Microsoft Defender for Endpoint-Plug-In für Windows-Subsystem für Linux (WSL)

In diesem Artikel wird erläutert, wie Sie das Microsoft Defender for Endpoint Plug-In für Windows-Subsystem für Linux (WSL) 2 installieren, konfigurieren und Probleme beheben. Das Plug-In erweitert die Sichtbarkeit von Defender for Endpoint in WSL-Containern, die auf Windows 10- und Windows 11-Geräten ausgeführt werden, die in Microsoft Defender for Endpoint Plan 2 integriert sind.

Übersicht

Windows-Subsystem für Linux (WSL) 2, das die vorherige Version von WSL (unterstützt von Microsoft Defender for Endpoint ohne Plug-In) ersetzt, bietet eine Linux Umgebung, die nahtlos in Windows integriert ist, aber mithilfe von Virtualisierungstechnologie isoliert ist. Das Defender for Endpoint-Plug-In für WSL ermöglicht Defender for Endpoint, mehr Transparenz in Bezug auf alle laufenden WSL-Container zu bieten, indem es in das isolierte Subsystem eingebunden wird.

Voraussetzungen

Stellen Sie vor der Installation des Defender für das Endpunkt-WSL-Plug-In sicher, dass die folgenden Voraussetzungen erfüllt sind:

• WSL-Version 2.0.7.0 oder höher muss mit mindestens einer aktiven Distribution ausgeführt werden. Führen Sie wsl --update aus, um sicherzustellen, dass Sie die neueste Version verwenden. Wenn wsl -–version eine ältere Version als 2.0.7.0 anzeigt, führen Sie wsl --update --pre-release aus, um das neueste Update zu erhalten.

• Das Windows-Clientgerät muss in Defender für Endpunkt integriert werden.

Unterstützte Betriebssysteme

Die folgenden Betriebssysteme unterstützen das Defender for Endpoint WSL-Plug-In:

• Windows 10, Version 2004 und höher (Build 19044 und höher)
• Windows 11, um die WSL-Versionen zu unterstützen, die mit dem Plug-In verwendet werden können.

Bekannte Probleme und Einschränkungen

Beachten Sie die folgenden Überlegungen, bevor Sie beginnen:

• Das Plug-In unterstützt keine automatischen Updates für Versionen vor 1.24.522.2. Ab Version 1.24.522.2 und höher. Updates werden über Windows Update über alle Ringe hinweg unterstützt. Updates über Windows Server Update Services (WSUS), System Center Configuration Manager (SCCM) und den Microsoft Update-Katalog werden nur im Produktionsring unterstützt, um die Paketstabilität sicherzustellen.

• Es dauert einige Minuten, bis das Plug-In vollständig instanziiert ist, und bis zu 30 Minuten, bis ein WSL2-instance sich selbst integriert hat. Kurzlebige WSL-Containerinstanzen können dazu führen, dass die WSL2-Instanz nicht im Microsoft Defender-Portal angezeigt wird. Wenn eine Verteilung lang genug ausgeführt wurde (mindestens 30 Minuten), wird die WSL2-Instanz im Microsoft Defender-Portal angezeigt.

• Das Ausführen eines benutzerdefinierten Kernels und einer benutzerdefinierten Kernelbefehlszeile wird nicht unterstützt. Obwohl das Plug-In die Ausführung in dieser Konfiguration nicht blockiert, garantiert es keine Sichtbarkeit innerhalb von WSL, wenn Sie einen benutzerdefinierten Kernel und eine benutzerdefinierte Kernelbefehlszeile ausführen. Es wird empfohlen, solche Konfigurationen mit Microsoft Intune wsl-Einstellungen zu blockieren.

• Das Plug-In wird auf Computern mit einem ARM64-Prozessor nicht unterstützt.

• Das Plug-In wird für mehrere Sitzungsvarianten von Windows 10 und 11 nicht unterstützt.

• Das Plug-In bietet Einblick in Ereignisse von WSL, aber andere Features wie Antischadsoftware, Bedrohungs- und Sicherheitsrisikomanagement und Antwortbefehle sind für das logische WSL-Gerät nicht verfügbar.

Softwarekomponenten und Dateinamen des Installationsprogramms

Installationsprogramm: DefenderPlugin-x64-0.24.426.1.msi. Sie können das Installationsprogramm über die Onboarding-Seite im Microsoft Defender-Portal herunterladen. (Wechseln Sie zu Einstellungen>Endpunkte>Onboarding.)

