Use a implantação baseada em script de instalação para implantar o Microsoft Defender para Ponto de Extremidade no Linux

Introdução

Pode implementar o Defender para Endpoint no Linux com várias ferramentas e métodos. Este artigo descreve como automatizar a implementação do Defender para Endpoint no Linux através de um script do instalador. Este script identifica a distribuição e a versão, seleciona o repositório correto, configura o dispositivo para solicitar a versão mais recente do agente e integra o dispositivo no Defender para Ponto Final com o pacote de integração. Este método é altamente recomendado para simplificar o processo de implementação.

Para utilizar outro método, consulte a secção Conteúdo relacionado.

Pré-requisitos e requisitos de sistema

Antes de começar, consulte Pré-requisitos do Defender para Endpoint no Linux para obter uma descrição dos pré-requisitos e requisitos de sistema.

Processo de implantação

1. Baixe o pacote de integração no portal do Microsoft Defender seguindo estas etapas:

   1. No portal do Microsoft Defender, expanda a seção Sistema e selecione Configurações>Endpoints>Gerenciamento de dispositivos>Integração.

   2. No primeiro menu suspenso, selecione Linux Server como o sistema operacional.

   3. No segundo menu pendente, selecione Script Local como método de implementação.

   4. Selecione Baixar pacote de integração. Guarde o ficheiro como WindowsDefenderATPOnboardingPackage.zip.

      

   5. Numa linha de comandos, extraia os conteúdos do arquivo:

      unzip WindowsDefenderATPOnboardingPackage.zip
      

      Archive:  WindowsDefenderATPOnboardingPackage.zip
      inflating: MicrosoftDefenderATPOnboardingLinuxServer.py
      

      Aviso

      Reembalar o pacote de instalação do Defender para Endpoint não é um cenário suportado. Fazê-lo pode afetar negativamente a integridade do produto e levar a resultados adversos, incluindo, mas não se limitando a acionar alertas de adulteração e atualizações que não se aplicam.

      Importante

      Se perder este passo, qualquer comando executado mostra uma mensagem de aviso a indicar que o produto não está licenciado. Além disso, o comando de estado de funcionamento mdatp devolve um valor falso.

2. Baixe o script de instalação em bash disponibilizado em nosso repositório público no GitHub.

3. Conceda permissões executáveis ao script do instalador:

   chmod +x mde_installer.sh
   

4. Execute o script do instalador e forneça o pacote de inclusão como um parâmetro para instalar o agente e integrar o dispositivo no portal do Defender.

   sudo ./mde_installer.sh --install --onboard ./MicrosoftDefenderATPOnboardingLinuxServer.py --channel prod --pre-req
   

   Este comando implementa a versão mais recente do agente no canal de produção, verifica os requisitos mínimos de sistema (memória, CPU, espaço em disco, SO suportado) e integra o dispositivo no Portal do Defender.

   Além disso, pode transmitir mais parâmetros com base nos seus requisitos para modificar a instalação. Consulte a ajuda para todas as opções disponíveis:

    ❯ ./mde_installer.sh --help
   mde_installer.sh v0.7.0
   usage: basename ./mde_installer.sh [OPTIONS]
   Options:
   -c|--channel              specify the channel (insiders-fast / insiders-slow / prod) from which to install. Default: prod
   -i|--install              install the product
   -r|--remove               uninstall the product
   -u|--upgrade              upgrade the existing product to a newer version if available
   -l|--downgrade            downgrade the existing product to an older version if available
   -o|--onboard <script>     onboard MDE with the specified onboarding script
   -f|--offboard <script>    offboard MDE with the specified offboarding script
   -p|--passive-mode         set real-time protection to passive mode
   -a|--rtp-mode             set real-time protection to active mode. Passive-mode and rtp-mode are mutually exclusive
   -t|--tag                  set a tag by declaring <name> and <value>, e.g.: -t GROUP Coders
   -q|--pre-req              check minimum system requirements for MDE (memory, CPU, disk space, supported OS) without installing
   -x|--skip_conflict        skip conflicting application verification
   -w|--clean                remove MDE repository from the package manager for the specified channel
   -y|--yes                  assume yes for all mid-process prompts (default, deprecated)
   -n|--no                   disable the default assume-yes behavior for prompts
   -s|--verbose              enable verbose output
   -v|--version              print the script version
   -d|--debug                enable debug mode
   --log-path <PATH>         also log output to PATH
   --http-proxy <URL>        set http proxy
   --https-proxy <URL>       set https proxy
   --ftp-proxy <URL>         set ftp proxy
   --mdatp <version>         install a specific version of MDE; uses the latest if not provided
   --use-local-repo          skip MDE repository setup and use the locally configured repository
   -b|--install-path <PATH>  specify the installation and configuration path for MDE. Default: /
   -h|--help                 display help
   

Para obter detalhes sobre como instalar num caminho personalizado, consulte: Instalar o Defender para Endpoint no Linux para um caminho personalizado.

Verificar status de implementação

1. No portal Microsoft Defender, abra o inventário de dispositivos. O dispositivo pode demorar entre 5 a 20 minutos a aparecer no portal.

