Path

从扫描中排除的文件扩展名

用于按文件扩展名从扫描中排除内容。

说明	值
键	扩展
数据类型	String
可能的值	有效的文件扩展名
注释	仅当排除$typeFileExtension 时才适用

从扫描中排除的进程*

指定从扫描中排除所有文件活动的进程。可以按进程的名称 (（例如， cat) ）或完整路径 (指定， /bin/cat 例如) 。

说明	值
键	name
数据类型	String
可能的值	任何字符串
注释	仅当排除$typeFileName 时适用

将非 Exec 装载静音

指定 RTP 在标记为 noexec 的装入点上的行为。设置有两个值：

未静音 (unmute) ：默认值，所有装入点都作为 RTP 的一部分进行扫描。
已静音 (mute) ：标记为 noexec 的装入点不会作为 RTP 的一部分进行扫描，可针对以下对象创建这些装入点：
- 数据库服务器上的数据库文件，用于保留数据库文件。
- 文件服务器可以使用 noexec 选项保留数据文件装入点。
- 备份可以使用 noexec 选项保留数据文件装入点。

说明	值
键	nonExecMountPolicy
数据类型	String
可能的值	取消静音 (默认) 静音
注释	在 Defender for Endpoint 版本 101.85.27 或更高版本中可用。

Unmonitor Filesystems

将文件系统配置为从实时保护 (RTP) 不受监视/排除。根据Microsoft Defender允许的文件系统列表验证配置的文件系统。只有在成功验证后，才会允许文件系统不受监视。这些配置的不受监视的文件系统仍将通过快速、完整和自定义扫描进行扫描。

说明	值
键	unmonitoredFilesystems
数据类型	字符串数组
注释	只有在 Microsoft 允许的未受监视文件系统列表中存在配置的文件系统时，才会对其进行监视。

默认情况下，NFS 和 Fuse 不受 RTP、快速和完整扫描的监视。但是，仍可以通过自定义扫描来扫描它们。例如，若要从不受监视的文件系统列表中删除 NFS，请更新托管配置文件，如下所示。这会自动将 NFS 添加到 RTP 的受监视文件系统列表中。

{
   "antivirusEngine":{
      "unmonitoredFilesystems": ["Fuse"]
  }
}

若要从不受监视的文件系统列表中同时删除 NFS 和 Fuse，请执行以下操作

{
   "antivirusEngine":{
      "unmonitoredFilesystems": []
  }
}

注意

下面是 RTP 的受监视文件系统的默认列表 -

[btrfs， ecryptfs， ext2， ext3， ext4， fuseblk， jfs， overlay， ramfs， reiserfs， tmpfs， vfat， xfs]

如果需要将任何受监视的文件系统添加到未受监视的文件系统列表中，则 Microsoft 需要通过云配置对其进行评估和启用。之后，客户可以更新managed_mdatp.json以取消监视该文件系统。

配置文件哈希计算功能

启用或禁用文件哈希计算功能。启用此功能后，Defender for Endpoint 会计算它扫描的文件的哈希。请注意，启用此功能可能会影响设备性能。有关更多详细信息，请参阅：文件Create指示器。

说明	值
键	enableFileHashComputation
数据类型	布尔值
可能的值	false（默认值） true
注释	在 Defender for Endpoint 版本 101.85.27 或更高版本中可用。

允许的威胁

(按名称标识的威胁列表) 产品不会阻止，而是允许运行。

说明	值
键	allowedThreats
数据类型	字符串数组

不允许的威胁操作

限制设备本地用户在检测到威胁时可以执行的操作。此列表中包含的操作不会显示在用户界面中。

说明	值
键	disallowedThreatActions
数据类型	字符串数组
可能的值	允许 (限制用户允许威胁) 还原 (限制用户从隔离) 还原威胁
注释	在 Defender for Endpoint 版本 100.83.73 或更高版本中可用。

威胁类型设置

防病毒引擎中的 threatTypeSettings 首选项用于控制产品如何处理某些威胁类型。

说明	值
键	threatTypeSettings
数据类型	字典 (嵌套首选项)
注释	有关字典内容的说明，请参阅以下部分。

威胁类型

为其配置行为的威胁类型。

说明	值
键	注册表项
数据类型	String
可能的值	potentially_unwanted_application archive_bomb

要采取的措施

遇到上一部分中指定的类型的威胁时要执行的操作。可以是：

审核：设备不受此类威胁的保护，但会记录有关威胁的条目。
阻止：设备受到保护，免受此类威胁，并在安全控制台中收到通知。
关闭：设备不受此类威胁的保护，并且不会记录任何内容。