Installationsverzeichnisse:

• %ProgramFiles%

• %ProgramData%

Installierte Komponenten:

• DefenderforEndpointPlug-in.dll. Diese DLL ist die Bibliothek, die Defender for Endpoint lädt, damit es innerhalb von WSL funktioniert. Sie finden sie unter %ProgramFiles%\Microsoft Defender for Endpoint plug-in for WSL\plug-in.

• healthcheck.exe. Dieses Programm überprüft den Integritätsstatus von Defender for Endpoint und zeigt Ihnen die installierten Versionen von WSL, dem Plugin und Defender for Endpoint an. Sie finden sie unter %ProgramFiles%\Microsoft Defender for Endpoint plug-in for WSL\tools.

Installieren Sie das Defender for Endpoint WSL-Plug-In

Wenn Ihr Windows-Subsystem für Linux noch nicht installiert ist, führen Sie die folgenden Schritte aus:

1. Öffnen Sie das Terminal oder die Eingabeaufforderung. (Wechseln Sie unter Windows zu Start>.Eingabeaufforderung. Oder klicken Sie mit der rechten Maustaste auf die Startschaltfläche, und wählen Sie dann Terminal aus.)

2. Führen Sie den Befehl wsl -–install aus.

3. Vergewissern Sie sich, dass WSL installiert ist und ausgeführt wird.

   1. Führen Sie wsl –-update im Terminal oder in der Eingabeaufforderung aus, um sicherzustellen, dass Sie die neueste Version installiert haben.

   2. Führen Sie den wsl Befehl aus, um sicherzustellen, dass WSL vor dem Testen ausgeführt wird.

4. Installieren Sie das Plug-In, indem Sie die folgenden Schritte ausführen:

   1. Installieren Sie die MSI-Datei, die aus dem Abschnitt Onboarding im Microsoft Defender-Portal heruntergeladen wurde (Einstellungen>Endpunkte>Onboarding>Windows-Subsystem für Linux 2 (Plug-In)).

   2. Öffnen Sie eine Eingabeaufforderung/ein Terminal, und führen Sie wsl aus.

   Sie können das Paket mithilfe von Microsoft Intune bereitstellen.

Prüfliste für die Überprüfung der Installation

Verwenden Sie die folgende Checkliste, um zu überprüfen, ob das Plug-In ordnungsgemäß installiert ist und wie erwartet ausgeführt wird:

1. Warten Sie nach dem Update oder der Installation mindestens fünf Minuten, bis das Plug-In vollständig initialisiert und die Protokollausgabe geschrieben wurde.

2. Öffnen Sie das Terminal oder die Eingabeaufforderung. (Wechseln Sie unter Windows zu Start>.Eingabeaufforderung. Oder klicken Sie mit der rechten Maustaste auf die Startschaltfläche, und wählen Sie dann Terminal aus.)

3. Führen Sie den Folgenden Befehl aus: cd "%ProgramFiles%\Microsoft Defender for Endpoint plug-in for WSL\tools".

4. Führen Sie den Befehl .\healthcheck.exe aus.

5. Überprüfen Sie die Details von Defender und WSL, und stellen Sie sicher, dass sie den folgenden Anforderungen entsprechen oder überschreiten:

   • Plug-In-Version: 1.24.522.2
   • WSL-Version: 2.0.7.0 oder höher
   • Defender-App-Version: 101.24032.0007
   • Defender-Integritätsstatus: Healthy

Einrichten eines Proxys für Defender unter WSL

Sie können die Proxyverbindung für das Defender for Endpoint-Plug-In für WSL konfigurieren. Wenn Ihr Unternehmen einen Proxy verwendet, um Verbindungen mit Defender für Endpunkt bereitzustellen, die auf dem Windows-Host ausgeführt wird, lesen Sie weiter, um zu ermitteln, ob Sie es für das Plug-In konfigurieren müssen.

Wenn Sie die Hostkonfiguration des Windows EDR-Telemetrieproxys für MDE für das WSL-Plug-In verwenden möchten, ist nichts mehr erforderlich. Die Konfiguration des Windows-EDR-Telemetrieproxys wird vom Plug-in automatisch übernommen.

