在 Linux 上的 Microsoft Defender for Endpoint 中配置安全设置

适用于：

• 服务器的Microsoft Defender for Endpoint
• 服务器计划 1 或计划 2 的Microsoft Defender

希望体验 Defender for Endpoint？ 注册免费试用版。

配置安全设置

Linux 上的Microsoft Defender for Endpoint包括防病毒、反恶意软件保护、终结点检测和响应功能。 本文汇总了要配置的重要安全设置，并包含指向其他资源的链接。

用于配置安全设置的选项

若要在 Linux 上的 Defender for Endpoint 中配置安全设置，有两个main选项：

• 使用 Microsoft Defender 门户 (Defender for Endpoint Security Settings Management) ;或
• 使用配置文件

如果希望使用命令行，可以使用命令行来配置某些设置、收集诊断、运行扫描等。 请参阅 Linux 资源：使用命令行进行配置。

Defender for Endpoint 安全设置管理

可以在 Microsoft Defender 门户中配置 Defender for Endpoint on Linux 上的 Defender for Endpoint，https://security.microsoft.com (通过称为 Defender for Endpoint 安全设置管理的功能) 。 有关详细信息，包括如何创建、编辑和验证安全策略，请参阅使用Microsoft Defender for Endpoint安全设置管理来管理Microsoft Defender防病毒。

配置文件

可以通过使用 .json 文件的配置文件在 Linux 上的 Defender for Endpoint 中配置设置。 设置配置文件后，可以使用所选的管理工具进行部署。 企业管理的首选项优先于设备上本地设置的首选项。 换句话说，企业中的用户无法更改通过此配置文件设置的首选项。 如果通过托管配置文件添加排除项，则只能通过托管配置文件将其删除。 命令行适用于本地添加的排除项。

本文介绍此配置文件的结构 (包括可用于开始) 的建议配置文件以及如何部署配置文件的说明。

配置文件结构

配置文件是由 .json 键 (标识的条目组成的文件，它表示首选项) 的名称，后跟一个值，该值取决于首选项的性质。 值可以是简单的（如数值），也可以是复杂值，例如首选项的嵌套列表。

通常，使用配置管理工具在 位置/etc/opt/microsoft/mdatp/managed/推送名称mdatp_managed.json为 的文件。

配置文件的顶层包括产品范围的首选项和产品子区域条目，后续部分将更详细地介绍这些内容。

建议的配置文件

本部分包括两个配置文件示例：

• 示例配置文件 ，可帮助你开始使用建议的设置。
• 需要更精细地控制安全设置的组织的完整配置文件示例。

若要开始，我们建议为组织使用第一个示例配置文件。 若要进行更精细的控制，可以改用 完整的配置文件示例 。

示例配置文件

它可帮助你利用 Linux 上的 Defender for Endpoint 提供的重要保护功能。 以下配置文件：

• (RTP) 启用实时保护
• 指定如何处理以下威胁类型：
  • 阻止了可能不需要的应用程序 (PUA)
  • 存档炸弹 (高压缩率) 文件审核到产品日志
• 启用自动安全智能更新
• 启用云提供的保护
• 在级别启用自动示例提交safe

{
   "antivirusEngine":{
      "enforcementLevel":"real_time",
      "threatTypeSettings":[
         {
            "key":"potentially_unwanted_application",
            "value":"block"
         },
         {
            "key":"archive_bomb",
            "value":"audit"
         }
      ]
   },
   "cloudService":{
      "automaticDefinitionUpdateEnabled":true,
      "automaticSampleSubmissionConsent":"safe",
      "enabled":true,
      "proxy": "<EXAMPLE DO NOT USE> http://proxy.server:port/"
   }
}