说明	值
键	值
数据类型	String
可能的值	审核 (默认) 块关

说明

值

键

值

数据类型

String

可能的值

审核 (默认)

块

关

威胁类型设置合并策略

指定威胁类型设置的合并策略。这可以是管理员定义的设置和用户定义的设置 () merge 的组合，也可以是管理员定义的设置 () admin_only 。此设置可用于限制本地用户为不同的威胁类型定义自己的设置。

说明	值
键	threatTypeSettingsMergePolicy
数据类型	String
可能的值	合并 (默认) admin_only
注释	在 Defender for Endpoint 版本 100.83.73 或更高版本中可用。

防病毒扫描历史记录保留期 (天)

指定结果在设备上的扫描历史记录中保留的天数。旧扫描结果将从历史记录中删除。也从磁盘中删除的旧隔离文件。

说明	值
键	scanResultsRetentionDays
数据类型	String
可能的值	90 (默认) 。允许的值为 1 天到 180 天。
注释	在 Defender for Endpoint 版本 101.04.76 或更高版本中可用。

防病毒扫描历史记录中的最大项目数

指定要在扫描历史记录中保留的最大条目数。条目包括过去执行的所有按需扫描和所有防病毒检测。

说明	值
键	scanHistoryMaximumItems
数据类型	String
可能的值	10000 (默认) 。允许的值为 5000 到 15000 项。
注释	在 Defender for Endpoint 版本 101.04.76 或更高版本中可用。

高级扫描选项

可将以下设置配置为启用某些高级扫描功能。

注意

启用这些功能可能会影响设备性能。因此，建议保留默认值。

配置文件修改权限事件的扫描

启用此功能后，Defender for Endpoint 会在文件的权限更改后扫描文件，以设置执行位 () 。

注意

仅当启用此功能时， enableFilePermissionEvents 此功能才适用。有关详细信息，请参阅下面的高级可选功能部分。

说明	值
键	scanFileModifyPermissions
数据类型	布尔值
可能的值	false（默认值） true
注释	在 Defender for Endpoint 版本 101.23062.0010 或更高版本中可用。

配置文件修改所有权事件的扫描

启用此功能后，Defender for Endpoint 将扫描所有权已更改的文件。

注意

仅当启用此功能时， enableFileOwnershipEvents 此功能才适用。有关详细信息，请参阅下面的高级可选功能部分。

说明	值
键	scanFileModifyOwnership
数据类型	布尔值
可能的值	false（默认值） true
注释	在 Defender for Endpoint 版本 101.23062.0010 或更高版本中可用。

配置原始套接字事件的扫描

启用此功能后，Defender for Endpoint 将扫描网络套接字事件，例如创建原始套接字/数据包套接字或设置套接字选项。

注意

仅当启用行为监视时，此功能才适用。

注意

仅当启用此功能时， enableRawSocketEvent 此功能才适用。有关详细信息，请参阅下面的高级可选功能部分。

说明	值
键	scanNetworkSocketEvent
数据类型	布尔值
可能的值	false（默认值） true
注释	在 Defender for Endpoint 版本 101.23062.0010 或更高版本中可用。

云提供的保护首选项

配置文件中的 cloudService 条目用于配置产品的云驱动保护功能。

注意

云提供的保护适用于任何强制级别设置 (real_time、on_demand、被动) 。

说明	值
键	cloudService
数据类型	字典 (嵌套首选项)
注释	有关字典内容的说明，请参阅以下部分。

启用/禁用云提供的保护

确定是否在设备上启用云提供的保护。为了提高服务的安全性，我们建议保持此功能的打开状态。

说明	值
键	enabled
数据类型	布尔值
可能的值	true (默认) false

诊断集合级别

诊断数据用于保持 Defender for Endpoint 的安全和最新、检测、诊断和修复问题，以及进行产品改进。此设置确定产品发送到 Microsoft 的诊断级别。

说明	值
键	diagnosticLevel
数据类型	String
可能的值	可选必需 (默认)

配置云块级别

此设置确定 Defender for Endpoint 在阻止和扫描可疑文件时的积极程度。如果此设置处于打开状态，则 Defender for Endpoint 在识别要阻止和扫描的可疑文件时会更加主动;否则，它的攻击性较低，因此阻止和扫描的频率较低。

