在 macOS 或 Linux 上运行客户端分析器

XMDEClientAnalyzer 用于诊断运行 Linux 或 macOS 的载入设备上的Microsoft Defender for Endpoint运行状况或可靠性问题。

有两种方法可以运行客户端分析器工具：

1. 使用二进制版本 (没有外部 Python 依赖项)
2. 使用基于 Python 的解决方案

运行客户端分析器的二进制版本

1. 将 XMDE 客户端分析器二进制 工具下载到需要调查的 macOS 或 Linux 计算机。
   如果使用的是终端，请通过输入以下命令下载该工具：

   wget --quiet -O XMDEClientAnalyzerBinary.zip https://go.microsoft.com/fwlink/?linkid=2297517
   

2. 验证下载。

   • Linux

   echo '2A9BF0A6183831BE43C7BCB7917A40D772D226301B4CDA8EE4F258D00B6E4E97 XMDEClientAnalyzerBinary.zip' | sha256sum -c
   

   • macOS

   echo '2A9BF0A6183831BE43C7BCB7917A40D772D226301B4CDA8EE4F258D00B6E4E97  XMDEClientAnalyzerBinary.zip' | shasum -a 256 -c
   

3. 在计算机上提取 的内容 XMDEClientAnalyzerBinary.zip 。 如果使用的是终端，请通过输入以下命令提取文件：

   unzip -q XMDEClientAnalyzerBinary.zip -d XMDEClientAnalyzerBinary
   

4. 通过输入以下命令来更改工具的目录：

   cd XMDEClientAnalyzerBinary
   

5. 将生成两个新的 zip 文件：

   • SupportToolLinuxBinary.zip ：适用于所有 Linux 设备
   • SupportToolMacOSBinary.zip ：适用于 Mac 设备

6. 根据需要调查的计算机解压缩上述 2 个 zip 文件之一。 使用终端时，请根据 OS 类型输入以下命令之一来解压缩文件：

   • Linux

     unzip -q SupportToolLinuxBinary.zip
     

   • Mac

     unzip -q SupportToolMacOSBinary.zip
     

7. 以 root 身份运行该工具以生成诊断包：

   sudo ./MDESupportTool -d
   

运行基于 Python 的客户端分析器

1. 将 XMDE 客户端分析器 工具下载到需要调查的 macOS 或 Linux 计算机。 如果使用终端，请运行以下命令下载该工具：

   wget --quiet -O XMDEClientAnalyzer.zip https://aka.ms/XMDEClientAnalyzer
   

2. 验证下载。

   • Linux

   echo '84C9718FF3D29DA0EEE650FB2FC0625549A05CD1228AC253DBB92C8B1D9F1D11 XMDEClientAnalyzer.zip' | sha256sum -c
   

   • macOS

   echo '84C9718FF3D29DA0EEE650FB2FC0625549A05CD1228AC253DBB92C8B1D9F1D11  XMDEClientAnalyzer.zip' | shasum -a 256 -c
   

3. 提取计算机上 XMDEClientAnalyzer.zip 的内容。 如果使用的是终端，请使用以下命令提取文件：

   unzip -q XMDEClientAnalyzer.zip -d XMDEClientAnalyzer
   

4. 将目录更改为提取的位置。

   cd XMDEClientAnalyzer
   

5. 为工具授予可执行权限。

   chmod a+x mde_support_tool.sh
   

6. 以非根用户身份运行以安装所需的依赖项。

   ./mde_support_tool.sh
   

7. 若要收集实际诊断包并生成结果存档文件，请再次以 root 身份运行。

   sudo ./mde_support_tool.sh -d
   

命令行选项

所有命令行选项

usage: MDESupportTool [-h] [--output OUTPUT] [--outdir OUTDIR] [--no-zip]
                      [--force] [--diagnostic] [--skip-mdatp]
                      [--bypass-disclaimer] [--interactive] [--delay DELAY]
                      [--mdatp-log {trace,info,warning,error,debug,verbose}]
                      [--max-log-size MAX_LOG_SIZE]
                      {certinfocollection,performance,installation,exclude,ratelimit,skipfaultyrules,trace,observespikes,connectivitytest}
                      ...

MDE Diagnostics Tool

positional arguments:
  {certinfocollection,performance,installation,exclude,ratelimit,skipfaultyrules,trace,observespikes,connectivitytest}
    certinfocollection  Collect cert information: Subject name and Hashes
    performance         Collect extensive machine performance tracing for
                        analysis of a performance scenario that can be
                        reproduced on demand
    installation        Collect different installation/onboarding reports
    exclude             Exclude specific process(es) from audit-d monitoring.
    ratelimit           Set the rate limit for auditd events. Rate limit will
                        update the limits for auditd events for all the
                        applications using auditd, which could impact
                        applications other than MDE.
    skipfaultyrules     Continue loading rules in spite of an error. This
                        summarizes the results of loading the rules. The exit
                        code will not be success if any rule fails to load.
    trace               Use OS tracing facilities to record Defender
                        performance traces.
    observespikes       Collect the process logs in case of spike or mdatp
                        crash
    connectivitytest    Perform connectivity test for MDE

optional arguments:
  -h, --help            show this help message and exit
  --output OUTPUT, -o OUTPUT
                        Output path to export report
  --outdir OUTDIR       Directory where diagnostics file will be generated.
  --no-zip, -nz         If set a directory will be created instead of an
                        archive file.
  --force, -f           Will overwrite if output directory exists.
  --diagnostic, -d      Collect extensive machine diagnostic information.
  --skip-mdatp          Skip any mdatp command. Use this when the mdatp
                        command is unresponsive.
  --bypass-disclaimer   Do not display disclaimer banner.
  --interactive, -i     Interactive diagnostic,
  --delay DELAY, -dd DELAY
                        Delay diagnostic by how many minutes (0~2880), use
                        this to wait for more debug logs before it collects.
  --mdatp-log {trace,info,warning,error,debug,verbose}
                        Set MDATP log level. If you use interactive or delay
                        mode, the log level will set to debug automatically,
                        and reset after 48h.
  --max-log-size MAX_LOG_SIZE
                        Maximum log file size in MB before rotating(Will
                        restart mdatp).

