Freigeben über

Datenschutz für Microsoft Defender for Endpoint unter Linux

  • Artikel

Gilt für:

Möchten Sie Defender für Endpunkt erfahren? Registrieren Sie sich für eine kostenlose Testversion

Microsoft ist bestrebt, Ihnen die Informationen und Kontrollen zur Verfügung zu stellen, die Sie benötigen, um Entscheidungen darüber zu treffen, wie Ihre Daten gesammelt und verwendet werden, wenn Sie Defender für Endpunkt unter Linux verwenden.

In diesem Artikel werden die im Produkt verfügbaren Datenschutzsteuerelemente, die Verwaltung dieser Steuerelemente mit Richtlinieneinstellungen und weitere Details zu den gesammelten Datenereignissen beschrieben.

Übersicht über Datenschutzsteuerelemente in Microsoft Defender for Endpoint unter Linux

In diesem Abschnitt werden die Datenschutzsteuerelemente für die verschiedenen Datentypen beschrieben, die von Defender für Endpunkt unter Linux gesammelt werden.

Diagnosedaten

Diagnosedaten werden verwendet, um Defender für Endpunkt sicher und auf dem neuesten Stand zu halten, Probleme zu erkennen, zu diagnostizieren und zu beheben sowie Produktverbesserungen vorzunehmen.

Einige Diagnosedaten sind erforderlich, während andere Diagnosedaten optional sind. Wir geben Ihnen die Möglichkeit, auszuwählen, ob Sie uns erforderliche oder optionale Diagnosedaten senden möchten, indem Sie Datenschutzkontrollen verwenden, z. B. Richtlinieneinstellungen für Organisationen.

Es gibt zwei Ebenen von Diagnosedaten für Defender für Endpunkt-Clientsoftware, aus denen Sie wählen können:

  • Erforderlich: Die Mindestdaten, die erforderlich sind, um Defender für Endpunkt auf dem Gerät, auf dem es installiert ist, sicher, auf dem neuesten Stand zu halten und wie erwartet zu funktionieren.
  • Optional: Weitere Daten, die Microsoft dabei helfen, Produktverbesserungen vorzunehmen und erweiterte Informationen zur Erkennung, Diagnose und Behebung von Problemen zu bieten.

Standardmäßig werden nur erforderliche Diagnosedaten an Microsoft gesendet.

Von der Cloud bereitgestellte Schutzdaten

Der von der Cloud bereitgestellte Schutz wird verwendet, um einen höheren und schnelleren Schutz mit Zugriff auf die neuesten Schutzdaten in der Cloud bereitzustellen.

Das Aktivieren des von der Cloud bereitgestellten Schutzdiensts ist optional. Es wird jedoch dringend empfohlen, da er einen wichtigen Schutz vor Schadsoftware auf Ihren Endpunkten und im gesamten Netzwerk bietet.

Beispieldaten

Beispieldaten werden verwendet, um die Schutzfunktionen des Produkts zu verbessern, indem verdächtige Microsoft-Proben gesendet werden, damit sie analysiert werden können. Das Aktivieren der automatischen Beispielübermittlung ist optional.

Es gibt drei Ebenen für die Steuerung der Beispielübermittlung:

  • Keine: Es werden keine verdächtigen Stichproben an Microsoft übermittelt.
  • Sicher: Nur verdächtige Stichproben, die keine personenbezogenen Informationen (Personally Identifiable Information, PII) enthalten, werden automatisch übermittelt. Dies ist der Standardwert.
  • Alle: Alle verdächtigen Stichproben werden an Microsoft übermittelt.

Verwalten von Datenschutzsteuerelementen mit Richtlinieneinstellungen

Wenn Sie IT-Administrator sind, sollten Sie diese Steuerelemente auf Unternehmensebene konfigurieren.

Die im vorherigen Abschnitt beschriebenen Datenschutzsteuerelemente für die verschiedenen Datentypen werden unter Festlegen von Einstellungen für Defender für Endpunkt unter Linux ausführlich beschrieben.

Wie bei allen neuen Richtlinieneinstellungen sollten Sie sie sorgfältig in einer eingeschränkten, kontrollierten Umgebung testen, um sicherzustellen, dass die von Ihnen konfigurierten Einstellungen die gewünschte Wirkung haben, bevor Sie die Richtlinieneinstellungen in Ihrem organization umfassender implementieren.

Diagnosedatenereignisse

In diesem Abschnitt wird beschrieben, was als erforderliche Diagnosedaten betrachtet wird und was als optionale Diagnosedaten betrachtet wird, zusammen mit einer Beschreibung der Ereignisse und Felder, die gesammelt werden.

Datenfelder, die für alle Ereignisse gemeinsam sind

Es gibt einige Informationen über Ereignisse, die allen Ereignissen gemeinsam sind, unabhängig von der Kategorie oder dem Untertyp der Daten.