完整配置文件示例

以下配置文件包含本文档中所述的所有设置的条目，可用于需要对产品进行更多控制的高级方案。

{
"antivirusEngine":{
      "enforcementLevel":"passive",
      "behaviorMonitoring": "disabled",
      "scanAfterDefinitionUpdate":true,
      "scanArchives":true,
      "scanHistoryMaximumItems": 10000,
      "scanResultsRetentionDays": 90,
      "maximumOnDemandScanThreads":2,
      "exclusionsMergePolicy":"merge",
      "allowedThreats":[
         "<EXAMPLE DO NOT USE>EICAR-Test-File (not a virus)"
      ],
      "disallowedThreatActions":[
         "allow",
         "restore"
      ],
      "nonExecMountPolicy":"unmute",
      "unmonitoredFilesystems": ["nfs,fuse"],
      "enableFileHashComputation": false,
      "threatTypeSettingsMergePolicy":"merge",
      "threatTypeSettings":[
         {
            "key":"potentially_unwanted_application",
            "value":"block"
         },
         {
            "key":"archive_bomb",
            "value":"audit"
         }
      ],
      "scanFileModifyPermissions":false,
      "scanFileModifyOwnership":false,
      "scanNetworkSocketEvent":false,
      "offlineDefinitionUpdateUrl": "http://172.22.199.67:8000/linux/production/<EXAMPLE DO NOT USE>",
      "offlineDefintionUpdateFallbackToCloud":false,
      "offlineDefinitionUpdate":"disabled"
   },
   "cloudService":{
      "enabled":true,
      "diagnosticLevel":"optional",
      "automaticSampleSubmissionConsent":"safe",
      "automaticDefinitionUpdateEnabled":true,
      "proxy": "<EXAMPLE DO NOT USE> http://proxy.server:port/",
      "definitionUpdatesInterval":28800
   },
   "features":{
      "moduleLoad":"disabled",
      "supplementarySensorConfigurations":{
        "enableFilePermissionEvents":"disabled",
        "enableFileOwnershipEvents":"disabled",
        "enableRawSocketEvent":"disabled",
        "enableBootLoaderCalls":"disabled",
        "enableProcessCalls":"disabled",
        "enablePseudofsCalls":"diabled",
        "enableEbpfModuleLoadEvents":"disabled",
        "sendLowfiEvents":"disabled"
      },
      "ebpfSupplementaryEventProvider":"enabled",
      "offlineDefinitionUpdateVerifySig": "disabled"
   },
   "networkProtection":{
      "enforcementLevel":"disabled",
      "disableIcmpInspection":true
   },
   "edr":{
      "groupIds":"GroupIdExample",
      "tags": [
         {
         "key": "GROUP",
         "value": "Tag"
         }
       ]
   },
"exclusionSettings":{
  "exclusions":[
     {
        "$type":"excludedPath",
        "isDirectory":true,
        "path":"/home/*/git<EXAMPLE DO NOT USE>",
        "scopes": [
              "epp"
        ]
     },
     {
        "$type":"excludedPath",
        "isDirectory":true,
        "path":"/run<EXAMPLE DO NOT USE>",
        "scopes": [
              "global"
        ]
     },
     {
        "$type":"excludedPath",
        "isDirectory":false,
        "path":"/var/log/system.log<EXAMPLE DO NOT USE><EXCLUDED IN ALL SCENARIOS>",
        "scopes": [
              "epp", "global"
        ]
     },
     {
        "$type":"excludedFileExtension",
        "extension":".pdf<EXAMPLE DO NOT USE>",
        "scopes": [
              "epp"
        ]
     },
     {
        "$type":"excludedFileName",
        "name":"/bin/cat<EXAMPLE DO NOT USE><NO SCOPE PROVIDED - GLOBAL CONSIDERED>"
     }
  ],
  "mergePolicy":"admin_only"
}
}

Linux 上的 Defender for Endpoint 中的防病毒、反恶意软件和 EDR 设置

无论是使用配置文件 (.json 文件) 还是Microsoft Defender门户 (安全设置管理) ，都可以在 Linux 上的 Defender for Endpoint 中配置防病毒、反恶意软件和 EDR 设置。 以下部分介绍了在何处以及如何配置设置。

防病毒引擎首选项

配置文件的 防病毒Engine 部分用于管理产品的防病毒组件的首选项。

Microsoft Defender防病毒的强制级别

指定防病毒引擎的强制首选项。 设置强制级别有三个值：

• 实时 (real_time) ：在启用) 修改文件时，实时保护 (扫描这些文件。

• 按需 (on_demand) ：仅按需扫描文件。 在此中：

  • 实时保护已关闭。
  • 定义更新仅在扫描开始时发生，即使在 automaticDefinitionUpdateEnabled 按需模式下设置为 true 也是如此。

