Microsoft Defender trafia na Linuksa. Jednak czy użytkownicy tego systemu potrzebują antywirusa?

Microsoft postanowił rozszerzyć ochronę Defender for Endpoint na komputery stacjonarne i laptopy z Linuksem! Dotychczas to rozwiązanie antywirusowe było dostępne przede wszystkim dla serwerów, ale teraz Microsoft kieruje je również do przedsiębiorstw, w których Linux jest wykorzystywany do codziennej pracy. Szczególnie dotyczy to programistów, administratorów i specjalistów DevOps.

Linux dla stacji roboczych od lat uchodzi za system, na którym antywirus jest zbędny. W tym przekonaniu jest sporo prawdy, przynajmniej w odniesieniu do typowych zagrożeń znanych z Windows. Jednak współczesne ataki nie zawsze wymagają instalowania trojana czy wykorzystywania podatności w systemie operacyjnym. Wyjdźmy poza schematy – zagrożenia dla Linux to także złośliwe biblioteki, przejęte konta programistów, fałszywe strony logowania oraz niekiedy sam sklep z aplikacjami Snap lub Flatpak. Przed tego typu zagrożeniami możliwa będzie zwiększona ochrona poprzez zastosowanie dodatkowych warstw skanowania stron internetowych, linków w kliencie poczty, a także rozszerzona telemetria systemowa w ramach działania ochrony w czasie rzeczywistym, ponieważ Microsoft Defender dla Linux występuje wersji z EDR, a nie tylko z podstawowym antywirusem. Niewykluczone, iż po zainstalowaniu Defendera zwolennicy open source stracą transparentność, co jest zbierane z ich systemów i wysyłane na serwery Microsoftu. To istotna cecha systemów Linux i systemowej telemetrii, nad którą użytkownik może mieć kontrolę.

Microsoft Defender dla desktopowego Linuksa

Nowa funkcjonalność jest dostępna w ramach publicznej wersji testowej Microsoft Defender for Endpoint. Nie jest to więc odpowiednik darmowego Microsoft Defender Antivirus znanego z Windows 11, który każdy użytkownik może uruchomić na swoim komputerze.

Poniżej zrzuty ekranu z naszej testowej konsoli:

Oferta jest przeznaczona dla organizacji korzystających z odpowiednich licencji, między innymi Microsoft Defender for Endpoint Plan 2 oraz Microsoft 365 E5 lub E7.

Microsoft udostępnia między innymi:

• Ochronę antywirusową i wykrywanie złośliwego oprogramowania.
• EDR, czyli monitorowanie aktywności urządzenia, wykrywanie zagrożeń i reagowanie na incydenty.
• Zarządzanie podatnościami i inwentaryzację oprogramowania.
• Advanced Hunting, pozwalający analizować zdarzenia i wyszukiwać oznaki ataków.
• Zdalne działania reagowania, w tym izolowanie urządzeń i analizę incydentów.
  
  

Na stronie z wymaganiami czytamy, iż obsługiwane są popularne dystrybucje, między innymi Ubuntu, Debian, Fedora, Red Hat Enterprise Linux, openSUSE i Rocky Linux. Zgodność zależy od konkretnej wersji dystrybucji i jądra, a nie od tego, czy użytkownik korzysta z GNOME, KDE czy innego środowiska graficznego.

Co istotne, Microsoft wykorzystuje istniejącego agenta dla Linuksa. Administratorzy nie muszą wdrażać osobnego produktu przeznaczonego wyłącznie dla komputerów desktopowych. Czyli z perspektywy przedsiębiorstwa oznacza to możliwość objęcia ochroną kolejnej grupy urządzeń w ramach tej samej platformy bezpieczeństwa.

Linux jest bezpieczny, ale użytkownik nie jest odporny na oszustwa

Linux ma wiele zalet w zakresie bezpieczeństwa. Model uprawnień, repozytoria oprogramowania, separacja procesów czy mechanizmy kontroli dostępu ograniczają część zagrożeń. Dodatkowo większość masowych kampanii malware przez cały czas koncentruje się na Windows.

Nie oznacza to jednak, iż użytkownik Linuksa jest bezpieczny podczas korzystania z Internetu. Fałszywa strona banku wygląda tak samo w przeglądarce Firefox na Ubuntu, jak w Chrome na Windows. Podobnie działają phishing e-mailowy, złośliwe reklamy, oszustwa inwestycyjne, fałszywe sklepy i przekierowania na strony wyłudzające dane.

Atakujący nie musi znać systemu operacyjnego ofiary, jeżeli jego celem jest przejęcie hasła, kodu uwierzytelniającego lub nakłonienie użytkownika do wykonania określonej czynności. W takich sytuacjach tradycyjny antywirus również nie zawsze będzie pomocny. Znacznie większe znaczenie może mieć ochrona przeglądarki, filtrowanie niebezpiecznych adresów URL, mechanizmy antyphishingowe oraz zabezpieczenia kont internetowych.

