Configurar definições de segurança no Microsoft Defender para Endpoint no Linux

Microsoft Defender para Endpoint no Linux inclui antivírus, proteção antimalware, deteção de pontos finais e capacidades de resposta. Este artigo resume definições de segurança importantes para configurar e inclui ligações para outros recursos.

Opções para configurar definições de segurança

Para configurar as definições de segurança no Defender para Endpoint no Linux, tem duas opções principais:

• Utilizar o portal do Microsoft Defender (Gestão de Definições de Segurança do Defender para Endpoint)

  ou

• Utilizar um perfil de configuração

Pode utilizar a linha de comandos para configurar definições específicas, recolher diagnósticos, executar análises e muito mais. Para obter mais informações, veja Linux recursos: Configurar com a linha de comandos.

Configurar definições com o Defender para Gestão de Definições de Segurança de Endpoints

Pode configurar o Defender for Endpoint no Linux no portal Microsoft Defender em (portal Microsoft Defender) usando o Defender para a Gestão das Definições de Segurança do Endpoint. Para obter mais informações, incluindo como criar, editar e verificar políticas de segurança, consulte Utilizar a Gestão de Definições de Segurança do Microsoft Defender para Endpoint para gerir Microsoft Defender Antivírus.

Use um perfil de configuração para gerir as definições de segurança

Pode configurar definições do Defender para Endpoint no Linux através de um perfil de configuração que utiliza um .json ficheiro. Depois de configurar o seu perfil, pode implementá-lo com a sua ferramenta de gestão à sua escolha. As preferências geridas pela empresa têm precedência sobre as preferências definidas localmente no dispositivo.

Por outras palavras, os utilizadores na sua empresa não conseguem alterar as preferências definidas através deste perfil de configuração. Se as exclusões tiverem sido adicionadas através do perfil de configuração gerida, só podem ser removidas através do perfil de configuração gerida. A linha de comandos funciona para exclusões adicionadas localmente.

A seguinte orientação para o perfil de configuração descreve a estrutura do perfil de configuração do Defender for Endpoint no Linux, inclui um perfil inicial recomendado e explica como o implementar.

Estrutura do perfil de configuração

O perfil de configuração é um .json ficheiro que consiste em entradas identificadas por uma chave (que denota o nome da preferência), seguido de um valor, que depende da natureza da preferência. Os valores podem ser simples (por exemplo, um valor numérico) ou complexos (por exemplo, uma lista aninhada de preferências).

Normalmente, utiliza uma ferramenta de gestão da configuração para copiar um ficheiro com o nome mdatp_managed.json para o local /etc/opt/microsoft/mdatp/managed/.

O nível superior do perfil de configuração inclui preferências para todo o produto e entradas para subáreas do produto, como preferências do motor Antivírus, preferências de proteção entregue na Cloud, funcionalidades opcionais avançadas e configurações de proteção de rede.

Perfil de configuração recomendado

A seguinte orientação recomendada para o perfil de configuração inclui dois exemplos de perfis de configuração:

• Perfil de exemplo para o ajudar a começar a utilizar as definições recomendadas.
• Exemplo de perfil de configuração completo para organizações que pretendem um controlo mais granular sobre as definições de segurança.

Para começar, recomendamos que utilize o primeiro perfil de exemplo para a sua organização. Para obter um controlo mais granular, pode utilizar o exemplo de perfil de configuração completo .

Perfil de exemplo

O seguinte perfil de configuração ajuda-o a tirar partido de funcionalidades de proteção importantes no Defender para Endpoint no Linux. O perfil inclui a seguinte configuração:

• Ativar a proteção em tempo real (RTP).
• Especifique a forma como os seguintes tipos de ameaças são processados:
  • As aplicações potencialmente indesejadas (PUA) estão bloqueadas.
  • As bombas de arquivo (ficheiros com uma taxa de compressão elevada) são registadas nos registos do produto.
• Ativar atualizações automáticas de informações de segurança.
• Ativar a proteção fornecida pela cloud.
• Ative a submissão automática de amostras ao nível safe.

