Stellen Sie Microsoft Defender for Endpoint unter Linux mithilfe eines Installationsskripts bereit.

Einführung

Sie können Defender für Endpunkt auf Linux mithilfe verschiedener Tools und Methoden bereitstellen. In diesem Artikel wird beschrieben, wie Sie die Bereitstellung von Defender für Endpunkt auf Linux mithilfe eines Installationsskripts automatisieren. Dieses Skript identifiziert die Verteilung und Version, wählt das richtige Repository aus, richtet das Gerät ein, um die neueste Agent-Version zu pullen, und integriert das Gerät mithilfe des Onboardingpakets in Defender für Endpunkt. Diese Methode wird dringend empfohlen, um den Bereitstellungsprozess zu vereinfachen.

Informationen zur Verwendung einer anderen Methode finden Sie im Abschnitt Verwandte Inhalte.

Voraussetzungen und Systemanforderungen

Bevor Sie beginnen, finden Sie unter Voraussetzungen für Defender für Endpunkt auf Linux eine Beschreibung der Voraussetzungen und Systemanforderungen.

Bereitstellungsprozess

1. Laden Sie das Onboardingpaket aus Microsoft Defender Portal herunter, indem Sie die folgenden Schritte ausführen:

   1. Erweitern Sie im Microsoft Defender-Portal den Abschnitt System, und wählen Sie Einstellungen>Endpunkte>Geräteverwaltung>Onboarding aus.

   2. Wählen Sie im ersten Dropdownmenü Linux Server als Betriebssystem aus.

   3. Wählen Sie im zweiten Dropdownmenü Lokales Skript als Bereitstellungsmethode aus.

   4. Wählen Sie "Onboardingpaket herunterladen" aus. Speichern Sie die Datei als WindowsDefenderATPOnboardingPackage.zip.

      

   5. Extrahieren Sie den Inhalt des Archivs über die Eingabeaufforderung:

      unzip WindowsDefenderATPOnboardingPackage.zip
      

      Archive:  WindowsDefenderATPOnboardingPackage.zip
      inflating: MicrosoftDefenderATPOnboardingLinuxServer.py
      

      Warnung

      Das Neuverpacken des Defender for Endpoint-Installationspakets wird nicht unterstützt. Dies kann sich negativ auf die Integrität des Produkts auswirken und zu negativen Ergebnissen führen, einschließlich, aber nicht beschränkt auf das Auslösen von Manipulationswarnungen und nicht angewendeten Updates.

      Wichtig

      Wenn Sie diesen Schritt verpassen, zeigt jeder ausgeführte Befehl eine Warnmeldung an, die darauf hinweist, dass das Produkt nicht lizenziert ist. Außerdem gibt der Befehl mdatp health den Wert false zurück.

2. Laden Sie das Bash-Skript des Installationsprogramms herunter, das in unserem öffentlichen GitHub-Repository bereitgestellt wird.

3. Erteilen Sie dem Installationsskript ausführbare Berechtigungen:

   chmod +x mde_installer.sh
   

4. Führen Sie das Installationsskript aus, und geben Sie das Onboardingpaket als Parameter an, um den Agent zu installieren und das Gerät im Defender-Portal zu integrieren.

   sudo ./mde_installer.sh --install --onboard ./MicrosoftDefenderATPOnboardingLinuxServer.py --channel prod --pre-req
   

   Dieser Befehl stellt die neueste Agent-Version im Produktionskanal bereit, überprüft die Mindestsystemanforderungen (Arbeitsspeicher, CPU, Speicherplatz auf dem Datenträger, unterstütztes Betriebssystem) und integriert das Gerät in Defender Portal.

   Darüber hinaus können Sie weitere Parameter basierend auf Ihren Anforderungen übergeben, um die Installation zu ändern. Suchen Sie in der Hilfe nach allen verfügbaren Optionen:

