设置 Linux 上 Microsoft Defender for Endpoint 的首选项

项目
05/14/2023

适用于：

希望体验 Defender for Endpoint？注册免费试用版。

重要

本主题包含有关如何在企业环境中为 Linux 上的 Defender for Endpoint 设置首选项的说明。如果有兴趣通过命令行在设备上配置产品，请参阅资源。

在企业环境中，Linux 上的 Defender for Endpoint 可以通过配置文件进行管理。此配置文件是从所选的管理工具部署的。企业管理的首选项优先于设备上本地设置的首选项。换句话说，企业中的用户无法更改通过此配置文件设置的首选项。如果通过托管配置文件添加排除项，则只能通过托管配置文件将其删除。命令行适用于本地添加的排除项。

本文介绍此配置文件的结构 (包括可用于开始) 的建议配置文件以及如何部署配置文件的说明。

配置文件结构

配置文件是一个 .json 文件，其中包含由键 (标识的条目，该项表示首选项) 的名称，后跟一个值，该值取决于首选项的性质。值可以是简单的（如数值），也可以是复杂值，例如首选项的嵌套列表。

通常，使用配置管理工具在位置/etc/opt/microsoft/mdatp/managed/推送名称mdatp_managed.json为的文件。

配置文件的顶层包括产品范围的首选项和产品子区域条目，后续部分将更详细地介绍这些内容。

防病毒引擎首选项

配置文件的 防病毒Engine 部分用于管理产品的防病毒组件的首选项。

说明	值
键	防病毒Engine
数据类型	字典 (嵌套首选项)
注释	有关字典内容的说明，请参阅以下部分。

防病毒引擎的强制级别

指定防病毒引擎的强制首选项。设置强制级别有三个值：

实时 (real_time) ：启用实时保护 (访问文件时扫描文件) 。
按需 (on_demand) ：仅按需扫描文件。在此中：
- 实时保护已关闭。
被动 (passive) ：在被动模式下运行防病毒引擎。在此中：
- 实时保护已关闭。
- 按需扫描已打开。
- 自动威胁修正已关闭。
- 安全智能更新已打开。

说明	值
键	enforcementLevel
数据类型	String
可能的值	real_time (默认) on_demand 被动
注释	在 Defender for Endpoint 版本 101.10.72 或更高版本中可用。

启用/禁用行为监视

确定是否在设备上启用行为监视和阻止功能。

说明	值
键	behaviorMonitoring
数据类型	String
可能的值	已禁用 (默认) enabled
注释	在 Defender for Endpoint 版本 101.45.00 或更高版本中可用。

更新定义后运行扫描

指定在设备上下载新的安全智能更新后是否启动进程扫描。启用此设置会在设备的正在运行的进程上触发防病毒扫描。

说明	值
键	scanAfterDefinitionUpdate
数据类型	布尔值
可能的值	true (默认) false
注释	在 Defender for Endpoint 版本 101.45.00 或更高版本中可用。

仅扫描存档 (按需防病毒扫描)

指定是否在按需防病毒扫描期间扫描存档。

注意

存档文件永远不会在实时保护期间扫描。提取存档中的文件时，将扫描这些文件。 scanArchives 选项可用于仅在按需扫描期间强制扫描存档。

说明	值
键	scanArchives
数据类型	布尔值
可能的值	true (默认) false
注释	在 Microsoft Defender for Endpoint 版本 101.45.00 或更高版本中可用。

按需扫描的并行度

指定按需扫描的并行度。这对应于用于执行扫描并影响 CPU 使用率的线程数，以及按需扫描的持续时间。

说明	值
键	maximumOnDemandScanThreads
数据类型	整数
可能的值	2 (默认) 。允许的值是介于 1 和 64 之间的整数。
注释	在 Microsoft Defender for Endpoint 版本 101.45.00 或更高版本中可用。

