Nastavení předvoleb pro Microsoft Defender pro koncový bod v Linuxu

Chcete používat Defender pro Endpoint? Zaregistrujte se a získejte bezplatnou zkušební verzi,

V podnikových prostředích je možné defender for Endpoint v Linuxu spravovat prostřednictvím konfiguračního profilu. Tento profil se nasadí z nástroje pro správu podle vašeho výběru. Předvolby spravované podnikem mají přednost před předvolbou nastavenou místně na zařízení. Jinými slovy, uživatelé ve vašem podniku nemůžou změnit předvolby, které jsou nastavené prostřednictvím tohoto konfiguračního profilu. Pokud byla vyloučení přidána prostřednictvím spravovaného konfiguračního profilu, je možné je odebrat pouze prostřednictvím spravovaného konfiguračního profilu. Příkazový řádek funguje pro vyloučení, která byla přidána místně.

Tento článek popisuje strukturu tohoto profilu (včetně doporučeného profilu, který můžete použít k zahájení práce) a pokyny k nasazení profilu.

Struktura konfiguračního profilu

Konfigurační profil je .json soubor, který se skládá z položek identifikovaných klíčem (který označuje název předvolby) následovaný hodnotou, která závisí na povaze předvolby. Hodnoty můžou být jednoduché, například číselná hodnota, nebo složité, například vnořený seznam předvoleb.

Obvykle byste použili nástroj pro správu konfigurace k nasdílení souboru s názvem mdatp_managed.json v umístění /etc/opt/microsoft/mdatp/managed/.

Nejvyšší úroveň konfiguračního profilu zahrnuje předvolby pro celý produkt a položky pro podoblasti produktu, které jsou podrobněji vysvětleny v dalších částech.

Předvolby antivirového modulu

Část antivirusEngine konfiguračního profilu slouží ke správě předvoleb antivirové součásti produktu.

Popis	Hodnota JSON	Hodnota portálu Defender
Klíč	antivirusEngine	Antivirový modul
Datový typ	Slovník (vnořená předvolba)	Sbalený oddíl
Komentáře	Popis obsahu slovníku najdete v následujících částech.	Popis vlastností zásad najdete v následujících částech.

Úroveň vynucování pro antivirový modul

Určuje předvolbu vynucení antivirového modulu. Pro nastavení úrovně vynucení existují tři hodnoty:

• Ochrana v reálném čase (real_time): Ochrana v reálném čase (kontrola souborů při jejich úpravách) je povolená.
• Na vyžádání (on_demand): Soubory se kontrolují jenom na vyžádání. V tomto:
  • Ochrana v reálném čase je vypnutá.
  • K aktualizacím definic dochází pouze při spuštění kontroly, a to i v případě, že automaticDefinitionUpdateEnabled je v režimu na vyžádání nastavená možnost true .
• Pasivní (passive): Spustí antivirový modul v pasivním režimu. V tomto případě platí všechny následující:
  • Ochrana v reálném čase je vypnutá: Microsoft Defender Antivirus nenapravuje hrozby.
  • Kontrola na vyžádání je zapnutá: Stále používejte možnosti kontroly v koncovém bodu.
  • Automatická náprava hrozeb je vypnutá: Nepřesunou se žádné soubory a očekává se, že správce zabezpečení provede požadovanou akci.
  • Aktualizace bezpečnostních informací jsou zapnuté: Výstrahy jsou k dispozici v tenantovi správce zabezpečení.
  • K aktualizacím definic dochází pouze při spuštění kontroly, a to i v případě, že automaticDefinitionUpdateEnabled je nastavena na hodnotu true v pasivním režimu.

Popis	Hodnota JSON	Hodnota portálu Defender
Klíč	enforcementLevel	Úroveň vynucení
Datový typ	String	Upadnout
Možné hodnoty	real_time on_demand passive (výchozí)	Nenakonfigurováno Realtime OnDemand Pasivní (výchozí)

Povolení nebo zakázání monitorování chování

Určuje, jestli je na zařízení povolené monitorování a blokování chování.

Popis	Hodnota JSON	Hodnota portálu Defender
Klíč	behaviorMonitoring	Povolení monitorování chování
Datový typ	String	Upadnout
Možné hodnoty	disabled (výchozí) enabled	Nenakonfigurováno Zakázáno (výchozí) Zpřístupněný

Po aktualizaci definic spusťte kontrolu.

Určuje, jestli se má spustit kontrola procesu po stažení nových aktualizací bezpečnostních informací do zařízení. Povolením tohoto nastavení se aktivuje antivirová kontrola spuštěných procesů zařízení.

Popis	Hodnota JSON	Hodnota portálu Defender
Klíč	scanAfterDefinitionUpdate	Povolit kontrolu po aktualizaci definice
Datový typ	Boolean	Upadnout
Možné hodnoty	true (výchozí) false	Nenakonfigurováno Zakázáno Povoleno (výchozí)

Prohledat archivy (jenom antivirové kontroly na vyžádání)

Určuje, zda se mají prohledávat archivy během antivirových kontrol na vyžádání.

