Programar exámenes antivirus en Linux

En este artículo se describe cómo configurar exámenes antivirus programados en Microsoft Defender para punto de conexión en Linux. Está pensado para administradores de TI y seguridad que administran dispositivos Linux y quieren garantizar la protección antivirus continua mediante la programación centralizada de exámenes. Antes de comenzar, revise los requisitos previos para asegurarse de que el entorno cumple los requisitos necesarios.

Información general

Microsoft Defender para punto de conexión en Linux admite exámenes antivirus programados para ayudar a mantener la protección continua entre dispositivos. En lugar de depender de trabajos cron personalizados, los exámenes programados se configuran de forma centralizada para garantizar un examen coherente entre entornos.

Los exámenes programados permiten ejecutar exámenes rápidos a intervalos regulares o a una hora específica cada día, así como configurar exámenes semanales con tipos de examen rápidos o completos. También puede controlar cómo se ejecutan los análisis, por ejemplo, reduciendo su impacto en el rendimiento, esperando a que el dispositivo esté inactivo o distribuyendo aleatoriamente los momentos de inicio en los distintos dispositivos.

Puede configurar análisis programados mediante la configuración administrada (JSON administrado) o mediante una experiencia basada en directivas en Administración de la configuración de seguridad del portal de Microsoft Defender, en función de cómo administre la configuración de los dispositivos.

Requisitos previos

Antes de configurar exámenes antivirus programados en Linux, asegúrese de que se cumplen los siguientes requisitos:

• Microsoft Defender para punto de conexión se instala e incorpora en distribuciones de Linux compatibles.
• Los dispositivos ejecutan la versión mínima del agente 101.26032.0000 en el anillo de producción.
• Los dispositivos están en buen estado y notifican correctamente al servicio Microsoft Defender

En función del método de configuración, también es necesario cumplir los siguientes requisitos previos:

• Configuración de JSON administrado de MDATP:

  • Debe poder implementar archivos de configuración en /etc/opt/microsoft/mdatp/managed
  • Debe tener los permisos necesarios para administrar los archivos de configuración del sistema.
  • Si ya usa la configuración administrada para otras opciones de antivirus, anexe al archivo de configuración existente en lugar de reemplazarlo.

• portal de Microsoft Defender:

  • Debe tener los permisos adecuados para crear y asignar directivas de seguridad.

Tipos de examen de antivirus programados

Defender for Endpoint en Linux admite los siguientes tipos de análisis para los análisis programados:

• Exámenes rápidos: los exámenes rápidos se centran en ubicaciones críticas del sistema donde es más probable que haya malware, como rutas de inicio y servicios del sistema. Se completan más rápido y se recomiendan para programaciones frecuentes, como análisis diarios o por intervalos.
• Exámenes completos: los exámenes completos examinan todos los archivos y directorios del dispositivo. Proporcionan una cobertura más completa, pero pueden tardar más en completarse, en función del tamaño del sistema y la carga de trabajo. Normalmente, se programan con menos frecuencia, como semanalmente.

Opciones de programación

Los análisis programados se pueden configurar con las siguientes opciones de programación:

• Exámenes rápidos por hora: ejecute exámenes rápidos a intervalos periódicos (cada N horas).
• Exámenes rápidos diarios: ejecute exámenes rápidos a una hora específica cada día.
• Exámenes semanales: ejecute un examen en un día y hora especificados, con la opción de elegir un examen rápido o un examen completo.

Estas opciones de programación se pueden configurar de forma independiente y combinada. Por ejemplo, puede ejecutar análisis rápidos diarios, además de un análisis completo semanal.

Configuración del análisis programado

En la tabla siguiente se describen los valores disponibles para configurar exámenes antivirus programados:

Configuración de exámenes de antivirus programados

Puede configurar exámenes antivirus programados en Linux mediante uno de los métodos siguientes, en función de cómo administre la configuración del dispositivo en su entorno.

Uso de directivas de administración de configuración de seguridad en el portal de Defender

1. Configura tu tenant para que admita la administración de ajustes de seguridad.

2. En el portal de Defender, vaya a Sistema>Configuración>Puntos de conexión>Administración de la configuración>Ámbito de aplicación y, a continuación, seleccione la plataforma Linux.