• 被动 (passive) ：在被动模式下运行防病毒引擎。 在这种情况下，以下所有条件均适用：

  • 实时保护已关闭：Microsoft Defender防病毒无法修正威胁。
  • 按需扫描已打开：仍使用终结点上的扫描功能。
  • 自动威胁修正已关闭：不会移动任何文件，安全管理员应采取所需的作。
  • 安全智能更新已打开：警报在安全管理员的租户中可用。
  • 定义更新仅在扫描开始时发生，即使在 automaticDefinitionUpdateEnabled 被动模式下设置为 true 也是如此。

如果启用了 RTP，则启用或禁用行为监视 ()

确定是否在设备上启用行为监视和阻止功能。

更新定义后运行扫描

指定在设备上下载新的安全智能更新后是否启动进程扫描。 启用此设置会在设备的正在运行的进程上触发防病毒扫描。

仅扫描存档 (按需防病毒扫描)

指定是否在按需防病毒扫描期间扫描存档。

按需扫描的并行度

指定按需扫描的并行度。 这对应于用于执行扫描并影响 CPU 使用率的线程数，以及按需扫描的持续时间。

排除合并策略

指定排除项的合并策略。 它可以是管理员定义的排除项和用户定义的排除项 () merge 的组合，也可以是管理员定义的排除项 () admin_only 的组合。 管理员定义的 (admin_only) 是 Defender for Endpoint 策略配置的排除项。 此设置可用于限制本地用户定义其自己的排除项。

由于它在防病毒引擎下，此策略仅适用于 epp 排除项，除非 mergePolicy 在 exclusionSettings 下配置为 (admin_only) 。

扫描排除项

已从扫描中排除的实体。 排除项可以由完整路径、扩展名或文件名指定。 (排除项指定为项数组，管理员可以根据需要指定任意数量的元素，按任意顺序。)

排除类型

指定从扫描中排除的内容的类型。

已排除内容的路径

用于按完整文件路径从扫描中排除内容。

路径类型 (文件/目录)

指示 路径 属性是否引用文件或目录。

从扫描中排除的文件扩展名

用于按文件扩展名从扫描中排除内容。

从扫描中排除的进程

指定从扫描中排除所有文件活动的进程。 可以按进程的名称 (（例如， cat) ）或完整路径 (指定， /bin/cat 例如) 。

将非exec 装载设为静音

指定 RTP 在标记为 noexec的装入点上的行为。 设置有两个值：

• 未静音 (unmute) ：默认值，所有装入点都作为 RTP 的一部分进行扫描。
• 静音 (mute) ：标记为 noexec 的装入点不会作为 RTP 的一部分进行扫描，可针对以下对象创建这些装入点：
  • 数据库服务器上的数据库文件，用于保存数据库文件。
  • 文件服务器可以使用 选项保留数据文件装入点 noexec 。
  • 备份可以使用 选项保留数据文件装入点 noexec 。

Unmonitor 文件系统

将文件系统配置为不受监视/从 RTP) (实时保护中排除。 根据Microsoft Defender允许的文件系统列表验证配置的文件系统。 只有在成功验证后才能监视文件系统。 这些配置的不受监视的文件系统仍可通过 Microsoft Defender 防病毒中的快速扫描、完整扫描和自定义扫描进行扫描。

默认情况下，NFS 和 Fuse 不受 RTP、快速和完整扫描的监视。 但是，仍可以通过自定义扫描来扫描它们。 例如，若要从不受监视的文件系统列表中删除 NFS，请更新托管配置文件，如下所示。 这会自动将 NFS 添加到 RTP 的受监视文件系统列表中。

{
   "antivirusEngine":{
      "unmonitoredFilesystems": ["Fuse"]
  }
}

若要从不受监视的文件系统列表中删除 NFS 和 Fuse，请使用以下代码片段：

{
   "antivirusEngine":{
      "unmonitoredFilesystems": []
  }
}

配置文件哈希计算功能

启用或禁用文件哈希计算功能。 启用此功能后，Defender for Endpoint 会计算它扫描的文件的哈希。 启用此功能可能会影响设备性能。 有关更多详细信息，请参阅： 为文件创建指示器。

允许的威胁

(按名称标识的威胁列表) 产品不会阻止，而是允许运行。

不允许的威胁操作

限制设备本地用户在检测到威胁时可以执行的作。 此列表中包含的作不会显示在用户界面中。

威胁类型设置

防病毒引擎中的 threatTypeSettings 首选项用于控制产品如何处理某些威胁类型。

威胁类型

为其配置行为的威胁类型。

要采取的措施

遇到上一部分中指定的类型的威胁时要执行的作。 可以是：

• 审核：设备不受此类威胁的保护，但会记录有关威胁的条目。 (默认)
• 阻止：设备受到保护，免受此类威胁，并在Microsoft Defender门户中收到通知。
• 关闭：设备不受此类威胁的保护，并且不会记录任何内容。

