在 Linux 上手動部署適用於端點的 Microsoft Defender

  • 適用於: Microsoft Defender for Servers

你可以透過各種工具和方法在 Linux 上部署 Defender for Endpoint。 本文說明如何在 Linux 上手動部署 Defender for Endpoint。 如需使用其他方法，請參考 相關內容章節。

附註

我們強烈建議使用 Defender 部署工具的部署 方法，因為它簡化了入職流程，減少了手動作業，並支援多種部署情境，包括新安裝、升級與卸載。 詳情請參閱文件。

重要事項

如果你想並行運行多個安全解決方案，請參閱 效能、設定與支援的考量。

你可能已經為已上線至 適用於端點的 Microsoft Defender 的裝置設定了相互安全性排除項目。 如果你仍需設定相互排除以避免衝突，請參閱「新增 適用於端點的 Microsoft Defender」到你現有解決方案的排除清單中。

手動部署步驟

成功部署需完成以下所有任務：

前置條件與系統需求

在開始之前，請參閱《Defender for Endpoint on Linux 的前置條件說明，了解目前軟體版本的前置條件與系統需求。

警告

在產品安裝後升級作業系統到新的主版本時，必須重新安裝該產品。 你需要先卸載現有的 Defender for Linux 應用程式，升級作業系統，然後依照本文步驟重新設定 Defender for Endpoint on Linux。

配置 Linux 軟體儲存庫

Linux 版 Defender for Endpoint 可從下列其中一個頻道部署（稱為 [channel]）：insiders-fast、insiders-slow，或 prod。 這些頻道各自對應一個 Linux 軟體倉庫。 本文的說明說明如何設定您的裝置以使用這些儲存庫之一。

頻道的選擇決定了你裝置所提供的更新類型與頻率。 屬於 insiders-fast 的裝置會最先收到更新和新功能，接著是 insiders-slow，最後是 prod。

為了預覽新功能並提供早期意見回饋，建議您將企業中的部分裝置設為使用 insiders-fast 或 insiders-slow。

警告

初始安裝後切換通道需重新安裝產品。 切換產品通道：解除安裝現有套件，重新設定裝置使用新通道，並依照本文件步驟從新位置安裝套件。

RHEL 及其變種 (CentOS、Fedora、Oracle Linux、Amazon Linux 2、Rocky 和 Alma)

你可以使用 dnf 或 yum 套件管理器，在 RHEL 及其衍生版本上部署 Linux 版 Defender for Endpoint。 以下章節的指令包含兩個套件管理器的指令;只用相關的那個。

  1. 如果你想使用的那個尚未安裝，請安裝 dnf-plugins-core 或 yum-utils 其中之一：

    sudo dnf install dnf-plugins-core

    或

    sudo yum install yum-utils

  2. 找到適合你發行版和版本的正確套件。 請參考以下表格協助你尋找包裹：

    發行版 & 版本 套件
    Alma 8.4 及以上 https://packages.microsoft.com/config/alma/8/prod.repo
    Alma 9.2 及以上版本 https://packages.microsoft.com/config/alma/9/prod.repo
    RHEL/Centos/Oracle 9.0-9.8 https://packages.microsoft.com/config/rhel/9/prod.repo
    RHEL/Centos/Oracle 8.0-8.10 https://packages.microsoft.com/config/rhel/8/prod.repo
    RHEL/Centos/Oracle 7.2-7.9 https://packages.microsoft.com/config/rhel/7.2/prod.repo
    亞馬遜 Linux 2 https://packages.microsoft.com/config/amazonlinux/2/prod.repo
    亞馬遜 Linux 2023 https://packages.microsoft.com/config/amazonlinux/2023/prod.repo
    Fedora 33 https://packages.microsoft.com/config/fedora/33/prod.repo
    Fedora 34 https://packages.microsoft.com/config/fedora/34/prod.repo
    洛基8.7及以上 https://packages.microsoft.com/config/rocky/8/prod.repo
    洛基9.2及以上 https://packages.microsoft.com/config/rocky/9/prod.repo

    附註

    針對你的發行版與版本，請在 https://packages.microsoft.com/config/rhel/ 下先依主版本、再依次版本，找出與其最接近的項目。