{
   "antivirusEngine":{
      "enforcementLevel":"real_time",
      "threatTypeSettings":[
         {
            "key":"potentially_unwanted_application",
            "value":"block"
         },
         {
            "key":"archive_bomb",
            "value":"audit"
         }
      ]
   },
   "cloudService":{
      "automaticDefinitionUpdateEnabled":true,
      "automaticSampleSubmissionConsent":"safe",
      "enabled":true,
      "proxy": "<EXAMPLE DO NOT USE> http://proxy.server:port/"
   }
}

Exemplo de perfil de configuração completo

O seguinte exemplo completo de configuração gerida contém entradas para todas as definições descritas neste artigo, incluindo motor antivírus, varredura programada, serviço na cloud, funcionalidade avançada, proteção de rede, EDR e definições de exclusão. Podes usar este perfil para cenários avançados onde queres controlo granular sobre cada definição.

{
"antivirusEngine":{
      "enforcementLevel":"passive",
      "behaviorMonitoring": "disabled",
      "scanAfterDefinitionUpdate":true,
      "scanArchives":true,
      "scanHistoryMaximumItems": 10000,
      "scanResultsRetentionDays": 90,
      "maximumOnDemandScanThreads":2,
      "exclusionsMergePolicy":"merge",
      "allowedThreats":[
         "<EXAMPLE DO NOT USE>EICAR-Test-File (not a virus)"
      ],
      "disallowedThreatActions":[
         "allow",
         "restore"
      ],
      "nonExecMountPolicy":"unmute",
      "unmonitoredFilesystems": ["nfs,fuse"],
      "enableFileHashComputation": false,
      "threatTypeSettingsMergePolicy":"merge",
      "threatTypeSettings":[
         {
            "key":"potentially_unwanted_application",
            "value":"block"
         },
         {
            "key":"archive_bomb",
            "value":"audit"
         }
      ],
      "scanFileModifyPermissions":true,
      "scanFileModifyOwnership":false,
      "scanNetworkSocketEvent":false,
      "offlineDefinitionUpdateUrl": "http://172.22.199.67:8000/linux/production/<EXAMPLE DO NOT USE>",
      "offlineDefinitionUpdateFallbackToCloud":false,
      "offlineDefinitionUpdate":"disabled",
      "scheduledScan": "enabled"
   },
   "scheduledScan":{
      "weeklyConfiguration":{
         "dayOfWeek": 7,
         "scanType": "full",
         "timeOfDay": 180
      },
      "dailyConfiguration":{
         "timeOfDay": 180
      },
      "runScanWhenIdle": true,
      "lowPriorityScheduledScan": true,
      "checkForDefinitionsUpdate": true,
      "ignoreExclusions": false,
      "randomizeScanStartTime": 3
   },
   "cloudService":{
      "enabled":true,
      "diagnosticLevel":"optional",
      "automaticSampleSubmissionConsent":"safe",
      "automaticDefinitionUpdateEnabled":true,
      "proxy": "<EXAMPLE DO NOT USE> http://proxy.server:port/",
      "definitionUpdatesInterval":28800
   },
   "features":{
      "moduleLoad":"disabled",
      "supplementarySensorConfigurations":{
        "enableFilePermissionEvents":"disabled",
        "enableFileOwnershipEvents":"disabled",
        "enableRawSocketEvent":"disabled",
        "enableBootLoaderCalls":"disabled",
        "enableProcessCalls":"disabled",
        "enablePseudofsCalls":"disabled",
        "enableEbpfModuleLoadEvents":"disabled",
        "sendLowfiEvents":"disabled"
      },
      "ebpfSupplementaryEventProvider":"enabled",
      "offlineDefinitionUpdateVerifySig": "disabled"
   },
   "networkProtection":{
      "enforcementLevel":"disabled",
      "disableIcmpInspection":true
   },
   "edr":{
      "groupIds":"GroupIdExample",
      "tags": [
         {
         "key": "GROUP",
         "value": "Tag"
         }
       ]
   },
"exclusionSettings":{
  "exclusions":[
     {
        "$type":"excludedPath",
        "isDirectory":true,
        "path":"/home/*/git<EXAMPLE DO NOT USE>",
        "scopes": [
              "epp"
        ]
     },
     {
        "$type":"excludedPath",
        "isDirectory":true,
        "path":"/run<EXAMPLE DO NOT USE>",
        "scopes": [
              "global"
        ]
     },
     {
        "$type":"excludedPath",
        "isDirectory":false,
        "path":"/var/log/system.log<EXAMPLE DO NOT USE><EXCLUDED IN ALL SCENARIOS>",
        "scopes": [
              "epp", "global"
        ]
     },
     {
        "$type":"excludedFileExtension",
        "extension":".pdf<EXAMPLE DO NOT USE>",
        "scopes": [
              "epp"
        ]
     },
     {
        "$type":"excludedFileName",
        "name":"/bin/cat<EXAMPLE DO NOT USE><NO SCOPE PROVIDED - GLOBAL CONSIDERED>"
     }
  ],
  "mergePolicy":"admin_only"
}
}

