Executar o analisador de cliente no Linux

Se você tiver problemas com o Microsoft Defender para Ponto de Extremidade no Linux e precisar de suporte, talvez seja solicitado a fornecer a saída da ferramenta Client Analyzer. É uma ferramenta de diagnóstico que ajuda administradores e equipes de suporte a solucionar problemas com o Microsoft Defender para Ponto de Extremidade. Recolhe informações detalhadas sobre instalação, configuração, estado de funcionamento do serviço, registos, status de conectividade, etc. Esta ferramenta é utilizada principalmente para verificar o estado de funcionamento do sistema, validar configurações e ajudar a resolver potenciais problemas.

Este artigo explica como utilizar a ferramenta no seu dispositivo ou com resposta em direto. Pode utilizar uma solução baseada em Python ou uma versão binária que não precisa do Python.

Executar a versão binária do analisador de cliente

A versão binária do analisador de cliente é disponibilizada de duas formas:

• Enviado com Microsoft Defender para Linux
• Enviado como uma ferramenta autónoma

Execute o binário do Client Analyzer enviado com Microsoft Defender para Linux:

A execução desta ferramenta gera um pacote de diagnóstico como um .zip ficheiro no /tmp diretório.

Para executar o Client Analyzer, siga estes passos:

1. Aceda ao diretório /opt/microsoft/mdatp/tools/client_analyzer/binary:

   cd /opt/microsoft/mdatp/tools/client_analyzer/binary
   

2. Execute a ferramenta com privilégios de raiz para gerar um pacote de diagnóstico:

   sudo ./MDESupportTool -d
   

Transferir e executar a ferramenta binária autónoma do Client Analyzer

Para utilizar o binário autónomo ClientAnalyzer, conclua os seguintes passos.

1. Transfira a ferramenta binário do XMDE Client Analyzer para a máquina Linux que você precisa investigar. Se você estiver usando um terminal, baixe a ferramenta digitando o seguinte comando:

   wget --quiet -O XMDEClientAnalyzerBinary.zip "https://go.microsoft.com/fwlink/?linkid=2336125"
   

2. Verifique a transferência:

   echo '0C8F010D09557478E0CF626D439D5F7EAB1F6C7EEFF69FF1E98A7289520983E1 XMDEClientAnalyzerBinary.zip' | sha256sum -c
   

3. Extraia o conteúdo de XMDEClientAnalyzerBinary.zip no computador.

   unzip -q XMDEClientAnalyzerBinary.zip -d XMDEClientAnalyzerBinary
   

4. Alterar o diretório:

   cd XMDEClientAnalyzerBinary
   

5. São produzidos dois novos ficheiros zip:

   • SupportToolLinuxamd64Binary.zip: para dispositivos Linux x86
   • SupportToolLinuxarm64Binary.zip: para dispositivos arm Linux

6. Deszipe o zip específico com base na sua arquitetura do SO Linux. Por exemplo, utilizamos aqui o SupportToolLinuxamd64Binary.zip ficheiro .

   unzip -q SupportToolLinuxamd64Binary.zip
   

7. Execute a ferramenta com privilégios de raiz para gerar um pacote de diagnóstico:

   sudo ./MDESupportTool -d
   

Executar o analisador de cliente baseado em Python

A versão python do analisador de cliente é disponibilizada de duas formas:

• Enviado com Microsoft Defender para Linux
• Enviado como uma ferramenta autónoma

Executar a versão python do Client Analyzer enviada com Microsoft Defender para Linux

Para executar este analisador de cliente, siga estes passos:

1. Aceda ao diretório /opt/microsoft/mdatp/tools/client_analyzer/python:

   cd /opt/microsoft/mdatp/tools/client_analyzer/python
   

2. Execute com privilégios de root para instalar as dependências necessárias.

   sudo ./mde_support_tool.sh
   

3. Para coletar o pacote de diagnóstico e gerar o arquivo de resultados, execute novamente com privilégios de root.

   sudo ./mde_support_tool.sh -d
   

Transferir e executar a versão autónoma do Python do Client Analyzer

1. Baixe a ferramenta XMDE Client Analyzer na máquina Linux que você precisa investigar. Se você estiver usando um terminal, baixe a ferramenta digitando o seguinte comando:

   wget --quiet -O XMDEClientAnalyzerPython.zip "https://go.microsoft.com/fwlink/?linkid=2336046"
   