Popis	Hodnota JSON	Hodnota portálu Defender
Klíč	scanArchives	Povolení kontroly archivů
Datový typ	Boolean	Upadnout
Možné hodnoty	true (výchozí) false	Nenakonfigurováno Zakázáno Povoleno (výchozí)

Stupeň paralelismu pro kontroly na vyžádání

Určuje stupeň paralelismu pro kontroly na vyžádání. To odpovídá počtu vláken použitých k provedení kontroly a ovlivňuje využití procesoru a dobu trvání kontroly na vyžádání.

Popis	Hodnota JSON	Hodnota portálu Defender
Klíč	maximumOnDemandScanThreads	Maximální počet vláken kontroly na vyžádání
Datový typ	Celé číslo	Přepnout přepínač & Celé číslo
Možné hodnoty	2 (výchozí). Povolené hodnoty jsou celá čísla mezi 1 a 64.	Nenakonfigurováno (výchozí přepínač vypněte výchozí hodnoty na hodnotu 2) Nakonfigurováno (zapnout) a celé číslo mezi 1 a 64.

Zásady sloučení vyloučení

Určuje zásadu sloučení pro vyloučení. Může se jednat o kombinaci vyloučení definovaných správcem a uživatelem (merge) nebo pouze vyloučení definovaných správcem (admin_only). Správcem definovaná (admin_only) jsou vyloučení nakonfigurovaná zásadami Defenderu for Endpoint. Toto nastavení lze použít k omezení místních uživatelů v definování vlastních vyloučení.

Popis	Hodnota JSON	Hodnota portálu Defender
Klíč	exclusionsMergePolicy	Sloučení vyloučení
Datový typ	String	Upadnout
Možné hodnoty	merge (výchozí) admin_only	Nenakonfigurováno sloučení (výchozí) admin_only

Vyloučení kontroly

Entity, které byly vyloučeny z kontroly. Vyloučení mohou být určena úplnými cestami, příponami nebo názvy souborů. (Vyloučení se zadávají jako pole položek, správce může určit tolik prvků, kolik je potřeba, v libovolném pořadí.)

Popis	Hodnota JSON	Hodnota portálu Defender
Klíč	výluky	Vyloučení kontroly
Datový typ	Slovník (vnořená předvolba)	Seznam dynamických vlastností
Komentáře	Popis obsahu slovníku najdete v následujících částech.

Typ vyloučení

Určuje typ obsahu vyloučeného z kontroly.

Popis	Hodnota JSON	Hodnota portálu Defender
Klíč	$type	Typ
Datový typ	String	Upadnout
Možné hodnoty	excludedPath excludedFileExtension excludedFileName	Cesta Přípona souboru Název procesu

Cesta k vyloučenýmu obsahu

Slouží k vyloučení obsahu z kontroly podle úplné cesty k souboru.

Popis	Hodnota JSON	Hodnota portálu Defender
Klíč	cesta	Cesta
Datový typ	String	String
Možné hodnoty	platné cesty	platné cesty
Komentáře	Platí jenom v případě, že je $typevyloučenaPath.	Přístup v místní nabídce Upravit instanci

Typ cesty (soubor nebo adresář)

Označuje, jestli vlastnost path odkazuje na soubor nebo adresář.

Popis	Hodnota JSON	Hodnota portálu Defender
Klíč	isDirectory	Je adresář
Datový typ	Boolean	Upadnout
Možné hodnoty	false (výchozí) true	Zpřístupněný Zakázáno
Komentáře	Platí jenom v případě, že je $typevyloučenaPath.	Přístup v místní nabídce Upravit instanci

Přípona souboru vyloučená z kontroly

Slouží k vyloučení obsahu z kontroly podle přípony souboru.

Popis	Hodnota JSON	Hodnota portálu Defender
Klíč	prodloužení	Přípona souboru
Datový typ	String	String
Možné hodnoty	platné přípony souborů	platné přípony souborů
Komentáře	Platí pouze v případě, že je $typevyloučenoFileExtension.	Přístup v místní nabídce Konfigurace instance

Proces vyloučený z kontroly*

Určuje proces, pro který je z kontroly vyloučena veškerá aktivita souboru. Proces lze zadat buď názvem (například ) nebo catúplnou cestou (například /bin/cat).

Popis	Hodnota JSON	Hodnota portálu Defender
Klíč	Jméno	Název souboru
Datový typ	String	String
Možné hodnoty	libovolný řetězec	libovolný řetězec
Komentáře	Platí pouze v případě, že je $typevyloučenoFileName.	Přístup v místní nabídce Konfigurace instance

Ztlumení připojení bez exec

Určuje chování protokolu RTP u přípojného bodu označeného jako noexec. Existují dvě hodnoty pro nastavení:

• Unmuted (unmute): Výchozí hodnota, všechny přípojné body se kontrolují jako součást protokolu RTP.
• Ztlumené (mute): Přípojné body označené jako noexec se neskenují jako součást protokolu RTP. Tyto přípojné body je možné vytvořit pro:
  • Databázové soubory na databázových serverech pro uchovávání souborů databáze.
  • Souborový server může uchovávat přípojné body datových souborů s možností noexec.
  • Zálohování může uchovávat přípojné body datových souborů s možností noexec.