有五个值用于设置云块级别：

普通 (normal) ：默认阻止级别。
中等 (moderate) ：仅针对高置信度检测提供判决。
高 (high) ：主动阻止未知文件，同时优化性能 (阻止非有害文件) 的可能性更大。
高加 (high_plus) ：主动阻止未知文件并应用其他保护措施， (可能会影响客户端设备性能) 。
零容忍 (zero_tolerance) ：阻止所有未知程序。

说明	值
键	cloudBlockLevel
数据类型	String
可能的值	正常 (默认) 温和高 high_plus zero_tolerance
注释	在 Defender for Endpoint 版本 101.56.62 或更高版本中可用。

启用/禁用自动示例提交

确定是否将可疑样本 (可能包含威胁) 发送到 Microsoft。有三个级别用于控制示例提交：

无：不会向 Microsoft 提交任何可疑样本。
安全：仅自动提交不包含个人身份信息的可疑样本 (PII) 。这是此设置的默认值。
全部：所有可疑样本均提交到 Microsoft。

说明	值
键	automaticSampleSubmissionConsent
数据类型	String
可能的值	无安全 (默认) 全部

说明

值

键

automaticSampleSubmissionConsent

数据类型

String

可能的值

无

安全 (默认)

全部

启用/禁用自动安全智能更新

确定是否自动安装安全智能更新：

说明	值
键	automaticDefinitionUpdateEnabled
数据类型	布尔值
可能的值	true (默认) false

高级可选功能

可以将以下设置配置为启用某些高级功能。

注意

启用这些功能可能会影响设备性能。建议保留默认值。

说明	值
键	特征
数据类型	字典 (嵌套首选项)
注释	有关字典内容的说明，请参阅以下部分。

模块加载功能

确定是否监视共享库) 上的模块加载事件 (文件打开事件。

注意

仅当启用行为监视时，此功能才适用。

说明	值
键	moduleLoad
数据类型	String
可能的值	已禁用 (默认) enabled
注释	在 Defender for Endpoint 版本 101.68.80 或更高版本中可用。

补充传感器配置

以下设置可用于配置某些高级补充传感器功能。

说明	值
键	supplementarySensorConfigurations
数据类型	字典 (嵌套首选项)
注释	有关字典内容的说明，请参阅以下部分。

配置文件修改权限事件的监视

确定是否监视) (chmod 文件修改权限事件。

注意

启用此功能后，Defender for Endpoint 将监视对文件执行位的更改，但不扫描这些事件。有关详细信息，请参阅高级扫描功能部分。

说明	值
键	enableFilePermissionEvents
数据类型	String
可能的值	已禁用 (默认) enabled
注释	在 Defender for Endpoint 版本 101.23062.0010 或更高版本中可用。

配置文件修改所有权事件的监视

确定是否监视 chown) (文件修改所有权事件。

注意

启用此功能后，Defender for Endpoint 将监视对文件所有权的更改，但不扫描这些事件。有关详细信息，请参阅高级扫描功能部分。

说明	值
键	enableFileOwnershipEvents
数据类型	String
可能的值	已禁用 (默认) enabled
注释	在 Defender for Endpoint 版本 101.23062.0010 或更高版本中可用。

配置原始套接字事件的监视

确定是否监视涉及创建原始套接字/数据包套接字或设置套接字选项的网络套接字事件。

注意

仅当启用行为监视时，此功能才适用。

注意

启用此功能后，Defender for Endpoint 将监视这些网络套接字事件，但不扫描这些事件。有关详细信息，请参阅上面的高级扫描功能部分。

说明	值
键	enableRawSocketEvent
数据类型	String
可能的值	已禁用 (默认) enabled
注释	在 Defender for Endpoint 版本 101.23062.0010 或更高版本中可用。

配置启动加载程序事件的监视

确定是否监视和扫描启动加载程序事件。

注意

仅当启用行为监视时，此功能才适用。

说明	值
键	enableBootLoaderCalls
数据类型	String
可能的值	已禁用 (默认) enabled
注释	在 Defender for Endpoint 版本 101.68.80 或更高版本中可用。

配置 ptrace 事件的监视

确定是否监视和扫描 ptrace 事件。

注意

仅当启用行为监视时，此功能才适用。

说明	值
键	enableProcessCalls
数据类型	String
可能的值	已禁用 (默认) enabled
注释	在 Defender for Endpoint 版本 101.68.80 或更高版本中可用。