Wenn Sie die Host-Winhttp-Proxykonfiguration für MDE für das WSL-Plug-In verwenden möchten, ist nichts mehr erforderlich. Die WinHTTP-Hostproxykonfiguration wird automatisch vom Plug-In übernommen.

Wenn Sie die Hostnetzwerk- und Netzwerkproxyeinstellung für MDE für das WSL-Plug-In verwenden möchten, ist nichts mehr erforderlich. Die Proxy-Konfiguration des Hostnetzwerks wird vom Plug-in automatisch übernommen.

Wie das WSL-Plug-In einen Proxy auswählt

Wenn Ihr Hostcomputer mehrere Proxyeinstellungen enthält, wählt das Plug-In die Proxykonfigurationen mit der folgenden Hierarchie aus:

1. Statische Proxyeinstellung für Defender for Endpoint (TelemetryProxyServer).

2. Winhttp Proxy (konfiguriert über netsh den Befehl).

3. Netzwerk- & Internetproxyeinstellungen.

   Wenn Ihr Hostcomputer beispielsweise über Winhttp proxy und Network & Internet proxyverfügt, wählt Winhttp proxy das Plug-In als Proxykonfiguration aus.

Verbindungstest für in WSL ausgeführten Defender for Endpoint

Der Konnektivitätstest für Defender for Endpoint wird immer dann ausgelöst, wenn die Proxyeinstellungen auf Ihrem Gerät geändert werden, und ist so geplant, dass er stündlich ausgeführt wird.

Warten Sie nach dem Starten Ihrer WSL-Maschine fünf Minuten und führen Sie dann healthcheck.exe aus (die Ergebnisse des Verbindungstests finden Sie unter %ProgramFiles%\Microsoft Defender for Endpoint plug-in for WSL\tools). Wenn der Verbindungstest erfolgreich ist, meldet die Integritätsprüfung ein erfolgreiches Ergebnis. Wenn der Verbindungstest fehlschlägt, meldet die Integritätsprüfung den Status als invalid, der angibt, dass die Clientkonnektivität vom MDE-Plug-In für WSL zu Defender für Endpunktdienst-URLs fehlschlägt.

Überprüfen der Funktionalität und der ERFAHRUNG von SOC-Analysten

Nach der Installation des Plug-Ins werden das Subsystem und alle ausgeführten Container in das Microsoft Defender-Portal integriert.

1. Melden Sie sich beim Microsoft Defender-Portal an, und öffnen Sie die Ansicht Geräte.

2. Filtern Sie mit dem Tag WSL2.

   

   Sie können alle WSL-Instanzen in Ihrer Umgebung einsehen, für die ein aktives Defender for Endpoint-Plug-In für WSL vorhanden ist. Diese Instanzen stellen alle Verteilungen dar, die in WSL auf einem bestimmten Host ausgeführt werden. Der Hostname eines Geräts entspricht dem des Windows-Hosts. Es wird jedoch als Linux-Gerät dargestellt.

3. Öffnen Sie die Geräteseite. Im Bereich "Übersicht" zeigt der Hostinglink an, dass das Gerät auf einem Windows-Host ausgeführt wird. Sie können diesen Link auswählen, um zum Windows Host zu pivotieren, um weitere Untersuchungen und/oder Antworten zu erhalten.

   

Die Zeitleiste wird ähnlich wie Defender für Endpunkt auf Linux mit Ereignissen innerhalb des Subsystems (Datei, Prozess, Netzwerk) aufgefüllt. Sie können Aktivitäten und Erkennungen in der Zeitleistenansicht anzeigen. Warnungen und Vorfälle werden gegebenenfalls ebenfalls generiert.

Benutzerdefinierten Tag für WSL-Computer einrichten

Das Plug-in integriert den WSL-Computer über den Tag WSL2. Wenn Sie oder Ihre Organisation ein benutzerdefiniertes Tag benötigen, führen Sie die folgenden Schritte aus, um eins zu konfigurieren:

1. Öffnen Sie den Registrierungs-Editor als Administrator.

2. Erstellen Sie einen Registrierungsschlüssel mit den folgenden Details:

   • Namen: GROUP
   • Typ: REG_SZ oder Registrierungszeichenfolge
   • Wert: Custom tag
   • Pfad: HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Erweiterter Schutz vor Bedrohungen\DeviceTagging

3. Nachdem die Registrierung festgelegt wurde, starten Sie wsl mit den folgenden Schritten neu:

   1. Öffnen Sie die Eingabeaufforderung und führen Sie den Befehl wsl --shutdown aus.