Popis	Hodnota JSON	Hodnota portálu Defender
Klíč	nonExecMountPolicy	ztlumení připojení bez spuštění
Datový typ	String	Upadnout
Možné hodnoty	unmute (výchozí) mute	Nenakonfigurováno unmute (výchozí) ztlumit

Zrušení monitorování systémů souborů

Nakonfigurujte systémy souborů tak, aby byly nemonitorované nebo vyloučené z ochrany v reálném čase (RTP). Nakonfigurované systémy souborů se ověřují na seznamu povolených systémů souborů Microsoft Defender. Systémy souborů je možné monitorovat pouze po úspěšném ověření. Tyto nakonfigurované nemonitorované systémy souborů jsou stále kontrolovány rychlými, úplnými a vlastními kontrolami v Microsoft Defender Antivirus.

Popis	Hodnota JSON	Hodnota portálu Defender
Klíč	unmonitoredFilesystems	Nemonitorované systémy souborů
Datový typ	Pole řetězců	Seznam dynamických řetězců

Ve výchozím nastavení se systém souborů NFS a Fuse nemonitorují z rychlých a úplných kontrol. Přesto je ale možné je zkontrolovat vlastní kontrolou. Pokud chcete například odebrat systém souborů NFS ze seznamu nemonitorovaných systémů souborů, aktualizujte spravovaný konfigurační soubor, jak je znázorněno níže. Tím se systém souborů NFS automaticky přidá do seznamu monitorovaných systémů souborů pro rtp.

{
   "antivirusEngine":{
      "unmonitoredFilesystems": ["Fuse"]
  }
}

Pokud chcete odebrat systém souborů NFS i Fuse z nemonitorovaného seznamu systémů souborů, postupujte následovně:

{
   "antivirusEngine":{
      "unmonitoredFilesystems": []
  }
}

Konfigurace funkce výpočtu hodnoty hash souboru

Povolí nebo zakáže funkci výpočtu hodnoty hash souboru. Když je tato funkce povolená, Defender for Endpoint vypočítá hodnoty hash souborů, které kontroluje. Mějte na paměti, že povolení této funkce může mít vliv na výkon zařízení. Další podrobnosti najdete v tématu Vytvoření indikátorů pro soubory.

Popis	Hodnota JSON	Hodnota portálu Defender
Klíč	enableFileHashComputation	Povolení výpočtu hodnoty hash souboru
Datový typ	Boolean	Upadnout
Možné hodnoty	false (výchozí) true	Nenakonfigurováno Zakázáno (výchozí) Zpřístupněný

Povolené hrozby

Seznam hrozeb (identifikovaných jejich názvem), které produkt neblokuje a které se místo toho můžou spustit.

Popis	Hodnota JSON	Hodnota portálu Defender
Klíč	allowedThreats	Povolené hrozby
Datový typ	Pole řetězců	Seznam dynamických řetězců

Nepovolené akce hrozeb

Omezuje akce, které může místní uživatel zařízení provést, když jsou zjištěny hrozby. Akce zahrnuté v tomto seznamu se v uživatelském rozhraní nezobrazují.

Popis	Hodnota JSON	Hodnota portálu Defender
Klíč	disallowedThreatActions	Nepovolené akce hrozeb
Datový typ	Pole řetězců	Seznam dynamických řetězců
Možné hodnoty	allow (omezuje uživatele v povolení hrozeb) restore (omezuje uživatele v obnovení hrozeb z karantény)	povolit (omezuje uživatele v povolování hrozeb) obnovení (omezuje uživatele v obnovování hrozeb z karantény)

Nastavení typu hrozby

Předvolba threatTypeSettings v antivirovém modulu se používá k řízení toho, jak jsou určité typy hrozeb zpracovávány produktem.

Popis	Hodnota JSON	Hodnota portálu Defender
Klíč	threatTypeSettings	Nastavení typu hrozby
Datový typ	Slovník (vnořená předvolba)	Seznam dynamických vlastností
Komentáře	Popis obsahu slovníku najdete v následujících částech.	Popis dynamických vlastností najdete v následujících částech.

Typ hrozby

Typ hrozby, pro kterou je nakonfigurováno chování.

Popis	Hodnota JSON	Hodnota portálu Defender
Klíč	klíč	Typ hrozby
Datový typ	String	Upadnout
Možné hodnoty	potentially_unwanted_application archive_bomb	potentially_unwanted_application archive_bomb

Akce, která se má provést

Akce, které je třeba provést, když narazíte na hrozbu typu zadaného v předchozí části. Může to být:

• Audit: Zařízení není chráněné před tímto typem hrozby, ale zaprotokoluje se záznam o hrozbě. (Výchozí)
• Blokovat: Zařízení je chráněné proti tomuto typu hrozby a v konzole zabezpečení budete upozorněni.
• Vypnuto: Zařízení není chráněné proti tomuto typu hrozby a nic se nezaprotokoluje.

Popis	Hodnota JSON	Hodnota portálu Defender
Klíč	hodnota	Akce, která se má provést
Datový typ	String	Upadnout
Možné hodnoty	audit (výchozí) block off	audit blokovat pryč

Zásady sloučení nastavení typu hrozby

Určuje zásadu sloučení pro nastavení typu hrozby. Může se jednat o kombinaci nastavení definovaných správcem a uživatelem (merge) nebo pouze nastavení definovaných správcem (admin_only). Správcem definované (admin_only) jsou nastavení typu hrozby nakonfigurované zásadami Defenderu pro koncový bod. Toto nastavení se dá použít k tomu, aby místní uživatelé mohli definovat vlastní nastavení pro různé typy hrozeb.

