Defender for Endpoint sur Linux : tester Tamper Protection en mode audit

Ce qui change

Microsoft a publié une page dédiée à l'utilisation de Tamper Protection in audit mode pour Microsoft Defender for Endpoint sur Linux. Le mode audit détecte les modifications non autorisées des fichiers de configuration, fichiers d'état, binaires, processus et services Defender for Endpoint. Il génère des alertes et des événements consultables dans le portail Microsoft Defender, mais il ne bloque pas l'activité.

Le point important est la différence de comportement avec Windows et macOS. Sur Windows, Tamper Protection peut bloquer des changements de paramètres protégés. Sur Linux, la fonctionnalité documentée est actuellement en Preview et uniquement en Audit : elle apporte de la visibilité SOC, pas une garantie de durcissement actif de l'agent.

Microsoft indique que la fonctionnalité est disponible avec Defender for Endpoint pour Linux version 101.26072.0004 ou ultérieure depuis l'anneau Insiders-Slow. La page des notes de version associe aussi la build Linux 101.26072.0004 à septembre 2026, avec Memory scanning en préversion, l'ajout de support Ubuntu 26.04, openSUSE Leap 16 et Fedora 44, ainsi que des améliorations de fiabilité.

Qui est concerné

Le sujet concerne les environnements qui exploitent déjà Defender for Endpoint sur Linux et qui acceptent un canal de préversion sur quelques machines. Il peut être intéressant pour les postes de développement Linux, les serveurs exposés aux changements administratifs fréquents, ou les environnements où plusieurs outils de configuration peuvent modifier l'agent Defender.

Les prérequis réduisent fortement le périmètre. La documentation exige un noyau Linux prenant en charge eBPF avec BPF Type Format. Microsoft liste des couples distribution/version/noyau compatibles, avec des exclusions explicites pour certains noyaux génériques Ubuntu 20.04 et 22.04 en version 5.15.0-144, 5.15.0-150, 5.15.0-151 et 5.15.0-152. Il faut aussi autoriser l'accès à https://config.edge.skype.com/config/v1, URL de configuration interne Defender conservée pour compatibilité de nommage.

Actions recommandées

Recommandation PatchFactory : classer ce signal en À tester, pas en déploiement général. Commencer par inventorier les machines Linux Defender qui sont déjà en Insiders-Slow ou qui peuvent y passer temporairement sans risque applicatif. Pour chaque machine pilote, relever la distribution, la version de noyau, la version Defender et la connectivité vers les URL Defender requises.

La vérification opérationnelle documentée par Microsoft se fait sur l'appareil Linux avec :

mdatp health --details tamper_protection

Le résultat attendu est un niveau tamper_protection_enforcement_level à "audit" et une liste tamper_protection_errors vide. Si le niveau reste disabled, Microsoft indique d'exploiter les erreurs retournées, notamment tamper_protection_unsupported_kernel_version ou not_supported_in_the_current_configuration, avant d'ouvrir un incident.

Une fois l'état confirmé, coordonner un test contrôlé avec le SOC : provoquer une tentative d'altération sur une machine non critique, vérifier la chronologie de l'appareil, les alertes et les requêtes Advanced Hunting, puis qualifier le bruit généré par les outils d'administration légitimes. Le critère de poursuite n'est pas seulement l'apparition d'une alerte ; il faut que l'équipe sache reconnaître l'utilisateur, le processus et le fichier ciblé, et qu'elle puisse séparer une maintenance approuvée d'un comportement suspect.

Points de vigilance

Pendant la préversion, Microsoft indique que le mode audit est activé par défaut sur les appareils éligibles de l'anneau Insiders-Slow et que le déploiement se fait progressivement sur deux semaines. Une absence immédiate du mode audit ne prouve donc pas seule une anomalie si la machine vient tout juste d'entrer dans le périmètre.

Ne pas présenter ce réglage comme un équivalent Linux du blocage Windows. Sur Linux, l'intérêt actuel est d'améliorer la détection des changements de configuration, suppressions de fichiers ou arrêts de services Defender. Les décisions de blocage, de remédiation ou de durcissement restent à traiter par les mécanismes existants : gestion de configuration, privilèges administratifs, EDR, processus SOC et contrôle des outils qui modifient l'agent.

Sources

• Microsoft Learn - Tamper protection in audit mode for Microsoft Defender for Endpoint on Linux : https://learn.microsoft.com/en-us/defender-endpoint/tamper-protection-linux-audit-mode
• Microsoft Learn - Tamper protection overview : https://learn.microsoft.com/en-us/defender-endpoint/tamper-protection-overview
• Microsoft Learn - Microsoft Defender for Endpoint release notes : https://learn.microsoft.com/en-us/defender-endpoint/microsoft-defender-endpoint-releases
• Microsoft Learn - New features in Microsoft Defender for Endpoint : https://learn.microsoft.com/en-us/defender-endpoint/whats-new-in-microsoft-defender-endpoint
• Microsoft Learn - Defender for Endpoint streamlined connectivity URLs : https://learn.microsoft.com/en-us/defender-endpoint/streamlined-device-connectivity-urls-commercial#urls-used-for-core-functionality