Konfigurowanie aktualizacji analizy zabezpieczeń w trybie offline dla Ochrona punktu końcowego w usłudze Microsoft Defender w systemie Linux

Jak działają aktualizacje analizy zabezpieczeń w trybie offline

W tym artykule opisano sposób konfigurowania aktualizacji analizy zabezpieczeń w trybie offline w usłudze Defender for Endpoint w systemie Linux. Ta funkcja umożliwia aktualizowanie analizy zabezpieczeń (nazywanej również definicjami lub sygnaturami) na urządzeniach z systemem Linux, które mają ograniczoną lub żadną ekspozycję na Internet. W tej konfiguracji używasz lokalnego serwera hostingu o nazwie serwer dublowania, który nawiązuje połączenie z chmurą firmy Microsoft w celu pobrania aktualizacji analizy zabezpieczeń. Inne urządzenia z systemem Linux ściągają te aktualizacje z serwera dublowanego w wstępnie zdefiniowanych interwałach.

Zalety korzystania z aktualizacji analizy zabezpieczeń w trybie offline

Najważniejsze korzyści to:

• Twój zespół ds. zabezpieczeń może kontrolować częstotliwość pobierania podpisów na serwerze lokalnym i zarządzać nimi oraz częstotliwością pobierania podpisów przez punkty końcowe z serwera lokalnego.
• Masz dodatkową warstwę ochrony i kontroli, ponieważ pobrane sygnatury można przetestować na urządzeniu testowym, zanim zostaną rozpropagowane do całej floty.
• Potrzebna jest mniejsza przepustowość sieci, ponieważ tylko jeden serwer lokalny pobiera najnowsze aktualizacje z chmury firmy Microsoft w imieniu całej floty.
• Serwer dublowania może działać w systemach Windows, Mac lub Linux i nie trzeba instalować usługi Defender for Endpoint na tym serwerze.
• Uzyskujesz najbardziej aktualną ochronę antywirusową, ponieważ podpisy są zawsze pobierane wraz z najnowszym zgodnym aparatem antywirusowym.
• Starsze wersje podpisów (n-1) są przenoszone do folderu kopii zapasowej na serwerze dublowania w każdej iteracji. Jeśli wystąpił problem z najnowszymi aktualizacjami, możesz ściągnąć wersję podpisu n-1 z folderu kopii zapasowej na swoje urządzenia.
• W rzadkich przypadkach, gdy aktualizacja w trybie offline zakończy się niepowodzeniem, można skonfigurować opcję rezerwową, aby uzyskać aktualizacje online z chmury firmy Microsoft.

Jak działa aktualizacja analizy zabezpieczeń w trybie offline

• Skonfigurowano serwer dublowania, który jest lokalnym serwerem sieci Web lub systemu plików NFS dostępnym dla chmury firmy Microsoft.
• Sygnatury są pobierane z chmury firmy Microsoft na tym serwerze dublowanym przez wykonanie skryptu przy użyciu zadania cron lub harmonogramu zadań na serwerze lokalnym.
• Punkty końcowe systemu Linux z uruchomioną usługą Defender for Endpoint ściągają pobrane podpisy z serwera dublowanego w wstępnie zdefiniowanym przedziale czasu.
• Podpisy pobierane na urządzenia z systemem Linux z serwera lokalnego są najpierw weryfikowane przed załadowaniem ich do aparatu antywirusowego.
• Aby rozpocząć i skonfigurować proces aktualizacji, można zaktualizować plik JSON konfiguracji zarządzanej na urządzeniach z systemem Linux.
• Stan aktualizacji można wyświetlić w interfejsie wiersza polecenia mdatp.

Rys. 1. Diagram przepływu procesów na serwerze dublowania na potrzeby pobierania aktualizacji analizy zabezpieczeń

Rys. 2. Diagram przepływu procesów w punkcie końcowym systemu Linux na potrzeby aktualizacji analizy zabezpieczeń

Serwer dublowania może uruchamiać dowolny z następujących systemów operacyjnych:

• Linux (dowolny smak)
• Windows (dowolna wersja)
• Mac (dowolna wersja)

Wymagania wstępne

• W punktach końcowych systemu Linux należy zainstalować usługę Defender for Endpoint w wersji 101.24022.0001 lub nowszej.

• Punkty końcowe systemu Linux muszą mieć łączność z serwerem dublowanym.