Die folgenden Felder gelten als allgemein für alle Ereignisse:

Feld Beschreibung
Plattform Die allgemeine Klassifizierung der Plattform, auf der die App ausgeführt wird. Ermöglicht Es Microsoft, zu ermitteln, auf welchen Plattformen ein Problem auftreten kann, damit es ordnungsgemäß priorisiert werden kann.
machine_guid Eindeutiger Bezeichner, der dem Gerät zugeordnet ist. Ermöglicht Microsoft zu erkennen, ob sich Probleme auf eine ausgewählte Gruppe von Installationen auswirken und wie viele Benutzer betroffen sind.
sense_guid Eindeutiger Bezeichner, der dem Gerät zugeordnet ist. Ermöglicht Microsoft zu erkennen, ob sich Probleme auf eine ausgewählte Gruppe von Installationen auswirken und wie viele Benutzer betroffen sind.
org_id Eindeutiger Bezeichner, der dem Unternehmen zugeordnet ist, zu dem das Gerät gehört. Ermöglicht Es Microsoft zu erkennen, ob sich Probleme auf eine ausgewählte Gruppe von Unternehmen auswirken und wie viele Unternehmen betroffen sind.
Hostname Lokaler Gerätename (ohne DNS-Suffix). Ermöglicht Microsoft zu erkennen, ob sich Probleme auf eine ausgewählte Gruppe von Installationen auswirken und wie viele Benutzer betroffen sind.
product_guid Eindeutiger Bezeichner des Produkts. Ermöglicht Es Microsoft, Probleme zu unterscheiden, die sich auf verschiedene Varianten des Produkts auswirken.
app_version Version der Anwendung Defender für Endpunkt unter Linux. Ermöglicht Es Microsoft, zu identifizieren, welche Versionen des Produkts ein Problem anzeigen, damit es ordnungsgemäß priorisiert werden kann.
sig_version Version der Security Intelligence-Datenbank. Ermöglicht Es Microsoft, zu identifizieren, welche Versionen der Sicherheitsintelligenz ein Problem anzeigen, damit es ordnungsgemäß priorisiert werden kann.
supported_compressions Liste der von der Anwendung unterstützten Komprimierungsalgorithmen, z. B ['gzip']. . Ermöglicht Microsoft zu verstehen, welche Arten von Komprimierungen verwendet werden können, wenn es mit der Anwendung kommuniziert.
release_ring Ring, dem das Gerät zugeordnet ist (z. B. Insider Fast, Insider Slow, Production). Ermöglicht Es Microsoft, zu ermitteln, in welchem Releasering ein Problem auftreten kann, damit es ordnungsgemäß priorisiert werden kann.

Erforderliche Diagnosedaten

Erforderliche Diagnosedaten sind die Mindestdaten, die erforderlich sind, um Defender für Endpunkt sicher, auf dem neuesten Stand zu halten und auf dem Gerät, auf dem es installiert ist, wie erwartet ausgeführt zu werden.

Erforderliche Diagnosedaten helfen beim Identifizieren von Problemen mit Microsoft Defender for Endpoint, die möglicherweise mit einer Geräte- oder Softwarekonfiguration zusammenhängen. So kann beispielsweise ermittelt werden, ob ein Defender für Endpunkt-Feature bei einer bestimmten Betriebssystemversion, mit neu eingeführten Features oder wenn bestimmte Defender für Endpunkt-Features deaktiviert sind, häufiger abstürzt. Die erforderlichen Diagnosedaten helfen Microsoft, diese Probleme schneller zu erkennen, zu diagnostizieren und zu beheben, sodass die Auswirkungen auf Benutzer oder Organisationen reduziert werden.

Softwaresetup und Inventurdatenereignisse

Microsoft Defender for Endpoint Installation/Deinstallation:

Die folgenden Felder werden gesammelt:

Feld Beschreibung
correlation_id Eindeutiger Bezeichner, der der Installation zugeordnet ist.
Version Version des Pakets.
Schweregrad Schweregrad der Nachricht (z. B. Information).
code Code, der den Vorgang beschreibt.
text Zusätzliche Informationen im Zusammenhang mit der Produktinstallation.