威胁类型设置合并策略

指定威胁类型设置的合并策略。 这可以是管理员定义的设置和用户定义的设置 () merge 的组合，也可以是管理员定义的设置 () admin_only 。 管理员定义的 (admin_only) 是由 Defender for Endpoint 策略配置的威胁类型设置。 此设置可用于限制本地用户为不同的威胁类型定义自己的设置。

防病毒扫描历史记录保留期 (天)

指定结果在设备上的扫描历史记录中保留的天数。 旧扫描结果将从历史记录中删除。 也从磁盘中删除的旧隔离文件。

防病毒扫描历史记录中的最大项目数

指定要在扫描历史记录中保留的最大条目数。 条目包括过去执行的所有按需扫描和所有防病毒检测。

排除设置首选项

排除设置首选项目前为预览版。

exclusionSettings配置文件的 节用于配置 Linux Microsoft Defender for Endpoint的各种排除项。

合并策略

指定排除项的合并策略。 它指定是管理员定义的排除项和用户定义的排除项的组合， () merge ，还是仅限管理员定义的排除项 (admin_only) 。 此设置可用于限制本地用户定义其自己的排除项。 它适用于所有范围的排除项。

排除项

需要排除的实体可以通过完整路径、扩展名或文件名进行指定。 每个排除实体（即完整路径、扩展名或文件名）都具有可指定的可选范围。 如果未指定，则本部分中作用域的默认值为 全局值。 (排除项指定为项数组，管理员可以根据需要指定任意数量的元素，按任意顺序。)

排除类型

指定从扫描中排除的内容的类型。

排除范围 (可选)

指定排除内容的排除范围集。 当前支持的范围是 epp 和 global。

如果在 托管配置中的 exclusionSettings 下未为排除项指定任何内容，则 global 被视为范围。

已排除内容的路径

用于按完整文件路径从扫描中排除内容。

路径类型 (文件/目录)

指示 路径 属性是否引用文件或目录。

从扫描中排除的文件扩展名

用于按文件扩展名从扫描中排除内容。

从扫描中排除的进程

指定从扫描中排除所有文件活动的进程。 可以按进程的名称 (（例如， cat) ）或完整路径 (指定， /bin/cat 例如) 。

高级扫描选项

可将以下设置配置为启用某些高级扫描功能。

配置文件修改权限事件的扫描

启用此功能后，Defender for Endpoint 会在文件的权限已更改以设置执行位时扫描文件。

配置文件修改所有权事件的扫描

启用此功能后，Defender for Endpoint 会扫描所有权已更改的文件。

配置原始套接字事件的扫描

启用此功能后，Defender for Endpoint 会扫描网络套接字事件，例如创建原始套接字/数据包套接字或设置套接字选项。

云提供的保护首选项

配置文件中的 cloudService 条目用于配置产品的云驱动保护功能。

启用或禁用云提供的保护

确定是否在设备上启用云提供的保护。 为了提高服务的安全性，我们建议保持此功能的打开状态。

诊断集合级别

诊断数据用于保持 Defender for Endpoint 的安全和最新、检测、诊断和修复问题，以及进行产品改进。 此设置确定产品发送到Microsoft的诊断级别。 有关详细信息，请参阅 Linux 上Microsoft Defender for Endpoint的隐私。

配置云块级别

此设置确定 Defender for Endpoint 在阻止和扫描可疑文件时的积极程度。 如果此设置处于打开状态，则 Defender for Endpoint 在识别要阻止和扫描的可疑文件时会更加主动;否则，其攻击性较低，因此阻止和扫描的频率较低。

有五个值用于设置云块级别：

• 普通 (normal) ：默认阻止级别。
• 中等 (moderate) ：仅针对高置信度检测提供判决。
• 高 (high) ：主动阻止未知文件，同时优化性能 (阻止非) 文件的可能性更大。
• 高加 (high_plus) ：主动阻止未知文件并应用其他保护措施， (可能会影响客户端设备性能) 。
• 零容忍 (zero_tolerance) ：阻止所有未知程序。