排除合并策略

指定排除项的合并策略。它可以是管理员定义的排除项和用户定义的排除项 () merge 的组合，也可以是管理员定义的排除项 () admin_only 的组合。此设置可用于限制本地用户定义其自己的排除项。

说明	值
键	exclusionsMergePolicy
数据类型	String
可能的值	合并 (默认) admin_only
注释	在 Defender for Endpoint 版本 100.83.73 或更高版本中可用。

扫描排除项

已从扫描中排除的实体。排除项可以由完整路径、扩展名或文件名指定。 (排除项指定为项数组，管理员可以根据需要指定任意数量的元素，按任意顺序。)

说明	值
键	排除
数据类型	字典 (嵌套首选项)
注释	有关字典内容的说明，请参阅以下部分。

排除类型

指定从扫描中排除的内容的类型。

说明	值
键	$type
数据类型	String
可能的值	excludedPath excludedFileExtension excludedFileName

说明

值

键

$type

数据类型

String

可能的值

excludedPath

excludedFileExtension

excludedFileName

已排除内容的路径

用于按完整文件路径从扫描中排除内容。

说明	值
键	path
数据类型	String
可能的值	有效路径
注释	仅当排除$type时适用Path

路径类型 (文件/目录)

指示路径属性是否引用文件或目录。

说明	值
键	isDirectory
数据类型	布尔值
可能的值	false（默认值） true
注释	仅当排除$type时适用Path

从扫描中排除的文件扩展名

用于按文件扩展名从扫描中排除内容。

说明	值
键	扩展
数据类型	String
可能的值	有效的文件扩展名
注释	仅当排除$typeFileExtension 时才适用

从扫描中排除的进程*

指定从扫描中排除所有文件活动的进程。可以按进程的名称 (（例如， cat) ）或完整路径 (指定， /bin/cat 例如) 。

说明	值
键	name
数据类型	String
可能的值	任何字符串
注释	仅当排除$typeFileName 时适用

将非 Exec 装载静音

指定 RTP 在标记为 noexec 的装入点上的行为。设置有两个值：

未静音 (unmute) ：默认值，所有装入点都作为 RTP 的一部分进行扫描。
已静音 (mute) ：标记为 noexec 的装入点不会作为 RTP 的一部分进行扫描，可针对以下对象创建这些装入点：
- 数据库服务器上的数据库文件，用于保留数据库文件。
- 文件服务器可以使用 noexec 选项保留数据文件装入点。
- 备份可以使用 noexec 选项保留数据文件装入点。

说明	值
键	nonExecMountPolicy
数据类型	String
可能的值	取消静音 (默认) 静音
注释	在 Defender for Endpoint 版本 101.85.27 或更高版本中可用。

Unmonitor Filesystems

将文件系统配置为从实时保护 (RTP) 不受监视/排除。根据Microsoft Defender允许的文件系统列表验证配置的文件系统。只有在成功验证后，才会允许文件系统不受监视。这些配置的不受监视的文件系统仍将通过快速、完整和自定义扫描进行扫描。

默认情况下，NFS 和 Fuse 不受 RTP、快速和完整扫描的监视。但是，仍可以通过自定义扫描来扫描它们。

说明	值
键	unmonitoredFilesystems
数据类型	字符串数组
注释	只有在 Microsoft 允许的未受监视文件系统列表中存在配置的文件系统时，才会对其进行监视。

配置文件哈希计算功能

启用或禁用文件哈希计算功能。启用此功能后，Defender for Endpoint 会计算它扫描的文件的哈希。请注意，启用此功能可能会影响设备性能。有关更多详细信息，请参阅：为文件创建指示器。

说明	值
键	enableFileHashComputation
数据类型	布尔值
可能的值	false（默认值） true
注释	在 Defender for Endpoint 版本 101.85.27 或更高版本中可用。

