Guide de déploiement avancé pour Microsoft Defender pour point de terminaison sur Linux

Cet article fournit des conseils de déploiement avancés pour Microsoft Defender pour point de terminaison sur Linux. Vous obtenez un bref résumé des étapes de déploiement, en savoir plus sur la configuration système requise, puis être guidé par les étapes de déploiement réelles. Vous allez également apprendre à vérifier que l’appareil a été correctement intégré.

Pour plus d’informations sur les fonctionnalités de Microsoft Defender pour point de terminaison, consultez Fonctionnalités Microsoft Defender pour point de terminaison avancées.

Pour en savoir plus sur les autres façons de déployer Microsoft Defender pour point de terminaison sur Linux, consultez :

• Déploiement manuel
• Déploiement basé sur Puppet
• Déploiement basé sur Ansible
• Microsoft Defender pour point de terminaison Linux

Résumé du déploiement

Découvrez les conseils généraux sur un Microsoft Defender pour point de terminaison classique sur le déploiement Linux. L’applicabilité de certaines étapes est déterminée par les exigences de votre environnement Linux.

1. Préparez votre environnement réseau.

2. Capturez les données de performances à partir du point de terminaison.

   Remarque

   Envisagez d’effectuer les éléments facultatifs suivants, même s’ils ne sont pas spécifiques Microsoft Defender pour point de terminaison, ils ont tendance à améliorer les performances dans les systèmes Linux.

3. (Facultatif) Recherchez les erreurs de système de fichiers « fsck » (semblable à chkdsk).

4. (Facultatif) Mettre à jour les pilotes du sous-système de stockage.

5. (Facultatif) Mettre à jour les pilotes de carte réseau.

6. Vérifiez que la configuration système requise et les recommandations en matière de ressources sont respectées.

7. Ajoutez votre solution existante à la liste d’exclusions pour Microsoft Defender Antivirus.

8. Passez en revue les points importants concernant les exclusions.

9. Créer un Groupes d’appareil.

10. Configurez Microsoft Defender pour point de terminaison sur les paramètres du logiciel anti-programme malveillant Linux.

11. Téléchargez le package d’intégration Microsoft Defender pour point de terminaison sur Linux à partir du portail Microsoft Defender.

12. Utilisez Ansible, Puppet ou Chef pour gérer Microsoft Defender pour point de terminaison sur Linux.

13. Résolvez les problèmes d’installation de Microsoft Defender pour point de terminaison sur Linux.

14. Vérifiez les statistiques d’utilisation des ressources et rapportez l’utilisation avant le déploiement par rapport au post-déploiement.

15. Vérifiez la communication avec Microsoft Defender pour point de terminaison back-end.

16. Examinez les problèmes d’intégrité de l’agent.

17. Vérifiez que vous êtes en mesure d’obtenir « Platform Mises à jour » (mises à jour de l’agent).

18. Vérifiez que vous êtes en mesure d’obtenir « Security Intelligence Mises à jour » (mises à jour des signatures/définitions).

19. Détections de test.

20. Résolvez les problèmes d’événements ou d’alertes manquants pour Microsoft Defender pour point de terminaison sur Linux.

21. Résolution des problèmes d’utilisation élevée du processeur par les éditeurs de logiciels indépendants, les applications Linux ou les scripts.

22. Désinstallez votre solution non-Microsoft.

1. Préparer votre environnement réseau

Ajoutez les Microsoft Defender pour point de terminaison URL et/ou adresses IP à la liste autorisée et empêchez le trafic d’être inspecté par SSL.

Connectivité réseau des Microsoft Defender pour point de terminaison

Procédez comme suit pour case activée la connectivité réseau de Microsoft Defender pour point de terminaison :

1. Consultez Étape 1 : Autoriser les destinations pour le trafic Microsoft Defender pour point de terminaison autorisé pour le trafic Microsoft Defender pour point de terminaison.