2. Verifique a transferência:

   echo '62F92CD9D191063663FBAC7B29E1C967C8F9A30B9B769DA5E968FC4276C1F030 XMDEClientAnalyzerPython.zip' | sha256sum -c
   

3. Extraia o conteúdo de XMDEClientAnalyzer.zip no computador:

   unzip -q XMDEClientAnalyzerPython.zip -d XMDEClientAnalyzerPython
   

4. Alterar o diretório:

   cd XMDEClientAnalyzerPython
   

5. Conceder permissão executável à ferramenta:

   chmod a+x mde_support_tool.sh
   

6. Execute como um usuário não root para instalar as dependências necessárias:

   ./mde_support_tool.sh
   

7. Para coletar o pacote de diagnóstico e gerar o arquivo de resultados, execute novamente com privilégios de root:

   sudo ./mde_support_tool.sh -d
   

Opções da linha de comandos

O analisador de cliente fornece as seguintes opções de linha de comandos:

usage: MDESupportTool [-h] [--output OUTPUT] [--outdir OUTDIR] [--no-zip]
                      [--force] [--diagnostic] [--skip-mdatp]
                      [--bypass-disclaimer] [--interactive] [--delay DELAY]
                      [--mdatp-log {trace,info,warning,error,debug,verbose}]
                      [--max-log-size MAX_LOG_SIZE]
                      {certinfocollection,performance,installation,exclude,ratelimit,skipfaultyrules,trace,observespikes,connectivitytest}
                      ...

MDE Diagnostics Tool

positional arguments:
  {certinfocollection,performance,installation,exclude,ratelimit,skipfaultyrules,trace,observespikes,connectivitytest}
    certinfocollection  Collect cert information: Subject name and Hashes
    performance         Collect extensive machine performance tracing for
                        analysis of a performance scenario that can be
                        reproduced on demand
    installation        Collect different installation/onboarding reports
    exclude             Exclude specific processes from audit-d monitoring.
    ratelimit           Set the rate limit for auditd events. Rate limit will
                        update the limits for auditd events for all the
                        applications using auditd, which could impact
                        applications other than MDE.
    skipfaultyrules     Continue loading rules in spite of an error. This
                        summarizes the results of loading the rules. The exit
                        code will not be success if any rule fails to load.
    trace               Use OS tracing facilities to record Defender
                        performance traces.
    observespikes       Collect the process logs in case of spike or mdatp
                        crash
    connectivitytest    Perform connectivity test for MDE

optional arguments:
  -h, --help            show this help message and exit
  --output OUTPUT, -o OUTPUT
                        Output path to export report
  --outdir OUTDIR       Directory where diagnostics file will be generated.
  --no-zip, -nz         If set a directory will be created instead of an
                        archive file.
  --force, -f           Will overwrite if output directory exists.
  --diagnostic, -d      Collect extensive machine diagnostic information.
  --skip-mdatp          Skip any mdatp command. Use this when the mdatp
                        command is unresponsive.
  --bypass-disclaimer   Do not display disclaimer banner.
  --interactive, -i     Interactive diagnostic,
  --delay DELAY, -dd DELAY
                        Delay diagnostic by how many minutes (0~2880), use
                        this to wait for more debug logs before it collects.
  --mdatp-log {trace,info,warning,error,debug,verbose}
                        Set MDATP log level. If you use interactive or delay
                        mode, the log level will set to debug automatically,
                        and reset after 48h.
  --max-log-size MAX_LOG_SIZE
                        Maximum log file size in MB before rotating(Will
                        restart mdatp).

Modo de diagnóstico

O modo de diagnóstico é utilizado para recolher um vasto conjunto de informações do computador, como registos de memória, disco e MDATP. Este conjunto de ficheiros fornece o conjunto primário de informações necessárias para depurar qualquer problema relacionado com o Defender para Endpoint.

As opções suportadas são as seguintes:

optional arguments:
  -h, --help            show this help message and exit
  --output OUTPUT, -o OUTPUT
                        Output path to export report
  --outdir OUTDIR       Directory where diagnostics file will be generated.
  --no-zip, -nz         If set a directory will be created instead of an
                        archive file.
  --force, -f           Will overwrite if output directory exists.
  --diagnostic, -d      Collect extensive machine diagnostic information.
  --skip-mdatp          Skip any mdatp command. Use this when the mdatp
                        command is unresponsive.
  --bypass-disclaimer   Do not display disclaimer banner.
  --interactive, -i     Interactive diagnostic,
  --delay DELAY, -dd DELAY
                        Delay diagnostic by how many minutes (0~2880), use
                        this to wait for more debug logs before it collects.
  --mdatp-log {trace,info,warning,error,debug,verbose}
                        Set MDATP log level. If you use interactive or delay
                        mode, the log level will set to debug automatically,
                        and reset after 48h.
  --max-log-size MAX_LOG_SIZE
                        Maximum log file size in MB before rotating(Will
                        restart mdatp).