诊断模式

诊断模式用于收集大量计算机信息，例如内存、磁盘、MDATP 日志等。这组文件为我们提供了调试与MDE相关的任何问题所需的主要信息集。

支持的选项如下所示：

optional arguments:
  -h, --help            show this help message and exit
  --output OUTPUT, -o OUTPUT
                        Output path to export report
  --outdir OUTDIR       Directory where diagnostics file will be generated.
  --no-zip, -nz         If set a directory will be created instead of an
                        archive file.
  --force, -f           Will overwrite if output directory exists.
  --diagnostic, -d      Collect extensive machine diagnostic information.
  --skip-mdatp          Skip any mdatp command. Use this when the mdatp
                        command is unresponsive.
  --bypass-disclaimer   Do not display disclaimer banner.
  --interactive, -i     Interactive diagnostic,
  --delay DELAY, -dd DELAY
                        Delay diagnostic by how many minutes (0~2880), use
                        this to wait for more debug logs before it collects.
  --mdatp-log {trace,info,warning,error,debug,verbose}
                        Set MDATP log level. If you use interactive or delay
                        mode, the log level will set to debug automatically,
                        and reset after 48h.
  --max-log-size MAX_LOG_SIZE
                        Maximum log file size in MB before rotating(Will
                        restart mdatp).

用法示例： sudo ./MDESupportTool -d

下表汇总了使用此模式时生成的文件：

位置参数

收集性能信息

收集 Defender for Endpoint 进程的广泛计算机性能跟踪，以分析可按需重现的性能方案。

-h, --help            show this help message and exit
--frequency FREQUENCY
                      profile at this frequency
--length LENGTH       length of time to collect (in seconds)

用法示例： sudo ./MDESupportTool performance --frequency 500

使用此模式时生成的文件：

tar 文件包含格式 <pid of a MDE process>.data为 的文件。 可以使用 命令读取数据文件：

perf report -i <pid>.data

运行连接测试

此模式测试 Defender for Endpoint 所需的云资源是否可访问。

  -h, --help            show this help message and exit
  -o ONBOARDING_SCRIPT, --onboarding-script ONBOARDING_SCRIPT
                        Path to onboarding script
  -g GEO, --geo GEO     Geo string to test <US|UK|EU|AU|CH|IN>

用法示例： sudo ./MDESupportTool connectivitytest -o ~/MicrosoftDefenderATPOnboardingLinuxServer.py

结果将打印在屏幕中。

收集不同的安装/载入报告

此模式收集与安装相关的信息，如发行版信息、系统要求等。

  -h, --help    show this help message and exit
  -d, --distro  Check for distro support
  -a, --all     Run all checks

用法示例： sudo ./MDESupportTool installation --all

生成单个报表 installation_report.json 。 文件中的键如下所示：

仅将 OS 跟踪 (用于 macOS)

使用 OS 跟踪设施记录 Defender for Endpoint 性能跟踪。

-h, --help       show this help message and exit
--length LENGTH  Length of time to record the trace (in seconds).
--mask MASK      Mask to select with event to trace. Defaults to all

首次运行此命令时，它会安装配置文件配置。

有关如何批准配置文件安装的详细信息，请参阅 Apple 支持指南。

用法示例 ./mde_support_tool.sh trace --length 5

排除模式

添加用于审核 d 监视的排除项。

  -h, --help            show this help message and exit
  -e <executable>, --exe <executable>
                        exclude by executable name, i.e: bash
  -p <process id>, --pid <process id>
                        exclude by process id, i.e: 911
  -d <directory>, --dir <directory>
                        exclude by target path, i.e: /var/foo/bar
  -x <executable> <directory>, --exe_dir <executable> <directory>
                        exclude by executable path and target path, i.e: /bin/bash /var/foo/bar
  -q <q_size>, --queue <q_size>
                        set dispatcher q_depth size
  -r, --remove          remove exclusion file
  -s, --stat            get statistics about common executables
  -l, --list            list auditd rules
  -o, --override        Override the existing auditd exclusion rules file for mdatp
  -c <syscall number>, --syscall <syscall number>
                        exclude all process of the given syscall

用法示例： sudo ./MDESupportTool exclude -d /var/foo/bar

AuditD 速率限制器

可用于限制 auditD 插件报告的事件数的语法。 此选项全局设置 AuditD 的速率限制，导致所有审核事件下降。 启用限制器后，审核的事件数限制为 2500 个事件/秒。在从 AuditD 端看到 CPU 使用率过高的情况下，可以使用此选项。

-h, --help                                  show this help message and exit
-e <true/false>, --enable <true/false>      enable/disable the rate limit with default values

用法示例： sudo ./mde_support_tool.sh ratelimit -e true

AuditD 跳过错误规则

使用此选项，可以在加载时跳过在审核规则文件中添加的错误规则。 此选项允许已审核的子系统继续加载规则，即使存在错误规则也是如此。 此选项汇总了加载规则的结果。 在后台，此选项使用 -c 选项运行 auditctl。

-h, --help                                  show this help message and exit
-e <true/false>, --enable <true/false>      enable/disable the option to skip the faulty rules. In case no argumanet is passed, the option will be true by default.

用法示例： sudo ./mde_support_tool.sh skipfaultyrules -e true