Kör klientanalysen på Linux

Om du har problem med Microsoft Defender för Endpoint på Linux och behöver support kan du bli ombedd att ange utdata från verktyget Client Analyzer. Det är ett diagnostikverktyg som hjälper administratörer och supportteam att felsöka problem med Microsoft Defender för Endpoint. Den samlar in detaljerad information om installation, konfiguration, tjänsthälsa, loggar, anslutningsstatus osv. Det här verktyget används främst för att kontrollera systemets hälsa, verifiera konfigurationer och hjälpa till att felsöka potentiella problem.

Den här artikeln beskriver hur du använder verktyget på enheten eller med livesvar. Du kan använda antingen en Python-baserad lösning eller en binär version som inte behöver Python.

Kör den binära versionen av klientanalysen

Den binära versionen av klientanalys görs tillgänglig på två sätt:

• Levereras med Microsoft Defender för Linux
• Levereras som ett fristående verktyg

Kör binärfilen Client Analyzer som levereras med Microsoft Defender för Linux:

När du kör det här verktyget genereras ett diagnostikpaket som en .zip fil i /tmp katalogen.

Så här kör du Client Analyzer:

1. Gå till katalogen /opt/microsoft/mdatp/tools/client_analyzer/binary:

   cd /opt/microsoft/mdatp/tools/client_analyzer/binary
   

2. Kör verktyget med rotprivilegier för att generera ett diagnostikpaket:

   sudo ./MDESupportTool -d
   

Ladda ned och kör det fristående binära verktyget Client Analyzer

Utför följande steg för att använda den fristående ClientAnalyzer-binärfilen.

1. Ladda ned verktyget XMDE Client Analyzer Binary till den Linux dator som du behöver undersöka. Om du använder en terminal laddar du ned verktyget genom att ange följande kommando:

   wget --quiet -O XMDEClientAnalyzerBinary.zip "https://go.microsoft.com/fwlink/?linkid=2336125"
   

2. Kontrollera nedladdningen:

   echo '0C8F010D09557478E0CF626D439D5F7EAB1F6C7EEFF69FF1E98A7289520983E1 XMDEClientAnalyzerBinary.zip' | sha256sum -c
   

3. Extrahera innehållet XMDEClientAnalyzerBinary.zip i på datorn.

   unzip -q XMDEClientAnalyzerBinary.zip -d XMDEClientAnalyzerBinary
   

4. Ändra katalogen:

   cd XMDEClientAnalyzerBinary
   

5. Två nya zip-filer skapas:

   • SupportToolLinuxamd64Binary.zip: För x86-Linux-enheter
   • SupportToolLinuxarm64Binary.zip: För ARM Linux-enheter

6. Packa upp den specifika zip-filen baserat på din Linux OS-arkitektur. Vi använder till exempel filen här SupportToolLinuxamd64Binary.zip .

   unzip -q SupportToolLinuxamd64Binary.zip
   

7. Kör verktyget med rotprivilegier för att generera ett diagnostikpaket:

   sudo ./MDESupportTool -d
   

Kör den Python-baserade klientanalysen

Python-versionen av klientanalys görs tillgänglig på två sätt:

• Levereras med Microsoft Defender för Linux
• Levereras som ett fristående verktyg

Kör Python-versionen för Client Analyzer som levereras med Microsoft Defender för Linux

Följ dessa steg för att köra den här klientanalysen:

1. Gå till katalogen /opt/microsoft/mdatp/tools/client_analyzer/python:

   cd /opt/microsoft/mdatp/tools/client_analyzer/python
   

2. Kör med rotprivilegier för att installera nödvändiga beroenden.

   sudo ./mde_support_tool.sh
   

3. Om du vill samla in diagnostikpaketet och generera resultatarkivfilen kör du igen med rotprivilegier.

   sudo ./mde_support_tool.sh -d
   

Ladda ned och kör den fristående Python-versionen av Client Analyzer

1. Ladda ned verktyget XMDE Client Analyzer på den Linux dator som du behöver undersöka. Om du använder en terminal laddar du ned verktyget genom att ange följande kommando:

   wget --quiet -O XMDEClientAnalyzerPython.zip "https://go.microsoft.com/fwlink/?linkid=2336046"
   