    提示

    線上核心修補工具，如 Ksplice 或類似工具，若執行 Defender for Endpoint，可能導致作業系統穩定性難以預測。 建議在進行線上核心修補前，暫時停止 Defender for Endpoint 守護程序。 核心更新後，Defender for Endpoint on Linux 即可安全重啟。 此動作對於運行 Oracle Linux 的系統尤其重要。

  3. 在以下指令中，請將 [version] 和 [channel] 替換成你所識別的資訊：

    sudo dnf config-manager --add-repo https://packages.microsoft.com/config/rhel/[version]/[channel].repo

    或

    sudo yum-config-manager --add-repo=https://packages.microsoft.com/config/rhel/[version]/[channel].repo

    提示

    使用 hostnamectl 指令來識別系統相關的資訊，包括發行版本 [version]。

    例如，如果您執行的是 CentOS 8，並且想從 prod 通道在 Linux 上部署 Defender for Endpoint：

    sudo dnf config-manager --add-repo https://packages.microsoft.com/config/rhel/8/prod.repo

    或

    sudo yum-config-manager --add-repo=https://packages.microsoft.com/config/rhel/8/prod.repo

    或者，如果您想在選定的裝置上搶先體驗新功能，您可能會想要將 Linux 版 Defender for Endpoint 部署到 Insiders-Fast 通道：

    sudo dnf config-manager --add-repo https://packages.microsoft.com/config/rhel/8/insiders-fast.repo

    或

    sudo yum-config-manager --add-repo=https://packages.microsoft.com/config/rhel/8/insiders-fast.repo

  4. 安裝 Microsoft GPG 公開金鑰：

    sudo rpm --import https://packages.microsoft.com/keys/microsoft.asc

SLES 及其變型

附註

對於您的發行版和版本，請在 https://packages.microsoft.com/config/sles/ 之下依主版本、次版本順序找出與其最接近的條目。

  1. 在以下指令中，將 [distro] 和 [version] 替換成你所識別的資訊：

    sudo zypper addrepo -c -f -n microsoft-[channel] https://packages.microsoft.com/config/[distro]/[version]/[channel].repo

    提示

    使用 SPident 指令來識別系統相關資訊，包括版本 [版本]。

    舉例來說，如果你正在執行 SLES 12，並希望從 prod Linux 頻道部署 Defender for Endpoint：

    sudo zypper addrepo -c -f -n microsoft-prod https://packages.microsoft.com/config/sles/12/prod.repo

  2. 安裝 Microsoft GPG 公開金鑰：

    sudo rpm --import https://packages.microsoft.com/keys/microsoft.asc

Ubuntu 與 Debian 系統

  1. 如果還沒安裝，請安裝 curl ：

    sudo apt install curl

  2. 如果還沒安裝，請安裝 libplist-utils ：

    sudo apt install libplist-utils

    附註

    對於你的發行版和版本，請在 https://packages.microsoft.com/config/[distro]/ 下先依主版本、再依次版本，找出最接近的條目。

  3. 在以下指令中，將 [distro] 和 [version] 替換成你所識別的資訊：

    curl -o microsoft.list https://packages.microsoft.com/config/[distro]/[version]/[channel].list

    提示

    使用 hostnamectl 指令查看與系統相關的資訊，包括發行版本 [version]。

    舉例來說，如果你用的是 Ubuntu 18.04，想從 prod Linux 頻道部署 Defender for Endpoint：

    curl -o microsoft.list https://packages.microsoft.com/config/ubuntu/18.04/prod.list

  4. 安裝儲存庫設定：

    sudo mv ./microsoft.list /etc/apt/sources.list.d/microsoft-[channel].list

    例如，如果你選擇了 prod 頻道：

    sudo mv ./microsoft.list /etc/apt/sources.list.d/microsoft-prod.list

  5. 如果還沒安裝，請安裝該 gpg 套件：

    sudo apt install gpg

    如果 gpg 無法使用，那就安裝 gnupg。

    sudo apt install gnupg

  6. 安裝 Microsoft GPG 公開金鑰：

    • 針對 Debian 11/Ubuntu 22.04 及更早版本，請執行以下指令。

      curl -sSL https://packages.microsoft.com/keys/microsoft.asc | gpg --dearmor | sudo tee /etc/apt/trusted.gpg.d/microsoft.gpg > /dev/null
sudo chmod o+r /etc/apt/trusted.gpg.d/microsoft.gpg