Definições de antivírus, antimalware e EDR no Defender para Endpoint no Linux

Quer utilize um perfil de configuração (ficheiro .json) ou o portal Microsoft Defender (Gestão de Definições de Segurança), pode configurar as definições de antivírus, antimalware e EDR no Defender para Endpoint em Linux. As secções seguintes descrevem onde e como configurar as suas definições.

Preferências do motor antivírus

A secção antivírusEngine do perfil de configuração gere as preferências do componente antivírus do produto.

Para obter descrições do conteúdo do dicionário e das propriedades da política, consulte Nível de imposição do Microsoft Defender Antivirus, Exclusões da análise, Definições de tipos de ameaça e Política de combinação de exclusões.

Nível de imposição do Antivírus Microsoft Defender

Especifica a preferência de aplicação do motor de antivírus. Existem três valores para definir o nível de imposição:

• Em tempo real (real_time): a proteção em tempo real (analisar ficheiros à medida que são modificados) está ativada.

• A pedido (on_demand): Os ficheiros são analisados apenas a pedido:

  • A proteção em tempo real está desativada.
  • As atualizações de definições ocorrem apenas quando uma análise é iniciada, mesmo que automaticDefinitionUpdateEnabled esteja definido como true no modo a pedido.

• Passivo (passive): executa o motor antivírus no modo passivo:

  • A proteção em tempo real está desativada. O Microsoft Defender Antivirus não corrige ameaças.
  • A análise a pedido está ativada. As capacidades de análise ainda estão disponíveis no dispositivo.
  • A remediação automática de ameaças está desativada. Não são movidos ficheiros e espera-se que o administrador de segurança tome as medidas necessárias.
  • As atualizações de informações de segurança estão ativadas. Os alertas estão disponíveis na organização do administrador de segurança.
  • As atualizações de definição ocorrem apenas quando uma análise é iniciada, mesmo que automaticDefinitionUpdateEnabled esteja definida como true.
  • A deteção e resposta de terminais (EDR) está ativada. O resultado do comando mdatp health no dispositivo mostra engine not loaded para a propriedade engine_load_version. O motor está relacionado com o antivírus e não com o EDR.

Para verificar se a proteção em tempo real está ativa após aplicar uma configuração ao nível de aplicação, execute o seguinte comando. O comando retorna true se a proteção em tempo real estiver ativada ou false se estiver desativada:

mdatp health --field real_time_protection_enabled

Ativar ou desativar a monitorização de comportamento (se o RTP estiver ativado)

Especifica se a capacidade de monitorização de comportamento e bloqueio está ativada ou desativada no dispositivo.

Executar uma análise após a atualização das definições

Especifica se deve ser iniciada uma análise de processos depois de serem transferidas para o dispositivo novas atualizações de inteligência de segurança. Ativar esta definição aciona uma análise antivírus nos processos em execução do dispositivo.

Analisar arquivos (apenas análises antivírus a pedido)

Especifica se pretende analisar arquivos durante análises antivírus a pedido.

Grau de paralelismo para análises a pedido

Especifica o grau de paralelismo para análises a pedido. Esta definição corresponde ao número de threads de processador utilizados pela análise. Esta definição afeta a utilização da CPU e a duração das análises a pedido.