3. Etiquetar dispositivos con la etiqueta MDE-Management. La mayoría de los dispositivos se registran y reciben la política en cuestión de minutos, aunque algunos pueden tardar hasta 24 horas. Para obtener más información, consulte Información sobre el uso de Intune para administrar la configuración de Microsoft Defender en dispositivos que no están inscritos con Intune.

4. Cree un grupo de Microsoft Entra.

   • Cree un grupo de Microsoft Entra dinámico basado en el tipo de sistema operativo para asegurarse de que todos los dispositivos incorporados a Defender para punto de conexión reciban las directivas adecuadas.
   • Este grupo dinámico incluye automáticamente dispositivos administrados por Defender para punto de conexión, lo que elimina la necesidad de que los administradores creen manualmente nuevas directivas. Para obtener más información, consulte Creación de grupos de Microsoft Entra.

5. Cree una directiva de seguridad de punto de conexión.

   1. En el portal de Defender, vaya a Puntos de conexión>Administración de la configuración>Directivas de seguridad de puntos de conexión y, a continuación, seleccione Crear nueva directiva.
   2. En Plataforma, seleccione Linux.
   3. Seleccione la plantilla Microsoft Defender Antivirus y, a continuación, seleccione Crear directiva.
   4. En la página Datos básicos, escriba un nombre y una descripción para el perfil y, después, elija Siguiente.
   5. En la página Opciones de configuración, vaya a la sección Análisis programado, hacia el final de la página, y configure la configuración del análisis programado que desea administrar con este perfil.
   6. Cuando haya finalizado la configuración, seleccione Siguiente.
   7. En la página Asignaciones , seleccione los grupos que reciben este perfil. Después, seleccione Siguiente.
   8. En la página Revisar y crear , cuando haya terminado, seleccione Guardar. El nuevo perfil se muestra en la lista cuando se selecciona el tipo de directiva del perfil creado.

   Para obtener más información, consulte Administración de directivas de seguridad de puntos de conexión en Microsoft Defender para punto de conexión.

   

Uso de la configuración json administrada de mdatp

En entornos empresariales, los exámenes antivirus se pueden programar a través de un perfil de configuración. Normalmente, usaría una herramienta de administración de configuración como Puppet, Ansible u otra consola de administración para insertar un archivo con el nombre mdatp_managed.json en la ubicación /etc/opt/microsoft/mdatp/managed.

Si ya usa mdatp_managed.json para configurar otras opciones de Defender para punto de conexión (por ejemplo, exclusiones o preferencias de antivirus), no reemplace el archivo existente. Los ajustes de los análisis programados deben añadirse a tu JSON administrado existente, junto con tu configuración actual. Para obtener más información, consulte Configuración de las opciones de seguridad en Microsoft Defender para punto de conexión en Linux.

En el ejemplo siguiente se configura:

• Un examen completo semanal todos los sábados a las 3:00 AM.
• Un examen rápido diario todos los días a las 3:00 AM.
• Los análisis solo se realizan cuando el dispositivo está inactivo.
• Reducción del impacto en la CPU mediante la programación de prioridad baja.
• Las actualizaciones de definiciones se comprueban antes del examen.
• Las exclusiones se ignoran durante los análisis.
• Las horas de inicio del escaneo se distribuyen aleatoriamente en un intervalo de hasta 3 horas.

{
  "antivirusEngine": {
    "scheduledScan": "enabled"
  },
  "scheduledScan": {
    "weeklyConfiguration": {
      "dayOfWeek": 7,
      "scanType": "full",
      "timeOfDay": 180
    },
    "dailyConfiguration": {
      "timeOfDay": 180
    },
    "runScanWhenIdle": true,
    "lowPriorityScheduledScan": true,
    "checkForDefinitionsUpdate": true,
    "ignoreExclusions": true,
    "randomizeScanStartTime": 3
  }
}

Usar la línea de comandos para configurar exámenes programados

Puede configurar exámenes antivirus programados directamente en un dispositivo Linux mediante la herramienta de línea de comandos Microsoft Defender para punto de conexión (mdatp). Este enfoque es útil para probar o configurar un solo dispositivo.