    • 針對 Debian 12、Ubuntu 24.04 及更新版本，請執行以下指令。

      curl -sSL https://packages.microsoft.com/keys/microsoft.asc | gpg --dearmor | sudo tee /usr/share/keyrings/microsoft-prod.gpg > /dev/null
sudo chmod o+r /usr/share/keyrings/microsoft-prod.gpg

    • 針對 Debian 13 及更新版本，請執行以下指令。

      curl -sSL https://packages.microsoft.com/keys/microsoft-2025.asc | gpg --dearmor | sudo tee /usr/share/keyrings/microsoft-prod.gpg > /dev/null
sudo chmod o+r /usr/share/keyrings/microsoft-prod.gpg

  7. 如果還沒安裝 HTTPS 驅動程式，請安裝：

    sudo apt install apt-transport-https

  8. 更新儲存庫元資料：

    sudo apt update

水手

  1. 如果還沒安裝，請安裝 dnf-plugins-core ：

    sudo dnf install dnf-plugins-core

  2. 設定並啟用所需的儲存庫。

    附註

    在 Mariner 上，無法使用 Insider 快速通道。

    如果你想從 prod 通道部署 Linux 版 Defender for Endpoint。 請使用以下指令

    sudo dnf install mariner-repos-extras
sudo dnf config-manager --enable mariner-official-extras

    或者如果你想在特定裝置上探索新功能，也可以在 Linux 上部署 Defender for Endpoint to insiders-slow channel。 使用下列命令：

    sudo dnf install mariner-repos-extras-preview
sudo dnf config-manager --enable mariner-official-extras-preview

自訂位置安裝的預安裝設定

這些步驟僅適用於 Defender 安裝於自訂地點時。 關於如何將 適用於端點的 Microsoft Defender 安裝到自訂位置的詳細說明，請參閱「手動安裝：預先安裝設定」。

關於如何安裝到自訂位置的詳細資訊，請參考：啟用 Defender for Endpoint 在 Linux 上部署到自訂位置。

應用程式安裝

請使用以下章節中的指令在您的 Linux 發行版上安裝 Defender for Endpoint。

RHEL 及其變種 (CentOS、Fedora、Oracle Linux、Amazon Linux 2、Rocky 和 Alma)

sudo dnf install mdatp

或

sudo yum install mdatp

附註

如果你的裝置上有多個 Microsoft 儲存庫，你可以指定從哪個儲存庫安裝套件。 以下範例說明了若此裝置上也已設定 insiders-fast 儲存庫通道，如何從 production 通道安裝套件。 這種情況可能發生在你同時使用多個 Microsoft 產品時。 根據發行版和伺服器版本，儲存庫別名可能與以下範例不同。

# list all repositories
sudo dnf repolist

或

# list all repositories
sudo yum repolist

...
packages-microsoft-com-prod               packages-microsoft-com-prod        316
packages-microsoft-com-prod-insiders-fast packages-microsoft-com-prod-ins      2
...

例如，從生產儲存庫安裝套件：

sudo dnf --enablerepo=packages-microsoft-com-prod install mdatp

或

sudo yum --enablerepo=packages-microsoft-com-prod install mdatp

SLES 及其變型

sudo zypper install mdatp

附註

如果你的裝置上有多個 Microsoft 儲存庫，你可以指定從哪個儲存庫安裝套件。 以下範例說明，如果此裝置上也已設定 insiders-fast 儲存庫通道，該如何從 production 通道安裝套件。 這種情況可能發生在你同時使用多個 Microsoft 產品時。

zypper repos

...
#  | Alias | Name | ...
XX | packages-microsoft-com-insiders-fast | microsoft-insiders-fast | ...
XX | packages-microsoft-com-prod | microsoft-prod | ...
...