• Punkt końcowy systemu Linux musi mieć uruchomiony dowolny z dystrybucji obsługiwanych przez usługę Defender for Endpoint. (zobacz Obsługiwane dystrybucje systemu Linux).

• Serwer dublowania może być serwerem HTTP/HTTPS lub serwerem udziału sieciowego, takim jak serwer NFS.

• Serwer dublowania musi mieć dostęp do następujących adresów URL:

  • https://github.com/microsoft/mdatp-xplat.git
  • https://go.microsoft.com/fwlink/?linkid=2144709

• Serwer dublowania powinien obsługiwać powłokę bash lub program PowerShell.

• Dla serwera dublowanego są wymagane następujące minimalne specyfikacje systemowe:

  Rdzenie procesora CPU	BARAN	Bezpłatny dysk	Zamiana
  2 rdzenie (preferowane 4 rdzenie)	1 GB min (preferowane 4 GB)	2 GB	Zależne od systemu

  Uwaga

  Ta konfiguracja może się różnić w zależności od liczby obsługiwanych żądań i obciążenia, które musi zostać przetworzone przez każdy serwer.

Konfigurowanie serwera dublowania

Pobieranie skryptu pobierania analizy zabezpieczeń w trybie offline

Firma Microsoft hostuje skrypt pobierania analizy zabezpieczeń w trybie offline w tym repozytorium GitHub.

Wykonaj następujące kroki, aby pobrać skrypt pobierania:

Opcja 1. Klonowanie repozytorium (preferowane)

1. Zainstaluj narzędzie git na serwerze dublowania.

2. Przejdź do katalogu, w którym chcesz sklonować repozytorium.

3. Uruchom następujące polecenie: git clone https://github.com/microsoft/mdatp-xplat.git

Opcja 2. Pobierz spakowany plik

1. Pobierz spakowany plik.

2. Skopiuj pobrany plik do folderu, w którym chcesz zachować skrypt.

3. Wyodrębnij folder spakowany.

4. Zaplanuj zadanie lub zadanie cron , aby w regularnych odstępach czasu zaktualizować repozytorium/pobrany plik zip do najnowszej wersji.

Struktura katalogu lokalnego po sklonowaniu repozytorium lub pobraniu spakowanego pliku

Po sklonowaniu repozytorium lub pobraniu spakowanego pliku struktura katalogów lokalnych powinna wyglądać następująco:

user@vm:~/mdatp-xplat$ tree linux/definition_downloader/
linux/definition_downloader/
├── README.md
├── settings.json
├── settings.ps1
├── xplat_offline_updates_download.ps1
└── xplat_offline_updates_download.sh

0 directories, 5 files

Plik settings.json składa się z kilku zmiennych, które użytkownik może skonfigurować w celu określenia danych wyjściowych wykonywania skryptu.

Wykonywanie skryptu pobierania analizy zabezpieczeń w trybie offline

Aby ręcznie wykonać skrypt pobierania, skonfiguruj parametry w settings.json pliku zgodnie z opisem w poprzedniej sekcji i użyj jednego z następujących poleceń opartych na systemie operacyjnym serwera dublowanego:

• Bash:

  ./xplat_offline_updates_download.sh
  

• Program PowerShell:

  ./xplat_offline_updates_download.ps1
  

Hostowanie aktualizacji analizy zabezpieczeń w trybie offline na serwerze dublowania

Po wykonaniu skryptu najnowsze sygnatury są pobierane do folderu skonfigurowanego settings.json w pliku (updates.zip).

Po pobraniu pliku zip sygnatur można go hostować na serwerze dublowanym. Serwer dublowany może być hostowany przy użyciu dowolnego serwera HTTP/HTTPS/udziału sieciowego lub lokalnego/zdalnego punktu instalacji.

Po zakończeniu hostowania skopiuj ścieżkę bezwzględną hostowanego serwera (do katalogu i bez niego arch_* ).

Po skonfigurowaniu serwera dublowania należy propagować ten identyfikator URI do punktów końcowych systemu Linux, tak jak offlineDefinitionUpdateUrl w sekcji Konfiguracja zarządzana zgodnie z opisem w następnej sekcji.

Konfigurowanie punktów końcowych

Użyj poniższego przykładu mdatp_managed.json i zaktualizuj parametry zgodnie z konfiguracją i skopiuj plik do lokalizacji /etc/opt/microsoft/mdatp/managed/mdatp_managed.json.

