Configurar atualizações de informações de segurança offline para Microsoft Defender para Ponto de Extremidade no Linux

Como funcionam as atualizações de informações de segurança offline

Este artigo descreve como configurar atualizações de informações de segurança offline no Defender para Endpoint no Linux. Esta capacidade permite-lhe atualizar informações de segurança (também conhecidas como definições ou assinaturas) em dispositivos Linux com exposição limitada ou sem exposição à Internet. Com esta configuração, utiliza um servidor de alojamento local, denominado servidor de espelho, que se liga à cloud da Microsoft para transferir atualizações de informações de segurança. Outros dispositivos Linux extraem estas atualizações do servidor espelho em intervalos predefinidos.

Benefícios da utilização de atualizações de informações de segurança offline

Os principais benefícios incluem:

• A sua equipa de segurança pode controlar e gerir a frequência das transferências de assinaturas no servidor local e a frequência com que os pontos finais extraem assinaturas do servidor local.
• Tem uma camada adicional de proteção e controlo, uma vez que as assinaturas transferidas podem ser testadas num dispositivo de teste antes de serem propagadas para toda a frota.
• Precisa de menos largura de banda de rede, porque apenas um servidor local obtém as atualizações mais recentes da cloud da Microsoft em nome de toda a sua frota.
• O servidor espelho pode executar o Windows, Mac ou Linux e não tem de instalar o Defender para Endpoint nesse servidor.
• Obtém a proteção antivírus mais atualizada, porque as assinaturas são sempre transferidas juntamente com o motor antivírus compatível mais recente.
• As versões mais antigas das assinaturas (n-1) são movidas para uma pasta de cópia de segurança no servidor espelho em cada iteração. Se existir um problema com as atualizações mais recentes, pode solicitar a n-1 versão da assinatura da pasta de cópia de segurança para os seus dispositivos.
• No caso raro de uma atualização offline falhar, pode configurar uma opção de contingência para obter atualizações online a partir da cloud da Microsoft.

Como funciona a atualização de informações de segurança offline

• Configure um servidor espelho, que é um servidor Web local ou NFS acessível pela cloud da Microsoft.
• As assinaturas são transferidas a partir da cloud da Microsoft neste servidor espelho ao executar um script com tarefa cron ou programador de tarefas no servidor local.
• Os pontos finais do Linux que executam o Defender para Endpoint extraem as assinaturas transferidas do servidor espelho num intervalo de tempo predefinido.
• As assinaturas extraídas para dispositivos Linux a partir do servidor local são primeiro verificadas antes de serem carregadas para o motor antivírus.
• Para iniciar e configurar o processo de atualização, pode atualizar o ficheiro json de configuração gerida nos seus dispositivos Linux.
• Pode ver a status de atualizações na CLI do mdatp.

Fig. 1: Diagrama de fluxo de processos no servidor de espelho para transferir as atualizações de informações de segurança

Fig. 2: Diagrama de fluxo de processos no ponto final do Linux para atualizações de informações de segurança

O servidor espelho pode executar qualquer um dos seguintes sistemas operativos:

• Linux (qualquer sabor)
• Windows (qualquer versão)
• Mac (qualquer versão)

Pré-requisitos

• A versão 101.24022.0001 do Defender para Endpoint ou posterior tem de ser instalada nos pontos finais do Linux.

• Os pontos finais do Linux têm de ter conectividade ao servidor espelho.

• O ponto final do Linux tem de estar a executar qualquer uma das distribuições suportadas pelo Defender para Endpoint. (veja Distribuições suportadas do Linux.)

• O servidor espelho pode ser um servidor HTTP/HTTPS ou um servidor de partilha de rede, como um Servidor NFS.

• O servidor espelho tem de ter acesso aos seguintes URLs:

  • https://github.com/microsoft/mdatp-xplat.git
  • https://go.microsoft.com/fwlink/?linkid=2144709

• O servidor espelho deve suportar o bash ou o PowerShell.

• São necessárias as seguintes especificações mínimas do sistema para o servidor espelho:

  Núcleo da CPU	RAM	Disco gratuito	Trocar
  2 núcleos (Preferencial 4 Núcleos)	1 GB Min (4 GB Preferenciais)	2 GB	Dependente do Sistema

  Observação

  Esta configuração pode variar consoante o número de pedidos que são servidos e a carga que cada servidor tem de processar.

Configurar o servidor espelho

Obter o script do transferidor de informações de segurança offline

A Microsoft aloja um script de transferência de informações de segurança offline neste repositório do GitHub.

Execute os seguintes passos para obter o script do downloader:

Opção 1: Clonar o repositório (Preferencial)

1. Instale o git no servidor espelho.

2. Navegue para o diretório onde pretende clonar o repositório.

3. Execute o seguinte comando: git clone https://github.com/microsoft/mdatp-xplat.git

Opção 2: Transferir o ficheiro zipado

1. Transfira o ficheiro zipado.

2. Copie o ficheiro transferido para a pasta onde pretende manter o script.

3. Extraia a pasta zipada.

4. Agende uma tarefa ou uma tarefa cron para manter o ficheiro zip repositório/transferido atualizado para a versão mais recente em intervalos regulares.