2. Si les serveurs Linux se trouvent derrière un proxy, définissez les paramètres du proxy. Pour plus d’informations, consultez Configurer les paramètres de proxy.

3. Vérifiez que le trafic n’est pas inspecté par l’inspection SSL (inspection TLS). Il s’agit du problème réseau le plus courant lors de la configuration de Microsoft Defender point de terminaison. Consultez Vérifier que l’inspection SSL n’est pas effectuée sur le trafic réseau.

Pour plus d’informations, consultez Résoudre les problèmes de connectivité cloud.

Étape 1 : Autoriser les destinations pour le trafic Microsoft Defender pour point de terminaison

1. Passez à l’ÉTAPE 1 : Configurer votre environnement réseau pour garantir la connectivité avec le service Defender pour point de terminaison afin de trouver les destinations pertinentes qui doivent être accessibles aux appareils à l’intérieur de votre environnement réseau
2. Configurer votre pare-feu/proxy/réseau pour autoriser les URL et/ou adresses IP appropriées

Étape 2 : Configurer les paramètres du proxy

Si les serveurs Linux se trouvent derrière un proxy, utilisez les conseils de paramètres suivants.

Le tableau suivant répertorie les paramètres de proxy pris en charge :

• Connexions réseau
• Profil de configuration complet
• Configuration du proxy statique
• Résolution des problèmes de connectivité dans un scénario de proxy statique

Étape 3 : Vérifier que l’inspection SSL n’est pas effectuée sur le trafic réseau

Pour empêcher les attaques de l’intercepteur, tout le trafic hébergé par Microsoft Azure utilise l’épinglage de certificat. Par conséquent, les inspections SSL par les principaux systèmes de pare-feu ne sont pas autorisées. Vous devez ignorer l’inspection SSL pour Microsoft Defender pour point de terminaison URL. Pour plus d’informations sur le processus d’épinglage de certificat, consultez épinglage de certificat d’entreprise.

Résoudre des problèmes de connectivité cloud

Pour plus d’informations, consultez Résolution des problèmes de connectivité cloud pour Microsoft Defender pour point de terminaison sur Linux.

2. Capturer les données de performances à partir du point de terminaison

Capturez les données de performances à partir des points de terminaison sur lesquels Defender pour point de terminaison est installé. Cela inclut la disponibilité de l’espace disque sur toutes les partitions montées, l’utilisation de la mémoire, la liste de processus et l’utilisation du processeur (agrégée sur tous les cœurs).

3. (Facultatif) Recherchez les erreurs de système de fichiers « fsck » (semblable à chkdsk)

N’importe quel système de fichiers peut finir par être endommagé. Par conséquent, avant d’installer un nouveau logiciel, il serait judicieux de l’installer sur un système de fichiers sain.

4. (Facultatif) Mettre à jour les pilotes de sous-système de stockage

Un pilote ou un microprogramme plus récent sur un sous-système de stockage peut améliorer les performances et/ou la fiabilité.

5. (Facultatif) Mettre à jour les pilotes de carte réseau

Un pilote/microprogramme plus récent sur une carte réseau ou un logiciel d’association de cartes réseau peut aider à améliorer les performances et/ou la fiabilité.

6. Vérifier que la configuration système requise et les recommandations en matière de ressources sont respectées

La section suivante fournit des informations sur les versions de Linux prises en charge et des recommandations pour les ressources.

Pour obtenir la liste détaillée des distributions Linux prises en charge, consultez Configuration système requise.

7. Ajouter votre solution existante à la liste d’exclusions pour Microsoft Defender Antivirus

Cette étape du processus de configuration implique l’ajout de Defender pour point de terminaison à la liste d’exclusions de votre solution Endpoint Protection existante et de tous les autres produits de sécurité que votre organization utilise. Vous pouvez choisir parmi plusieurs méthodes pour ajouter vos exclusions à Microsoft Defender Antivirus.