   2. Führen Sie den Befehl wsl aus.

4. Warten Sie 5 bis 10 Minuten, bis das Portal die Änderungen widerspiegelt.

Testen Sie das Plug-in

Führen Sie die folgenden Schritte aus, um das Plug-In nach der Installation zu testen:

1. Öffnen Sie das Terminal oder die Eingabeaufforderung. (Wechseln Sie unter Windows zu Start>.Eingabeaufforderung. Oder klicken Sie mit der rechten Maustaste auf die Startschaltfläche, und wählen Sie dann Terminal aus.)

2. Führen Sie den Befehl wsl aus.

3. Laden Sie die Skriptdatei aus dem MDE Linux EDR DIY-Testpaket herunter, und extrahieren Sie sie.

4. Führen Sie an der Linux-Eingabeaufforderung den Befehl aus ./mde_linux_edr_diy.sh. Nach einigen Minuten sollte im Portal eine Warnung für die Erkennung auf der WSL2-Instanz angezeigt werden.

   Hinweis

   Es dauert etwa fünf Minuten, bis die Ereignisse im Microsoft Defender-Portal angezeigt werden.

Behandeln Sie den Computer so, als wäre er ein regulärer Linux Host in Ihrer Umgebung, für den Tests durchgeführt werden sollen. Insbesondere möchten wir Ihr Feedback dazu erhalten, dass mit dem neuen Plug-In potenziell schädliches Verhalten angezeigt werden kann.

Verwenden Sie Advanced Hunting, um WSL-Geräte zu untersuchen.

Im Schema "Erweiterte Suche" befindet sich unter der DeviceInfo Tabelle ein neues Attribut namens HostDeviceId , mit dem Sie ein WSL-instance dem Windows-Hostgerät zuordnen können. Es folgen einige Beispiele für Hunting-Abfragen:

Alle WSL-Geräte-IDs für die aktuelle Organisation/den aktuellen Mandanten abrufen

Verwenden Sie die folgende Abfrage, um alle WSL-Geräte-IDs in Ihrem Mandanten auflisten:

//Get all WSL device ids for the current organization/tenant 
let wsl_endpoints = DeviceInfo  
| where OSPlatform == "Linux" and isnotempty(HostDeviceId)
| distinct DeviceId; 
wsl_endpoints

WSL-Geräte-IDs und die entsprechenden Hostgeräte-IDs abrufen

Verwenden Sie die folgende Abfrage, um jede WSL-Geräte-ID der entsprechenden Windows Hostgeräte-ID zuzuordnen:

//Get WSL device ids and their corresponding host device ids 
DeviceInfo  
| where OSPlatform == "Linux" and isnotempty(HostDeviceId)
| distinct WSLDeviceId=DeviceId, HostDeviceId

Abrufen einer Liste der WSL-Geräte-IDs, auf denen curl oder wget ausgeführt wurde

Verwenden Sie die folgende Abfrage, um WSL-Geräte zu finden, auf denen curl oder wget ausgeführt wurde:

//Get a list of WSL device ids where curl or wget was run
let wsl_endpoints = DeviceInfo  
| where OSPlatform == "Linux" and isnotempty(HostDeviceId)
| distinct DeviceId; 
DeviceProcessEvents   
| where FileName == "curl" or FileName == "wget" 
| where DeviceId in (wsl_endpoints) 
| sort by Timestamp desc

Problembehandlung

Führen Sie die folgenden Schritte zur Problembehandlung aus, um häufige Probleme mit dem Defender für das Endpunkt-WSL-Plug-In zu diagnostizieren und zu beheben.

Installationsfehler

Wenn beim Starten von WSL ein Fehler wie A fatal error was returned by plugin 'DefenderforEndpointPlug-in' Error code: Wsl/Service/CreateInstance/CreateVm/Plugin/ERROR_FILE_NOT_FOUND angezeigt wird, bedeutet dies, dass die Installation des Defender for Endpoint-Plug-Ins für WSL fehlerhaft ist. Führen Sie die folgenden Schritte aus, um sie zu reparieren:

1. Gehen Sie in der Systemsteuerung zu Programme>Programme und Features.

2. Suchen Sie nach Microsoft Defender for Endpoint Plug-In für WSL, und wählen Sie es aus. Wählen Sie dann Reparieren aus. Durch diese Aktion sollte das Problem behoben werden, indem die richtigen Dateien in den erwarteten Verzeichnissen platziert werden.