2. Kontrollera nedladdningen:

   echo '62F92CD9D191063663FBAC7B29E1C967C8F9A30B9B769DA5E968FC4276C1F030 XMDEClientAnalyzerPython.zip' | sha256sum -c
   

3. Extrahera innehållet XMDEClientAnalyzer.zip i på datorn:

   unzip -q XMDEClientAnalyzerPython.zip -d XMDEClientAnalyzerPython
   

4. Ändra katalogen:

   cd XMDEClientAnalyzerPython
   

5. Ge verktyget körbar behörighet:

   chmod a+x mde_support_tool.sh
   

6. Kör som en icke-användare för att installera nödvändiga beroenden:

   ./mde_support_tool.sh
   

7. Om du vill samla in diagnostikpaketet och generera resultatarkivfilen kör du igen med rotprivilegier:

   sudo ./mde_support_tool.sh -d
   

Kommandoradsalternativ

Klientanalysen innehåller följande kommandoradsalternativ:

usage: MDESupportTool [-h] [--output OUTPUT] [--outdir OUTDIR] [--no-zip]
                      [--force] [--diagnostic] [--skip-mdatp]
                      [--bypass-disclaimer] [--interactive] [--delay DELAY]
                      [--mdatp-log {trace,info,warning,error,debug,verbose}]
                      [--max-log-size MAX_LOG_SIZE]
                      {certinfocollection,performance,installation,exclude,ratelimit,skipfaultyrules,trace,observespikes,connectivitytest}
                      ...

MDE Diagnostics Tool

positional arguments:
  {certinfocollection,performance,installation,exclude,ratelimit,skipfaultyrules,trace,observespikes,connectivitytest}
    certinfocollection  Collect cert information: Subject name and Hashes
    performance         Collect extensive machine performance tracing for
                        analysis of a performance scenario that can be
                        reproduced on demand
    installation        Collect different installation/onboarding reports
    exclude             Exclude specific processes from audit-d monitoring.
    ratelimit           Set the rate limit for auditd events. Rate limit will
                        update the limits for auditd events for all the
                        applications using auditd, which could impact
                        applications other than MDE.
    skipfaultyrules     Continue loading rules in spite of an error. This
                        summarizes the results of loading the rules. The exit
                        code will not be success if any rule fails to load.
    trace               Use OS tracing facilities to record Defender
                        performance traces.
    observespikes       Collect the process logs in case of spike or mdatp
                        crash
    connectivitytest    Perform connectivity test for MDE

optional arguments:
  -h, --help            show this help message and exit
  --output OUTPUT, -o OUTPUT
                        Output path to export report
  --outdir OUTDIR       Directory where diagnostics file will be generated.
  --no-zip, -nz         If set a directory will be created instead of an
                        archive file.
  --force, -f           Will overwrite if output directory exists.
  --diagnostic, -d      Collect extensive machine diagnostic information.
  --skip-mdatp          Skip any mdatp command. Use this when the mdatp
                        command is unresponsive.
  --bypass-disclaimer   Do not display disclaimer banner.
  --interactive, -i     Interactive diagnostic,
  --delay DELAY, -dd DELAY
                        Delay diagnostic by how many minutes (0~2880), use
                        this to wait for more debug logs before it collects.
  --mdatp-log {trace,info,warning,error,debug,verbose}
                        Set MDATP log level. If you use interactive or delay
                        mode, the log level will set to debug automatically,
                        and reset after 48h.
  --max-log-size MAX_LOG_SIZE
                        Maximum log file size in MB before rotating(Will
                        restart mdatp).

Diagnostikläge

Diagnostikläge används för att samla in omfattande uppsättning datorinformation, till exempel minne, disk och MDATP-loggar. Den här uppsättningen filer ger den primära uppsättningen information som krävs för att felsöka problem som rör Defender För Endpoint.

Alternativen som stöds är följande:

optional arguments:
  -h, --help            show this help message and exit
  --output OUTPUT, -o OUTPUT
                        Output path to export report
  --outdir OUTDIR       Directory where diagnostics file will be generated.
  --no-zip, -nz         If set a directory will be created instead of an
                        archive file.
  --force, -f           Will overwrite if output directory exists.
  --diagnostic, -d      Collect extensive machine diagnostic information.
  --skip-mdatp          Skip any mdatp command. Use this when the mdatp
                        command is unresponsive.
  --bypass-disclaimer   Do not display disclaimer banner.
  --interactive, -i     Interactive diagnostic,
  --delay DELAY, -dd DELAY
                        Delay diagnostic by how many minutes (0~2880), use
                        this to wait for more debug logs before it collects.
  --mdatp-log {trace,info,warning,error,debug,verbose}
                        Set MDATP log level. If you use interactive or delay
                        mode, the log level will set to debug automatically,
                        and reset after 48h.
  --max-log-size MAX_LOG_SIZE
                        Maximum log file size in MB before rotating(Will
                        restart mdatp).