{
  "cloudService": {
    "automaticDefinitionUpdateEnabled": true,
    "definitionUpdatesInterval": 1202
  },
  "antivirusEngine": {
    "offlineDefinitionUpdateUrl": "http://172.22.199.67:8000/linux/production/",
    "offlineDefinitionUpdateFallbackToCloud":false,
    "offlineDefinitionUpdate": "enabled"
  },
  "features": {
    "offlineDefinitionUpdateVerifySig": "enabled"
  }
}

Weryfikowanie konfiguracji

Aby sprawdzić, czy ustawienia są prawidłowo stosowane w punktach końcowych systemu Linux, uruchom następujące polecenie:

mdatp health --details definitions

Przykładowe dane wyjściowe będą wyglądać podobnie do następującego fragmentu kodu:

user@vm:~$ mdatp health --details definitions
automatic_definition_update_enabled         : true [managed]
definitions_updated                         : Mar 14, 2024 at 12:13:17 PM
definitions_updated_minutes_ago             : 2
definitions_version                         : "1.407.417.0"
definitions_status                          : "up_to_date"
definitions_update_source_uri               : "https://go.microsoft.com/fwlink/?linkid=2144709"
definitions_update_fail_reason              : ""
offline_definition_url_configured           : "http://172.XX.XXX.XX:8000/linux/production/" [managed]
offline_definition_update                   : "enabled" [managed]
offline_definition_update_verify_sig        : "enabled"
offline_definition_update_fallback_to_cloud : false[managed]

Wyzwalanie aktualizacji analizy zabezpieczeń w trybie offline

Aktualizacja automatyczna

• Jeśli poziom wymuszania dla aparatu antywirusowego jest ustawiony na real_time, a pola automaticDefinitionUpdateEnabled i offline_definition_update w zarządzanym formacie json są ustawione na true, aktualizacje analizy zabezpieczeń w trybie offline są wyzwalane automatycznie w okresowych odstępach czasu.
• Domyślnie ten okresowy interwał wynosi 8 godzin. Można go jednak skonfigurować, ustawiając definitionUpdatesInterval parametr w zarządzanym formacie JSON.

Ręczna aktualizacja

• Aby ręcznie wyzwolić aktualizację analizy zabezpieczeń w trybie offline, aby pobrać podpisy z serwera dublowanego w punktach końcowych systemu Linux, uruchom następujące polecenie:

  mdatp definitions update
  

Sprawdzanie stanu aktualizacji

• Po wyzwoleniu aktualizacji analizy zabezpieczeń w trybie offline przy użyciu metody automatycznej lub ręcznej sprawdź, czy aktualizacja zakończyła się pomyślnie, uruchamiając polecenie : mdatp health --details --definitions.

• Sprawdź następujące pola:

  user@vm:~$ mdatp health --details definitions
  ...
  definitions_status                          : "up_to_date"
  ...
  definitions_update_fail_reason              : ""
  ...
  

Rozwiązywanie problemów i diagnostyka

Jeśli aktualizacje nie powiodą się, utkną lub nie zostaną uruchomione, wykonaj następujące kroki, aby rozwiązać problemy:

1. Sprawdź stan aktualizacji analizy zabezpieczeń w trybie offline, używając następującego polecenia:

   mdatp health --details definitions
   

   Poszukaj informacji w definitions_update_fail_reason sekcji.

2. Upewnij się, że offline_definition_update i offline_definition_update_verify_sig są włączone.

3. Upewnij się, że definitions_update_source_uri wartość jest równa offline_definition_url_configured.

   • definitions_update_source_uri to źródło, z którego pobrano podpisy.
   • offline_definition_url_configured to źródło, z którego należy pobrać podpisy, wymienione w zarządzanym pliku konfiguracji.

4. Spróbuj wykonać test łączności, aby sprawdzić, czy serwer dublowania jest osiągalny z hosta:

   mdatp connectivity test
   

5. Spróbuj zainicjować ręczną aktualizację przy użyciu następującego polecenia:

   mdatp definitions update
   

Zobacz też

• Zasoby systemu Linux
• Ochrona punktu końcowego w usłudze Microsoft Defender na Linuxie
• Konfigurowanie ustawień zabezpieczeń i zasad dla Ochrona punktu końcowego w usłudze Microsoft Defender w systemie Linux