Distribuisci manualmente Microsoft Defender per endpoint su Linux

  • Si applica a: Microsoft Defender for Servers

È possibile distribuire Defender per endpoint in Linux usando vari strumenti e metodi. Questo articolo descrive come distribuire Defender per endpoint in Linux manualmente. Per usare un altro metodo, fare riferimento alla sezione Contenuto correlato.

Nota

È consigliabile usare il metodo di distribuzione di Defender Deployment Tool , in quanto semplifica il processo di onboarding, riduce le attività manuali e supporta un'ampia gamma di scenari di distribuzione, tra cui nuove installazioni, aggiornamenti e disinstallazioni. Per altre informazioni, vedere la documentazione.

Importante

Per eseguire più soluzioni di sicurezza affiancate, vedere Considerazioni su prestazioni, configurazione e supporto.

È possibile che siano già state configurate esclusioni di sicurezza reciproca per i dispositivi di cui è stato eseguito l'onboarding in Microsoft Defender per endpoint. Se è ancora necessario impostare esclusioni reciproche per evitare conflitti, vedere Aggiungere Microsoft Defender per endpoint all'elenco di esclusione per la soluzione esistente.

Procedura di distribuzione manuale

Una distribuzione riuscita richiede il completamento di tutte le attività seguenti:

Prerequisiti e requisiti di sistema

Prima di iniziare, vedere Prerequisiti per Defender per endpoint in Linux per una descrizione dei prerequisiti e dei requisiti di sistema per la versione software corrente.

Avviso

L'aggiornamento del sistema operativo a una nuova versione principale dopo l'installazione del prodotto richiede la reinstallazione del prodotto. È necessario disinstallare l'applicazione Defender per endpoint esistente in Linux'applicazione, aggiornare il sistema operativo e quindi riconfigurare Defender per endpoint in Linux seguendo la procedura descritta in questo articolo.

Configurare il repository del software Linux

Defender per endpoint in Linux può essere distribuito da uno dei canali seguenti (indicato come [canale]): insiders-fast, insiders-slow o prod. Ognuno di questi canali corrisponde a un repository software Linux. Le istruzioni in questo articolo descrivono la configurazione del dispositivo per l'uso di uno di questi repository.

La scelta del canale determina il tipo e la frequenza degli aggiornamenti offerti al dispositivo. I dispositivi in insider-fast sono i primi a ricevere aggiornamenti e nuove funzionalità, seguiti in seguito da insider-slow e infine da prod.

Per visualizzare in anteprima le nuove funzionalità e fornire feedback tempestivi, è consigliabile configurare alcuni dispositivi nell'azienda in modo che utilizzino insiders-fast o insiders-slow.

Avviso

Il cambio di canale dopo l'installazione iniziale richiede la reinstallazione del prodotto. Per cambiare il canale del prodotto: disinstallare il pacchetto esistente, riconfigurare il dispositivo in modo che usi il nuovo canale e seguire la procedura descritta in questo documento per installare il pacchetto dal nuovo percorso.

RHEL e varianti (CentOS, Fedora, Oracle Linux, Amazon Linux 2, Rocky e Alma)

È possibile usare il gestore di pacchetti dnf o yum per distribuire Defender for Endpoint in Linux su RHEL e sulle relative varianti. Le istruzioni nelle sezioni seguenti includono comandi per entrambi i gestori di pacchetti; usare solo quello pertinente.