   

Der Befehl healthcheck.exe zeigt die Ausgabe "Starten Sie die WSL-Distribution mit dem Befehl 'bash' und wiederholen Sie den Vorgang in fünf Minuten".

Wenn diese Meldung angezeigt wird, starten Sie eine WSL-Distribution und warten Sie etwas, bevor Sie die Integritätsprüfung erneut durchführen:

1. Öffnen Sie ein Terminal instance, und führen Sie den Befehl auswsl.

2. Warten Sie mindestens fünf Minuten, bevor Sie die Integritätsprüfung erneut ausführen.

Der healthcheck.exe Befehl zeigt möglicherweise die Ausgabe "Warten auf Telemetrie. Versuchen Sie es in fünf Minuten erneut."

Möglicherweise wird die folgende Meldung angezeigt, während Telemetrie noch initialisiert wird:

Wenn die Meldung "Auf Telemetrie warten" auftritt, warten Sie fünf Minuten, und führen Sie den Vorgang erneut aus healthcheck.exe.

Sie sehen im Microsoft Defender-Portal keine Geräte, oder Sie sehen keine Ereignisse in der Zeitleiste.

Überprüfen Sie Folgendes:

• Wenn Sie kein Computerobjekt sehen, stellen Sie sicher, dass ausreichend Zeit für den Abschluss des Onboarding vergangen ist (in der Regel bis zu 10 Minuten).

• Stellen Sie sicher, dass Sie die richtigen Filter verwenden und dass Ihnen die entsprechenden Berechtigungen zum Anzeigen aller Geräteobjekte zugewiesen sind. (Ist Ihr Konto/Ihre Gruppe beispielsweise auf eine bestimmte Gruppe beschränkt?)

• Verwenden Sie das Integritätsprüfungstool, um eine Übersicht über die allgemeine Integrität des Plug-Ins zu erhalten. Öffnen Sie das Terminal, und führen Sie das healthcheck.exe-Tool in %ProgramFiles%\Microsoft Defender for Endpoint plug-in for WSL\tools aus.

  

• Aktivieren Sie den Konnektivitätstest, und überprüfen Sie die Defender-for-Endpoint-Konnektivität in WSL. Wenn der Verbindungstest fehlschlägt, stellen Sie unserem Supportteam die Ausgabe des Integritätsprüfungstools zur Verfügung.

Konnektivitätstest meldet in der Integritätsprüfung „invalid“

Wenn der Konnektivitätstest invalid meldet, führen Sie die folgenden Überprüfungen durch, um das Problem zu diagnostizieren:

• Wenn Ihr Computer über ein Proxysetup verfügt, führen Sie den Befehl aus healthCheck --extendedProxy. Dadurch erhalten Sie Informationen dazu, welche Proxys auf Ihrem Computer festgelegt sind und ob diese Konfigurationen für WSL Defender ungültig sind.

  

• Wenn das Ausführen von healthCheck --extendedProxy das Fehlschlagen des Konnektivitätstests nicht behebt, fügen Sie die folgenden Konfigurationseinstellungen in die Datei .wslconfig ein, die sich in Ihrem %UserProfile% befindet, und starten Sie WSL neu. Details zu Einstellungen finden Sie unter WSL-Einstellungen.

  In Windows 11

  Fügen Sie Ihrer .wslconfig Datei die folgenden Einstellungen hinzu, um DNS-Tunneling und gespiegelte Netzwerke zu aktivieren:

  
  # Settings apply across all Linux distros running on WSL 2
  [wsl2]
  
  dnsTunneling=true
  
  networkingMode=mirrored  
  

  In Windows 10

  Fügen Sie Ihrer .wslconfig Datei die folgende Einstellung hinzu, um den DNS-Proxy zu deaktivieren:

  # Settings apply across all Linux distros running on WSL 2
  [wsl2]
  
  dnsProxy=false
  
  

Konnektivitätsprobleme bleiben bestehen

Sammeln Sie die Netzwerkprotokolle, indem Sie die folgenden Schritte ausführen:

1. Öffnen Sie eine PowerShell-Eingabeaufforderung mit erhöhten Rechten (Admin).