• Votre capacité à exécuter Microsoft Defender pour point de terminaison sur Linux en même temps qu’un produit anti-programme malveillant non-Microsoft dépend des détails d’implémentation de ce produit. Si l’autre produit anti-programme malveillant utilise fanotify, il doit être désinstallé pour éliminer les effets secondaires sur les performances et la stabilité résultant de l’exécution de deux agents en conflit.

• Pour case activée si un logiciel anti-programme malveillant non-Microsoft exécute FANotify, vous pouvez exécuter mdatp health, puis case activée le résultat :

  

  Sous « conflicting_applications », si vous voyez un résultat autre que « non disponible », désinstallez le logiciel anti-programme malveillant non-Microsoft.

• Si vous ne désinstallez pas le produit anti-programme malveillant non-Microsoft, vous pouvez rencontrer des comportements inattendus tels que des problèmes de performances, des problèmes de stabilité tels que des systèmes suspendus ou des paniques du noyau.

• Pour identifier les Microsoft Defender pour point de terminaison sur Linux et les chemins d’accès qui doivent être exclus dans le produit anti-programme malveillant non-Microsoft, exécutez systemctl status -l mdatp.

  Excluez les processus suivants du produit anti-programme malveillant non-Microsoft :

  wdavdaemon
crashpad_handler
mdatp_audis_plugin
telemetryd_v2
  

  Excluez les chemins d’accès suivants du produit anti-programme malveillant non-Microsoft :

  /opt/microsoft/mdatp/
/var/opt/microsoft/mdatp/
/etc/opt/microsoft/mdatp/
  

8. Gardez à l’esprit les points suivants concernant les exclusions

Lorsque vous ajoutez des exclusions à Microsoft Defender analyses antivirus, vous devez ajouter des exclusions de chemin d’accès et de traitement.

Gardez à l’esprit les points suivants :

• Les exclusions de chemin d’accès excluent des fichiers spécifiques et quels que soient les fichiers auxquels ils accèdent.
• Les exclusions de processus excluent tout ce qu’un processus touche, mais n’excluent pas le processus lui-même.
• Répertoriez vos exclusions de processus en utilisant leur chemin d’accès complet et non par leur nom uniquement. (La méthode name-only est moins sécurisée.)
• Si vous répertoriez chaque fichier exécutable en tant qu’exclusion de chemin et exclusion de processus, le processus et tout ce qu’il touche sont exclus.

9. Créer des groupes d’appareils

Configurez vos groupes d’appareils, regroupements d’appareils et unités d’organisation Groupes d’appareils, regroupements d’appareils et unités d’organisation permettent à votre équipe de sécurité de gérer et d’attribuer des stratégies de sécurité de manière efficace et efficace. Le tableau suivant décrit chacun de ces groupes et explique comment les configurer. Votre organization n’utilise peut-être pas les trois types de collection.

10. Configurer Microsoft Defender pour point de terminaison sur les paramètres du logiciel anti-programme malveillant Linux

Avant de commencer :

• Si vous utilisez déjà un produit anti-programme malveillant non-Microsoft pour vos serveurs Linux, considérez que vous devrez peut-être copier les exclusions existantes dans Microsoft Defender pour point de terminaison sur Linux.

• Si vous n’utilisez pas de produit anti-programme malveillant non-Microsoft pour vos serveurs Linux, obtenez la liste de toutes vos applications Linux et case activée le site web des fournisseurs pour les exclusions.

• Si vous exécutez un produit anti-programme malveillant non-Microsoft, ajoutez les processus/chemins d’accès à la liste d’exclusion antivirus du Microsoft Defender pour point de terminaison. Pour plus d’informations, case activée la documentation anti-programme malveillant non-Microsoft ou contactez leur support.

• Si vous effectuez des tests sur un ordinateur, vous pouvez utiliser une ligne de commande pour configurer les exclusions :

  • Configurez à partir de la ligne de commande.
  • Configurez et validez les exclusions pour Microsoft Defender pour point de terminaison sur Linux.