2. Execute um teste de detecção do antivírus para verificar se o dispositivo está corretamente integrado e reportando ao serviço. Execute os seguintes passos no dispositivo recentemente integrado:

   1. Certifique-se de que a proteção em tempo real esteja ativada (conforme indicado por um resultado de true ao executar o seguinte comando):

      mdatp health --field real_time_protection_enabled
      

      Se não estiver ativado, execute o seguinte comando:

      mdatp config real-time-protection --value enabled
      

   2. Abra uma janela do Terminal e execute o seguinte comando para executar um teste de deteção:

      curl -o /tmp/eicar.com.txt https://secure.eicar.org/eicar.com.txt
      

   3. Pode executar mais testes de deteção em ficheiros zip com um dos seguintes comandos:

      curl -o /tmp/eicar_com.zip https://secure.eicar.org/eicar_com.zip
      curl -o /tmp/eicarcom2.zip https://secure.eicar.org/eicarcom2.zip
      

   4. Os ficheiros devem ser colocados em quarentena pelo Defender para Endpoint no Linux. Utilize o seguinte comando para listar todas as ameaças detetadas:

      mdatp threat list
      

3. Execute um teste de detecção de EDR e simule uma detecção para verificar se o dispositivo está integrado corretamente e reportando ao serviço. Execute os seguintes passos no dispositivo recentemente integrado:

   1. Transfira e extraia o ficheiro de script para um servidor Linux integrado.

   2. Conceda permissões executáveis ao script:

      chmod +x mde_linux_edr_diy.sh
      

   3. Execute o seguinte comando:

      ./mde_linux_edr_diy.sh
      

   4. Após alguns minutos, uma detecção deve ser gerada no portal Defender.

   5. Verifique os detalhes do alerta, a linha do tempo do computador e siga as etapas típicas da sua investigação.

Dependências externas do pacote do Microsoft Defender para Endpoint

Se a instalação do Microsoft Defender para Endpoint falhar devido a erros de dependências ausentes, você pode baixar manualmente as dependências necessárias.

Existem as seguintes dependências de pacotes externos para o mdatp pacote:

• O mdatp RPM pacote requer - glibc >= 2.17
• Para DEBIAN, o mdatp pacote requer libc6 >= 2.23
• Para o Mariner, o mdatp pacote requer attr,diffutils, libacl, libattr,libselinux-utils, selinux-policy, policycoreutils

Solucionar problemas de instalação

Se tiver problemas de instalação, para resolução automática de problemas, siga estes passos:

1. Para obter informações sobre como localizar o registo gerado automaticamente quando ocorre um erro de instalação, veja Problemas de instalação de registos.

2. Para obter informações sobre problemas comuns de instalação, veja Problemas de instalação.

3. Se a integridade do dispositivo for false, consulte Problemas de integridade do agente do Defender for Endpoint.

4. Para problemas de desempenho do produto, veja Resolver problemas de desempenho.

5. Para problemas de proxy e conectividade, veja Resolver problemas de conectividade da cloud.

Para obter suporte da Microsoft, abra um pedido de suporte e forneça os ficheiros de registo criados com o analisador de cliente.

Como alternar entre canais

Por exemplo, para alterar o canal de Insiders-Fast para Produção, faça o seguinte:

1. Desinstale a Insiders-Fast channel versão do Defender para Endpoint no Linux.

   sudo yum remove mdatp
   

2. Desative o Defender para Endpoint no repositório Linux Insiders-Fast.

   sudo yum repolist
   

   Observação

   O resultado deve mostrar packages-microsoft-com-fast-prod.

   sudo yum-config-manager --disable packages-microsoft-com-fast-prod
   

3. Reimplante o Microsoft Defender para Endpoint no Linux usando o canal de Produção.

O Defender para Endpoint no Linux pode ser implementado a partir de um dos seguintes canais (indicado como [canal]):

• insiders-fast
• insiders-slow
• prod

Cada um destes canais corresponde a um Linux repositório de software. As instruções neste artigo descrevem a configuração do dispositivo para utilizar um destes repositórios.

A escolha do canal determina o tipo e a frequência das atualizações que são oferecidas ao seu dispositivo. Os dispositivos em insiders-fast são os primeiros a receber atualizações e novos recursos, seguidos posteriormente pelos dispositivos em insiders-slow e, por último, pelos dispositivos em prod.

Para visualizar previamente novos recursos e fornecer feedback inicial, recomenda-se que você configure alguns dispositivos em sua empresa para usar insiders-fast ou insiders-slow.

Como configurar políticas para Microsoft Defender no Linux

Para configurar as definições de antivírus e EDR, veja os seguintes artigos:

• Gerenciamento de configurações de segurança do Defender para Endpoint descreve como configurar as configurações no portal do Microsoft Defender. (Este método é recomendado.)
• Definir preferências para o Defender para Endpoint no Linux descreve as definições que pode configurar.

Conteúdo relacionado

• Pré-requisitos para o Microsoft Defender para Ponto de Extremidade no Linux
• Implementar o Defender para Endpoint no Linux com o Ansible
• Implante o Defender para Endpoint no Linux com o Chef
• Implementar o Defender para Endpoint no Linux com o Puppet
• Implementar o Defender para Endpoint no Linux com o Saltstack
• Implementar o Defender para Endpoint no Linux manualmente
• Conecte suas máquinas não Azure ao Microsoft Defender para Nuvem com o Defender para Endpoint (integração direta usando o Defender para Nuvem)
• Orientações de implementação do Defender para Endpoint no Linux para SAP
• Instalar o Defender for Endpoint no Linux em um caminho personalizado