    ❯ ./mde_installer.sh --help
   mde_installer.sh v0.7.0
   usage: basename ./mde_installer.sh [OPTIONS]
   Options:
   -c|--channel              specify the channel (insiders-fast / insiders-slow / prod) from which to install. Default: prod
   -i|--install              install the product
   -r|--remove               uninstall the product
   -u|--upgrade              upgrade the existing product to a newer version if available
   -l|--downgrade            downgrade the existing product to an older version if available
   -o|--onboard <script>     onboard MDE with the specified onboarding script
   -f|--offboard <script>    offboard MDE with the specified offboarding script
   -p|--passive-mode         set real-time protection to passive mode
   -a|--rtp-mode             set real-time protection to active mode. Passive-mode and rtp-mode are mutually exclusive
   -t|--tag                  set a tag by declaring <name> and <value>, e.g.: -t GROUP Coders
   -q|--pre-req              check minimum system requirements for MDE (memory, CPU, disk space, supported OS) without installing
   -x|--skip_conflict        skip conflicting application verification
   -w|--clean                remove MDE repository from the package manager for the specified channel
   -y|--yes                  assume yes for all mid-process prompts (default, deprecated)
   -n|--no                   disable the default assume-yes behavior for prompts
   -s|--verbose              enable verbose output
   -v|--version              print the script version
   -d|--debug                enable debug mode
   --log-path <PATH>         also log output to PATH
   --http-proxy <URL>        set http proxy
   --https-proxy <URL>       set https proxy
   --ftp-proxy <URL>         set ftp proxy
   --mdatp <version>         install a specific version of MDE; uses the latest if not provided
   --use-local-repo          skip MDE repository setup and use the locally configured repository
   -b|--install-path <PATH>  specify the installation and configuration path for MDE. Default: /
   -h|--help                 display help
   

Weitere Informationen zur Installation unter einem benutzerdefinierten Pfad finden Sie unter: Defender for Endpoint unter Linux unter einem benutzerdefinierten Pfad installieren.

Bereitstellungsstatus überprüfen

1. Öffnen Sie im Microsoft Defender-Portal den Gerätebestand. Es kann 5 bis 20 Minuten dauern, bis das Gerät im Portal angezeigt wird.

2. Führen Sie einen Antiviren-Erkennungstest aus, um zu überprüfen, ob das Gerät ordnungsgemäß eingebunden ist und an den Dienst meldet. Führen Sie die folgenden Schritte auf dem neu eingebundenen Gerät durch:

   1. Stellen Sie sicher, dass der Echtzeitschutz aktiviert ist (gekennzeichnet durch das Ergebnis der Ausführung des true folgenden Befehls):

      mdatp health --field real_time_protection_enabled
      

      Wenn sie nicht aktiviert ist, führen Sie den folgenden Befehl aus:

      mdatp config real-time-protection --value enabled
      

   2. Öffnen Sie ein Terminalfenster, und führen Sie den folgenden Befehl aus, um einen Erkennungstest auszuführen:

      curl -o /tmp/eicar.com.txt https://secure.eicar.org/eicar.com.txt
      

   3. Sie können weitere Erkennungstests für ZIP-Dateien ausführen, indem Sie einen der folgenden Befehle verwenden:

      curl -o /tmp/eicar_com.zip https://secure.eicar.org/eicar_com.zip
      curl -o /tmp/eicarcom2.zip https://secure.eicar.org/eicarcom2.zip
      

   4. Die Dateien sollten von Defender für Endpunkt auf Linux unter Quarantäne gesetzt werden. Verwenden Sie den folgenden Befehl, um alle entdeckten Bedrohungen aufzulisten:

      mdatp threat list
      

3. Führen Sie einen EDR-Erkennungstest aus, und simulieren Sie eine Erkennung, um zu überprüfen, ob das Gerät ordnungsgemäß integriert ist, und melden Sie es an den Dienst. Führen Sie die folgenden Schritte auf dem neu eingebundenen Gerät durch:

   1. Laden Sie die Skriptdatei herunter, und extrahieren Sie sie auf einen integrierten Linux Server.

   2. Erteilen Sie dem Skript ausführbare Berechtigungen:

      chmod +x mde_linux_edr_diy.sh
      

   3. Führen Sie den folgenden Befehl aus:

      ./mde_linux_edr_diy.sh
      

   4. Nach ein paar Minuten sollte eine Erkennung im Defender Portal ausgelöst werden.

   5. Überprüfen Sie die Warnungsdetails, computer Zeitleiste, und führen Sie die typischen Untersuchungsschritte aus.

Microsoft Defender for Endpoint externe Paketabhängigkeiten

Wenn die Installation von Microsoft Defender for Endpoint aufgrund fehlender Abhängigkeiten fehlschlägt, können Sie die erforderlichen Abhängigkeiten manuell herunterladen.