• Si vous effectuez des tests sur plusieurs ordinateurs, utilisez le fichier suivant mdatp_managed.json . Si vous venez de Windows, cela ressemble à une « stratégie de groupe » pour Defender pour point de terminaison sur Linux.

  Vous pouvez envisager de modifier le fichier en fonction de vos besoins :

      {
     "antivirusEngine":{
        "enforcementLevel":"real_time",
        "scanAfterDefinitionUpdate":true,
        "scanArchives":true,
        "maximumOnDemandScanThreads":1,
        "exclusionsMergePolicy":"merge",
        "exclusions":[
           {
              "$type":"excludedPath",
              "isDirectory":false,
              "path":"/var/log/system.log"
           },
           {
              "$type":"excludedPath",
              "isDirectory":true,
              "path":"/home"
           },
           {
              "$type":"excludedFileExtension",
              "extension":"pdf"
           },
           {
              "$type":"excludedFileName",
              "name":"cat"
           }
        ],
        "allowedThreats":[
           "<EXAMPLE DO NOT USE>EICAR-Test-File (not a virus)"
        ],
        "disallowedThreatActions":[
           "allow",
           "restore"
        ],
        "threatTypeSettingsMergePolicy":"merge",
        "threatTypeSettings":[
           {
              "key":"potentially_unwanted_application",
              "value":"block"
           },
           {
              "key":"archive_bomb",
              "value":"audit"
           }
        ]
     },
     "cloudService":{
        "enabled":true,
        "diagnosticLevel":"optional",
        "automaticSampleSubmissionConsent":"safe",
        "automaticDefinitionUpdateEnabled":true
        "proxy": "<EXAMPLE DO NOT USE> http://proxy.server:port/"
     }
  }
  

  Recommandations :

         {
      "antivirusEngine":{
         "enforcementLevel":"real_time",
         "scanAfterDefinitionUpdate":true,
         "scanArchives":true,
         "maximumOnDemandScanThreads":1,
         "exclusionsMergePolicy":"merge",
         "exclusions":[
            {
               "$type":"excludedPath",
               "isDirectory":false,
               "path":"/var/log/system.log"
            },
            {
               "$type":"excludedPath",
               "isDirectory":true,
               "path":"/proc"
            },
            {
               "$type":"excludedPath",
               "isDirectory":true,
               "path":"/sys"
            },
            {
               "$type":"excludedPath",
               "isDirectory":true,
               "path":"/dev"
            },
            {
               "$type":"excludedFileExtension",
               "extension":""
            },
            {
               "$type":"excludedFileName",
               "name":""
            }
         ],
         "allowedThreats":[
            ""
         ],
         "disallowedThreatActions":[
            "allow",
            "restore"
         ],
         "threatTypeSettingsMergePolicy":"merge",
         "threatTypeSettings":[
            {
               "key":"potentially_unwanted_application",
               "value":"block"
            },
            {
               "key":"archive_bomb",
               "value":"audit"
            }
         ]
      },
      "cloudService":{
         "enabled":true,
         "diagnosticLevel":"optional",
         "automaticSampleSubmissionConsent":"safe",
         "automaticDefinitionUpdateEnabled":true
         "proxy": "<EXAMPLE DO NOT USE> http://proxy.server:port/"
      }
  }
  

Le tableau suivant décrit les paramètres recommandés dans le cadre du mdatp_managed.json fichier :

• Enregistrez le paramètre en tant que mdatp_managed.json fichier.
• Copiez le paramètre dans ce chemin d’accès /etc/opt/microsoft/mdatp/managed/. Pour plus d’informations, consultez Définir des préférences pour Microsoft Defender pour point de terminaison sur Linux.
• Ajoutez vos processus et chemins d’accès anti-programme malveillant non-Microsoft à la liste d’exclusion de l’étape précédente.
• Vérifiez que vous avez ajouté vos exclusions actuelles de votre solution anti-programme malveillant non-Microsoft à l’étape précédente.

