Konfigurace a ověření vyloučení pro Microsoft Defender for Endpoint v Linuxu

Chcete používat Defender pro Endpoint? Zaregistrujte se a získejte bezplatnou zkušební verzi,

Tento článek obsahuje informace o tom, jak definovat antivirová a globální vyloučení pro Microsoft Defender for Endpoint. Vyloučení antivirové ochrany se vztahují na kontroly na vyžádání, ochranu v reálném čase (RTP) a monitorování chování (BM). Globální vyloučení platí pro ochranu v reálném čase (RTP), monitorování chování (BM) a detekci a odezvu koncových bodů (EDR), čímž se zastaví všechny přidružené antivirové detekce, výstrahy EDR a viditelnost vyloučené položky.

Z Defenderu for Endpoint v Linuxu můžete vyloučit určité soubory, složky, procesy a soubory otevřené procesem.

Vyloučení můžou být užitečná, když se chcete vyhnout nesprávné detekci souborů nebo softwaru, které jsou jedinečné nebo přizpůsobené vaší organizaci. Globální vyloučení jsou užitečná pro zmírnění problémů s výkonem způsobených defenderem for Endpoint v Linuxu.

Podporované obory vyloučení

Jak je popsáno v předchozí části, podporujeme dva obory vyloučení: antivirové (epp) a globální (global) vyloučení.

Vyloučení antivirové ochrany je možné použít k vyloučení důvěryhodných souborů a procesů z ochrany v reálném čase při zachování viditelnosti EDR. Globální vyloučení se používají na úrovni senzoru a k ztlumení událostí, které splňují podmínky vyloučení velmi brzy v toku, než se provede jakékoli zpracování, a tím se zastaví všechna upozornění EDR a antivirové detekce.

Podporované typy vyloučení

Následující tabulka uvádí typy vyloučení podporované defenderem for Endpoint v Linuxu.

Vyloučení souborů, složek a procesů podporují následující zástupné cardy:

V případě vyloučení antivirového softwaru bude při použití zástupného znaku * na konci cesty odpovídat všem souborům a podadresářům pod nadřazeným zástupným znakem.

Postup konfigurace seznamu vyloučení

Použití konzoly pro správu

Informace o konfiguraci vyloučení z Puppetu, Ansible nebo jiné konzoly pro správu najdete v následující ukázce mdatp_managed.json.

{
   "exclusionSettings":{
     "exclusions":[
        {
           "$type":"excludedPath",
           "isDirectory":true,
           "path":"/home/*/git<EXAMPLE DO NOT USE>",
           "scopes": [
              "epp"
           ]
        },
        {
           "$type":"excludedPath",
           "isDirectory":true,
           "path":"/run<EXAMPLE DO NOT USE>",
           "scopes": [
              "global"
           ]
        },
        {
           "$type":"excludedPath",
           "isDirectory":false,
           "path":"/var/log/system.log<EXAMPLE DO NOT USE><EXCLUDED IN ALL SCENARIOS>",
           "scopes": [
              "epp", "global"
           ]
        },
        {
           "$type":"excludedFileExtension",
           "extension":".pdf<EXAMPLE DO NOT USE>",
           "scopes": [
              "epp"
           ]
        },
        {
           "$type":"excludedFileName",
           "name":"/bin/cat<EXAMPLE DO NOT USE><NO SCOPE PROVIDED - GLOBAL CONSIDERED>"
        }
     ],
     "mergePolicy":"admin_only"
   }
}

Další informace najdete v tématu Nastavení předvoleb pro Defender for Endpoint v Linuxu.

Použití příkazového řádku

Spuštěním následujícího příkazu zobrazte dostupné přepínače pro správu vyloučení:

mdatp exclusion

Příklady:

• Přidání vyloučení pro příponu souboru (vyloučení rozšíření se nepodporuje pro globální obor vyloučení):

  mdatp exclusion extension add --name .txt
  

  Extension exclusion configured successfully
  

  mdatp exclusion extension remove --name .txt
  

  Extension exclusion removed successfully
  

• Přidání nebo odebrání vyloučení pro soubor (cesta k souboru by už měla být přítomen v případě přidání nebo odebrání vyloučení v globálním rozsahu):

  mdatp exclusion file add --path /var/log/dummy.log --scope epp
  

  File exclusion configured successfully
  

  mdatp exclusion file remove --path /var/log/dummy.log --scope epp
  

  File exclusion removed successfully"
  

  mdatp exclusion file add --path /var/log/dummy.log --scope global
  

  File exclusion configured successfully
  

  mdatp exclusion file remove --path /var/log/dummy.log --scope global
  

  File exclusion removed successfully"
  