Activar análisis programados:

mdatp config scheduled-scan settings feature --value enabled

Configuración del examen rápido diario:

Ejecute un examen rápido diario a una hora específica (en minutos desde medianoche).

Ejemplo: Examen rápido diario a las 2:00 AM

mdatp config scheduled-scan quick-scan time-of-day --value 120

Configuración del examen rápido basado en intervalos:

Ejecute exámenes rápidos a intervalos regulares por hora.

Ejemplo: Ejecución de un examen rápido cada 6 horas

mdatp config scheduled-scan quick-scan hourly-interval --value 6

Configurar análisis semanal:

Programe un examen semanal con un día, hora y tipo de examen específicos.

Ejemplo: Examen completo semanal todos los miércoles a las 3:00 AM

mdatp config scheduled-scan weekly-scan --day-of-week 4 --time-of-day 180 --scan-type full

Prioridad de configuración

Si la configuración del examen programado se establece mediante varios métodos, las directivas del portal de Microsoft Defender (Administración de la configuración de seguridad) tienen prioridad sobre la configuración local (JSON administrado o la CLI).

Comprobación de exámenes de antivirus programados

Después de configurar los exámenes programados, compruebe que la configuración se aplica correctamente y que los exámenes se ejecutan según lo esperado.

Comprobación del estado de la configuración

Ejecute el siguiente comando para confirmar que se aplica la configuración de examen programada:

mdatp health --details scheduled_scan

Este comando muestra la configuración de examen programada actual en el dispositivo.

Comprobar la ejecución programada del análisis

Para ver el historial de análisis realizados:

mdatp scan list

Este comando muestra los análisis finalizados y en curso.

También puede comprobar directamente la actividad de análisis desde el portal de Microsoft Defender a nivel de dispositivo. Muestra el último análisis completo y el último análisis rápido:

1. Ve a Activos>Dispositivos.
2. Seleccione el dispositivo de Linux de destino.
3. En la pestaña Información general , busque la sección Estado de mantenimiento del dispositivo .

Esto ayuda a confirmar si los exámenes programados se ejecutan según lo esperado en el dispositivo.

Preguntas frecuentes

¿Los análisis programados requieren que la protección en tiempo real esté habilitada?

No. Los análisis programados se ejecutan de forma independiente de la protección en tiempo real. Pueden ejecutarse incluso cuando la protección en tiempo real está deshabilitada o el dispositivo está en modo pasivo o a petición.

¿Se pueden configurar a la vez análisis diarios y semanales?

Sí. Las configuraciones diarias y semanales pueden coexistir. Un patrón común son los exámenes diarios para la cobertura regular y un examen completo semanal para una inspección más profunda.

¿Qué tipo de escaneo se usa para los escaneos diarios?

Los exámenes diarios siguen el comportamiento predeterminado del motor; siempre son exámenes rápidos. El tipo de análisis se puede configurar de forma explícita para los análisis semanales.

¿Se aplican exclusiones durante los exámenes programados?

De forma predeterminada, los análisis programados respetan las exclusiones configuradas. Si ignoreExclusions se establece en verdadero, los análisis programados ignorarán las exclusiones durante la ejecución.

¿Qué zona horaria se usa para la programación de exámenes?

Todas las horas de examen programadas se evalúan mediante la zona horaria local del dispositivo.

¿Qué ocurre si no se especifica ninguna configuración diaria ni semanal?

Si no se define ninguna configuración diaria o semanal, no se ejecutarán los análisis programados.

¿Puedo escalonar las horas de inicio del examen entre dispositivos?

Use randomizeScanStartTime para aleatorizar el inicio del examen dentro de una ventana definida, lo que ayuda a reducir la carga simultánea en toda la flota.

¿Qué ocurre si el servidor está sin conexión?

Los análisis programados no se ejecutan a la hora programada mientras el dispositivo está en modo de suspensión. En su lugar, los análisis programados se ejecutan cuando el dispositivo sale del modo de suspensión. Si el dispositivo está desactivado, el examen se ejecuta en el siguiente tiempo de examen programado.

Contenido relacionado

• Configuración de la seguridad en Microsoft Defender para punto de conexión en Linux