允许的威胁

(按名称标识的威胁列表) 产品不会阻止，而是允许运行。

说明	值
键	allowedThreats
数据类型	字符串数组

不允许的威胁操作

限制设备本地用户在检测到威胁时可以执行的操作。此列表中包含的操作不会显示在用户界面中。

说明	值
键	disallowedThreatActions
数据类型	字符串数组
可能的值	允许 (限制用户允许威胁) 还原 (限制用户从隔离) 还原威胁
注释	在 Defender for Endpoint 版本 100.83.73 或更高版本中可用。

威胁类型设置

防病毒引擎中的 threatTypeSettings 首选项用于控制产品如何处理某些威胁类型。

说明	值
键	threatTypeSettings
数据类型	字典 (嵌套首选项)
注释	有关字典内容的说明，请参阅以下部分。

威胁类型

为其配置行为的威胁类型。

说明	值
键	注册表项
数据类型	String
可能的值	potentially_unwanted_application archive_bomb

要采取的措施

遇到上一部分中指定的类型的威胁时要执行的操作。可以是：

审核：设备不受此类威胁的保护，但会记录有关威胁的条目。
阻止：设备受到保护，免受此类威胁，并在安全控制台中收到通知。
关闭：设备不受此类威胁的保护，并且不会记录任何内容。

说明	值
键	值
数据类型	String
可能的值	审核 (默认) 块关

说明

值

键

值

数据类型

String

可能的值

审核 (默认)

块

关

威胁类型设置合并策略

指定威胁类型设置的合并策略。这可以是管理员定义的设置和用户定义的设置 () merge 的组合，也可以是管理员定义的设置 () admin_only 。此设置可用于限制本地用户为不同的威胁类型定义自己的设置。

说明	值
键	threatTypeSettingsMergePolicy
数据类型	String
可能的值	合并 (默认) admin_only
注释	在 Defender for Endpoint 版本 100.83.73 或更高版本中可用。

防病毒扫描历史记录保留期 (天)

指定结果在设备上的扫描历史记录中保留的天数。旧扫描结果将从历史记录中删除。也从磁盘中删除的旧隔离文件。

说明	值
键	scanResultsRetentionDays
数据类型	String
可能的值	90 (默认) 。允许的值为 1 天到 180 天。
注释	在 Defender for Endpoint 版本 101.04.76 或更高版本中可用。

防病毒扫描历史记录中的最大项目数

指定要在扫描历史记录中保留的最大条目数。条目包括过去执行的所有按需扫描和所有防病毒检测。

说明	值
键	scanHistoryMaximumItems
数据类型	String
可能的值	10000 (默认) 。允许的值为 5000 到 15000 项。
注释	在 Defender for Endpoint 版本 101.04.76 或更高版本中可用。

云提供的保护首选项

配置文件中的 cloudService 条目用于配置产品的云驱动保护功能。

说明	值
键	cloudService
数据类型	字典 (嵌套首选项)
注释	有关字典内容的说明，请参阅以下部分。

启用/禁用云提供的保护

确定是否在设备上启用云提供的保护。为了提高服务的安全性，我们建议保持此功能的打开状态。

说明	值
键	enabled
数据类型	布尔值
可能的值	true (默认) false

诊断集合级别

诊断数据用于保持 Defender for Endpoint 的安全和最新、检测、诊断和修复问题，以及进行产品改进。此设置确定产品发送到 Microsoft 的诊断级别。

说明	值
键	diagnosticLevel
数据类型	String
可能的值	可选必需 (默认)

配置云块级别

此设置确定 Defender for Endpoint 在阻止和扫描可疑文件时的积极程度。如果此设置处于打开状态，则 Defender for Endpoint 在识别要阻止和扫描的可疑文件时会更加主动;否则，它的攻击性较低，因此阻止和扫描的频率较低。有五个值用于设置云块级别：