Les applications qui Microsoft Defender pour point de terminaison peuvent avoir un impact

Les charges de travail d’E/S élevées telles que Postgres, OracleDB, Jira et Jenkins peuvent nécessiter d’autres exclusions, en fonction de la quantité d’activité en cours de traitement (et supervisée par Defender pour point de terminaison). Il est préférable de suivre les instructions des fournisseurs d’applications non-Microsoft pour leurs exclusions si vous constatez une dégradation des performances après l’installation de Defender pour point de terminaison. Gardez également à l’esprit les erreurs d’exclusion courantes pour Microsoft Defender Antivirus.

Si vous rencontrez une dégradation des performances, consultez les ressources suivantes :

• Résolvez les problèmes de performances pour Microsoft Defender pour point de terminaison sur Linux.
• Résoudre les problèmes de performances audités avec Microsoft Defender pour point de terminaison sur Linux.

11. Télécharger le package d’intégration Microsoft Defender pour point de terminaison sur Linux

Pour plus d’informations, consultez télécharger le package d’intégration à partir de Microsoft Defender portail.

Après avoir téléchargé ce package, vous pouvez suivre les instructions d’installation manuelle ou utiliser une plateforme de gestion Linux pour déployer et gérer Defender pour point de terminaison sur Linux.

12. Exemples Ansible, Puppet et Chef pour gérer Microsoft Defender pour point de terminaison sur Linux

Defender pour point de terminaison sur Linux est conçu pour permettre à presque n’importe quelle solution de gestion de déployer et de gérer facilement les paramètres de Defender pour point de terminaison sur Linux. Les plateformes de gestion Linux courantes sont Ansible, Puppet et Chef. Les documents suivants contiennent des exemples sur la configuration de ces plateformes de gestion pour déployer et configurer Defender pour point de terminaison sur Linux.

Déployer Microsoft Defender pour point de terminaison sur Linux avec Puppet

Déployer Microsoft Defender pour point de terminaison sur Linux avec Ansible

Déployer Microsoft Defender pour point de terminaison sur Linux avec Chef

Remettre le paramètre cronjob des analyses planifiées

Planifiez une analyse antivirus à l’aide d’Anacron dans Microsoft Defender pour point de terminaison sur Linux. Pour plus d’informations, consultez Planifier une analyse antivirus à l’aide d’Anacron dans Microsoft Defender pour point de terminaison sur Linux.

Mettre à jour Microsoft Defender pour point de terminaison sur les paramètres cronjob de l’agent Linux

Planifiez une mise à jour du Microsoft Defender pour point de terminaison sur Linux. Pour plus d’informations, consultez Planifier une mise à jour du Microsoft Defender pour point de terminaison sur Linux.

13. Résoudre les problèmes d’installation de Microsoft Defender pour point de terminaison sur Linux

Découvrez comment résoudre les problèmes qui peuvent se produire pendant l’installation dans Résoudre les problèmes d’installation de Microsoft Defender pour point de terminaison sur Linux.

14. Vérifier les statistiques d’utilisation des ressources

Vérifiez les statistiques de performances et comparez l’utilisation avant déploiement par rapport au post-déploiement.

15. Vérifier la communication avec Microsoft Defender pour point de terminaison back-end

Pour vérifier la Microsoft Defender pour point de terminaison de communication linux vers le cloud avec les paramètres réseau actuels, exécutez le test de connectivité suivant à partir de la ligne de commande :

mdatp connectivity test

L’image suivante affiche la sortie attendue du test :

Pour plus d’informations, consultez Validation de la connectivité.

16. Examiner les problèmes d’intégrité de l’agent

Examinez les problèmes d’intégrité de l’agent en fonction des valeurs retournées lorsque vous exécutez la mdatp health commande . Pour plus d’informations, consultez Examiner les problèmes d’intégrité de l’agent.