  1. Installa uno dei due, dnf-plugins-core o yum-utils, se quello che vuoi usare non è ancora installato:

    sudo dnf install dnf-plugins-core

    o

    sudo yum install yum-utils

  2. Individuare il pacchetto corretto per la distribuzione e la versione. Usare la tabella seguente per facilitare l'individuazione del pacchetto:

    Distro & versione Pacchetto
    Alma 8.4 e versioni successive https://packages.microsoft.com/config/alma/8/prod.repo
    Alma 9.2 e versioni successive https://packages.microsoft.com/config/alma/9/prod.repo
    RHEL/Centos/Oracle 9.0-9.8 https://packages.microsoft.com/config/rhel/9/prod.repo
    RHEL/Centos/Oracle 8.0-8.10 https://packages.microsoft.com/config/rhel/8/prod.repo
    RHEL/Centos/Oracle 7.2-7.9 https://packages.microsoft.com/config/rhel/7.2/prod.repo
    Amazon Linux 2 https://packages.microsoft.com/config/amazonlinux/2/prod.repo
    Amazon Linux 2023 https://packages.microsoft.com/config/amazonlinux/2023/prod.repo
    Fedora 33 https://packages.microsoft.com/config/fedora/33/prod.repo
    Fedora 34 https://packages.microsoft.com/config/fedora/34/prod.repo
    Rocky 8.7 e versioni successive https://packages.microsoft.com/config/rocky/8/prod.repo
    Rocky 9.2 e versioni successive https://packages.microsoft.com/config/rocky/9/prod.repo

    Nota

    Per la tua distribuzione e versione, individua sotto https://packages.microsoft.com/config/rhel/ la voce più corrispondente (prima la versione principale, poi quella secondaria).

    Consiglio

    Gli strumenti di applicazione di patch del kernel online, ad esempio Ksplice o simili, possono portare a una stabilità imprevedibile del sistema operativo se Defender per endpoint è in esecuzione. È consigliabile arrestare temporaneamente il daemon defender per endpoint prima di eseguire l'applicazione di patch online al kernel. Dopo l'aggiornamento del kernel, Defender per endpoint in Linux può essere riavviato in modo sicuro. Questa azione è particolarmente importante per i sistemi che eseguono Oracle Linux.

  3. Nei comandi seguenti sostituire [version] e [channel] con le informazioni identificate:

    sudo dnf config-manager --add-repo https://packages.microsoft.com/config/rhel/[version]/[channel].repo

    o

    sudo yum-config-manager --add-repo=https://packages.microsoft.com/config/rhel/[version]/[channel].repo

    Consiglio

    Usare il comando hostnamectl per identificare le informazioni correlate al sistema, inclusa la versione [versione].

    Ad esempio, se si usa CentOS 8 e si vuole distribuire Defender for Endpoint su Linux dal canale prod:

    sudo dnf config-manager --add-repo https://packages.microsoft.com/config/rhel/8/prod.repo

    o

    sudo yum-config-manager --add-repo=https://packages.microsoft.com/config/rhel/8/prod.repo

    In alternativa, se si vogliono esplorare nuove funzionalità nei dispositivi selezionati, è possibile distribuire Defender per endpoint in Linux al canale insider-fast:

    sudo dnf config-manager --add-repo https://packages.microsoft.com/config/rhel/8/insiders-fast.repo

    o

    sudo yum-config-manager --add-repo=https://packages.microsoft.com/config/rhel/8/insiders-fast.repo

  4. Installare la chiave pubblica di Microsoft GPG:

    sudo rpm --import https://packages.microsoft.com/keys/microsoft.asc

SLES e varianti

Nota

Per la tua distribuzione e versione, individua sotto https://packages.microsoft.com/config/sles/ la voce corrispondente più vicina (prima per versione principale, poi per quella secondaria).

  1. Nei comandi seguenti sostituire [distro] e [version] con le informazioni identificate:

    sudo zypper addrepo -c -f -n microsoft-[channel] https://packages.microsoft.com/config/[distro]/[version]/[channel].repo

    Consiglio

    Usare il comando SPident per identificare le informazioni correlate al sistema, inclusa la versione [versione].