Política de fusão de exclusão

Especifica se pretende utilizar exclusões definidas pelo utilizador no dispositivo. Os valores válidos são:

• admin_only: Utilize apenas exclusões definidas pelo administrador configuradas na política do Defender for Endpoint. Utilize este valor para impedir que os utilizadores definam as suas próprias exclusões.
• merge: utilize uma combinação de exclusões definidas pelo administrador e definidas pelo utilizador.

Configurar exclusões da análise

Entidades excluídas das análises. Especifica exclusões como uma matriz de itens. Os administradores podem especificar o número de elementos necessários, por qualquer ordem. Especifique exclusões com caminhos completos, extensões ou nomes de ficheiros.

Para uma descrição do conteúdo do dicionário, veja Tipo de exclusão, Caminho para conteúdo excluído, Tipo de caminho (ficheiro / diretório),Extensão de ficheiro excluída da varredura e Processo excluído da varredura.

Tipo de exclusão

Especifica o tipo de conteúdo excluído das análises.

Caminho para conteúdo excluído

Exclua conteúdo da verificação através do caminho completo do ficheiro.

Tipo de caminho (ficheiro/diretório)

Especifica se a propriedade path se refere a um ficheiro ou diretório.

Extensão de ficheiro excluída da análise

Exclua conteúdo da análise por extensão de ficheiro.

Processo excluído da análise

Especifica um processo para o qual toda a atividade de ficheiro é excluída da análise. Pode especificar o processo por nome (por exemplo, cat) ou caminho completo (por exemplo, /bin/cat).

Silenciar pontos de montagem não executáveis

Especifica o comportamento do RTP em pontos de montagem marcados como noexec. Os valores válidos são:

• Não ativado (unmute): todos os pontos de montagem são analisados como parte do RTP. Este valor é a predefinição.
• Silenciado (mute): os pontos de montagem marcados como noexec não são verificados no âmbito do RTP.
  • Os servidores de bases de dados podem manter o ficheiro de base de dados.
  • Os servidores de ficheiros podem manter pontos de montagem de ficheiros de dados.
  • A cópia de segurança pode manter pontos de montagem de ficheiros de dados.

Desmonitorizar sistemas de ficheiros

Especifica os sistemas de ficheiros que não são monitorizados pelo (são excluídos de) RTP. Os sistemas de ficheiros especificados ainda são analisados por análises rápidas, completas e personalizadas no Antivírus Microsoft Defender.

Quando adiciona ou remove um sistema de ficheiros da lista não monitorizada, a Microsoft valida a elegibilidade do sistema de ficheiros para monitorização por RTP (removido da lista) ou nenhuma monitorização por RTP (adicionada à lista).

• Por predefinição, os seguintes sistemas de ficheiros são monitorizados pelo RTP:

  • btrfs
  • ecryptfs
  • ext2
  • ext3
  • ext4
  • fuseblk
  • jfs
  • overlay
  • ramfs
  • reiserfs
  • tmpfs
  • udf
  • vfat
  • xfs

• Por predefinição, os seguintes sistemas de ficheiros não são monitorizados pelo RTP:

  • cifs^*
  • fuse
  • nfs
  • nfs4^*
  • smb^*

  Estes sistemas de ficheiros também não são monitorizados por análises Rápidas e Completas, mas podem ser analisados por análises personalizadas.

  ^* Atualmente, a monitorização RTP deste sistema de ficheiros está em versão preliminar.

Para configurar a unmonitoredFilesystems definição, adicione-a à antivirusEngine secção do seu ficheiro de configuração gerida. Os sistemas de ficheiros incluídos neste array estão excluídos da monitorização de proteção em tempo real (RTP). Por exemplo, para remover nfs e nfs4 da lista não monitorizada para que o RTP os monitorize após validação, atualize o ficheiro de configuração gerida com a seguinte entrada:

{
   "antivirusEngine":{
      "unmonitoredFilesystems": ["cifs","fuse","smb"]
  }
}

Para limpar a lista de sistemas de ficheiros não monitorizados, de modo a que o RTP monitorize todos os tipos de sistemas de ficheiros suportados, defina unmonitoredFilesystems um array vazio. Esta configuração assegura que nenhum sistema de ficheiros está excluído da monitorização de proteção em tempo real:

{
   "antivirusEngine":{
      "unmonitoredFilesystems": []
  }
}

Configurar a funcionalidade de computação hash de ficheiros

Ativa ou desativa o cálculo do hash dos ficheiros analisados pelo Defender for Endpoint. Ativar esta funcionalidade pode afetar o desempenho do dispositivo. Para obter mais informações, veja Criar indicadores para ficheiros.