Microsoft Defender for Endpoint Konfiguration:

Die folgenden Felder werden gesammelt:

Feld Beschreibung
antivirus_engine.enable_real_time_protection Gibt an, ob der Echtzeitschutz auf dem Gerät aktiviert ist oder nicht.
antivirus_engine.passive_mode Gibt an, ob der passive Modus auf dem Gerät aktiviert ist.
cloud_service.enabled Gibt an, ob der von der Cloud bereitgestellte Schutz auf dem Gerät aktiviert ist oder nicht.
cloud_service.timeout Timeout, wenn die Anwendung mit der Defender für Endpunkt-Cloud kommuniziert.
cloud_service.heartbeat_interval Intervall zwischen aufeinander folgenden Heartbeats, die vom Produkt an die Cloud gesendet werden.
cloud_service.service_uri URI, der für die Kommunikation mit der Cloud verwendet wird.
cloud_service.diagnostic_level Diagnoseebene des Geräts (erforderlich, optional).
cloud_service.automatic_sample_submission Automatische Stichprobenübermittlungsebene des Geräts (keine, sicher, alle).
cloud_service.automatic_definition_update_enabled Gibt an, ob die automatische Definitionsaktualisierung aktiviert ist.
edr.early_preview Gibt an, ob auf dem Gerät EDR Early Preview-Features ausgeführt werden sollen.
edr.group_id Gruppenbezeichner, der von der Erkennungs- und Antwortkomponente verwendet wird.
edr.tags Benutzerdefinierte Tags.
Funktionen. [optionaler Featurename] Liste der Vorschaufeatures, zusammen mit der Angabe, ob sie aktiviert sind oder nicht.

Produkt- und Dienstverwendungsdatenereignisse

Security Intelligence-Updatebericht:

Die folgenden Felder werden gesammelt:

Feld Beschreibung
from_version Ursprüngliche Security Intelligence-Version.
to_version Neue Security Intelligence-Version.
status Status des Updates, der den Erfolg oder Fehler angibt.
using_proxy Gibt an, ob das Update über einen Proxy durchgeführt wurde.
error Fehlercode, wenn das Update fehlgeschlagen ist.
reason Fehlermeldung, wenn beim Update ein Fehler aufgetreten ist.

Produkt- und Dienstleistungsdatenereignisse für erforderliche Diagnosedaten

Kernelerweiterungsstatistiken:

Die folgenden Felder werden gesammelt:

Feld Beschreibung
Version Version von Defender für Endpunkt unter Linux.
instance_id Eindeutiger Bezeichner, der beim Start der Kernelerweiterung generiert wird.
trace_level Ablaufverfolgungsebene der Kernelerweiterung.
Subsystem Das zugrunde liegende Subsystem, das für den Echtzeitschutz verwendet wird.
ipc.connects Anzahl der von der Kernelerweiterung empfangenen Verbindungsanforderungen.
ipc.rejects Anzahl von Verbindungsanforderungen, die von der Kernelerweiterung abgelehnt wurden.
ipc.connected Gibt an, ob eine aktive Verbindung mit der Kernelerweiterung besteht.

Supportdaten

Diagnoseprotokolle:

Diagnoseprotokolle werden nur mit zustimmung des Benutzers im Rahmen der Feedbackübermittlungsfunktion gesammelt. Die folgenden Dateien werden als Teil der Supportprotokolle gesammelt:

  • Alle Dateien unter /var/log/microsoft/mdatp
  • Teilmenge der Dateien unter "/etc/opt/microsoft/mdatp ", die von Defender für Endpunkt unter Linux erstellt und verwendet werden
  • Produktinstallations- und Deinstallationsprotokolle unter /var/log/microsoft/mdatp/*.log

Optionale Diagnosedaten

Optionale Diagnosedaten sind zusätzliche Daten, die Microsoft dabei helfen, Produktverbesserungen vorzunehmen und erweiterte Informationen bereitzustellen, um Probleme zu erkennen, zu diagnostizieren und zu beheben.

Wenn Sie sich dafür entscheiden, uns optionale Diagnosedaten zu senden, werden auch die erforderlichen Diagnosedaten mitgeliefert.

Beispiele für optionale Diagnosedaten sind Daten, die Microsoft über die Produktkonfiguration (z. B. die Anzahl der auf dem Gerät festgelegten Ausschlüsse) und die Produktleistung (aggregierte Measures zur Leistung von Komponenten des Produkts) sammelt.

Softwareeinrichtung und Inventurdatenereignisse für optionale Diagnosedaten

Microsoft Defender for Endpoint Konfiguration:

Die folgenden Felder werden gesammelt:

Feld Beschreibung
connection_retry_timeout Timeout bei verbindungswieden Wiederholungen bei der Kommunikation mit der Cloud.
file_hash_cache_maximum Größe des Produktcaches.
crash_upload_daily_limit Limit der täglich hochgeladenen Absturzprotokolle.
antivirus_engine.exclusions[].is_directory Gibt an, ob der Ausschluss von der Überprüfung ein Verzeichnis ist oder nicht.
antivirus_engine.exclusions[].path Pfad, der von der Überprüfung ausgeschlossen wurde.
antivirus_engine.exclusions[].extension Erweiterung vom Scannen ausgeschlossen.
antivirus_engine.exclusions[].name Der Name der Datei, die von der Überprüfung ausgeschlossen ist.
antivirus_engine.scan_cache_maximum Größe des Produktcaches.
antivirus_engine.maximum_scan_threads Maximale Anzahl von Threads, die für die Überprüfung verwendet werden.
antivirus_engine.threat_restoration_exclusion_time Timeout, bevor eine aus der Quarantäne wiederhergestellte Datei wieder erkannt werden kann.
antivirus_engine.threat_type_settings Konfiguration, wie verschiedene Bedrohungstypen vom Produkt behandelt werden.
filesystem_scanner.full_scan_directory Verzeichnis der vollständigen Überprüfung.
filesystem_scanner.quick_scan_directories Liste der Verzeichnisse, die bei der Schnellüberprüfung verwendet werden.
edr.latency_mode Latenzmodus, der von der Erkennungs- und Antwortkomponente verwendet wird.
edr.proxy_address Proxyadresse, die von der Erkennungs- und Antwortkomponente verwendet wird.

Microsoft Auto-Update-Konfiguration:

Die folgenden Felder werden gesammelt:

Feld Beschreibung
how_to_check Bestimmt, wie Produktupdates überprüft werden (z. B. automatisch oder manuell).
channel_name Updatekanal, der dem Gerät zugeordnet ist.
manifest_server Server, der zum Herunterladen von Updates verwendet wird.
update_cache Speicherort des Caches, der zum Speichern von Updates verwendet wird.

Produkt- und Dienstnutzung

Bericht zum Hochladen des Diagnoseprotokolls wurde gestartet

Die folgenden Felder werden gesammelt:

Feld Beschreibung
sha256 SHA256-Bezeichner des Supportprotokolls.
size Größe des Supportprotokolls.
original_path Pfad zum Supportprotokoll (immer unter /var/opt/microsoft/mdatp/wdavdiag/).
Format Format des Supportprotokolls.

Abgeschlossener Bericht zum Hochladen des Diagnoseprotokolls

Die folgenden Felder werden gesammelt:

Feld Beschreibung
request_id Korrelations-ID für die Anforderung zum Hochladen des Supportprotokolls.
sha256 SHA256-Bezeichner des Supportprotokolls.
blob_sas_uri URI, der von der Anwendung zum Hochladen des Supportprotokolls verwendet wird.

Produkt- und Dienstleistungsdatenereignisse für Produktdienst und -nutzung

Unerwarteter Anwendungsausgang (Absturz)::

Unerwartete Anwendungsbeendungen und der Anwendungsstatus zum Zeitpunkt des Beendung.

Kernelerweiterungsstatistiken:

Die folgenden Felder werden gesammelt:

Feld Beschreibung
pkt_ack_timeout Die folgenden Eigenschaften sind aggregierte numerische Werte, die die Anzahl der Ereignisse darstellen, die seit dem Start der Kernelerweiterung aufgetreten sind.
pkt_ack_conn_timeout
ipc.ack_pkts
ipc.nack_pkts
ipc.send.ack_no_conn
ipc.send.nack_no_conn
ipc.send.ack_no_qsq
ipc.send.nack_no_qsq
ipc.ack.no_space
ipc.ack.timeout
ipc.ack.ackd_fast
ipc.ack.ackd
ipc.recv.bad_pkt_len
ipc.recv.bad_reply_len
ipc.recv.no_waiter
ipc.recv.copy_failed
ipc.kauth.vnode.mask
ipc.kauth.vnode.read
ipc.kauth.vnode.write
ipc.kauth.vnode.exec
ipc.kauth.vnode.del
ipc.kauth.vnode.read_attr
ipc.kauth.vnode.write_attr
ipc.kauth.vnode.read_ex_attr
ipc.kauth.vnode.write_ex_attr
ipc.kauth.vnode.read_sec
ipc.kauth.vnode.write_sec
ipc.kauth.vnode.take_own
ipc.kauth.vnode.link
ipc.kauth.vnode.create
ipc.kauth.vnode.move
ipc.kauth.vnode.mount
ipc.kauth.vnode.denied
ipc.kauth.vnode.ackd_before_deadline
ipc.kauth.vnode.missed_deadline
ipc.kauth.file_op.mask
ipc.kauth_file_op.open
ipc.kauth.file_op.close
ipc.kauth.file_op.close_modified
ipc.kauth.file_op.move
ipc.kauth.file_op.link
ipc.kauth.file_op.exec
ipc.kauth.file_op.remove
ipc.kauth.file_op.unmount
ipc.kauth.file_op.fork
ipc.kauth.file_op.create

Ressourcen

Tipp

Möchten Sie mehr erfahren? Engage mit der Microsoft-Sicherheitscommunity in unserer Tech Community: Microsoft Defender for Endpoint Tech Community.