Popis	Hodnota JSON	Hodnota portálu Defender
Klíč	threatTypeSettingsMergePolicy	Sloučení nastavení typu hrozby
Datový typ	String	Upadnout
Možné hodnoty	sloučení (výchozí) admin_only	Nenakonfigurováno sloučení (výchozí) admin_only

Uchovávání historie kontrol antivirové ochrany (ve dnech)

Zadejte počet dnů, po který se výsledky zachovají v historii kontrol na zařízení. Staré výsledky kontroly se z historie odeberou. Staré soubory v karanténě, které jsou také odebrány z disku.

Popis	Hodnota JSON	Hodnota portálu Defender
Klíč	scanResultsRetentionDays	Uchovávání výsledků kontroly
Datový typ	String	Přepnout přepínač a celé číslo
Možné hodnoty	90 (výchozí). Povolené hodnoty jsou od 1 do 180 dnů.	Nenakonfigurováno (vypnutí – výchozí 90 dnů) Nakonfigurováno (přepněte) a povolenou hodnotou 1 až 180 dnů.

Maximální počet položek v historii antivirových kontrol

Zadejte maximální počet položek, které se mají zachovat v historii kontrol. Položky zahrnují všechny kontroly na vyžádání provedené v minulosti a všechny antivirové detekce.

Popis	Hodnota JSON	Hodnota portálu Defender
Klíč	scanHistoryMaximumItems	Velikost historie procházení
Datový typ	String	Přepínací tlačítko a celé číslo
Možné hodnoty	10000 (výchozí). Povolené hodnoty jsou od 5000 položek do 15 000 položek.	Nenakonfigurováno (vypnout – výchozí hodnota 10000) Nakonfigurované (zapnout) a povolená hodnota od 5000 do 15 000 položek.

Předvolby nastavení vyloučení

Předvolby nastavení exlusionu jsou aktuálně ve verzi Preview.

Část exclusionSettings konfiguračního profilu slouží ke konfiguraci různých vyloučení pro Microsoft Defender for Endpoint pro Linux.

Popis	Hodnota JSON
Klíč	exclusionSettings
Datový typ	Slovník (vnořená předvolba)
Komentáře	Popis obsahu slovníku najdete v následujících částech.

Zásady sloučení

Určuje zásadu sloučení pro vyloučení. Určuje, jestli se může jednat o kombinaci vyloučení definovaných správcem a uživatelem (merge) nebo pouze vyloučení definovaných správcem (admin_only). Toto nastavení lze použít k omezení místních uživatelů v definování vlastních vyloučení. Platí pro vyloučení všech oborů.

Popis	Hodnota JSON
Klíč	mergePolicy
Datový typ	String
Možné hodnoty	sloučení (výchozí) admin_only
Komentáře	K dispozici v Defenderu for Endpoint verze září 2023 nebo novější.

Vyloučení

Entity, které je potřeba vyloučit, je možné určit úplnými cestami, příponami nebo názvy souborů. Každá entita vyloučení, tj. úplná cesta, přípona nebo název souboru, má volitelný obor, který lze zadat. Pokud není zadán, výchozí hodnota oboru v této části je globální. (Vyloučení se zadávají jako pole položek, správce může určit tolik prvků, kolik je potřeba, v libovolném pořadí.)

Popis	Hodnota JSON
Klíč	výluky
Datový typ	Slovník (vnořená předvolba)
Komentáře	Popis obsahu slovníku najdete v následujících částech.

Typ vyloučení

Určuje typ obsahu vyloučeného z kontroly.

Popis	Hodnota JSON
Klíč	$type
Datový typ	String
Možné hodnoty	excludedPath excludedFileExtension excludedFileName

Rozsahy vyloučení (volitelné)

Určuje sadu exlusion rozsahů vyloučeného obsahu. Aktuálně podporované obory jsou epp a global.

Pokud ve spravované konfiguraci není pro vyloučení v části exclusionSettings zadáno nic, pak global se považuje za obor.

Popis	Hodnota JSON
Klíč	oblasti
Datový typ	Sada řetězců
Možné hodnoty	Epp globální

Cesta k vyloučenýmu obsahu

Slouží k vyloučení obsahu z kontroly podle úplné cesty k souboru.

Popis	Hodnota JSON
Klíč	cesta
Datový typ	String
Možné hodnoty	platné cesty
Komentáře	Platí pouze v případě , že je $typevyloučenaPath. Zástupný znak není podporován, pokud má vyloučení globální rozsah.

Typ cesty (soubor nebo adresář)

Označuje, jestli vlastnost path odkazuje na soubor nebo adresář.

Popis	Hodnota JSON
Klíč	isDirectory
Datový typ	Boolean
Možné hodnoty	false (výchozí) pravdivý
Komentáře	Platí pouze v případě , že je $typevyloučenaPath. Zástupný znak není podporován, pokud má vyloučení globální rozsah.

Přípona souboru vyloučená z kontroly

Slouží k vyloučení obsahu z kontroly podle přípony souboru.

Popis	Hodnota JSON
Klíč	prodloužení
Datový typ	String
Možné hodnoty	platné přípony souborů
Komentáře	Platí pouze v případě , že je $typevyloučenoFileExtension. Nepodporuje se, pokud má vyloučení jako obor globální.