Exemplo de utilização: sudo ./MDESupportTool -d

Os ficheiros gerados ao utilizar este modo são resumidos na seguinte tabela:

Argumentos opcionais para o Analisador de Cliente

O Client Analyzer fornece os seguintes argumentos opcionais para a recolha de dados extra:

Recolher informações de desempenho

Colete um rastreamento extensivo de desempenho da máquina dos processos do Defender para Endpoint para analisar um cenário de desempenho que possa ser reproduzido sob demanda.

-h, --help            show this help message and exit
--frequency FREQUENCY
                      profile at this frequency
--length LENGTH       length of time to collect (in seconds)

Exemplo de utilização: sudo ./MDESupportTool performance --frequency 500

Este modo gera o seguinte ficheiro:

O tar contém ficheiros no formato <pid of a MDE process>.data. O ficheiro de dados pode ser lido com o comando :

perf report -i <pid>.data

Executar teste de conectividade

Este modo verifica se os recursos de nuvem necessários para o Defender para Endpoint podem ser acessados ou não.

  -h, --help            show this help message and exit
  -o ONBOARDING_SCRIPT, --onboarding-script ONBOARDING_SCRIPT
                        Path to onboarding script
  -g GEO, --geo GEO     Geo string to test <US|UK|EU|AU|CH|IN>

Exemplo de utilização:

sudo ./MDESupportTool connectivitytest -o ~/MicrosoftDefenderATPOnboardingLinuxServer.py`

O resultado impresso no ecrã mostra se os URLs estão acessíveis ou não.

Recolher relatórios de instalação/inclusão diferentes

Este modo recolhe informações relacionadas com a instalação, como a distribuição e os requisitos de sistema.

  -h, --help                show this help message and exit
  -d, --distro              Check for distro support
  -m, --min-requirement     Check for the system info against offical minimum requirements
  -e, --external-dep        Check for externel package dependency
  -c, --connectivity        Check for connectivity for services used by MDE
  -a, --all                 Run all checks
  -o ONBOARDING_SCRIPT, --onboarding-script ONBOARDING_SCRIPT
                            Path to onboarding script
  -g GEO, --geo GEO         Geo string to test <US|UK|EU|AU|CH|IN>

Exemplo de utilização:

sudo ./MDESupportTool installation --all

É gerado um único relatório installation_report.json . As chaves no ficheiro são as seguintes:

Modo de exclusão

Este modo adiciona exclusões para monitoramento de audit-d.

  -h, --help            show this help message and exit
  -e <executable>, --exe <executable>
                        exclude by executable name, i.e: bash
  -p <process id>, --pid <process id>
                        exclude by process id, i.e: 911
  -d <directory>, --dir <directory>
                        exclude by target path, i.e: /var/foo/bar
  -x <executable> <directory>, --exe_dir <executable> <directory>
                        exclude by executable path and target path, i.e: /bin/bash /var/foo/bar
  -q <q_size>, --queue <q_size>
                        set dispatcher q_depth size
  -r, --remove          remove exclusion file
  -s, --stat            get statistics about common executables
  -l, --list            list auditd rules
  -o, --override        Override the existing auditd exclusion rules file for mdatp
  -c <syscall number>, --syscall <syscall number>
                        exclude all process of the given syscall

Exemplo de utilização:

sudo ./MDESupportTool exclude -d /var/foo/bar`

Limitador de taxa AuditD

Esta opção define o limite de taxa globalmente para AuditD, causando uma queda em todos os eventos de auditoria. Quando o limitador está ativado, os eventos auditados estão limitados a 2500 eventos/seg. Esta opção pode ser utilizada nos casos em que vemos uma utilização elevada da CPU do lado AuditD.

-h, --help                                  show this help message and exit
-e <true/false>, --enable <true/false>      enable/disable the rate limit with default values

Exemplo de utilização:

sudo ./mde_support_tool.sh ratelimit -e true

AuditD ignorar regras defeituosas

Esta opção permite-lhe ignorar as regras com falhas adicionadas no ficheiro de regras auditadas ao carregá-las. Permite que o subsistema auditado continue a carregar regras, mesmo que exista uma regra com falhas.