Configurar ameaças permitidas

Especifica os nomes das ameaças que não são bloqueadas pelo Defender para Endpoint. Em vez disso, é permitida a execução destas ameaças.

Configurar ações de ameaça não permitidas

Restringe as ações permitidas pelo utilizador do dispositivo quando são detetadas ameaças. As ações incluídas nesta lista não são apresentadas na interface de utilizador.

Definições de tipo de ameaça

Controlar a forma como determinados tipos de ameaças são processados.

Para uma descrição do conteúdo do dicionário, veja Tipo de Ameaça e Ação a tomar.

Tipo de ameaça

Especifica o tipo de ameaça.

Ação a tomar

Especifica a ação quando são detetados os tipos de ameaças especificados anteriormente. Os valores válidos são:

• Auditoria: o dispositivo não está protegido contra este tipo de ameaça, mas é registada uma entrada sobre a ameaça. Este valor é Predefinido.
• Bloco: o dispositivo está protegido contra este tipo de ameaça e é notificado no portal do Microsoft Defender.
• Desativado: o dispositivo não está protegido contra este tipo de ameaça e nada é registado.

Política de intercalação de definições de tipo de ameaça

Especifica se pretende utilizar definições de tipo de ameaça definidas pelo utilizador no dispositivo. Os valores válidos são:

• admin_only: utilize apenas definições de tipo de ameaça definidas pelo administrador. Utilize este valor para impedir que os utilizadores definam as suas próprias definições de tipo de ameaça.
• merge: utilize uma combinação de definições de tipo de ameaça definidas pelo administrador e definidas pelo utilizador.

Retenção do histórico de análises de antivírus (em dias)

Especifique o número de dias que os resultados são retidos no histórico de análises no dispositivo. Os resultados antigos da análise são removidos do histórico. Os ficheiros antigos em quarentena também são removidos do disco.

Número máximo de itens no histórico de análise de antivírus

Especifique o número máximo de entradas a manter no histórico de análises. As entradas incluem todas as análises a pedido e todas as deteções de antivírus.

Preferências de definição de exclusão

A secção exclusionSettings do perfil de configuração configura várias exclusões para o Microsoft Defender para Endpoint no Linux.

Para uma descrição do conteúdo do dicionário, consulte Política de fusão, Política de fusão de exclusões e Exclusões.

Política de fusão de definições de exclusão

A configuração seguinte controla como as exclusões definidas pelo administrador e definidas pelo utilizador são combinadas.

Política de fusão de exclusão

Especifica se pretende utilizar exclusões definidas pelo utilizador no dispositivo. Os valores válidos são:

• admin_only: Utilize apenas exclusões definidas pelo administrador configuradas na política do Defender for Endpoint. Utilize este valor para impedir que os utilizadores definam as suas próprias exclusões.
• merge: utilize uma combinação de exclusões definidas pelo administrador e definidas pelo utilizador.

Esta definição aplica-se a exclusões de todos os âmbitos.

Exclusões

Entidades excluídas das análises. Especifica exclusões como uma matriz de itens. Os administradores podem especificar o número de elementos necessários, por qualquer ordem. Especifique exclusões com caminhos completos, extensões ou nomes de ficheiros. Para cada exclusão, pode especificar um âmbito. O âmbito predefinido é global.

O dicionário de exclusão inclui entradas para o tipo de exclusão, âmbito da exclusão, caminho para o conteúdo excluído, tipo de caminho (ficheiro ou diretório), extensão do ficheiro e nome do processo.

Tipo de exclusão

Especifica o tipo de conteúdo excluído das análises.