Proces vyloučený z kontroly*

Určuje proces, pro který je z kontroly vyloučena veškerá aktivita souboru. Proces lze zadat buď názvem (například ) nebo catúplnou cestou (například /bin/cat).

Popis	Hodnota JSON
Klíč	Jméno
Datový typ	String
Možné hodnoty	libovolný řetězec
Komentáře	Platí pouze v případě , že je $typevyloučenoFileName. Zástupný znak a název procesu se nepodporují, pokud má vyloučení jako obor globální, je potřeba zadat úplnou cestu.

Rozšířené možnosti kontroly

Následující nastavení je možné nakonfigurovat tak, aby povolovala určité pokročilé funkce kontroly.

Konfigurace kontroly událostí oprávnění k úpravě souborů

Když je tato funkce povolená, Defender for Endpoint prohledá soubory, když se jejich oprávnění změní, aby nastavil bity spouštění.

Popis	Hodnota JSON	Hodnota portálu Defender
Klíč	scanFileModifyPermissions	Není k dispozici
Datový typ	Boolean	Není k dispozici
Možné hodnoty	false (výchozí) pravdivý	Není k dispozici

Konfigurace kontroly událostí vlastnictví úprav souborů

Když je tato funkce povolená, Defender for Endpoint zkontroluje soubory, u kterých se změnilo vlastnictví.

Popis	Hodnota JSON	Hodnota portálu Defender
Klíč	scanFileModifyOwnership	Není k dispozici
Datový typ	Boolean	Není k dispozici
Možné hodnoty	false (výchozí) pravdivý	Není k dispozici

Konfigurace kontroly událostí nezpracovaných soketů

Pokud je tato funkce povolená, Defender for Endpoint bude kontrolovat události síťových soketů, jako je vytvoření nezpracovaných soketů nebo soketů paketů nebo nastavení možnosti soketu.

Popis	Hodnota JSON	Hodnota portálu Defender
Klíč	scanNetworkSocketEvent	Není k dispozici
Datový typ	Boolean	Není k dispozici
Možné hodnoty	false (výchozí) pravdivý	Není k dispozici

Předvolby ochrany poskytované v cloudu

Položka cloudService v konfiguračním profilu slouží ke konfiguraci funkce cloudové ochrany produktu.

Popis	Hodnota JSON	Hodnota portálu Defender
Klíč	cloudService	Předvolby ochrany poskytované cloudem
Datový typ	Slovník (vnořená předvolba)	Sbalený oddíl
Komentáře	Popis obsahu slovníku najdete v následujících částech.	Popis nastavení zásad najdete v následujících částech.

Povolení nebo zakázání cloudové ochrany

Určuje, jestli je na zařízení povolená cloudová ochrana. Pokud chcete zlepšit zabezpečení vašich služeb, doporučujeme nechat tuto funkci zapnutou.

Popis	Hodnota JSON	Hodnota portálu Defender
Klíč	zpřístupněný	Povolení ochrany před cloudem
Datový typ	Boolean	Upadnout
Možné hodnoty	true (výchozí) false	Nenakonfigurováno Zakázáno Povoleno (výchozí)

Úroveň shromažďování diagnostických dat

Diagnostická data se používají k udržování defenderu for Endpoint v zabezpečeném a aktualizovaném stavu, ke zjišťování, diagnostice a řešení problémů a k vylepšování produktů. Toto nastavení určuje úroveň diagnostiky odesílané produktem do Microsoftu. Další podrobnosti najdete v tématu Ochrana osobních údajů pro Microsoft Defender for Endpoint v Linuxu.

Popis	Hodnota JSON	Hodnota portálu Defender
Klíč	diagnosticLevel	Úroveň shromažďování diagnostických dat
Datový typ	String	Upadnout
Možné hodnoty	optional required (výchozí)	Nenakonfigurováno volitelné (výchozí) požadovaný

Konfigurace úrovně cloudového bloku

Toto nastavení určuje, jak agresivní defender for Endpoint blokuje a kontroluje podezřelé soubory. Pokud je toto nastavení zapnuté, defender for Endpoint je při identifikaci podezřelých souborů k blokování a kontrole agresivnější. v opačném případě je méně agresivní, a proto blokuje a skenuje s menší frekvencí.

Pro nastavení úrovně cloudového bloku existuje pět hodnot:

• Normal (normal): Výchozí úroveň blokování.
• Střední (moderate): Poskytuje verdikt pouze pro detekce vysoké spolehlivosti.
• Vysoká (high): Agresivně blokuje neznámé soubory při optimalizaci výkonu (větší pravděpodobnost blokování souborů, které nejsou škodlivé).
• Vysoké plus (high_plus): Agresivně blokuje neznámé soubory a používá další ochranná opatření (může mít vliv na výkon klientského zařízení).
• Nulová tolerance (zero_tolerance): Blokuje všechny neznámé programy.