Användningsexempel: sudo ./MDESupportTool -d

De filer som genereras när du använder det här läget sammanfattas i följande tabell:

Valfria argument för Client Analyzer

Client Analyzer innehåller följande valfria argument för extra datainsamling:

Samla in prestandainformation

Samla in omfattande spårning av datorprestanda för Defender för Endpoint-processer för analys av ett prestandascenario som kan återskapas på begäran.

-h, --help            show this help message and exit
--frequency FREQUENCY
                      profile at this frequency
--length LENGTH       length of time to collect (in seconds)

Användningsexempel: sudo ./MDESupportTool performance --frequency 500

Det här läget genererar följande fil:

Tjäran innehåller filer i formatet <pid of a MDE process>.data. Datafilen kan läsas med kommandot :

perf report -i <pid>.data

Köra anslutningstest

Det här läget testar om de molnresurser som krävs av Defender för Endpoint kan nås eller inte.

  -h, --help            show this help message and exit
  -o ONBOARDING_SCRIPT, --onboarding-script ONBOARDING_SCRIPT
                        Path to onboarding script
  -g GEO, --geo GEO     Geo string to test <US|UK|EU|AU|CH|IN>

Användningsexempel:

sudo ./MDESupportTool connectivitytest -o ~/MicrosoftDefenderATPOnboardingLinuxServer.py`

Utdata som skrivs ut på skärmen visar om URL:erna kan nås eller inte.

Samla in olika installations-/registreringsrapporter

Det här läget samlar in installationsrelaterad information som distribution och systemkrav.

  -h, --help                show this help message and exit
  -d, --distro              Check for distro support
  -m, --min-requirement     Check for the system info against offical minimum requirements
  -e, --external-dep        Check for externel package dependency
  -c, --connectivity        Check for connectivity for services used by MDE
  -a, --all                 Run all checks
  -o ONBOARDING_SCRIPT, --onboarding-script ONBOARDING_SCRIPT
                            Path to onboarding script
  -g GEO, --geo GEO         Geo string to test <US|UK|EU|AU|CH|IN>

Användningsexempel:

sudo ./MDESupportTool installation --all

En enda rapport installation_report.json genereras. Nycklarna i filen är följande:

Exkludera läge

Det här läget lägger till undantag för audit-d övervakning.

  -h, --help            show this help message and exit
  -e <executable>, --exe <executable>
                        exclude by executable name, i.e: bash
  -p <process id>, --pid <process id>
                        exclude by process id, i.e: 911
  -d <directory>, --dir <directory>
                        exclude by target path, i.e: /var/foo/bar
  -x <executable> <directory>, --exe_dir <executable> <directory>
                        exclude by executable path and target path, i.e: /bin/bash /var/foo/bar
  -q <q_size>, --queue <q_size>
                        set dispatcher q_depth size
  -r, --remove          remove exclusion file
  -s, --stat            get statistics about common executables
  -l, --list            list auditd rules
  -o, --override        Override the existing auditd exclusion rules file for mdatp
  -c <syscall number>, --syscall <syscall number>
                        exclude all process of the given syscall

Användningsexempel:

sudo ./MDESupportTool exclude -d /var/foo/bar`

AuditD-hastighetsbegränsning

Det här alternativet anger hastighetsbegränsningen globalt för AuditD, vilket orsakar en minskning av alla granskningshändelser. När begränsningen är aktiverad begränsas de granskade händelserna till 2 500 händelser per sekund. Det här alternativet kan användas i fall där vi ser hög CPU-användning från AuditD-sidan.

-h, --help                                  show this help message and exit
-e <true/false>, --enable <true/false>      enable/disable the rate limit with default values

Användningsexempel:

sudo ./mde_support_tool.sh ratelimit -e true

AuditD hoppar över felaktiga regler

Med det här alternativet kan du hoppa över de felaktiga regler som lagts till i den granskade regelfilen när du läser in dem. Det gör att det granskade undersystemet kan fortsätta läsa in regler även om det finns en felaktig regel.