sudo zypper install packages-microsoft-com-prod:mdatp

Ubuntu 與 Debian 系統

sudo apt install mdatp

附註

如果你的裝置上有多個 Microsoft 儲存庫，你可以指定從哪個儲存庫安裝套件。 以下範例說明如果此裝置上也已設定 insiders-fast 儲存庫通道，如何從 production 通道安裝套件。 這種情況可能發生在你同時使用多個 Microsoft 產品時。

以下程式碼片段中的版本號與發佈代號即為範例。 使用 bash 指令回傳的實際發行代號。

cat /etc/apt/sources.list.d/*

deb [arch=arm64,armhf,amd64] https://packages.microsoft.com/config/ubuntu/18.04/prod insiders-fast main
deb [arch=amd64] https://packages.microsoft.com/config/ubuntu/18.04/prod bionic main

sudo apt -t bionic install mdatp

附註

在 Linux 上安裝或更新 適用於端點的 Microsoft Defender 後，除非你以不可變模式執行 auditD，否則不需要重開機。

水手

sudo dnf install mdatp

附註

如果你的裝置上有多個 Microsoft 儲存庫，你可以指定從哪個儲存庫安裝套件。 以下範例說明，如果此裝置上也已設定 insiders-slow 儲存庫通道，如何從 production 通道安裝套件。 這種情況可能發生在你同時使用多個 Microsoft 產品時。

sudo dnf config-manager --disable mariner-official-extras-preview
sudo dnf config-manager --enable mariner-official-extras

下載入職套件

請從 Microsoft Defender 入口網站下載入職套件。

警告

重新打包 Defender for Endpoint 安裝套件並非支援的情境。 這樣做可能對產品的完整性造成負面影響，並導致不良後果，包括但不限於觸發竄改警示及更新未生效。

重要事項

若漏接此步驟，執行的任何指令都會顯示警告訊息，表示該產品未授權。 此外，指令 mdatp health 回傳的值為 false。

  1. 在 Microsoft Defender 入口網站中，移至 系統>設定>端點>裝置管理>上線。

  2. 在第一個下拉選單中，選擇 Linux Server 作為作業系統。 在第二個下拉選單中，選擇「 本地腳本 」作為部署方法。

  3. 選取 [下載上線套件]。 將檔案儲存為 WindowsDefenderATPOnboardingPackage.zip。

  4. 從命令提示字元確認你有檔案，然後解壓壓縮檔內容：

    ls -l

    total 8
-rw-r--r-- 1 test  staff  5752 Feb 18 11:22 WindowsDefenderATPOnboardingPackage.zip

    unzip WindowsDefenderATPOnboardingPackage.zip

    Archive:  WindowsDefenderATPOnboardingPackage.zip
inflating: MicrosoftDefenderATPOnboardingLinuxServer.py

用戶端配置

  1. 複製 MicrosoftDefenderATPOnboardingLinuxServer.py 到目標裝置。

    附註

    一開始用戶端裝置沒有綁定到任何組織， orgID 屬性也是空白的。

    mdatp health --field org_id

  2. 根據你的情境，執行以下其中一個指令：

    附註

    若要執行此指令，視發行版和版本而定，您必須在裝置上安裝 python 或 python3。 如有需要，請參閱《在 Linux 上安裝 Python 的逐步說明》。

    如果你使用的是 RHEL 8.x 或 Ubuntu 20.04 或更高版本，你需要使用 python3. 執行下列命令：

    sudo python3 MicrosoftDefenderATPOnboardingLinuxServer.py

    對於其他發行版和版本，你需要使用 python. 執行下列命令：

    sudo python MicrosoftDefenderATPOnboardingLinuxServer.py

  3. 確認該裝置現在已與您的組織相關聯，並回報有效的組織識別碼：

    mdatp health --field org_id

  4. 請執行以下指令檢查產品的健康狀態。 回傳值 true 表示產品正常運作：

    mdatp health --field healthy

    重要事項

    產品首次啟動時，會下載最新的反惡意軟體定義。 這個過程可能要花幾分鐘，視網路連線狀況而定。 在此期間，前述指令會回傳值 false。 您可以使用以下指令檢查定義更新的狀態：