    Ad esempio, se si utilizza SLES 12 e si desidera distribuire Defender for Endpoint su Linux dal canale prod:

    sudo zypper addrepo -c -f -n microsoft-prod https://packages.microsoft.com/config/sles/12/prod.repo

  2. Installare la chiave pubblica di Microsoft GPG:

    sudo rpm --import https://packages.microsoft.com/keys/microsoft.asc

Sistemi Ubuntu e Debian

  1. Installare curl se non è ancora installato:

    sudo apt install curl

  2. Installare libplist-utils se non è ancora installato:

    sudo apt install libplist-utils

    Nota

    Per la tua distribuzione e versione, individua sotto https://packages.microsoft.com/config/[distro]/ la voce corrispondente più vicina (in base prima alla versione principale, poi a quella secondaria).

  3. Nel comando seguente sostituire [distro] e [version] con le informazioni identificate:

    curl -o microsoft.list https://packages.microsoft.com/config/[distro]/[version]/[channel].list

    Consiglio

    Usare il comando hostnamectl per identificare le informazioni correlate al sistema, inclusa la versione [versione].

    Ad esempio, se si esegue Ubuntu 18.04 e si vuole distribuire Defender per endpoint in Linux dal prod canale:

    curl -o microsoft.list https://packages.microsoft.com/config/ubuntu/18.04/prod.list

  4. Installare la configurazione del repository:

    sudo mv ./microsoft.list /etc/apt/sources.list.d/microsoft-[channel].list

    Ad esempio, se si sceglie il prod canale:

    sudo mv ./microsoft.list /etc/apt/sources.list.d/microsoft-prod.list

  5. Installare il gpg pacchetto se non è già installato:

    sudo apt install gpg

    Se gpg non è disponibile, installare gnupg.

    sudo apt install gnupg

  6. Installare la chiave pubblica di Microsoft GPG:

    • Per Debian 11/Ubuntu 22.04 e versioni precedenti, eseguire i comandi seguenti.

      curl -sSL https://packages.microsoft.com/keys/microsoft.asc | gpg --dearmor | sudo tee /etc/apt/trusted.gpg.d/microsoft.gpg > /dev/null
sudo chmod o+r /etc/apt/trusted.gpg.d/microsoft.gpg

    • Per Debian 12, Ubuntu 24.04 e versioni successive, eseguire i comandi seguenti.

      curl -sSL https://packages.microsoft.com/keys/microsoft.asc | gpg --dearmor | sudo tee /usr/share/keyrings/microsoft-prod.gpg > /dev/null
sudo chmod o+r /usr/share/keyrings/microsoft-prod.gpg

    • Per Debian 13 e versioni successive, eseguire i comandi seguenti.

      curl -sSL https://packages.microsoft.com/keys/microsoft-2025.asc | gpg --dearmor | sudo tee /usr/share/keyrings/microsoft-prod.gpg > /dev/null
sudo chmod o+r /usr/share/keyrings/microsoft-prod.gpg

  7. Installare il driver HTTPS se non è già installato:

    sudo apt install apt-transport-https

  8. Aggiornare i metadati del repository:

    sudo apt update

Mariner

  1. Installare dnf-plugins-core se non è ancora installato:

    sudo dnf install dnf-plugins-core

  2. Configurare e abilitare i repository necessari.

    Nota

    In Mariner, Insider Fast Channel non è disponibile.

    Se si desidera distribuire Defender for Endpoint su Linux dal canale prod. Usare i comandi seguenti

    sudo dnf install mariner-repos-extras
sudo dnf config-manager --enable mariner-official-extras

    In alternativa, se si desidera esplorare nuove funzionalità su dispositivi selezionati, è possibile distribuire Defender for Endpoint su Linux nel canale insiders-slow. Usare i comandi seguenti:

    sudo dnf install mariner-repos-extras-preview
sudo dnf config-manager --enable mariner-official-extras-preview

Configurazione preliminare per l'installazione in un percorso personalizzato

Questi passaggi sono applicabili solo se Defender deve essere installato in una posizione personalizzata. Per istruzioni dettagliate su come installare Microsoft Defender per endpoint in un percorso personalizzato, vedere Installazione manuale: configurazione preinstallazione.

