MicrosoftMicrosoft объявила о публичной предварительной поддержке настольных систем Linux в Microsoft Defender for Endpoint. Корпоративные рабочие станции получили доступ к антивирусной защите, обнаружению атак, управлению уязвимостями и инструментам реагирования. Для подключения требуется Microsoft Defender for Endpoint Plan 2 отдельно или в составе Microsoft 365 E5 либо E7. Администраторы могут использовать существующий Linux-агент и привычные способы его установки.
Что изменилось в поддержке Linux
Microsoft связывает это решение с использованием Linux на компьютерах разработчиков: такие устройства имеют доступ к исходному коду, облачной инфраструктуре, контейнерам и системам сборки и выпуска программ. Взлом рабочей станции может дать злоумышленникам доступ к этим ресурсам.
Defender для Linux существует давно: о выпуске Microsoft Defender ATP для серверных дистрибутивов компания сообщила ещё в 2020 году. Теперь Microsoft распространила поддержку на настольные системы, сохранив общие с серверами пакеты, способы развёртывания и защитные возможности.
В официальном анонсе компания отдельно подчёркивает: устанавливать и обслуживать специальный агент для рабочего стола не требуется. Сотрудники службы безопасности могут контролировать Linux-компьютеры вместе с остальными корпоративными устройствами через единый портал Microsoft Defender.
Антивирус, поиск угроз и реагирование на атаки
Для рабочих станций Linux Microsoft перечисляет три группы возможностей:
- Защита и обнаружение: антивирус Microsoft Defender, обнаружение атак и реагирование на конечных устройствах (EDR), аналитика угроз.
- Оценка защищённости: Microsoft Defender Vulnerability Management, учёт устройств и управление параметрами безопасности.
- Расследование и реагирование: поиск угроз с помощью запросов Advanced hunting, удалённое расследование Live response и изоляция устройства.
EDR – средства обнаружения атак и реагирования на конечных устройствах. Они помогают специалистам изучать подозрительную активность, связывать предупреждения в инциденты и принимать меры против обнаруженных угроз.
Например, Live response позволяет удалённо собирать данные для расследования и выполнять действия по устранению угроз. Изоляция помогает ограничить распространение атаки с заражённого компьютера. Эти инструменты дополняют проверку файлов антивирусом.
Defender автоматически определяет, относится Linux-устройство к серверу или рабочей станции. Однако документация содержит оговорку: если системных признаков недостаточно для однозначного определения рабочей станции, продукт по умолчанию классифицирует устройство как сервер.
Какие дистрибутивы Linux поддерживаются
Поддержка зависит от дистрибутива, его версии и ядра, а не от установленного рабочего окружения. Можно использовать GNOME, KDE и другие оболочки. На настольные системы распространяется тот же список совместимости, что и на серверы.
В актуальной таблице требований Microsoft указаны следующие дистрибутивы и архитектуры:
| Дистрибутив | x64 | ARM64 |
|---|---|---|
| Red Hat Enterprise Linux | 7.2+, 8.x, 9.x, 10.x | 8.x, 9.x, 10.x |
| CentOS | 7.2+, 8.x | Не поддерживается |
| CentOS Stream | 8.x, 9.x, 10.x | 8.x, 9.x, 10.x |
| Ubuntu LTS | 16.04, 18.04, 20.04, 22.04, 24.04, 26.04 | 20.04, 22.04, 24.04, 26.04 |
| Ubuntu Pro | 22.04, 24.04 | 22.04, 24.04 |
| Debian | 9–13 | 11, 12, 13 |
| SUSE Linux Enterprise Server | 12.x, 15.x, 16.x | 15 SP5 и SP6, 16.x |
| openSUSE Leap | 15.6, 16.x | 15.6, 16.x |
| Oracle Linux | 7.2+, 8.x, 9.x, 10.x | 8.x, 9.x, 10.x |
| Amazon Linux | 2, 2023 | 2 – до 31 октября 2026 года; 2023 |
| Fedora | 33–44 | 40–44 |
| Rocky Linux | 8.7+, 9.2+, 10.x | 8.7+, 9.2+, 10.x |
| AlmaLinux | 8.4+, 9.2+, 10.x | 8.4+, 9.2+, 10.x |
| Mariner | 2 | 2 |
Таким образом, список включает Ubuntu Desktop на поддерживаемых LTS-выпусках, включая 26.04. При этом наличие дистрибутива в таблице Defender не означает, что его разработчик продолжает обычную поддержку всех перечисленных старых версий.
Для Amazon Linux 2 на ARM64 поддержка Defender завершится 31 октября 2026 года. Последняя поддерживаемая версия агента для этой конфигурации – 101.25122.0004, срок её действия истекает в тот же день. Ограничение не касается Amazon Linux 2 на x64.
Дистрибутивы и версии за пределами официального списка не получают стандартную поддержку. На изменённых системах, созданных на основе поддерживаемых дистрибутивов, агент может устанавливаться и работать, но для расследования проблемы Microsoft может потребовать воспроизвести её на стандартной системе.
Лицензии, установка и ограничения
Для настольных систем требуется Defender for Endpoint Plan 2, доступный также в Microsoft 365 E5 и E7. Серверы лицензируются отдельно: поддержка рабочих станций не отменяет серверные лицензии Defender for Servers Plan 1 или Plan 2, Defender for Endpoint for servers либо Defender for Business servers.
Базовые требования Linux-агента: как минимум одно ядро процессора, 1 ГБ оперативной памяти, 2 ГБ дискового пространства, установленный systemd и ядро Linux версии 3.10.0-327 или новее. Для установки нужны права администратора. Для изоляции устройства должны быть доступны iptables и ip6tables либо iptables-nft и ip6tables-nft.
Организации могут присоединиться к предварительному тестированию, подключив подходящие рабочие станции одним из существующих способов развёртывания. Microsoft рекомендует инструмент Defender Deployment Tool; также доступны сценарий установки, ручное развёртывание и средства автоматизации, включая Ansible, Chef, Puppet и SaltStack.
При настройке сети нужно обеспечить доступ к облачным службам Defender. PAC, WPAD и прокси с аутентификацией не поддерживаются; для соединений со службой также требуется исключение из перехвата и проверки SSL-трафика.
Microsoft предупреждает о возможных конфликтах с другими защитными программами, использующими Fanotify: одновременная работа может вызвать непредсказуемое поведение, вплоть до зависания системы. Для совместного использования предусмотрен пассивный режим антивируса. Отдельное исключение – совместимость активного Defender с FAPolicyD в RHEL и Fedora при условии, что проверка состояния агента не выявляет проблем.
Вывод
Расширение поддержки упрощает включение Linux-компьютеров разработчиков и инженеров в общую систему корпоративной защиты. Организации получают знакомые средства контроля и расследования без отдельного агента для рабочих станций. Перед подключением необходимо проверить лицензию, совместимость дистрибутива и взаимодействие с уже установленными защитными программами; поддержка настольных систем пока имеет статус публичной предварительной версии.