17. Vérifier que vous êtes en mesure d’obtenir les mises à jour de la plateforme (mises à jour de l’agent)

Pour vérifier Microsoft Defender pour point de terminaison mises à jour de plateforme Linux, exécutez la ligne de commande suivante :

sudo yum update mdatp

ou

apt-get update mdatp

en fonction de votre gestionnaire de package.

Pour plus d’informations, consultez État de l’appareil et Microsoft Defender rapport d’intégrité du logiciel anti-programme malveillant.

Pour trouver la dernière version du canal Large, consultez Nouveautés de Microsoft Defender pour point de terminaison sur Linux.

Guide pratique pour mettre à jour Microsoft Defender pour point de terminaison sur Linux

Microsoft publie régulièrement des mises à jour logicielles pour améliorer les performances, la sécurité et fournir de nouvelles fonctionnalités. Pour mettre à jour Microsoft Defender pour point de terminaison sur Linux. Pour plus d’informations, consultez Déployer des mises à jour pour Microsoft Defender pour point de terminaison sur Linux.

Points de terminaison non-Windows

Avec macOS et Linux, vous pouvez prendre quelques systèmes et exécuter dans le canal bêta.

Le choix du canal détermine le type et la fréquence des mises à jour proposées à votre appareil. Les appareils en version bêta sont les premiers à recevoir des mises à jour et de nouvelles fonctionnalités, suivis ultérieurement par Préversion et enfin par Actuel.

Pour afficher un aperçu des nouvelles fonctionnalités et fournir des commentaires précoces, il est recommandé de configurer certains appareils de votre entreprise pour qu’ils utilisent la version bêta ou la préversion.

18. Vérifiez que vous êtes en mesure d’obtenir les mises à jour du renseignement de sécurité (mises à jour des signatures/définitions)

Pour vérifier Microsoft Defender pour point de terminaison sur les mises à jour de signatures/définitions Linux, exécutez la ligne de commande suivante :

mdatp definitions update

Pour plus d’informations, consultez Nouveau rapport d’intégrité d’appareil pour Microsoft Defender logiciel anti-programme malveillant.

19. Détections de test

Pour vous assurer que l’appareil est correctement intégré et signalé au service, exécutez le test de détection suivant :

• Ouvrez une fenêtre Terminal et exécutez la commande suivante pour exécuter un test de détection anti-programme malveillant :

  curl -o /tmp/eicar.com.txt https://secure.eicar.org/eicar.com.txt
  

• Vous pouvez exécuter des tests de détection supplémentaires sur des fichiers zip à l’aide de l’une des commandes suivantes :

  curl -o /tmp/eicar_com.zip https://secure.eicar.org/eicar_com.zip
  curl -o /tmp/eicarcom2.zip https://secure.eicar.org/eicarcom2.zip
  

  Remarque

  Si les détections ne s’affichent pas, il se peut que vous ayez défini « allowedThreats » pour autoriser dans les préférences via Ansible ou Puppet.

• Détections de détection de point de terminaison et de réponse (EDR), consultez Expérience Microsoft Defender pour point de terminaison par le biais d’attaques simulées. Si la détection n’apparaît pas, il se peut que nous n’ayons pas d’événement ou d’alertes dans le portail. Pour plus d’informations, consultez Résoudre les problèmes d’événements ou d’alertes manquants pour Microsoft Defender pour point de terminaison sur Linux.

• Pour plus d’informations sur les soumissions unifiées dans Microsoft Defender XDR et la possibilité d’envoyer des faux positifs et des faux négatifs via le portail, consultez Soumissions unifiées dans Microsoft Defender XDR désormais en disponibilité générale ! - Microsoft Tech Community.

20. Résoudre les problèmes d’événements ou d’alertes manquants pour Microsoft Defender pour point de terminaison sur Linux

Pour plus d’informations, consultez Résoudre les problèmes d’événements ou d’alertes manquants pour Microsoft Defender pour point de terminaison sur Linux.