Per i dettagli sull'installazione in un percorso personalizzato, vedere: Abilitazione della distribuzione di Defender for Endpoint su Linux in un percorso personalizzato.

Installazione dell'applicazione

Usare i comandi nelle sezioni seguenti per installare Defender per endpoint nella distribuzione Linux.

RHEL e varianti (CentOS, Fedora, Oracle Linux, Amazon Linux 2, Rocky e Alma)

sudo dnf install mdatp

o

sudo yum install mdatp

Nota

Se nel dispositivo sono configurati più repository Microsoft, è possibile specificare il repository da cui installare il pacchetto. L'esempio seguente illustra come installare il pacchetto dal production canale se nel dispositivo è configurato anche il canale del insiders-fast repository. Questa situazione può verificarsi se si usano più prodotti Microsoft nel dispositivo. A seconda della distribuzione e della versione del server, l'alias del repository potrebbe essere diverso da quello nell'esempio seguente.

# list all repositories
sudo dnf repolist

o

# list all repositories
sudo yum repolist

...
packages-microsoft-com-prod               packages-microsoft-com-prod        316
packages-microsoft-com-prod-insiders-fast packages-microsoft-com-prod-ins      2
...

Ad esempio, per installare il pacchetto dal repository di produzione:

sudo dnf --enablerepo=packages-microsoft-com-prod install mdatp

o

sudo yum --enablerepo=packages-microsoft-com-prod install mdatp

SLES e varianti

sudo zypper install mdatp

Nota

Se nel dispositivo sono configurati più repository Microsoft, è possibile specificare il repository da cui installare il pacchetto. L'esempio seguente illustra come installare il pacchetto dal production canale se nel dispositivo è configurato anche il canale del insiders-fast repository. Questa situazione può verificarsi se si usano più prodotti Microsoft nel dispositivo.

zypper repos

...
#  | Alias | Name | ...
XX | packages-microsoft-com-insiders-fast | microsoft-insiders-fast | ...
XX | packages-microsoft-com-prod | microsoft-prod | ...
...

sudo zypper install packages-microsoft-com-prod:mdatp

Sistemi Ubuntu e Debian

sudo apt install mdatp

Nota

Se nel dispositivo sono configurati più repository Microsoft, è possibile specificare il repository da cui installare il pacchetto. L'esempio seguente illustra come installare il pacchetto dal production canale se nel dispositivo è configurato anche il canale del insiders-fast repository. Questa situazione può verificarsi se si usano più prodotti Microsoft nel dispositivo.

I numeri di versione e i nomi di codice di rilascio nei frammenti di codice seguenti sono esempi. Usare il nome del codice di versione effettivo restituito dal comando bash.

cat /etc/apt/sources.list.d/*

deb [arch=arm64,armhf,amd64] https://packages.microsoft.com/config/ubuntu/18.04/prod insiders-fast main
deb [arch=amd64] https://packages.microsoft.com/config/ubuntu/18.04/prod bionic main

sudo apt -t bionic install mdatp

Nota

I riavvii NON sono necessari dopo l'installazione o l'aggiornamento Microsoft Defender per endpoint in Linux tranne quando si esegue auditD in modalità non modificabile.

Mariner

sudo dnf install mdatp

Nota

Se nel dispositivo sono configurati più repository Microsoft, è possibile specificare il repository da cui installare il pacchetto. L'esempio seguente illustra come installare il pacchetto dal production canale se nel dispositivo è configurato anche il canale del insiders-slow repository. Questa situazione può verificarsi se si usano più prodotti Microsoft nel dispositivo.

sudo dnf config-manager --disable mariner-official-extras-preview
sudo dnf config-manager --enable mariner-official-extras

Scarica il pacchetto di onboarding

Scaricare il pacchetto di onboarding dal portale di Microsoft Defender.