-h, --help                                  show this help message and exit
-e <true/false>, --enable <true/false>      enable/disable the option to skip the faulty rules. In case no argumanet is passed, the option will be true by default.

Exemplo de utilização:

sudo ./mde_support_tool.sh skipfaultyrules -e true

Utilizar a resposta em direto no Defender para Endpoint para recolher registos de suporte

O Analisador de Cliente XMDE pode ser executado durante uma sessão de Resposta ao Vivo, seja usando a versão que já está incluída no Microsoft Defender para Endpoint no Linux, ou baixando o Analisador de Cliente como binário ou como pacote Python e extraindo-o no dispositivo.

• Para a instalação, o unzip pacote é necessário.
• Para a execução, o acl pacote é necessário.

Executar o Client Analyzer da instalação do Microsoft Defender para Endpoint

Se o Microsoft Defender para Endpoint já estiver instalado no dispositivo, é possível executar o Client Analyzer diretamente da instalação do agente, sem baixar ou instalar pacotes adicionais.

• Crie um MDESupportToolBinary.sh ficheiro e cole o seguinte conteúdo no mesmo.

  #! /usr/bin/bash
  
  echo "cd /opt/microsoft/mdatp/tools/client_analyzer/binary"
  cd /opt/microsoft/mdatp/tools/client_analyzer/binary
  
  echo "Running MDESupportTool"
  ./MDESupportTool $@
  
  Execute:
  run MDESupportToolBinary.sh -parameters "--bypass-disclaimer -d"
  
  
  MDESupportToolPython.sh
  
  #! /usr/bin/bash
  
  echo "cd /opt/microsoft/mdatp/tools/client_analyzer/python"
  cd /opt/microsoft/mdatp/tools/client_analyzer/python
  
  echo "Running MDESupportTool"
  ./mde_support_tool.sh $@
  
  Execute:
  run MDESupportToolPython.sh -parameters "--bypass-disclaimer -d"
  
  

Instalar o Analisador de Cliente XMDE

Baixe e extraia o Analisador de Cliente XMDE. Pode utilizar a versão binária ou Python da seguinte forma:

• Versão binária do Analisador de Cliente
• Versão python do Analisador de Cliente

Devido aos comandos limitados disponíveis na resposta em direto, os passos detalhados têm de ser executados num script bash. Ao dividir a parte de instalação e execução destes comandos, é possível executar o script de instalação uma vez e executar o script de execução várias vezes.

Script de instalação do analisador de cliente binário

O script a seguir executa as seis primeiras etapas da seção Executando a versão binária do Analisador de Cliente. Quando terminar, o binário do Analisador de Cliente XMDE está disponível no /tmp/XMDEClientAnalyzerBinary/ClientAnalyzer diretório.

• Crie um ficheiro InstallXMDEClientAnalyzer.sh bash e cole o seguinte conteúdo no mesmo.

  #! /usr/bin/bash 
  
  echo "Starting Client Analyzer Script. Running As:"
  whoami
  
  echo "Getting XMDEClientAnalyzerBinary"
  wget --quiet -O /tmp/XMDEClientAnalyzerBinary.zip https://aka.ms/XMDEClientAnalyzerBinary
  echo 'C65A4E4C6851D130942BFACD147A9D18B8A92B4F50FACF519477FD1C41A1C323 /tmp/XMDEClientAnalyzerBinary.zip' | sha256sum -c
  
  echo "Unzipping XMDEClientAnalyzerBinary.zip"
  unzip -q /tmp/XMDEClientAnalyzerBinary.zip -d /tmp/XMDEClientAnalyzerBinary
  
  echo "Unzipping SupportToolLinuxBinary.zip"
  unzip -q /tmp/XMDEClientAnalyzerBinary/XMDEClientAnalyzer/SupportToolLinuxBinary.zip -d /tmp/XMDEClientAnalyzerBinary/ClientAnalyzer
  
  echo "MDESupportTool installed at /tmp/XMDEClientAnalyzerBinary/ClientAnalyzer"
  
  

Script de instalação do analisador de cliente Python

O script a seguir executa os seis primeiros passos de Execução da versão em Python do Client Analyzer. Quando terminar, os scripts python do Analisador de Clientes XMDE estão disponíveis no /tmp/XMDEClientAnalyzer diretório .

• Crie um ficheiro InstallXMDEClientAnalyzer.sh bash e cole o seguinte conteúdo no mesmo.

