Microsoft está concentrando la instalación y el onboarding de Defender for Endpoint en Linux en una única herramienta descargable desde el portal de Defender. El paquete valida prerrequisitos, instala el agente, incorpora el dispositivo al tenant y envía eventos de progreso para que el equipo pueda ver dónde termina o falla cada ejecución.
El cambio reduce piezas en un proceso que antes podía separar el script de instalación del paquete de onboarding. También admite despliegue manual y orquestación con herramientas como Ansible, Chef, Puppet o SaltStack. Eso simplifica la operación, pero no elimina la necesidad de validar red, proxy, repositorios y salud del sensor.
Un matiz importante sobre el estado
El boletín mensual de Defender publicado el 5 de agosto presenta la herramienta como disponible de forma general a partir de Microsoft Defender for Endpoint en Linux 101.26042.0011. Sin embargo, la guía detallada de Microsoft Learn, actualizada el 16 de julio, todavía conserva la etiqueta preview.
La lectura prudente es comprobar el tenant y la versión del agente antes de dar por cerrado el despliegue. Puede ser un desfase de documentación entre el anuncio y la guía, pero esa explicación es una inferencia. El hecho verificable es que las dos páginas oficiales no muestran aún el mismo estado.
Licencia y prerrequisitos
La documentación aplica a Microsoft Defender for Business y a Microsoft Defender for Endpoint Plan 1 y Plan 2. El paquete se genera para un tenant concreto desde Settings, Endpoints, Device management y Onboarding. Como instala y realiza el onboarding, no debe reutilizarse entre tenants.
Antes de ejecutar, el host necesita más de 1 GB de memoria, más de 2 GB libres, una versión de glibc posterior a 2.17 y curl o wget. También debe alcanzar el endpoint de descarga de Microsoft y el resto de destinos de conectividad de Defender. Si existe un proxy del sistema, hay que pasarlo igualmente a la herramienta.
Microsoft recomienda ejecutar primero las opciones de comprobación de prerrequisitos y conectividad. Si una validación bloqueante falla, la herramienta detiene el proceso. Por defecto instala la versión más reciente del canal de producción, aunque admite versiones, canales, repositorios locales y rutas de instalación específicas.
La trazabilidad es el cambio más útil
Cada ejecución comunica etapas: inicio, descarga, comprobación de prerrequisitos, instalación, inicialización del sensor y finalización. En la timeline del dispositivo aparecen eventos de éxito o fallo; mediante Advanced Hunting puede resumirse el último paso informado por toda la flota.
Esta telemetría permite distinguir un problema de descarga de un fallo del gestor de paquetes o de un sensor que no terminó el onboarding. El dispositivo puede tardar entre 5 y 20 minutos en aparecer en el inventario. Después aún hay que comprobar que la protección en tiempo real está habilitada y realizar las pruebas de detección previstas por Microsoft.
Cómo lo desplegaría
- Generar un paquete de corta vida para el tenant y custodiarlo como material sensible.
- Ejecutar prerrequisitos y conectividad en un anillo pequeño que represente distribuciones, proxies y repositorios reales.
- Instalar en producción con el canal definido explícitamente y recoger logs locales.
- Confirmar timeline, estado del sensor y eventos de hunting antes de ampliar el grupo.
- Mantener temporalmente el método anterior hasta demostrar que actualización, reinstalación, offboarding y recuperación funcionan.
Una sola herramienta reduce fricción, no riesgo por sí misma. El valor operativo aparece cuando el equipo usa la nueva telemetría para saber qué paso falló y evita escalar un paquete o una ruta de red que solo funcionó en el laboratorio.