Avviso

Il riconfezionamento del pacchetto di installazione di Defender per endpoint non è uno scenario supportato. Ciò può influire negativamente sull'integrità del prodotto e portare a risultati negativi, tra cui, a titolo esemplificabile, l'attivazione di avvisi di manomissione e l'impossibilità di applicare gli aggiornamenti.

Importante

Se si perde questo passaggio, qualsiasi comando eseguito visualizza un messaggio di avviso che indica che il prodotto non è concesso in licenza. Inoltre, il mdatp health comando restituisce un valore di false.

  1. Nel portale di Microsoft Defender, vai a Sistema>Impostazioni>Endpoint>Gestione dei dispositivi>Onboarding.

  2. Nel primo menu a discesa selezionare Linux Server come sistema operativo. Nel secondo menu a discesa selezionare Script locale come metodo di distribuzione.

  3. Selezionare Scarica il pacchetto di onboarding. Salvare il file come WindowsDefenderATPOnboardingPackage.zip.

  4. Dal prompt dei comandi, verificare che il file sia presente ed estrarre il contenuto dell'archivio:

    ls -l

    total 8
-rw-r--r-- 1 test  staff  5752 Feb 18 11:22 WindowsDefenderATPOnboardingPackage.zip

    unzip WindowsDefenderATPOnboardingPackage.zip

    Archive:  WindowsDefenderATPOnboardingPackage.zip
inflating: MicrosoftDefenderATPOnboardingLinuxServer.py

Configurazione client

  1. Copia MicrosoftDefenderATPOnboardingLinuxServer.py nel dispositivo di destinazione.

    Nota

    Inizialmente il dispositivo client non è associato a un'organizzazione e l'attributo orgId è vuoto.

    mdatp health --field org_id

  2. Eseguire uno dei comandi seguenti, a seconda dello scenario:

    Nota

    Per eseguire questo comando, è necessario avere python o python3 installato nel dispositivo a seconda della distribuzione e della versione. Se necessario, vedere Istruzioni dettagliate per l'installazione di Python in Linux.

    Se si esegue RHEL 8.x o Ubuntu 20.04 o versione successiva, è necessario usare python3. Eseguire il comando qui riportato:

    sudo python3 MicrosoftDefenderATPOnboardingLinuxServer.py

    Per altre distribuzioni e versioni, è necessario usare python. Eseguire il comando qui riportato:

    sudo python MicrosoftDefenderATPOnboardingLinuxServer.py

  3. Verificare che il dispositivo sia ora associato all'organizzazione e segnala un identificatore dell'organizzazione valido:

    mdatp health --field org_id

  4. Controllare lo stato di integrità del prodotto eseguendo il comando seguente. Un valore restituito di true indica che il prodotto funziona come previsto:

    mdatp health --field healthy

    Importante

    Quando il prodotto viene avviato per la prima volta, scarica le definizioni antimalware più recenti. Questo processo potrebbe richiedere alcuni minuti a seconda della connettività di rete. Durante questo periodo di tempo, il comando indicato in precedenza restituisce un valore di false. È possibile controllare lo stato dell'aggiornamento delle definizioni usando il comando seguente:

    mdatp health --field definitions_status

    Potrebbe anche essere necessario configurare un proxy dopo aver completato l'installazione iniziale. Vedi Configurare Defender per Endpoint su Linux per il rilevamento del proxy statico: configurazione post-installazione.

  5. Esegui un test di rilevamento dell'antivirus per verificare che il dispositivo sia correttamente registrato e stia inviando i dati al servizio. Eseguire i passaggi seguenti sul dispositivo appena registrato:

    1. Assicurarsi che la protezione in tempo reale sia abilitata (indicata da un risultato dell'esecuzione del true comando seguente):

      mdatp health --field real_time_protection_enabled

      Se non è abilitato, eseguire il comando seguente:

      mdatp config real-time-protection --value enabled

    2. Per eseguire un test di rilevamento, aprire una finestra Terminale ed eseguire il comando seguente:

      curl -o /tmp/eicar.com.txt https://secure.eicar.org/eicar.com.txt

    3. È possibile eseguire altri test di rilevamento sui file ZIP usando uno dei comandi seguenti:

      curl -o /tmp/eicar_com.zip https://secure.eicar.org/eicar_com.zip
curl -o /tmp/eicarcom2.zip https://secure.eicar.org/eicarcom2.zip

      I file devono essere messi in quarantena da Defender per endpoint in Linux.