2. Herunterladen und Ausführen: .\collect-networking-logs.ps1

   
   Invoke-WebRequest -UseBasicParsing "https://raw.githubusercontent.com/microsoft/WSL/master/diagnostics/collect-networking-logs.ps1" -OutFile collect-networking-logs.ps1
   Set-ExecutionPolicy Bypass -Scope Process -Force
   .\collect-networking-logs.ps1
   
   

3. Öffnen Sie eine neue Eingabeaufforderung, und führen Sie den folgenden Befehl aus: wsl.

4. Öffnen Sie eine Eingabeaufforderung mit erhöhten Rechten (Admin), und führen Sie den folgenden Befehl aus: wsl --debug-shell.

5. Führen Sie in der Debugshell Folgendes aus: mdatp connectivity test.

6. Lassen Sie den Abschluss des Konnektivitätstests zu.

7. Beenden Sie die .ps1-Ausführung in Schritt #2.

8. Teilen Sie die generierte .zip-Datei zusammen mit einem Supportbundle, das durch Ausführen von healthcheck.exe --supportBundle in %ProgramFiles%\Microsoft Defender for Endpoint plug-in for WSL\tools erfasst wurde.

Supportpaket sammeln

Um Diagnoseinformationen für den Support zu sammeln, generieren Sie ein Supportbundle mithilfe der folgenden Schritte:

1. Wenn sie andere Herausforderungen oder Probleme haben, öffnen Sie Terminal. Navigieren Sie zuerst zum WSL-Plug-In-Toolverzeichnis von Defender for Endpoint, und führen Sie dann das Tool healthcheck.exe aus, um ein Supportpaket zu generieren:

   cd "%ProgramFiles%\Microsoft Defender for Endpoint plug-in for WSL\tools"
   

   Führen Sie dann den folgenden Befehl aus, um ein Supportbundle zu generieren, das Diagnoseinformationen zur Problembehandlung sammelt:

   .\healthcheck.exe --supportBundle 
   

   Das Supportpaket befindet sich im Pfad, der vom vorherigen Befehl bereitgestellt wurde.

   

WSL1 und WSL2

Microsoft Defender Endpunkt-Plug-In für WSL unterstützt Linux Distributionen, die unter WSL 2 ausgeführt werden. Wenn diese Linux-Distributionen mit WSL 1 verknüpft sind, treten möglicherweise Probleme auf. Daher wird empfohlen, WSL 1 zu deaktivieren. Führen Sie dazu mit der Intune-Richtlinie die folgenden Schritte aus:

1. Wechseln Sie zu Ihrem Microsoft Intune Admin Center.

2. Wechseln Sie zu Geräte>Konfigurationsprofile>Erstellen>Neue Richtlinie.

3. Wählen Sie Windows 10 und höher>Einstellungskatalog aus.

4. Erstellen Sie einen Namen für das neue Profil, und suchen Sie nach Windows-Subsystem für Linux, um die vollständige Liste der verfügbaren Einstellungen anzuzeigen und hinzuzufügen.

5. Legen Sie die Einstellung WSL1 zulassen auf Deaktiviert fest, um sicherzustellen, dass nur WSL 2-Verteilungen verwendet werden können.

   Wenn Sie WSL 1 weiterhin verwenden oder die Intune-Richtlinie nicht verwenden möchten, können Sie eine bestimmte installierte Verteilung von WSL 1 auf WSL 2 selektiv aktualisieren, indem Sie den folgenden Befehl in PowerShell ausführen:

   wsl --set-version <YourDistroName> 2
   

   Um sicherzustellen, dass alle zukünftigen Verteilungen standardmäßig mit WSL 2 erstellt werden, führen Sie den folgenden Befehl in PowerShell aus, um WSL 2 als Standardversion festzulegen:

   wsl --set-default-version 2
   

Releasering für das WSL-Plug-In überschreiben

Sie können den Standard-Release-Ring für das Plug-In außer Kraft setzen, indem Sie einen Registrierungseintrag konfigurieren.

• Das Plug-In verwendet standardmäßig den Windows EDR-Ring. Wenn Sie zu einem früheren Ring wechseln möchten, setzen Sie OverrideReleaseRing in der Registrierung auf einen der folgenden Werte, und starten Sie WSL neu:

  • Name: OverrideReleaseRing
  • Typ: REG_SZ
  • Wert: Dogfood or External or InsiderFast or Production
  • Pfad: Computer\HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Microsoft Defender for Endpoint plug-in for WSL