配置伪fs 事件的监视

确定是否监视和扫描伪fs 事件。

注意

仅当启用行为监视时，此功能才适用。

说明	值
键	enablePseudofsCalls
数据类型	String
可能的值	已禁用 (默认) enabled
注释	在 Defender for Endpoint 版本 101.68.80 或更高版本中可用。

使用 eBPF 配置模块负载事件的监视

确定是否使用 eBPF 监视模块加载事件并对其进行扫描。

注意

仅当启用行为监视时，此功能才适用。

说明	值
键	enableEbpfModuleLoadEvents
数据类型	String
可能的值	已禁用 (默认) enabled
注释	在 Defender for Endpoint 版本 101.68.80 或更高版本中可用。

向 EDR 报告 AV 可疑事件

确定是否将防病毒中的可疑事件报告给 EDR。

说明	值
键	sendLowfiEvents
数据类型	String
可能的值	已禁用 (默认) enabled
注释	在 Defender for Endpoint 版本 101.23062.0010 或更高版本中可用。

网络保护配置

以下设置可用于配置高级网络保护检查功能，以控制网络保护检查的流量。

注意

若要使这些方案生效，必须打开网络保护。有关详细信息，请参阅为 Linux 启用网络保护。

说明	值
键	networkProtection
数据类型	字典 (嵌套首选项)
注释	有关字典内容的说明，请参阅以下部分。

配置 ICMP 检查

确定是否监视和扫描 ICMP 事件。

注意

仅当启用行为监视时，此功能才适用。

说明	值
键	disableIcmpInspection
数据类型	布尔值
可能的值	true (默认) false
注释	在 Defender for Endpoint 版本 101.23062.0010 或更高版本中可用。

建议的配置文件

若要开始，我们建议企业使用以下配置文件，以利用 Defender for Endpoint 提供的所有保护功能。

以下配置文件将：

(RTP) 启用实时保护
指定如何处理以下威胁类型：
- 阻止了可能不需要的应用程序 (PUA)
- 存档炸弹 (具有高压缩率的文件) 审核到产品日志
启用自动安全智能更新
启用云保护
在级别启用自动示例提交safe

示例配置文件

{
   "antivirusEngine":{
      "enforcementLevel":"real_time",
      "threatTypeSettings":[
         {
            "key":"potentially_unwanted_application",
            "value":"block"
         },
         {
            "key":"archive_bomb",
            "value":"audit"
         }
      ]
   },
   "cloudService":{
      "automaticDefinitionUpdateEnabled":true,
      "automaticSampleSubmissionConsent":"safe",
      "enabled":true,
      "proxy": "<EXAMPLE DO NOT USE> http://proxy.server:port/"
   }
}

完整配置文件示例

以下配置文件包含本文档中所述的所有设置的条目，可用于需要对产品进行更多控制的高级方案。

注意

无法仅使用此 JSON 中的代理设置控制所有Microsoft Defender for Endpoint通信。

完整配置文件

{
   "antivirusEngine":{
      "enforcementLevel":"real_time",
      "behaviorMonitoring": "enabled",
      "scanAfterDefinitionUpdate":true,
      "scanArchives":true,
      "scanHistoryMaximumItems": 10000,
      "scanResultsRetentionDays": 90,
      "maximumOnDemandScanThreads":2,
      "exclusionsMergePolicy":"merge",
      "exclusions":[
         {
            "$type":"excludedPath",
            "isDirectory":false,
            "path":"/var/log/system.log<EXAMPLE DO NOT USE>"
         },
         {
            "$type":"excludedPath",
            "isDirectory":true,
            "path":"/run<EXAMPLE DO NOT USE>"
         },
         {
            "$type":"excludedPath",
            "isDirectory":true,
            "path":"/home/*/git<EXAMPLE DO NOT USE>"
         },
         {
            "$type":"excludedFileExtension",
            "extension":".pdf<EXAMPLE DO NOT USE>"
         },
         {
            "$type":"excludedFileName",
            "name":"cat<EXAMPLE DO NOT USE>"
         }
      ],
      "allowedThreats":[
         "<EXAMPLE DO NOT USE>EICAR-Test-File (not a virus)"
      ],
      "disallowedThreatActions":[
         "allow",
         "restore"
      ],
      "nonExecMountPolicy":"unmute",
      "unmonitoredFilesystems": ["nfs,fuse"],
      "threatTypeSettingsMergePolicy":"merge",
      "threatTypeSettings":[
         {
            "key":"potentially_unwanted_application",
            "value":"block"
         },
         {
            "key":"archive_bomb",
            "value":"audit"
         }
      ]
   },
   "cloudService":{
      "enabled":true,
      "diagnosticLevel":"optional",
      "automaticSampleSubmissionConsent":"safe",
      "automaticDefinitionUpdateEnabled":true,
      "proxy": "<EXAMPLE DO NOT USE> http://proxy.server:port/"
   }
}