Estrutura de diretório local após clonar o repositório ou transferir o ficheiro zipado

Depois de clonar o repositório ou transferir o ficheiro zipado, a estrutura do diretório local deve ser a seguinte:

user@vm:~/mdatp-xplat$ tree linux/definition_downloader/
linux/definition_downloader/
├── README.md
├── settings.json
├── settings.ps1
├── xplat_offline_updates_download.ps1
└── xplat_offline_updates_download.sh

0 directories, 5 files

O settings.json ficheiro consiste em algumas variáveis que o utilizador pode configurar para determinar o resultado da execução do script.

Executar o script do transferidor de informações de segurança offline

Para executar manualmente o script do downloader, configure os parâmetros no settings.json ficheiro de acordo com a descrição na secção anterior e utilize um dos seguintes comandos com base no SO do servidor espelho:

• Bash:

  ./xplat_offline_updates_download.sh
  

• PowerShell:

  ./xplat_offline_updates_download.ps1
  

Alojar as atualizações de informações de segurança offline no servidor espelho

Assim que o script for executado, as assinaturas mais recentes são transferidas para a pasta configurada no settings.json ficheiro (updates.zip).

Assim que o zip de assinaturas for transferido, o servidor espelho pode ser utilizado para alojá-lo. O servidor espelho pode ser alojado com qualquer um dos servidores de partilha http/HTTPS/rede ou um ponto de montagem local/remoto.

Uma vez alojado, copie o caminho absoluto do servidor alojado (até e não incluindo o arch_* diretório).

Assim que o servidor espelho estiver configurado, terá de propagar este URI para os pontos finais do Linux como offlineDefinitionUpdateUrl no na Configuração Gerida, conforme descrito na secção seguinte.

Configurar os pontos finais

Utilize o exemplo seguinte mdatp_managed.json e atualize os parâmetros de acordo com a configuração e copie o ficheiro para a localização /etc/opt/microsoft/mdatp/managed/mdatp_managed.json.

{
  "cloudService": {
    "automaticDefinitionUpdateEnabled": true,
    "definitionUpdatesInterval": 1202
  },
  "antivirusEngine": {
    "offlineDefinitionUpdateUrl": "http://172.22.199.67:8000/linux/production/",
    "offlineDefinitionUpdateFallbackToCloud":false,
    "offlineDefinitionUpdate": "enabled"
  },
  "features": {
    "offlineDefinitionUpdateVerifySig": "enabled"
  }
}

Verificar a configuração

Para testar se as definições são aplicadas corretamente nos pontos finais do Linux, execute o seguinte comando:

mdatp health --details definitions

Uma saída de exemplo teria um aspeto semelhante ao seguinte fragmento de código:

user@vm:~$ mdatp health --details definitions
automatic_definition_update_enabled         : true [managed]
definitions_updated                         : Mar 14, 2024 at 12:13:17 PM
definitions_updated_minutes_ago             : 2
definitions_version                         : "1.407.417.0"
definitions_status                          : "up_to_date"
definitions_update_source_uri               : "https://go.microsoft.com/fwlink/?linkid=2144709"
definitions_update_fail_reason              : ""
offline_definition_url_configured           : "http://172.XX.XXX.XX:8000/linux/production/" [managed]
offline_definition_update                   : "enabled" [managed]
offline_definition_update_verify_sig        : "enabled"
offline_definition_update_fallback_to_cloud : false[managed]

Acionar as atualizações de informações de segurança offline

Atualização automática

• Se o nível de imposição do motor antivírus estiver definido como real_timee os campos automaticDefinitionUpdateEnabled e offline_definition_update no json gerido estiverem definidos como true, as atualizações de informações de segurança offline são acionadas automaticamente em intervalos periódicos.
• Por predefinição, este intervalo periódico é de 8 horas. No entanto, pode ser configurado ao definir o definitionUpdatesInterval parâmetro no json gerido.

Atualização Manual

• Para acionar manualmente a atualização de informações de segurança offline para transferir as assinaturas do servidor espelho nos pontos finais do Linux, execute o seguinte comando:

  mdatp definitions update
  

Verificar status de atualização

• Depois de acionar atualizações de informações de segurança offline com o método automático ou manual, verifique se a atualização foi efetuada com êxito ao executar o comando: mdatp health --details --definitions.

• Verifique os seguintes campos:

  user@vm:~$ mdatp health --details definitions
  ...
  definitions_status                          : "up_to_date"
  ...
  definitions_update_fail_reason              : ""
  ...
  

Resolução de problemas e diagnóstico

Se as atualizações falharem, estiverem bloqueadas ou não iniciarem, siga estes passos para resolver o problema:

1. Verifique a status de atualizações de informações de segurança offline com o seguinte comando:

   mdatp health --details definitions
   

   Procure informações na definitions_update_fail_reason secção .

2. Certifique-se de que offline_definition_update e offline_definition_update_verify_sig estão ativados.

3. Certifique-se de que definitions_update_source_uri é igual a offline_definition_url_configured.

   • definitions_update_source_uri é a origem de onde as assinaturas foram transferidas.
   • offline_definition_url_configured é a origem de onde as assinaturas devem ser transferidas, a mencionada no ficheiro de configuração gerida.

4. Experimente executar o teste de conectividade para marcar se espelho servidor estiver acessível a partir do anfitrião:

   mdatp connectivity test
   

5. Tente iniciar uma atualização manual com o seguinte comando:

   mdatp definitions update
   

Confira também

• Recursos do Linux
• Microsoft Defender para Ponto de Extremidade para Linux
• Configurar definições e políticas de segurança para Microsoft Defender para Ponto de Extremidade no Linux