Popis	Hodnota JSON	Hodnota portálu Defender
Klíč	cloudBlockLevel	Konfigurace úrovně cloudového bloku
Datový typ	String	Upadnout
Možné hodnoty	normal (výchozí) moderate high high_plus zero_tolerance	Nenakonfigurováno Normální (výchozí) Moderovat High (Vysoká) High_Plus Zero_Tolerance

Povolení nebo zakázání automatického odesílání vzorků

Určuje, jestli se microsoftu odesílají podezřelé vzorky (které pravděpodobně budou obsahovat hrozby). Existují tři úrovně řízení odesílání vzorků:

• Žádné: Microsoftu se neposílají žádné podezřelé vzorky.
• Bezpečné: Automaticky se odesílají jenom podezřelé vzorky, které neobsahují identifikovatelné osobní údaje. Toto je výchozí hodnota pro toto nastavení.
• Vše: Microsoftu se odesílají všechny podezřelé vzorky.

Popis	Hodnota JSON	Hodnota portálu Defender
Klíč	automaticSampleSubmissionConsent	Povolení automatického odesílání vzorků
Datový typ	String	Upadnout
Možné hodnoty	none safe (výchozí) all	Nenakonfigurováno Žádné Bezpečné (výchozí) Vše

Povolení nebo zakázání automatických aktualizací bezpečnostních informací

Určuje, jestli se aktualizace bezpečnostních funkcí instalují automaticky:

Popis	Hodnota JSON	Hodnota portálu Defender
Klíč	automaticDefinitionUpdateEnabled	Automatické aktualizace bezpečnostních informací
Datový typ	Boolean	Upadnout
Možné hodnoty	true (výchozí) false	Nenakonfigurováno Zakázáno Povoleno (výchozí)

V závislosti na úrovni vynucení se automatické aktualizace bezpečnostních informací instalují odlišně. V režimu RTP se aktualizace instalují pravidelně. V pasivním režimu nebo režimu na vyžádání se aktualizace instalují před každou kontrolou.

Rozšířené volitelné funkce

Následující nastavení je možné nakonfigurovat tak, aby povolovala určité pokročilé funkce.

Popis	Hodnota JSON	Hodnota portálu Defender
Klíč	rysy	Není dostupný
Datový typ	Slovník (vnořená předvolba)	Není k dispozici
Komentáře	Popis obsahu slovníku najdete v následujících částech.

Funkce načítání modulů

Určuje, zda se monitorují události načtení modulu (události otevření souboru ve sdílených knihovnách).

Popis	Hodnota JSON	Hodnota portálu Defender
Klíč	moduleLoad	Není dostupný
Datový typ	String	Není k dispozici
Možné hodnoty	zakázáno (výchozí) zpřístupněný	Není k dispozici
Komentáře	K dispozici ve verzi 101.68.80 Defenderu for Endpoint nebo novější.

Doplňkové konfigurace senzorů

Následující nastavení můžete použít ke konfiguraci určitých pokročilých doplňkových funkcí senzoru.

Popis	Hodnota JSON	Hodnota portálu Defender
Klíč	supplementarySensorConfigurations	Není dostupný
Datový typ	Slovník (vnořená předvolba)	Není k dispozici
Komentáře	Popis obsahu slovníku najdete v následujících částech.

Konfigurace monitorování událostí oprávnění k úpravě souborů

Určuje, zda se monitorují události oprávnění k úpravě souborů (chmod).

Popis	Hodnota JSON	Hodnota portálu Defender
Klíč	enableFilePermissionEvents	Není dostupný
Datový typ	String	Není k dispozici
Možné hodnoty	zakázáno (výchozí) zpřístupněný	Není k dispozici
Komentáře	K dispozici ve verzi 101.23062.0010 Defenderu for Endpoint nebo novější.

Konfigurace monitorování událostí vlastnictví úprav souborů

Určuje, zda se monitorují události vlastnictví změny souboru (chown).

Popis	Hodnota JSON	Hodnota portálu Defender
Klíč	enableFileOwnershipEvents	Není dostupný
Datový typ	String	Není k dispozici
Možné hodnoty	zakázáno (výchozí) zpřístupněný	Není k dispozici
Komentáře	K dispozici ve verzi 101.23062.0010 Defenderu for Endpoint nebo novější.

Konfigurace monitorování událostí nezpracovaných soketů

Určuje, zda jsou monitorovány události síťových soketů zahrnujících vytvoření nezpracovaných soketů/ soketů paketů nebo nastavení možnosti soketu.

Popis	Hodnota JSON	Hodnota portálu Defender
Klíč	enableRawSocketEvent	Není dostupný
Datový typ	String	Není k dispozici
Možné hodnoty	zakázáno (výchozí) zpřístupněný	Není k dispozici
Komentáře	K dispozici ve verzi 101.23062.0010 Defenderu for Endpoint nebo novější.

Konfigurace monitorování událostí zavaděče spouštění

Určuje, zda se monitorují a kontrolují události zavaděče spouštění.

Popis	Hodnota JSON	Hodnota portálu Defender
Klíč	enableBootLoaderCalls	Není dostupný
Datový typ	String	Není k dispozici
Možné hodnoty	zakázáno (výchozí) zpřístupněný	Není k dispozici
Komentáře	K dispozici ve verzi 101.68.80 Defenderu for Endpoint nebo novější.

Konfigurace monitorování událostí ptrace

Určuje, zda jsou monitorovány a kontrolovány události ptrace.