Für das mdatp-Paket bestehen die folgenden externen Paketabhängigkeiten:

• Das Paket mdatp RPM erfordert - glibc >= 2.17
• Für DEBIAN erfordert das mdatp Paket libc6 >= 2.23
• Für Mariner erfordert das mdatp-Paket attr,diffutils, libacl, libattr,libselinux-utils, selinux-policy, policycoreutils

Beheben von Installationsproblemen

Wenn Bei der Installation Probleme auftreten, führen Sie zur Selbstbehandlung die folgenden Schritte aus:

1. Informationen zum Suchen des Protokolls, das automatisch generiert wird, wenn ein Installationsfehler auftritt, finden Sie unter Protokollinstallationsprobleme.

2. Informationen zu häufigen Installationsproblemen finden Sie unter Installationsprobleme.

3. Wenn der Gerätezustand false ist, siehe Probleme mit dem Zustand des Defender for Endpoint-Agents.

4. Informationen zu Problemen mit der Produktleistung finden Sie unter Behandeln von Leistungsproblemen.

5. Informationen zu Proxy- und Konnektivitätsproblemen finden Sie unter Behandeln von Problemen mit der Cloudkonnektivität.

Um Support von Microsoft zu erhalten, öffnen Sie ein Supportticket, und stellen Sie die Protokolldateien bereit, die mit dem Clientanalysetool erstellt wurden.

So wechseln Sie zwischen Kanälen

Gehen Sie beispielsweise wie folgt vor, um den Kanal von Insiders-Fast in Produktion zu ändern:

1. Deinstallieren Sie die Insiders-Fast channel Version von Defender für Endpunkt auf Linux.

   sudo yum remove mdatp
   

2. Deaktivieren Sie den Defender for Endpoint im Repository „Linux Insiders-Fast“.

   sudo yum repolist
   

   Hinweis

   Die Ausgabe sollte packages-microsoft-com-fast-prod anzeigen.

   sudo yum-config-manager --disable packages-microsoft-com-fast-prod
   

3. Stellen Sie Microsoft Defender for Endpoint auf Linux mithilfe des Produktionskanals erneut bereit.

Defender für Endpunkt auf Linux kann über einen der folgenden Kanäle bereitgestellt werden (bezeichnet als [Kanal]):

• insiders-fast
• insiders-slow
• prod

Jeder dieser Kanäle entspricht einem Linux Softwarerepository. In den Anweisungen in diesem Artikel wird beschrieben, wie Sie Ihr Gerät für die Verwendung eines dieser Repositorys konfigurieren.

Die Wahl des Kanals bestimmt den Typ und die Häufigkeit der Updates, die Ihrem Gerät angeboten werden. Geräte in insiders-fast erhalten als erste Updates und neue Funktionen, anschließend folgen insiders-slow und schließlich prod.

Um neue Funktionen vorab zu testen und frühzeitig Feedback zu geben, empfiehlt es sich, einige Geräte in Ihrem Unternehmen so zu konfigurieren, dass sie entweder insiders-fast oder insiders-slow verwenden.

Konfigurieren von Richtlinien für Microsoft Defender in Linux

Informationen zum Konfigurieren von Antiviren- und EDR-Einstellungen finden Sie in den folgenden Artikeln:

• Die Defender für Endpunkt-Sicherheitseinstellungenverwaltung beschreibt, wie Einstellungen im Microsoft Defender-Portal konfiguriert werden. (Diese Methode wird empfohlen.)
• Festlegen von Einstellungen für Defender for Endpoint unter Linux beschreibt die Einstellungen, die Sie konfigurieren können.

Verwandte Inhalte

• Voraussetzungen für Microsoft Defender for Endpoint auf Linux
• Bereitstellen von Defender für Endpunkt auf Linux mit Ansible
• Defender for Endpoint auf Linux mit Chef bereitstellen
• Defender for Endpoint unter Linux mit Puppet bereitstellen
• Bereitstellen von Defender for Endpoint unter Linux mit SaltStack
• Manuelles Bereitstellen von Defender für Endpunkt auf Linux
• Verbinden Sie Ihre Nicht-Azure-Computer mit Microsoft Defender for Cloud über Defender for Endpoint (direktes Onboarding mit Defender for Cloud)
• Bereitstellungsleitfaden für Defender for Endpoint unter Linux für SAP
• Installieren von Defender für Endpunkt auf Linux in einem benutzerdefinierten Pfad