Âmbito da exclusão (opcional)

Especifica o âmbito de exclusão do conteúdo excluído. Os valores válidos são:

• epp
• global

Se não especificar um âmbito de exclusão na configuração gerida, o valor global é utilizado.

Caminho para conteúdo excluído

Exclua ficheiros das verificações com base no caminho completo do ficheiro.

Tipo de caminho (ficheiro/diretório)

Especifica se a propriedade path se refere a um ficheiro ou diretório.

Extensão de ficheiro excluída da análise

Excluir conteúdo das verificações por extensão de ficheiro.

Processo excluído da análise

Exclua toda a atividade do ficheiro por um processo de análises. Os valores válidos são:

• Nome do processo. Por exemplo, cat.
• Caminho completo. Por exemplo, /bin/cat.

Opções avançadas de digitalização

Pode configurar as seguintes definições para ativar determinadas funcionalidades de análise avançadas.

Configurar a análise de eventos de permissões de modificação de ficheiros

Especifica se o Defender para Endpoint analisa ficheiros quando as respetivas permissões foram alteradas para definir os bits executados.

Configurar a análise de eventos de propriedade de modificação de ficheiros

Especifica se o Defender para Endpoint analisa ficheiros com propriedade alterada.

Configurar a análise de eventos de socket não processados

Especifica se o Defender para Endpoint analisa eventos de socket de rede. Por exemplo:

• Criar sockets em bruto / sockets de pacotes.
• Configurar opções do socket.

Preferências de análise agendadas (pré-visualização)

A scheduledScan secção do perfil de configuração configura análises antivírus agendadas incorporadas. Para ativar as análises agendadas, defina antivirusEngine.scheduledScan como "enabled".

Para uma descrição do conteúdo do dicionário de varredura agendada, consulte Ativar digitalizações agendadas, Configuração semanal de varredura, Configuração diária de varredura e Definições avançadas de varredura agendada.

Para obter os detalhes completos sobre a configuração da análise agendada, incluindo como utilizar as políticas de Gestão de Definições de Segurança e a linha de comandos, veja Agendar análises antivírus no Linux (pré-visualização).

Ativar análises agendadas

Especifica se as análises agendadas estão ativadas.

Configuração de análise semanal

Configura uma análise semanal com um dia, hora e tipo de análise específicos.

Dia da semana

Especifica o dia em que a análise semanal é executada.

Tipo de análise (semanal)

Especifica o tipo de análise para análises semanais.

Hora do dia (semanalmente)

Especifica quando a análise semanal é executada. O valor é em minutos a partir da meia-noite (hora local).

Configuração de análise diária

Configura uma análise rápida diária numa hora específica todos os dias.

Hora do dia (diariamente)

Especifica quando a análise rápida diária é executada. O valor é em minutos a partir da meia-noite (hora local).

Intervalo

Executa uma análise rápida a cada N horas (agendamento baseado no intervalo).

Definições avançadas de análise agendada

As seguintes definições permitem-lhe ajustar com precisão a forma como as análises agendadas funcionam.

Executar análise quando o computador estiver inativo

Adia a verificação até que o sistema estiver inativo.

Verificação agendada de baixa prioridade

Executa análises com prioridade de CPU reduzida.

Procurar atualização de definições

Verifica a existência das atualizações de informações de segurança mais recentes antes de iniciar a análise.

Ignorar exclusões

Executa análises sem respeitar as exclusões configuradas.

Randomizar a hora de início da verificação

Aleatoriza-se a hora de início da análise dentro de uma janela definida (em horas) para evitar análises simultâneas em vários dispositivos.

Configurar preferências de proteção entregues na cloud

A entrada cloudService no perfil de configuração configura a funcionalidade de proteção orientada para a cloud.

Veja as seguintes subsecções para obter uma descrição do conteúdo do dicionário e das definições de política.

Ativar ou desativar a proteção fornecida pela cloud

Especifique se a proteção fornecida pela cloud está ativada no dispositivo. Para melhorar a segurança, recomendamos que mantenha esta funcionalidade ativada.

Nível de recolha de diagnósticos

Especifique o nível de informação de diagnóstico enviada à Microsoft. Para obter mais informações, consulte Privacidade do Microsoft Defender para Endpoint no Linux.