• Přidání nebo odebrání vyloučení složky:

  mdatp exclusion folder add --path /var/log/ --scope epp
  

  Folder exclusion configured successfully
  

  mdatp exclusion folder remove --path /var/log/ --scope epp
  

  Folder exclusion removed successfully
  

    mdatp exclusion folder add --path /var/log/ --scope global
  

  Folder exclusion configured successfully
  

  mdatp exclusion folder remove --path /var/log/ --scope global
  

  Folder exclusion removed successfully
  

• Přidání vyloučení pro druhou složku:

  mdatp exclusion folder add --path /var/log/ --scope epp
  mdatp exclusion folder add --path /other/folder  --scope global
  

  Folder exclusion configured successfully
  

• Přidejte vyloučení pro složku se zástupným znakem:

  Poznámka

  Při konfiguraci globálních vyloučení nejsou podporovány zástupné é činy.

  mdatp exclusion folder add --path "/var/*/tmp"
  

  Poznámka

  Tím se vyloučí pouze cesty pod /var/*/tmp/, ale ne složky, které jsou na stejné úrovni jako tmp; Například /var/this-podsložka/tmp, ale ne /var/this-podsložka/log.

  mdatp exclusion folder add --path "/var/" --scope epp
  

  NEBO

  mdatp exclusion folder add --path "/var/*/" --scope epp
  

  Poznámka

  Tím se vyloučí všechny cesty, jejichž nadřazený objekt je /var/; například /var/this-podsložka/and-this-podsložka-as-well.

  Folder exclusion configured successfully
  

• Přidání vyloučení pro proces:

  mdatp exclusion process add --name /usr/bin/cat --scope global 
  

  Process exclusion configured successfully
  

  mdatp exclusion process remove --name /usr/bin/cat  --scope global
  

  Process exclusion removed successfully
  

    mdatp exclusion process add --name /usr/bin/cat --scope epp 
  

  Process exclusion configured successfully
  

  mdatp exclusion process remove --name /usr/bin/cat  --scope epp
  

  Process exclusion removed successfully
  

• Přidání vyloučení pro druhý proces:

  mdatp exclusion process add --name cat --scope epp
  mdatp exclusion process add --name dog --scope global
  

  Process exclusion configured successfully
  

Ověření seznamů vyloučení pomocí testovacího souboru EICAR

Pomocí nástroje ke stažení testovacího souboru můžete ověřit, jestli seznamy vyloučení fungují curl .

V následujícím fragmentu kódu Bash nahraďte test.txt souborem, který odpovídá vašim pravidlům vyloučení. Pokud jste například vyloučili .testing rozšíření, nahraďte test.txt parametrem test.testing. Pokud testujete cestu, ujistěte se, že jste v této cestě spustili příkaz.

curl -o test.txt https://secure.eicar.org/eicar.com.txt

Pokud Defender for Endpoint v Linuxu hlásí malware, pravidlo nefunguje. Pokud neexistuje žádná zpráva o malwaru a stažený soubor existuje, vyloučení funguje. Soubor můžete otevřít a ověřit, že obsah je stejný jako obsah, který je popsán na webu testovacího souboru EICAR.

Pokud nemáte přístup k internetu, můžete si vytvořit vlastní testovací soubor EICAR. Pomocí následujícího příkazu Bash zapište řetězec EICAR do nového textového souboru:

echo 'X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*' > test.txt

Řetězec můžete také zkopírovat do prázdného textového souboru a pokusit se ho uložit s názvem souboru nebo do složky, kterou se pokoušíte vyloučit.

Povolit hrozby

Kromě vyloučení určitého obsahu ze skenování můžete také nakonfigurovat produkt tak, aby nezjistil některé třídy hrozeb (identifikované názvem hrozby). Při používání této funkce byste měli být opatrní, protože může vaše zařízení zůstat nechráněné.

Pokud chcete přidat název hrozby do seznamu povolených, spusťte následující příkaz:

mdatp threat allowed add --name [threat-name]

Název hrozby přidružené k detekci na vašem zařízení můžete získat pomocí následujícího příkazu:

mdatp threat list

Pokud chcete například přidat EICAR-Test-File (not a virus) (název hrozby přidružené k detekci EICAR) do seznamu povolených, spusťte následující příkaz:

mdatp threat allowed add --name "EICAR-Test-File (not a virus)"