普通 (normal) ：默认阻止级别。
中等 (moderate) ：仅针对高置信度检测提供判决。
高 (high) ：主动阻止未知文件，同时优化性能 (阻止非有害文件) 的可能性更大。
高加 (high_plus) ：主动阻止未知文件并应用其他保护措施， (可能会影响客户端设备性能) 。
零容忍 (zero_tolerance) ：阻止所有未知程序。

说明	值
键	cloudBlockLevel
数据类型	String
可能的值	正常 (默认) 温和高 high_plus zero_tolerance
注释	在 Defender for Endpoint 版本 101.56.62 或更高版本中可用。

启用/禁用自动示例提交

确定是否将可疑样本 (可能包含威胁) 发送到 Microsoft。有三个级别用于控制示例提交：

无：不会向 Microsoft 提交任何可疑样本。
安全：仅自动提交不包含个人身份信息的可疑样本 (PII) 。这是此设置的默认值。
全部：所有可疑样本均提交到 Microsoft。

说明	值
键	automaticSampleSubmissionConsent
数据类型	String
可能的值	无安全 (默认) 全部

说明

值

键

automaticSampleSubmissionConsent

数据类型

String

可能的值

无

安全 (默认)

全部

启用/禁用自动安全智能更新

确定是否自动安装安全智能更新：

说明	值
键	automaticDefinitionUpdateEnabled
数据类型	布尔值
可能的值	true (默认) false

建议的配置文件

若要开始，我们建议企业使用以下配置文件，以利用 Defender for Endpoint 提供的所有保护功能。

以下配置文件将：

(RTP) 启用实时保护
指定如何处理以下威胁类型：
- 阻止了可能不需要的应用程序 (PUA)
- 存档炸弹 (具有高压缩率的文件) 审核到产品日志
启用自动安全智能更新
启用云保护
在级别启用自动示例提交safe

示例配置文件

{
   "antivirusEngine":{
      "enforcementLevel":"real_time",
      "threatTypeSettings":[
         {
            "key":"potentially_unwanted_application",
            "value":"block"
         },
         {
            "key":"archive_bomb",
            "value":"audit"
         }
      ]
   },
   "cloudService":{
      "automaticDefinitionUpdateEnabled":true,
      "automaticSampleSubmissionConsent":"safe",
      "enabled":true,
      "proxy": "<EXAMPLE DO NOT USE> http://proxy.server:port/"
   }
}

完整配置文件示例

以下配置文件包含本文档中所述的所有设置的条目，可用于需要对产品进行更多控制的高级方案。

注意

无法仅使用此 JSON 中的代理设置控制所有Microsoft Defender for Endpoint通信。

完整配置文件

{
   "antivirusEngine":{
      "enforcementLevel":"passive",
      "scanAfterDefinitionUpdate":true,
      "scanArchives":true,
      "maximumOnDemandScanThreads":2,
      "exclusionsMergePolicy":"merge",
      "exclusions":[
         {
            "$type":"excludedPath",
            "isDirectory":false,
            "path":"/var/log/system.log<EXAMPLE DO NOT USE>"
         },
         {
            "$type":"excludedPath",
            "isDirectory":true,
            "path":"/run<EXAMPLE DO NOT USE>"
         },
         {
            "$type":"excludedPath",
            "isDirectory":true,
            "path":"/home/*/git<EXAMPLE DO NOT USE>"
         },
         {
            "$type":"excludedFileExtension",
            "extension":".pdf<EXAMPLE DO NOT USE>"
         },
         {
            "$type":"excludedFileName",
            "name":"cat<EXAMPLE DO NOT USE>"
         }
      ],
      "allowedThreats":[
         "<EXAMPLE DO NOT USE>EICAR-Test-File (not a virus)"
      ],
      "disallowedThreatActions":[
         "allow",
         "restore"
      ],
      "nonExecMountPolicy":"unmute",
      "unmonitoredFilesystems": ["nfs,fuse"],
      "threatTypeSettingsMergePolicy":"merge",
      "threatTypeSettings":[
         {
            "key":"potentially_unwanted_application",
            "value":"block"
         },
         {
            "key":"archive_bomb",
            "value":"audit"
         }
      ]
   },
   "cloudService":{
      "enabled":true,
      "diagnosticLevel":"optional",
      "automaticSampleSubmissionConsent":"safe",
      "automaticDefinitionUpdateEnabled":true,
      "proxy": "<EXAMPLE DO NOT USE> http://proxy.server:port/"
   }
}