    4. Usare il comando seguente per elencare tutte le minacce rilevate:

      mdatp threat list

  6. Esegui un test di rilevamento EDR e simula un rilevamento per verificare che il dispositivo sia correttamente integrato e che invii dati al servizio. Eseguire i passaggi seguenti sul dispositivo appena aggiunto:

    1. Verificare che il server Linux di cui è stato eseguito l'onboarding venga visualizzato nel portale di Defender. Se si tratta del primo onboarding del computer, possono essere necessari fino a 20 minuti prima che venga visualizzato.

    2. Scaricare ed estrarre il file di script in un server Linux di cui è stato eseguito l'onboarding e quindi eseguire il comando seguente:./mde_linux_edr_diy.sh

      Dopo alcuni minuti, un rilevamento deve essere generato in Microsoft Defender XDR.

    3. Esaminare i dettagli dell'avviso, la sequenza temporale del computer ed eseguire i passaggi di indagine tipici.

Requisiti software

Per informazioni, vedere Requisiti software.

Risolvere i problemi di installazione

Se si verificano problemi di installazione, per la risoluzione automatica dei problemi, seguire questa procedura:

  1. Per informazioni su come trovare il log generato automaticamente quando si verifica un errore di installazione, vedere Problemi di installazione del log.

  2. Per informazioni sui problemi di installazione comuni, vedere Problemi di installazione.

  3. Se lo stato di integrità del dispositivo è false, consulta Problemi relativi allo stato dell'agente di Defender for Endpoint.

  4. Per i problemi di prestazioni del prodotto, vedere Risolvere i problemi di prestazioni.

  5. Per i problemi di proxy e connettività, vedere Risolvere i problemi di connettività cloud.

Per ottenere supporto da Microsoft, aprire un ticket di supporto e fornire i file di log creati usando l'analizzatore client.

Come passare da un canale all'altro

Ad esempio, per modificare il canale da Insiders-Fast a Produzione, eseguire le operazioni seguenti:

  1. Disinstalla la versione Insiders-Fast channel di Defender for Endpoint su Linux.

    sudo dnf remove mdatp

    o

    sudo yum remove mdatp

  2. Disabilita Defender for Endpoint in Linux nel canale Insiders-Fast

    sudo dnf config-manager --disable packages-microsoft-com-fast-prod

    o

    sudo yum-config-manager --disable packages-microsoft-com-fast-prod

  3. Reinstallare Microsoft Defender per Endpoint su Linux usando il Production channel ed eseguire l'onboarding del dispositivo nel portale Microsoft Defender.

Come configurare i criteri per Defender for Endpoint in Linux

Per configurare le impostazioni antivirus ed EDR, vedere gli articoli seguenti:

Disinstallare Defender for Endpoint da Linux

Per la disinstallazione manuale, eseguire il comando seguente per la distribuzione Linux.

  • sudo dnf remove mdatpo sudo yum remove mdatp (a seconda della gestione pacchetti) per RHEL e varianti (CentOS e Oracle Linux).
  • sudo zypper remove mdatp per SLES e varianti.
  • sudo apt purge mdatp per sistemi Ubuntu e Debian.
  • sudo dnf remove mdatp per Mariner

Contenuto correlato

Consiglio

Vuoi saperne di più? Partecipa alla community di Microsoft Security nella nostra Tech Community: Tech Community di Microsoft Defender per endpoint.

  • Last updated on