21. Résoudre les problèmes d’utilisation élevée du processeur par les éditeurs de logiciels indépendants, les applications Linux ou les scripts

Si vous constatez que les éditeurs de logiciels indépendants tiers, les applications Linux développées en interne ou les scripts rencontrent une utilisation élevée du processeur, vous effectuez les étapes suivantes pour en examiner la cause.

1. Identifiez le thread ou le processus à l’origine du symptôme.
2. Appliquez d’autres étapes de diagnostic en fonction du processus identifié pour résoudre le problème.

Étape 1 : Identifier le Microsoft Defender pour point de terminaison sur le thread Linux à l’origine du symptôme

Utilisez les syntaxes suivantes pour identifier le processus à l’origine de la surcharge du processeur :

• Pour obtenir Microsoft Defender pour point de terminaison’ID de processus à l’origine du problème, exécutez :

  sudo top -c
  

• Pour obtenir plus d’informations sur Microsoft Defender pour point de terminaison processus, exécutez :

  sudo ps ax --no-headings -T -o user,pid,thcount,%cpu,sched,%mem,vsz,rss,tname,stat,start_time,time,ucmd,command |sort -nrk 3|grep mdatp
  

• Pour identifier l’ID de thread Microsoft Defender pour point de terminaison spécifique à l’origine de l’utilisation la plus élevée du processeur dans le processus, exécutez :

  sudo ps -T -p <PID> >> Thread_with_highest_cpu_usage.log
  

  

Le tableau suivant répertorie les processus susceptibles d’entraîner une utilisation élevée du processeur :

Étape 2 : Appliquer d’autres étapes de diagnostic en fonction du processus identifié

Maintenant que vous avez identifié le processus à l’origine de l’utilisation élevée du processeur, utilisez les instructions de diagnostic correspondantes dans la section suivante.

Par exemple, à l’étape précédente, wdavdaemon unprivileged a été identifié comme le processus à l’origine d’une utilisation élevée du processeur. En fonction du résultat, vous pouvez appliquer les instructions pour case activée le processus wdavdaemon sans privilèges.

Utilisez le tableau suivant pour résoudre les problèmes d’utilisation élevée du processeur :

Nom du processus	Composant utilisé	Microsoft Defender pour point de terminaison moteur utilisé	Étapes
wdavdaemon	FANotify	Antivirus & EDR	- Téléchargez et exécutez Microsoft Defender pour point de terminaison Client Analyzer. Pour plus d’informations, consultez Exécuter l’analyseur client sur macOS ou Linux. - Collecter des données de diagnostic à l’aide de l’outil Analyseur client. - Ouvrez un cas de support CSS avec Microsoft. Pour plus d’informations, consultez Cas de prise en charge de la sécurité CSS.
wdavdaemon non privilégié	S/O	Moteur antivirus	Le diagramme suivant montre le flux de travail et les étapes nécessaires pour ajouter des exclusions antivirus. Conseils généraux pour la résolution des problèmes - Si vous avez des applications/scripts internes ou qu’une application/script tiers légitime est marqué, les chercheurs en sécurité Microsoft analysent les fichiers suspects pour déterminer s’il s’agit de menaces, d’applications indésirables ou de fichiers normaux. Envoyez des fichiers que vous pensez être des programmes malveillants ou des fichiers qui, selon vous, ont été classés de manière incorrecte comme des programmes malveillants à l’aide de l’expérience de soumission unifiée (pour plus d’informations, voir Expérience de soumission unifiée) ou Soumissions de fichiers. - Consultez Résoudre les problèmes de performances pour Microsoft Defender pour point de terminaison sur Linux. - Téléchargez et exécutez Microsoft Defender pour point de terminaison Client Analyzer. Pour plus d’informations, consultez Exécuter l’analyseur client sur macOS ou Linux. - Collecter des données de diagnostic à l’aide de l’outil Analyseur client. - Ouvrez un cas de support CSS avec Microsoft. Pour plus d’informations, consultez Cas de prise en charge de la sécurité CSS.
wdavdaemon edr	S/O	Moteur EDR	Le diagramme suivant montre le flux de travail et les étapes pour résoudre les problèmes de wdavedaemon_edr processus. Conseils généraux pour la résolution des problèmes - Si vous avez des applications/scripts internes ou qu’une application/script tiers légitime est marqué, les chercheurs en sécurité Microsoft analysent les fichiers suspects pour déterminer s’il s’agit de menaces, d’applications indésirables ou de fichiers normaux. Envoyez des fichiers que vous pensez être des programmes malveillants ou des fichiers que vous pensez être classés de manière incorrecte en tant que programmes malveillants à l’aide de l’expérience de soumission unifiée (pour plus d’informations, voir Expérience de soumission unifiée) ou soumissions de fichiers. - Consultez Résoudre les problèmes de performances pour Microsoft Defender pour point de terminaison sur Linux. - Téléchargez et exécutez Microsoft Defender pour point de terminaison Client Analyzer. Pour plus d’informations, consultez Exécuter l’analyseur client sur macOS ou Linux. - Collecter des données de diagnostic à l’aide de l’outil Analyseur client. - Ouvrez un cas de support CSS avec Microsoft. Pour plus d’informations, consultez Cas de prise en charge de la sécurité CSS.
mdatp_audisp_plugin	Infrastructure d’audit	Ingestion des journaux d’audit	Consultez Résoudre les problèmes de performances audités avec Microsoft Defender pour point de terminaison sur Linux.

