Установка и использование Microsoft Defender на Linux

Зачем нужен Microsoft Defender на Linux

Для пользователей внутри корпоративной среды интеграция с экосистемой Microsoft (например, Active Directory) делает Linux-десктоп более совместимым с корпоративными политиками безопасности. Microsoft Defender на Linux позволяет ИТ-подразделениям централизованно сканировать машины, применять политики и получать телеметрию, что важно для соответствия требованиям безопасности.

Важно: Microsoft предоставляет пакеты отдельно — их нет в стандартных репозиториях многих дистрибуций. Это означает, что нужно добавить репозиторий Microsoft и импортировать GPG-ключ.

Быстрый план действий

1. Выберите инструкции для своей системы (RPM или Debian/Ubuntu).
2. Установите необходимые утилиты и зависимости.
3. Добавьте репозиторий Microsoft и импортируйте GPG-ключ.
4. Обновите индекс пакетов и установите mdatp.
5. Выполните первое сканирование, настройте исключения и проверьте обновления сигнатур.

Установка Microsoft Defender на Linux

Ниже — подробные команды. Выполняйте их с правами sudo или от root.

RPM‑системы (RHEL, CentOS, Fedora, Oracle Linux)

Требуется yum или dnf и менеджер для работы с репозиториями (yum-config-manager / dnf config-manager).

Установите помощники:

sudo dnf install yum-utils            # для dnf (Fedora, RHEL 8+)
# или
sudo yum install yum-utils            # для старых RHEL/CentOS

Добавьте репозиторий Microsoft (пример для Fedora 33):

sudo yum-config-manager --add-repo=https://packages.microsoft.com/config/fedora/33/prod.repo
# или для CentOS 8
sudo yum-config-manager --add-repo=https://packages.microsoft.com/config/centos/8/prod.repo

Импортируйте GPG‑ключ Microsoft:

sudo rpm --import http://packages.microsoft.com/keys/microsoft.asc

Обновите кэши и установите пакет:

sudo dnf update
sudo dnf install mdatp
# или
sudo yum update
sudo yum install mdatp

Примечание: используйте dnf для современных дистрибуций и yum для старых релизов.

Debian / Ubuntu

Установите зависимости и утилиты:

sudo apt update
sudo apt install curl libplist-utils gpg apt-transport-https

Добавьте репозиторий Microsoft и ключ:

curl -o microsoft.list https://packages.microsoft.com/config/ubuntu/20.04/prod.list
sudo mv ./microsoft.list /etc/apt/sources.list.d/microsoft-prod.list
curl https://packages.microsoft.com/keys/microsoft.asc | sudo apt-key add -

Обновите индекс пакетов и установите mdatp:

sudo apt update
sudo apt install mdatp

Если ваша версия Ubuntu отличается от 20.04, замените путь prod.list на соответствующий (например, /ubuntu/22.04/prod.list).

Базовое использование Microsoft Defender (mdatp)

После установки mdatp — служба должна работать автоматически. Основные операции выполняются через командную строку.

Запуск сканирования

Полное сканирование:

mdatp scan full

Быстрое сканирование:

mdatp scan quick

Кастомное сканирование по пути с опцией игнорировать исключения:

mdatp scan custom --path /PATH/TO/DIRECTORY --ignore-exclusions

Ключевая особенность — параметр custom позволяет указать файл или папку и отменить ранее настроенные исключения для одной операции.

Обновление сигнатур и самого пакета

Обновление пакета в RPM‑системах:

sudo dnf update mdatp
# или
sudo yum update mdatp

В Debian/Ubuntu:

sudo apt update
sudo apt install --only-upgrade mdatp
# или
sudo apt-get update && sudo apt-get upgrade mdatp

Важно: обновление сигнатур обычно поставляется вместе с обновлением пакета; при централизованном управлении обновления могут приходить из вашей корпоративной системы управления пакетами.

Настройка исключений

Исключения полезны для того, чтобы тестовые инструменты, базы данных разработчиков или специфические файлы не выдавали ложные срабатывания.

Исключение по расширению:

mdatp exclusion extension add --name .png

Исключение для папки:

mdatp exclusion folder add --path /PATH/TO/DIRECTORY/

Показать список исключений и удалить их:

mdatp exclusion list
mdatp exclusion extension remove --name .png
mdatp exclusion folder remove --path /PATH/TO/DIRECTORY/

Критерии приёмки:

• mdatp установлен и запущен как служба.
• Удалось выполнить полное сканирование без ошибок прав доступа.
• Пакеты обновляются через стандартный менеджер пакетов без конфликтов.

Рекомендации и отладка

Important: всегда проверяйте права доступа при сканировании — если mdatp запускается без доступа к определённым каталогам, они не будут просканированы.

Если после добавления репозитория вы видите ошибки GPG, убедитесь, что ключ корректно импортирован и что система может обращаться к packages.microsoft.com через сеть/прокси.

Если служба не запускается, проверьте статус системного демона:

sudo systemctl status mdatp
sudo journalctl -u mdatp --no-pager

Когда Microsoft Defender может не подойти

• На минималистичных встраиваемых системах с ограничённым дисковым пространством: Defender требует места и регулярных обновлений.
• В средах, где политика безопасности требует исключительно open source решений — иногда предпочтут ClamAV или другие OSS-инструменты.
• При строгой изоляции без выхода в Интернет для обновлений сигнатур — придётся организовывать локальный прокси/репозиторий.

Альтернативные подходы и инструменты

• ClamAV — открытый антивирус для проверок и интеграции в серверные скрипты.
• Sophos/ESET/Comodo — коммерческие решения с поддержкой Linux.
• rkhunter и chkrootkit — для поиска руткитов и подозрительных модификаций системы.

Плейбук установки (короткий чеклист)

Для системного администратора:

1. Проверить совместимость дистрибуции с пакетом Microsoft.
2. Создать резервную копию конфигураций (если требуется).
3. Добавить repo и импортировать GPG‑ключ.
4. Установить mdatp и проверить статус службы.
5. Провести полное сканирование и настроить исключения.
6. Настроить регулярные обновления через конфиг управления пакетами.

Для конечного пользователя:

1. Сообщить ИТ‑администратору о необходимости установки.
2. После установки выполнить quick scan и сообщить о результатах.
3. Не создавать общесистемные исключения без одобрения ИТ.

Краткий словарь терминов

• Active Directory — служба каталогов Microsoft для управления пользователями и политиками.
• GPG — система шифрования и подписывания, используемая для проверки целостности пакетов.
• Репозиторий (repo) — источник пакетов для менеджера пакетов дистрибуции.
• mdatp — пакет Microsoft Defender Advanced Threat Protection для Linux.
• Сигнатуры — база известных образцов вредоносного ПО, используемая для обнаружения.

Итог

Microsoft Defender на Linux обеспечивает централизованную проверку и интеграцию с корпоративными средствами безопасности. Он полезен в средах с Active Directory и централизованным управлением, но не всегда оптимален для минималистичных или строго open source‑ориентированных окружений. Следуйте приведённым инструкциям для вашей дистрибуции, проверяйте права доступа и настраивайте исключения аккуратно.

Important: при установке на производственных машинах согласуйте шаги с политиками ИТ‑безопасности вашей организации.