将标记或组 ID 添加到配置文件

首次运行 mdatp health 命令时，标记和组 ID 的值将为空。若要向文件添加标记或组 ID mdatp_managed.json ，请执行以下步骤：

从路径 /etc/opt/microsoft/mdatp/managed/mdatp_managed.json打开配置文件。
向下转到块所在的 cloudService 文件底部。
在的右大括号 cloudService末尾添加所需的标记或组 ID，如以下示例所示。

  },
  "cloudService": {
    "enabled": true,
    "diagnosticLevel": "optional",
    "automaticSampleSubmissionConsent": "safe",
    "automaticDefinitionUpdateEnabled": true,
    "proxy": "http://proxy.server:port/"
},
"edr": {
  "groupIds":"GroupIdExample",
  "tags": [
            {
            "key": "GROUP",
            "value": "Tag"
            }
          ]
      }
}

注意

不要忘记在块末尾 cloudService 的右大括号后面添加逗号。此外，请确保在添加标记或组 ID 块后有两个右大括号 (请参阅上面的示例) 。目前，标记唯一支持的键名称是 GROUP。

配置文件验证

配置文件必须是有效的 JSON 格式文件。有许多工具可用于验证这一点。例如，如果你已在 python 设备上安装：

python -m json.tool mdatp_managed.json

如果 JSON 格式正确，则上述命令将其输出回终端，并返回的退出代码 0。否则，将显示描述问题的错误，命令返回退出代码 1。

验证 mdatp_managed.json 文件是否按预期工作

若要验证 /etc/opt/microsoft/mdatp/managed/mdatp_managed.json 是否正常工作，应在以下设置旁边看到“[managed]”：

cloud_enabled
cloud_automatic_sample_submission_consent
passive_mode_enabled
real_time_protection_enabled
automatic_definition_update_enabled

注意

无需重启 mdatp 守护程序，mdatp_managed.json 中的 大多数 配置更改即可生效。 例外： 以下配置需要重启守护程序才能生效：

cloud-diagnostic
log-rotation-parameters

配置文件部署

为企业生成配置文件后，可以通过企业正在使用的管理工具来部署配置文件。 Linux 上的 Defender for Endpoint 从 /etc/opt/microsoft/mdatp/managed/mdatp_managed.json 文件读取托管配置。

设置 Linux 上 Microsoft Defender for Endpoint 的首选项

配置文件结构

防病毒引擎首选项

防病毒引擎的强制级别

启用/禁用行为监视

更新定义后运行扫描

仅扫描存档 (按需防病毒扫描)

按需扫描的并行度

排除合并策略

扫描排除项

排除类型

已排除内容的路径

路径类型 (文件/目录)

从扫描中排除的文件扩展名

从扫描中排除的进程*

将非 Exec 装载静音

Unmonitor Filesystems

配置文件哈希计算功能

允许的威胁

不允许的威胁操作

威胁类型设置

威胁类型

要采取的措施

威胁类型设置合并策略

防病毒扫描历史记录保留期 (天)

防病毒扫描历史记录中的最大项目数

云提供的保护首选项

启用/禁用云提供的保护

诊断集合级别

配置云块级别

启用/禁用自动示例提交

启用/禁用自动安全智能更新

建议的配置文件

示例配置文件

完整配置文件示例

完整配置文件

将标记或组 ID 添加到配置文件

配置文件验证

验证 mdatp_managed.json 文件是否按预期工作

配置文件部署

其他资源

其他资源