Os dados de diagnóstico são utilizados para manter o Defender para Endpoint seguro e atualizado, detetar, diagnosticar e corrigir problemas e também melhorar o produto.

Configurar o nível de bloco na nuvem

Especifique a agressividade do Defender para Endpoint ao bloquear e analisar ficheiros suspeitos. Os valores válidos são:

• Normal (normal): o valor é a predefinição.
• Moderado (moderate): dê veredictos apenas para deteções de alta confiança.
• Alto (high): bloqueie agressivamente ficheiros desconhecidos ao otimizar o desempenho. Este valor tem maior probabilidade de bloquear ficheiros inofensivos.
• High Plus (high_plus): bloqueie agressivamente ficheiros desconhecidos e aplique medidas de proteção adicionais. Este valor pode afetar o desempenho do dispositivo cliente.
• Tolerância Zero (zero_tolerance): bloquear todos os programas desconhecidos.

Se esta definição estiver ativada, o Defender para Endpoint é mais agressivo ao identificar ficheiros suspeitos para bloquear e analisar. Caso contrário, é menos agressivo e, portanto, bloqueia e analisa com menos frequência.

Ativar ou desativar submissões automáticas de exemplo

Especifica se as amostras suspeitas (susceptíveis de conter ameaças) são enviadas para a Microsoft. Os valores válidos são:

• Nenhum: não são submetidas amostras suspeitas à Microsoft.
• Seguro: apenas os exemplos suspeitos que não contenham informações pessoais são submetidos automaticamente. Este valor é a predefinição.
• Tudo: todos os exemplos suspeitos são submetidos à Microsoft.

Ativar ou desativar atualizações automáticas de informações de segurança

Especifica se as atualizações de informações de segurança são instaladas automaticamente.

Consoante o nível de imposição, as atualizações automáticas de informações de segurança são instaladas de forma diferente. No modo RTP, as atualizações são instaladas periodicamente. No modo Passivo ou a Pedido, as atualizações são instaladas antes de cada análise.

Configurar funcionalidades opcionais avançadas

Utilize as seguintes definições para ativar determinadas funcionalidades opcionais avançadas.

Para uma descrição do conteúdo do dicionário, veja a funcionalidade de carregamento do módulo, a funcionalidade de remediar ficheiros infetados e as configurações suplementares do sensor.

Funcionalidade de carregamento do módulo

Especifica se os eventos de carregamento do módulo (eventos de abertura de ficheiros em bibliotecas partilhadas) são monitorizados.

Funcionalidade Remediar Ficheiro Infetado

Especifica se os processos infetados que abrem ou carregam ficheiros infetados são remediados no modo RTP.

Configurar as definições suplementares dos sensores

Utilize as seguintes definições para configurar determinadas funcionalidades avançadas do sensor suplementar.

Para obter uma descrição do conteúdo do dicionário, consulte Configurar a monitorização de eventos de modificação de permissões de ficheiros, Configurar a monitorização de eventos de modificação de propriedade de ficheiros, Configurar a monitorização de eventos de sockets em modo raw e Reportar eventos antivírus suspeitos ao EDR.

Configurar a monitorização de eventos de permissões de modificação de ficheiros

Especifica se os eventos de permissões de modificação de ficheiros (chmod) são monitorizados.

Configurar a monitorização de eventos de modificação da propriedade de ficheiros

Especifica se os eventos de propriedade de modificação de ficheiros (chown) são monitorizados.

Configurar a monitorização de eventos de socket não processados

Especifica se são monitorizados os eventos de sockets de rede que envolvem a criação de sockets brutos / sockets de pacotes, ou a definição de opções de socket.

Configurar a monitorização de eventos do carregador de arranque

Especifica se os eventos do carregador de arranque são monitorizados e analisados.

Configurar a monitorização de eventos ptrace

Especifica se os eventos ptrace são monitorizados e analisados.

Configurar a monitorização de eventos pseudofs

Especifica se os eventos pseudofs são monitorizados e analisados.

Configurar a monitorização de eventos de carregamento de módulos com o eBPF

Especifica se os eventos de carregamento do módulo são monitorizados pelo eBPF e analisados.