    mdatp health --field definitions_status

    完成初始安裝後，你可能還需要設定代理伺服器。 請參閱 Linux 上的 Defender for Endpoint 配置，以了解靜態代理發現：安裝後設定。

  5. 執行防毒軟體偵測測試，確認裝置已正確上線並回報給服務單位。 對新上線的裝置執行以下步驟：

    1. 確保已啟用即時保護（可由執行下列命令後結果為 true 判定）：

      mdatp health --field real_time_protection_enabled

      如果沒有啟用，請執行以下指令：

      mdatp config real-time-protection --value enabled

    2. 要執行偵測測試，請打開終端機視窗，然後執行以下指令：

      curl -o /tmp/eicar.com.txt https://secure.eicar.org/eicar.com.txt

    3. 你可以使用以下任一指令對壓縮檔執行更多偵測測試：

      curl -o /tmp/eicar_com.zip https://secure.eicar.org/eicar_com.zip
curl -o /tmp/eicarcom2.zip https://secure.eicar.org/eicarcom2.zip

      這些檔案應該會被 Defender for Endpoint 在 Linux 上隔離。

    4. 請使用以下指令列出所有偵測到的威脅：

      mdatp threat list

  6. 執行 EDR 偵測測試並模擬偵測，以確認裝置已正確上線並向服務單位報告。 對新上線的裝置執行以下步驟：

    1. 請確認已上線的 Linux 伺服器是否出現在 Defender 入口網站。 如果這是機器的首次入門，可能要等上20分鐘才會出現。

    2. 下載並解壓腳本檔案至已上線的 Linux 伺服器，然後執行以下指令：./mde_linux_edr_diy.sh

      幾分鐘後，Microsoft Defender 全面偵測回應 中應會觸發偵測。

    3. 查看警示細節、機器時間軸，並執行你平常的調查步驟。

軟體需求

詳情請參閱 軟體需求。

安裝問題的疑難排解

如果你遇到安裝問題，為了自我排查，請遵循以下步驟：

  1. 如需了解安裝錯誤發生時如何找到自動產生的記錄檔，請參閱 「安裝問題記錄」。

  2. 有關常見安裝問題的資訊，請參見 安裝問題。

  3. 如果裝置的健康狀態為 false，請參閱 Defender for Endpoint 代理程式健康狀態問題。

  4. 關於產品效能問題，請參見 故障排除效能問題。

  5. 關於代理與連線問題，請參見 「排除雲端連線問題」。

要獲得 Microsoft 的支援，請開啟支援單，並提供使用 用戶端分析器建立的日誌檔案。

如何切換頻道

例如，要將頻道從 Insiders-Fast 切換到製作頻道，請執行以下操作：

  1. 在 Linux 上卸載 Insiders-Fast channel Defender for Endpoint 版本。

    sudo dnf remove mdatp

    或

    sudo yum remove mdatp

  2. 在Linux Insiders-Fast頻道上停用Defender for Endpoint

    sudo dnf config-manager --disable packages-microsoft-com-fast-prod

    或

    sudo yum-config-manager --disable packages-microsoft-com-fast-prod

  3. 使用 Production channel 在 Linux 上重新安裝適用於端點的 Microsoft Defender，然後在 Microsoft Defender 入口網站中將裝置上線。

如何在 Linux 上設定 Defender for Endpoint 的政策

要設定防毒軟體與EDR設定，請參閱以下文章：

在 Linux 上解除安裝 Defender for Endpoint

若要手動卸載，請執行以下指令，針對你的 Linux 發行版。

  • sudo dnf remove mdatp 或 sudo yum remove mdatp（取決於你的套件管理器），適用於 RHEL 及其變體（CentOS 和 Oracle Linux）。
  • sudo zypper remove mdatp 適用於 SLES 及其衍生版本。
  • sudo apt purge mdatp 適用於 Ubuntu 與 Debian 系統。
  • sudo dnf remove mdatp 適用於 Mariner

相關內容

提示

想要深入了解? 在我們的技術社群中與 Microsoft 安全性 社群互動：適用於端點的 Microsoft Defender 技術社群。

  • Last updated on