Popis	Hodnota JSON	Hodnota portálu Defender
Klíč	enableProcessCalls	Není dostupný
Datový typ	String	Není k dispozici
Možné hodnoty	zakázáno (výchozí) zpřístupněný	Není k dispozici
Komentáře	K dispozici ve verzi 101.68.80 Defenderu for Endpoint nebo novější.

Konfigurace monitorování událostí pseudofs

Určuje, zda jsou události pseudofs monitorovány a kontrolovány.

Popis	Hodnota JSON	Hodnota portálu Defender
Klíč	enablePseudofsCalls	Není dostupný
Datový typ	String	Není k dispozici
Možné hodnoty	zakázáno (výchozí) zpřístupněný	Není k dispozici
Komentáře	K dispozici ve verzi 101.68.80 Defenderu for Endpoint nebo novější.

Konfigurace monitorování událostí načtení modulu pomocí eBPF

Určuje, jestli se události načtení modulu monitorují pomocí eBPF a kontrolují.

Popis	Hodnota JSON	Hodnota portálu Defender
Klíč	enableEbpfModuleLoadEvents	Není dostupný
Datový typ	String	Není k dispozici
Možné hodnoty	zakázáno (výchozí) zpřístupněný	Není k dispozici
Komentáře	K dispozici ve verzi 101.68.80 Defenderu for Endpoint nebo novější.

Hlášení podezřelých událostí av do EDR

Určuje, jestli jsou podezřelé události z antivirové ochrany hlášeny do EDR.

Popis	Hodnota JSON	Hodnota portálu Defender
Klíč	sendLowfiEvents	Není dostupný
Datový typ	String	Není k dispozici
Možné hodnoty	zakázáno (výchozí) zpřístupněný	Není k dispozici
Komentáře	K dispozici ve verzi 101.23062.0010 Defenderu for Endpoint nebo novější.

Konfigurace ochrany sítě

Následující nastavení můžete použít ke konfiguraci pokročilých kontrolních funkcí služby Network Protection, které řídí, jaký provoz bude služba Network Protection kontrolovat.

Popis	Hodnota JSON	Hodnota portálu Defender
Klíč	networkProtection	Ochrana sítě
Datový typ	Slovník (vnořená předvolba)	Sbalený oddíl
Komentáře	Popis obsahu slovníku najdete v následujících částech.	Popis nastavení zásad najdete v následujících částech.

Úroveň vynucení

Popis	Hodnota JSON	Hodnota portálu Defender
Klíč	enforcementLevel	Úroveň vynucení
Datový typ	String	Upadnout
Možné hodnoty	disabled (výchozí) audit block	Nenakonfigurováno zakázáno (výchozí) audit blokovat

Konfigurace kontroly PROTOKOLU ICMP

Určuje, zda se události PROTOKOLU ICMP monitorují a kontrolují.

Popis	Hodnota JSON	Hodnota portálu Defender
Klíč	disableIcmpInspection	Není dostupný
Datový typ	Boolean	Není k dispozici
Možné hodnoty	true (výchozí) false	Není k dispozici
Komentáře	K dispozici ve verzi 101.23062.0010 Defenderu for Endpoint nebo novější.

Doporučený konfigurační profil

Abyste mohli začít, doporučujeme pro váš podnik použít následující konfigurační profil, abyste mohli využívat všechny funkce ochrany, které defender for Endpoint poskytuje.

Následující konfigurační profil:

• Umožňuje ochranu v reálném čase (RTP)
• Určuje, jak se zpracovávají následující typy hrozeb:
  • Potenciálně nežádoucí aplikace (PUA) jsou blokované
  • Archivní bomby (soubor s vysokou mírou komprese) se auditují do protokolů produktu.
• Umožňuje automatické aktualizace inteligentních informací o zabezpečení.
• Umožňuje cloudovou ochranu.
• Umožňuje automatické odesílání vzorků na safe úrovni.

Ukázkový profil

{
   "antivirusEngine":{
      "enforcementLevel":"real_time",
      "threatTypeSettings":[
         {
            "key":"potentially_unwanted_application",
            "value":"block"
         },
         {
            "key":"archive_bomb",
            "value":"audit"
         }
      ]
   },
   "cloudService":{
      "automaticDefinitionUpdateEnabled":true,
      "automaticSampleSubmissionConsent":"safe",
      "enabled":true,
      "proxy": "<EXAMPLE DO NOT USE> http://proxy.server:port/"
   }
}

Příklad úplného konfiguračního profilu

Následující konfigurační profil obsahuje položky pro všechna nastavení popsaná v tomto dokumentu a je možné ho použít pro pokročilejší scénáře, ve kterých potřebujete větší kontrolu nad produktem.