将标记或组 ID 添加到配置文件

首次运行 mdatp health 命令时，标记和组 ID 的值将为空。若要向文件添加标记或组 ID mdatp_managed.json ，请执行以下步骤：

从路径 /etc/opt/microsoft/mdatp/managed/mdatp_managed.json打开配置文件。
向下转到块所在的 cloudService 文件底部。
在的右大括号 cloudService末尾添加所需的标记或组 ID，如以下示例所示。

  },
  "cloudService": {
    "enabled": true,
    "diagnosticLevel": "optional",
    "automaticSampleSubmissionConsent": "safe",
    "automaticDefinitionUpdateEnabled": true,
    "proxy": "http://proxy.server:port/"
},
"edr": {
  "groupIds":"GroupIdExample",
  "tags": [
            {
            "key": "GROUP",
            "value": "Tag"
            }
          ]
      }
}

注意

在块末尾 cloudService 的右大括号后面添加逗号。此外，请确保在添加标记或组 ID 块后有两个右大括号 (请参阅上面的示例) 。目前，标记唯一支持的键名称是 GROUP。

配置文件验证

配置文件必须是有效的 JSON 格式文件。有许多工具可用于验证这一点。例如，如果你已在 python 设备上安装：

python -m json.tool mdatp_managed.json

如果 JSON 格式正确，则上述命令将其输出回终端，并返回的退出代码 0。否则，将显示描述问题的错误，命令返回退出代码 1。

验证mdatp_managed.json文件是否按预期工作

若要验证 /etc/opt/microsoft/mdatp/managed/mdatp_managed.json是否正常工作，应在以下设置旁边看到“[托管]”：

cloud_enabled
cloud_automatic_sample_submission_consent
passive_mode_enabled
real_time_protection_enabled
automatic_definition_update_enabled

注意

无需重启 mdatp 守护程序，mdatp_managed.json中的 大多数 配置更改即可生效。 例外： 以下配置需要重启守护程序才能生效：

cloud-diagnostic
log-rotation-parameters

配置文件部署

为企业生成配置文件后，可以通过企业正在使用的管理工具来部署配置文件。 Linux 上的 Defender for Endpoint 从 /etc/opt/microsoft/mdatp/managed/mdatp_managed.json 文件中读取托管配置。

提示

想要了解更多信息？ Engage技术社区中的 Microsoft 安全社区：Microsoft Defender for Endpoint技术社区。

设置 Linux 上 Microsoft Defender for Endpoint 的首选项

配置文件结构

防病毒引擎首选项

防病毒引擎的强制级别

启用/禁用行为监视

更新定义后运行扫描

仅扫描存档 (按需防病毒扫描)

按需扫描的并行度

排除合并策略

扫描排除项

排除类型

已排除内容的路径

路径类型 (文件/目录)

从扫描中排除的文件扩展名

从扫描中排除的进程*

将非 Exec 装载静音

Unmonitor Filesystems

配置文件哈希计算功能

允许的威胁

不允许的威胁操作

威胁类型设置

威胁类型

要采取的措施

威胁类型设置合并策略

防病毒扫描历史记录保留期 (天)

防病毒扫描历史记录中的最大项目数

高级扫描选项

配置文件修改权限事件的扫描

配置文件修改所有权事件的扫描

配置原始套接字事件的扫描

云提供的保护首选项

启用/禁用云提供的保护

诊断集合级别

配置云块级别

启用/禁用自动示例提交

启用/禁用自动安全智能更新

高级可选功能

模块加载功能

补充传感器配置

配置文件修改权限事件的监视

配置文件修改所有权事件的监视

配置原始套接字事件的监视

配置启动加载程序事件的监视

配置 ptrace 事件的监视

配置伪fs 事件的监视

使用 eBPF 配置模块负载事件的监视

向 EDR 报告 AV 可疑事件

网络保护配置

配置 ICMP 检查

建议的配置文件

示例配置文件

完整配置文件示例

完整配置文件

将标记或组 ID 添加到配置文件

配置文件验证

验证mdatp_managed.json文件是否按预期工作

配置文件部署

反馈

反馈

其他资源