-h, --help                                  show this help message and exit
-e <true/false>, --enable <true/false>      enable/disable the option to skip the faulty rules. In case no argumanet is passed, the option will be true by default.

Användningsexempel:

sudo ./mde_support_tool.sh skipfaultyrules -e true

Använda livesvar i Defender för Endpoint för att samla in supportloggar

XMDE-klientanalyseraren kan köras under en livesvarssession antingen med hjälp av den version som redan ingår i Microsoft Defender för Endpoint på Linux, eller genom att ladda ned Client Analyzer som ett binärt paket eller Python-paket och extrahera det på enheten.

• För installation krävs paketet unzip .
• För körning acl krävs paketet.

Kör Client Analyzer från installationen av Microsoft Defender för Endpoint

Om Microsoft Defender för Endpoint redan är installerat på enheten kan du köra Client Analyzer direkt från agentinstallationen utan att ladda ned eller installera ytterligare paket.

• Skapa en MDESupportToolBinary.sh fil och klistra in följande innehåll i den.

  #! /usr/bin/bash
  
  echo "cd /opt/microsoft/mdatp/tools/client_analyzer/binary"
  cd /opt/microsoft/mdatp/tools/client_analyzer/binary
  
  echo "Running MDESupportTool"
  ./MDESupportTool $@
  
  Execute:
  run MDESupportToolBinary.sh -parameters "--bypass-disclaimer -d"
  
  
  MDESupportToolPython.sh
  
  #! /usr/bin/bash
  
  echo "cd /opt/microsoft/mdatp/tools/client_analyzer/python"
  cd /opt/microsoft/mdatp/tools/client_analyzer/python
  
  echo "Running MDESupportTool"
  ./mde_support_tool.sh $@
  
  Execute:
  run MDESupportToolPython.sh -parameters "--bypass-disclaimer -d"
  
  

Installera XMDE-klientanalysen

Ladda ned och extrahera XMDE Client Analyzer. Du kan använda antingen binärversionen eller Python-versionen på följande sätt:

• Binär version av client analyzer
• Python-versionen av Client Analyzer

På grund av de begränsade kommandon som är tillgängliga i livesvaret måste detaljerade steg köras i ett bash-skript. Genom att dela upp installations- och körningsdelen av dessa kommandon kan du köra installationsskriptet en gång och köra körningsskriptet flera gånger.

Installationsskript för analys av binär klient

Följande skript utför de första sex stegen i köra den binära versionen av client analyzer. När det är klart är binärfilen XMDE Client Analyzer tillgänglig från /tmp/XMDEClientAnalyzerBinary/ClientAnalyzer katalogen.

• Skapa en bash-fil InstallXMDEClientAnalyzer.sh och klistra in följande innehåll i den.

  #! /usr/bin/bash 
  
  echo "Starting Client Analyzer Script. Running As:"
  whoami
  
  echo "Getting XMDEClientAnalyzerBinary"
  wget --quiet -O /tmp/XMDEClientAnalyzerBinary.zip https://aka.ms/XMDEClientAnalyzerBinary
  echo 'C65A4E4C6851D130942BFACD147A9D18B8A92B4F50FACF519477FD1C41A1C323 /tmp/XMDEClientAnalyzerBinary.zip' | sha256sum -c
  
  echo "Unzipping XMDEClientAnalyzerBinary.zip"
  unzip -q /tmp/XMDEClientAnalyzerBinary.zip -d /tmp/XMDEClientAnalyzerBinary
  
  echo "Unzipping SupportToolLinuxBinary.zip"
  unzip -q /tmp/XMDEClientAnalyzerBinary/XMDEClientAnalyzer/SupportToolLinuxBinary.zip -d /tmp/XMDEClientAnalyzerBinary/ClientAnalyzer
  
  echo "MDESupportTool installed at /tmp/XMDEClientAnalyzerBinary/ClientAnalyzer"
  
  

Installationsskript för Python-klientanalys

Följande skript utför de första sex stegen i Köra Python-versionen av Client Analyzer. När det är klart är Python-skripten för XMDE Client Analyzer tillgängliga från /tmp/XMDEClientAnalyzer katalogen.