Úplný profil

{
"antivirusEngine":{
      "enforcementLevel":"passive",
      "behaviorMonitoring": "disabled",
      "scanAfterDefinitionUpdate":true,
      "scanArchives":true,
      "scanHistoryMaximumItems": 10000,
      "scanResultsRetentionDays": 90,
      "maximumOnDemandScanThreads":2,
      "exclusionsMergePolicy":"merge",
      "allowedThreats":[
         "<EXAMPLE DO NOT USE>EICAR-Test-File (not a virus)"
      ],
      "disallowedThreatActions":[
         "allow",
         "restore"
      ],
      "nonExecMountPolicy":"unmute",
      "unmonitoredFilesystems": ["nfs,fuse"],
      "enableFileHashComputation": false,
      "threatTypeSettingsMergePolicy":"merge",
      "threatTypeSettings":[
         {
            "key":"potentially_unwanted_application",
            "value":"block"
         },
         {
            "key":"archive_bomb",
            "value":"audit"
         }
      ],
      "scanFileModifyPermissions":false,
      "scanFileModifyOwnership":false,
      "scanNetworkSocketEvent":false,
      "offlineDefinitionUpdateUrl": "http://172.22.199.67:8000/linux/production/<EXAMPLE DO NOT USE>",
      "offlineDefintionUpdateFallbackToCloud":false,
      "offlineDefinitionUpdate":"disabled"
   },
   "cloudService":{
      "enabled":true,
      "diagnosticLevel":"optional",
      "automaticSampleSubmissionConsent":"safe",
      "automaticDefinitionUpdateEnabled":true,
      "proxy": "<EXAMPLE DO NOT USE> http://proxy.server:port/",
      "definitionUpdatesInterval":28800
   },
   "features":{
      "moduleLoad":"disabled",
      "supplementarySensorConfigurations":{
        "enableFilePermissionEvents":"disabled",
        "enableFileOwnershipEvents":"disabled",
        "enableRawSocketEvent":"disabled",
        "enableBootLoaderCalls":"disabled",
        "enableProcessCalls":"disabled",
        "enablePseudofsCalls":"diabled",
        "enableEbpfModuleLoadEvents":"disabled",
        "sendLowfiEvents":"disabled"
      },
      "ebpfSupplementaryEventProvider":"enabled",
      "offlineDefinitionUpdateVerifySig": "disabled"
   },
   "networkProtection":{
      "enforcementLevel":"disabled",
      "disableIcmpInspection":true
   },
   "edr":{
      "groupIds":"GroupIdExample",
      "tags": [
         {
         "key": "GROUP",
         "value": "Tag"
         }
       ]
   },
"exclusionSettings":{
  "exclusions":[
     {
        "$type":"excludedPath",
        "isDirectory":true,
        "path":"/home/*/git<EXAMPLE DO NOT USE>",
        "scopes": [
              "epp"
        ]
     },
     {
        "$type":"excludedPath",
        "isDirectory":true,
        "path":"/run<EXAMPLE DO NOT USE>",
        "scopes": [
              "global"
        ]
     },
     {
        "$type":"excludedPath",
        "isDirectory":false,
        "path":"/var/log/system.log<EXAMPLE DO NOT USE><EXCLUDED IN ALL SCENARIOS>",
        "scopes": [
              "epp", "global"
        ]
     },
     {
        "$type":"excludedFileExtension",
        "extension":".pdf<EXAMPLE DO NOT USE>",
        "scopes": [
              "epp"
        ]
     },
     {
        "$type":"excludedFileName",
        "name":"/bin/cat<EXAMPLE DO NOT USE><NO SCOPE PROVIDED - GLOBAL CONSIDERED>"
     }
  ],
  "mergePolicy":"admin_only"
}
}

Přidání ID značky nebo skupiny do konfiguračního profilu

Při prvním spuštění mdatp health příkazu bude hodnota značky a ID skupiny prázdná. Pokud chcete do souboru přidat ID značky mdatp_managed.json nebo skupiny, postupujte následovně:

1. Otevřete konfigurační profil z cesty /etc/opt/microsoft/mdatp/managed/mdatp_managed.json.

2. Přejděte dolů do dolní části souboru, kde se cloudService nachází blok.

3. Přidejte požadovanou značku nebo ID skupiny jako v následujícím příkladu na konec koncové složené závorky pro cloudService.

   },
   "cloudService": {
    "enabled": true,
    "diagnosticLevel": "optional",
    "automaticSampleSubmissionConsent": "safe",
    "automaticDefinitionUpdateEnabled": true,
    "proxy": "http://proxy.server:port/"
   },
   "edr": {
   "groupIds":"GroupIdExample",
   "tags": [
            {
            "key": "GROUP",
            "value": "Tag"
            }
          ]
      }
   }
   

Ověření konfiguračního profilu

Konfigurační profil musí být platný soubor ve formátu JSON. Existuje mnoho nástrojů, které se dají použít k ověření. Pokud jste například na zařízení nainstalovali python :

python -m json.tool mdatp_managed.json

Pokud je JSON ve správném formátu, výše uvedený příkaz ho vypíše zpět do terminálu a vrátí ukončovací kód 0. V opačném případě se zobrazí chyba popisující problém a příkaz vrátí ukončovací kód .1

Ověření, že soubor mdatp_managed.json funguje podle očekávání

Pokud chcete ověřit, jestli váš /etc/opt/microsoft/mdatp/managed/mdatp_managed.json funguje správně, měli byste vedle těchto nastavení vidět "[managed]":

• cloud_enabled
• cloud_automatic_sample_submission_consent
• passive_mode_enabled
• real_time_protection_enabled
• automatic_definition_update_enabled

Nasazení konfiguračního profilu

Jakmile vytvoříte konfigurační profil pro váš podnik, můžete ho nasadit pomocí nástroje pro správu, který používá váš podnik. Defender for Endpoint v Linuxu načte spravovanou konfiguraci ze /etc/opt/microsoft/mdatp/managed/mdatp_managed.json souboru.