22. Désinstaller votre solution non-Microsoft

Si, à ce stade, vous avez :

• Intégration des appareils de votre organization à Defender pour point de terminaison, et
• Microsoft Defender antivirus est installé et activé,

Ensuite, l’étape suivante consiste à désinstaller votre solution antivirus, anti-programme malveillant et endpoint protection non-Microsoft. Lorsque vous désinstallez votre solution non-Microsoft, veillez à mettre à jour votre configuration pour passer du mode passif au mode Actif si vous définissez Defender pour point de terminaison sur le mode passif pendant l’installation ou la configuration.

Ressources de diagnostic et de résolution des problèmes

• Résoudre les problèmes d’installation de Microsoft Defender pour point de terminaison sur Linux.
• Identifiez où trouver des journaux détaillés pour les problèmes d’installation.
• Étapes de résolution des problèmes pour les environnements sans proxy ou avec proxy transparent.
• Étapes de résolution des problèmes pour les environnements avec proxy statique.
• Collecter des informations de diagnostic.
• Désinstallez Defender pour point de terminaison sur Linux.
• Résolvez les problèmes de performances pour Microsoft Defender pour point de terminaison sur Linux.
• Résoudre les problèmes de performances audités avec Microsoft Defender pour point de terminaison sur Linux.

Fonctionnalités de Microsoft Defender pour point de terminaison avancées

• Fonctionnalités améliorées du moteur anti-programme malveillant sur Linux et macOS

• Renforcer la protection du patrimoine Linux avec la surveillance du comportement

  Remarque

  La fonctionnalité de surveillance du comportement complète les fonctionnalités existantes basées sur le contenu. Toutefois, vous devez évaluer soigneusement cette fonctionnalité dans votre environnement avant de la déployer à grande échelle, car l’activation de la surveillance comportementale consomme plus de ressources et peut entraîner des problèmes de performances.

• Soumissions unifiées dans Microsoft Defender XDR

• Présentation de la nouvelle expérience de suppression d’alerte

• Annonce de la réponse en direct pour macOS et Linux

Références

• Ajouter une étiquette ou un ID de groupe

• Confidentialité des Microsoft Defender pour point de terminaison sur Linux

• Nouveautés de Microsoft Defender pour point de terminaison sur Linux