启用或禁用自动示例提交

确定是否将可疑样本 (可能包含威胁) 发送到Microsoft。 有三个级别用于控制示例提交：

• 无：不会将可疑样本提交到Microsoft。
• 安全：仅自动提交不包含个人身份信息的可疑样本 (PII) 。 这是此设置的默认值。
• 全部：所有可疑样本均提交到Microsoft。

启用或禁用自动安全智能更新

确定是否自动安装安全智能更新：

根据强制级别，自动安全智能更新的安装方式不同。 在 RTP 模式下，会定期安装更新。 在被动/按需模式中，每次扫描之前都会安装更新。

高级可选功能

可以将以下设置配置为启用某些高级功能。

模块加载功能

确定是否监视共享库) 上的模块加载事件 (文件打开事件。

修正受感染的文件功能

确定是否修正打开或加载任何受感染文件的受感染进程。

补充传感器配置

以下设置可用于配置某些高级补充传感器功能。

配置文件修改权限事件的监视

确定是否监视) (chmod 文件修改权限事件。

配置文件修改所有权事件的监视

确定是否监视文件修改所有权事件 (chown) 。

配置原始套接字事件的监视

确定是否监视涉及创建原始套接字/数据包套接字或设置套接字选项的网络套接字事件。

配置启动加载程序事件的监视

确定是否监视和扫描启动加载程序事件。

配置 ptrace 事件的监视

确定是否监视和扫描 ptrace 事件。

配置伪fs 事件的监视

确定是否监视和扫描伪fs 事件。

使用 eBPF 配置模块负载事件的监视

确定是否使用 eBPF 监视模块加载事件并对其进行扫描。

使用 eBPF 配置对来自特定文件系统的打开事件的监视

确定 eBPF 是否监视来自 procf 的打开事件。

使用 eBPF 配置事件的源扩充

确定是否使用 eBPF 中的源元数据来扩充事件。

启用防病毒引擎缓存

确定是否缓存防病毒引擎正在扫描的事件的元数据。

向 EDR 报告 AV 可疑事件

确定是否将防病毒中的可疑事件报告给 EDR。

网络保护配置

以下设置可用于配置高级网络保护检查功能，以控制网络保护检查的流量。

强制级别

配置 ICMP 检查

确定是否监视和扫描 ICMP 事件。

将标记或组 ID 添加到配置文件

首次运行 mdatp health 命令时，标记和组 ID 的值将为空。 若要向文件添加标记或组 ID mdatp_managed.json ，请执行以下步骤：

1. 从路径 /etc/opt/microsoft/mdatp/managed/mdatp_managed.json打开配置文件。

2. 向下转到块所在的 cloudService 文件底部。

3. 在 的右大括号 cloudService末尾添加所需的标记或组 ID，如以下示例所示。

   },
   "cloudService": {
    "enabled": true,
    "diagnosticLevel": "optional",
    "automaticSampleSubmissionConsent": "safe",
    "automaticDefinitionUpdateEnabled": true,
    "proxy": "http://proxy.server:port/"
   },
   "edr": {
   "groupIds":"GroupIdExample",
   "tags": [
            {
            "key": "GROUP",
            "value": "Tag"
            }
          ]
      }
   }
   

   注意

   在块末尾 cloudService 的右大括号后面添加逗号。 此外，请确保在添加标记或组 ID 块后有两个右大括号， (请参阅上面的示例) 。 目前，标记唯一支持的键名称是 GROUP。

配置文件验证

配置文件必须是有效的 JSON 格式文件。 有许多工具可用于验证这一点。 例如，如果你已在 python 设备上安装：

python -m json.tool mdatp_managed.json

如果 JSON 格式正确，则上述命令将其输出回终端，并返回 的退出代码 0。 否则，将显示描述问题的错误，命令返回退出代码 1。

验证mdatp_managed.json文件是否按预期工作

若要验证是否 /etc/opt/microsoft/mdatp/managed/mdatp_managed.json 正常工作，应在以下设置旁边看到“[托管]”：

• cloud_enabled
• cloud_automatic_sample_submission_consent
• passive_mode_enabled
• real_time_protection_enabled
• automatic_definition_update_enabled

配置文件部署

为企业生成配置文件后，可以通过企业正在使用的管理工具来部署配置文件。 Linux 上的 Defender for Endpoint 从 /etc/opt/microsoft/mdatp/managed/mdatp_managed.json读取托管配置。