• Skapa en bash-fil InstallXMDEClientAnalyzer.sh och klistra in följande innehåll i den.

  #! /usr/bin/bash
  
  echo "Starting Client Analyzer Install Script. Running As:"
  whoami
  
  echo "Getting XMDEClientAnalyzer.zip"
  wget --quiet -O /tmp/XMDEClientAnalyzer.zip https://aka.ms/XMDEClientAnalyzer 
  echo '07E6A7B89E28A78309D5B6F1E25E4CDFBA9CA141450E422D76441C03AD3477E7 /tmp/XMDEClientAnalyzer.zip' | sha256sum -c  
  
  echo "Unzipping XMDEClientAnalyzer.zip"
  unzip -q /tmp/XMDEClientAnalyzer.zip -d /tmp/XMDEClientAnalyzer  
  
  echo "Setting execute permissions on mde_support_tool.sh script"
  cd /tmp/XMDEClientAnalyzer 
  chmod a+x mde_support_tool.sh  
  
  echo "Performing final support tool setup"
  ./mde_support_tool.sh
  
  

Kör installationsskript för klientanalys

1. Starta en livesvarssession på den dator som du vill undersöka.

2. Välj Ladda upp fil till bibliotek.

3. Välj Välj fil.

4. Välj den nedladdade filen med namnet InstallXMDEClientAnalyzer.shoch välj sedan Bekräfta.

5. När du fortfarande är i LiveResponse-sessionen använder du följande kommandon för att installera analysatorn:

   run InstallXMDEClientAnalyzer.sh
   

Kör XMDE-klientanalysen

Livesvaret stöder inte direkt körning av XMDE-klientanalys eller Python, så det krävs ett körningsskript.

Skript för att köra den binära klientanalysen

Den binära versionen av klientanalysen accepterar kommandoradsparametrar för att utföra olika analystester. För att tillhandahålla liknande funktioner under livesvaret drar körningsskriptet nytta av $@ bash-variabeln för att skicka alla indataparametrar som tillhandahålls till skriptet till XMDE Client Analyzer.

• Skapa en bash-fil MDESupportTool.sh och klistra in följande innehåll i den.

  #! /usr/bin/bash
  
  echo "cd /tmp/XMDEClientAnalyzerBinary/ClientAnalyzer"
  cd /tmp/XMDEClientAnalyzerBinary/ClientAnalyzer
  
  echo "Running MDESupportTool"
  ./MDESupportTool $@
  
  

Skript för att köra Python-klientanalys

Python-versionen av klientanalysen accepterar kommandoradsparametrar för att utföra olika analystester. För att tillhandahålla liknande funktioner under livesvaret drar körningsskriptet nytta av $@ bash-variabeln för att skicka alla indataparametrar som tillhandahålls till skriptet till XMDE Client Analyzer.

• Skapa en bash-fil MDESupportTool.sh och klistra in följande innehåll i den.

  #! /usr/bin/bash  
  
  echo "cd /tmp/XMDEClientAnalyzer"
  cd /tmp/XMDEClientAnalyzer 
  
  echo "Running mde_support_tool"
  ./mde_support_tool.sh $@
  
  

Kör skriptet för klientanalys

1. Starta en livesvarssession på den dator som du vill undersöka.

2. Välj Ladda upp fil till bibliotek.

3. Välj Välj fil.

4. Välj den nedladdade filen med namnet MDESupportTool.shoch välj sedan Bekräfta.

5. Medan du fortfarande är i live-svarssessionen använder du följande kommandon för att köra analysatorn och samla in den resulterande filen:

   run MDESupportTool.sh -parameters "--bypass-disclaimer -d"
   GetFile "/tmp/your_archive_file_name_here.zip"
   

Se även

• Client analyzer översikt

• Data-samling för avancerad felsökning i Windows

• Förstå HTML-rapporten för analysen

Felsökningsdokument för Defender för Endpoint på Linux

• Felsöka installationsproblem för Microsoft Defender för Endpoint på Linux

• Undersöka hälsoproblem i agenten

• Felsöka problem med molnanslutning för Microsoft Defender för Endpoint på Linux

• Felsöka prestandaproblem för Microsoft Defender för Endpoint på Linux

• Felsöka problem med saknade händelser eller aviseringar för Microsoft Defender för Endpoint på Linux

• Åtgärda falska positiva/negativa i Microsoft Defender för Endpoint