  #! /usr/bin/bash
  
  echo "Starting Client Analyzer Install Script. Running As:"
  whoami
  
  echo "Getting XMDEClientAnalyzer.zip"
  wget --quiet -O /tmp/XMDEClientAnalyzer.zip https://aka.ms/XMDEClientAnalyzer 
  echo '07E6A7B89E28A78309D5B6F1E25E4CDFBA9CA141450E422D76441C03AD3477E7 /tmp/XMDEClientAnalyzer.zip' | sha256sum -c  
  
  echo "Unzipping XMDEClientAnalyzer.zip"
  unzip -q /tmp/XMDEClientAnalyzer.zip -d /tmp/XMDEClientAnalyzer  
  
  echo "Setting execute permissions on mde_support_tool.sh script"
  cd /tmp/XMDEClientAnalyzer 
  chmod a+x mde_support_tool.sh  
  
  echo "Performing final support tool setup"
  ./mde_support_tool.sh
  
  

Executar os scripts de instalação do analisador de cliente

1. Inicie uma sessão de Resposta em Direto no computador que pretende investigar.

2. Selecione Carregar ficheiro para a biblioteca.

3. Selecione Escolher ficheiro.

4. Selecione o ficheiro transferido com o nome InstallXMDEClientAnalyzer.she, em seguida, selecione Confirmar.

5. Ainda na sessão LiveResponse, utilize os seguintes comandos para instalar o analisador:

   run InstallXMDEClientAnalyzer.sh
   

Executar o analisador de cliente XMDE

A resposta em direto não suporta a execução direta do Analisador de Cliente XMDE ou Python, pelo que é necessário um script de execução.

Script para executar o analisador de cliente binário

A versão binária do analisador de cliente aceita parâmetros de linha de comandos para realizar testes de análise diferentes. Para fornecer capacidades semelhantes durante a resposta em direto, o script de execução tira partido da $@ variável bash para transmitir todos os parâmetros de entrada fornecidos ao script para o Analisador de Cliente XMDE.

• Crie um ficheiro MDESupportTool.sh bash e cole o seguinte conteúdo no mesmo.

  #! /usr/bin/bash
  
  echo "cd /tmp/XMDEClientAnalyzerBinary/ClientAnalyzer"
  cd /tmp/XMDEClientAnalyzerBinary/ClientAnalyzer
  
  echo "Running MDESupportTool"
  ./MDESupportTool $@
  
  

Script para executar o analisador de cliente Python

A versão python do analisador de cliente aceita parâmetros de linha de comandos para realizar testes de análise diferentes. Para fornecer capacidades semelhantes durante a resposta em direto, o script de execução tira partido da $@ variável bash para transmitir todos os parâmetros de entrada fornecidos ao script para o Analisador de Cliente XMDE.

• Crie um ficheiro MDESupportTool.sh bash e cole o seguinte conteúdo no mesmo.

  #! /usr/bin/bash  
  
  echo "cd /tmp/XMDEClientAnalyzer"
  cd /tmp/XMDEClientAnalyzer 
  
  echo "Running mde_support_tool"
  ./mde_support_tool.sh $@
  
  

Executar o script do analisador de cliente

1. Inicie uma sessão de Resposta em Direto no computador que pretende investigar.

2. Selecione Carregar ficheiro para a biblioteca.

3. Selecione Escolher ficheiro.

4. Selecione o ficheiro transferido com o nome MDESupportTool.she, em seguida, selecione Confirmar.

5. Ainda na sessão de resposta em direto, utilize os seguintes comandos para executar o analisador e recolher o ficheiro resultante:

   run MDESupportTool.sh -parameters "--bypass-disclaimer -d"
   GetFile "/tmp/your_archive_file_name_here.zip"
   

Confira também

• Visão geral do analisador de cliente

• Coleta de dados para solução de problemas avançada no Windows

• Entender o relatório HTML do analisador

Documentos de resolução de problemas do Defender para Endpoint no Linux

• Solucionar problemas de instalação do Microsoft Defender para Endpoint no Linux

• Investigar problemas de saúde do agente

• Solucionar problemas de conectividade com a nuvem do Microsoft Defender para Ponto de Extremidade no Linux

• Solucionar problemas de desempenho no Microsoft Defender para Ponto de Extremidade no Linux

• Solucionar problemas de eventos ou alertas ausentes no Microsoft Defender para Ponto de Extremidade no Linux

• Tratar falsos positivos e falsos negativos no Microsoft Defender para Endpoint