Configurar a monitorização de eventos abertos a partir de sistemas de ficheiros específicos com o eBPF

Especifica se os eventos abertos de procfs são monitorizados pelo eBPF.

Configurar o enriquecimento da origem dos eventos utilizando eBPF

Especifica se os eventos são enriquecidos com metadados na origem no eBPF.

Ativar a Cache do Motor de Antivírus

Especifica se os metadados dos eventos analisados pelo motor antivírus são colocados em cache.

Comunicar eventos de antivírus suspeitos ao EDR

Especifica se os eventos suspeitos do Antivírus são comunicados ao EDR.

Configurar definições de proteção de rede

Utilize as seguintes definições para configurar funcionalidades avançadas de inspeção de Proteção de Rede que controlam o tráfego inspecionado pela Proteção de Rede.

Para uma descrição do conteúdo do dicionário, consulte Nível de Aplicação e Configurar a inspeção ICMP.

Nível de aplicação

Use esta definição para controlar como a proteção de rede é aplicada ao dispositivo.

Configurar a inspeção ICMP

Especifica se os eventos ICMP são monitorizados e analisados.

Adicionar um ID de grupo ou etiqueta ao perfil de configuração

Quando executa o mdatp health comando pela primeira vez, os valores de ID da etiqueta e do grupo estão em branco. Para adicionar uma etiqueta ou um ID de grupo ao mdatp_managed.json ficheiro, siga estes passos:

1. Abra o perfil de configuração a partir do caminho /etc/opt/microsoft/mdatp/managed/mdatp_managed.json.

2. No bloco cloudService na parte inferior do ficheiro, adicione a etiqueta necessária ou o ID do grupo no final da chaveta de fecho do bloco cloudService, conforme mostrado no exemplo seguinte.

   },
   "cloudService": {
    "enabled": true,
    "diagnosticLevel": "optional",
    "automaticSampleSubmissionConsent": "safe",
    "automaticDefinitionUpdateEnabled": true,
    "proxy": "http://proxy.server:port/"
   },
   "edr": {
   "groupIds":"GroupIdExample",
   "tags": [
            {
            "key": "GROUP",
            "value": "Tag"
            }
          ]
      }
   }
   

   Nota

   • Adicione uma vírgula após o parêntese encaracolado de fecho no final do cloudService bloco.
   • Verifique se existem dois parênteses retos de fecho depois de adicionar tags ou groupIds blocos, conforme mostrado no exemplo.
   • Atualmente, o único nome de chave suportado para etiquetas é GROUP.

Validação do perfil de configuração

Antes de implementares o perfil de configuração, valida se o ficheiro JSON gerido está corretamente formatado e confirma que o Defender for Endpoint aplica as definições como esperado.

Validar o ficheiro JSON gerido

O perfil de configuração tem de ser um ficheiro com formato JSON válido. Antes de implementares o perfil, verifica se a sintaxe JSON está correta e que o ficheiro pode ser analisado sem erros. Existem muitas ferramentas disponíveis para esta validação. Por exemplo, o comando seguinte usa o módulo Python json.tool para verificar a sintaxe JSON válida do ficheiro e imprimir o seu conteúdo para inspeção. Execute este comando se tiver python instalado no seu dispositivo:

python -m json.tool mdatp_managed.json

Se o ficheiro estiver formatado corretamente, o comando devolve o código 0de saída . Caso contrário, são apresentados erros e o comando devolve o código 1de saída .

Verificar se o ficheiro mdatp_managed.json está a funcionar conforme esperado

Para verificar se /etc/opt/microsoft/mdatp/managed/mdatp_managed.json está a funcionar corretamente, deverá ver [managed] junto a estas definições:

• cloud_enabled
• cloud_automatic_sample_submission_consent
• passive_mode_enabled
• real_time_protection_enabled
• automatic_definition_update_enabled

Implementação do perfil de configuração

Depois de criar o perfil de configuração para a sua organização, pode implementá-lo com as suas ferramentas de gestão atuais. O Defender para Endpoint no Linux lê a configuração gerida a partir de /etc/opt/microsoft/mdatp/managed/mdatp_managed.json.