Dlatego pytanie, czy Linux potrzebuje antywirusa, jest dzisiaj trochę zbyt wąskie. Istotniejsze jest to, przed jakimi zagrożeniami chcemy chronić użytkownika i jego dane.

Złośliwe oprogramowanie nie musi pochodzić z podejrzanej strony

Przez lata jednym z najczęściej powtarzanych argumentów na korzyść Linuksa była możliwość instalowania programów z oficjalnych repozytoriów. To przez cały czas dobra praktyka, szczególnie w porównaniu z pobieraniem przypadkowych plików wykonywalnych z Internetu. Problem w tym, iż współczesny ekosystem systemu jest znacznie bardziej rozbudowany.

Użytkownicy instalują aplikacje przez Flatpak i Snap, korzystają z zewnętrznych repozytoriów, pobierają projekty z GitHuba i uruchamiają skrypty instalacyjne. Programiści dodatkowo pracują z bibliotekami npm, PyPI, kontenerami i narzędziami dostarczanymi przez zewnętrznych autorów. Czyli każde takie źródło ma własny model bezpieczeństwa. Sam fakt obecności aplikacji w katalogu Flatpak lub Snap nie jest gwarancją, iż jej kod jest bezpieczny. Podobnie jak obecność aplikacji w Google Play nie oznacza, iż nie może ona zawierać szkodliwych funkcji.

Nie należy jednak traktować wszystkich tych źródeł jednakowo. Oficjalne repozytoria dystrybucji, Flathub, Snap Store i publiczne repozytoria kodu różnią się sposobem weryfikacji oprogramowania, utrzymania pakietów oraz aktualizacji. Flatpak może dodatkowo ograniczać dostęp aplikacji do zasobów systemu przez sandbox, chociaż zakres izolacji zależy od przyznanych uprawnień.

Szczególnie niebezpieczne są sytuacje, w których użytkownik uruchamia kod bez wcześniejszej weryfikacji. Popularne polecenia instalacyjne pobierające skrypt z Internetu i przekazujące go bezpośrednio do powłoki mogą wykonać dowolne instrukcje z uprawnieniami użytkownika, a niekiedy administratora. Nie jest to problem specyficzny dla Linuksa. Jednak w jego ekosystemie skrypty i zewnętrzne narzędzia są naturalną częścią codziennej pracy.

Ataki na łańcuch dostaw systemu są poważnym problemem

W 2026 roku pojawiły się kolejne przykłady ataków na ekosystemy open source, w których przestępcy nie próbowali bezpośrednio infekować komputerów użytkowników. Zamiast tego umieszczali złośliwy kod w bibliotekach i narzędziach wykorzystywanych podczas tworzenia oprogramowania.

W maju 2026 roku Microsoft opisał kampanię obejmującą 14 złośliwych pakietów npm podszywających się pod popularne biblioteki związane między innymi z OpenSearch, Elasticsearch i narzędziami DevOps.

Pakiety zawierały kod uruchamiany podczas instalacji. Jego zadaniem było pozyskiwanie danych uwierzytelniających AWS, tokenów HashiCorp Vault oraz sekretów wykorzystywanych w środowiskach CI/CD. Atak mógł więc rozpocząć się podczas zwykłego instalowania zależności projektu, bez uruchamiania podejrzanego programu przez użytkownika.

GitHub również alarmował w 2026 o kampaniach wymierzonych w repozytoria npm i mechanizmy GitHub Actions. Przejęcie konta opiekuna projektu lub niewłaściwie zabezpieczony workflow mogą umożliwić rozpowszechnienie złośliwego kodu w kolejnych projektach.

Komputer programisty atrakcyjnym celem

Takie incydenty pokazują, dlaczego komputer programisty jest atrakcyjnym celem. Może przechowywać klucze SSH, tokeny dostępu do repozytoriów, dane uwierzytelniające do chmury i inne informacje pozwalające atakującemu dostać się znacznie dalej niż do pojedynczej stacji roboczej.

Co więcej, część takich ataków jest niezależna od systemu operacyjnego. Złośliwa zależność npm może zostać zainstalowana zarówno na Windows, macOS, jak i Linuksie.

Czy Microsoft otwiera nowy rynek dla producentów antywirusów?

Nie spodziewamy się, aby udostępnienie Defender for Endpoint spowodowało nagły wzrost zainteresowania tradycyjnymi antywirusami wśród domowych użytkowników Linuksa. Na rynku istnieją już rozwiązania chroniące linuksowe serwery i stacje robocze. Nowością nie jest więc sam pomysł instalowania antywirusa na Linuksie, ale większe zainteresowanie ochroną komputerów wykorzystywanych do codziennej pracy w przedsiębiorstwach.

Rozwiązania antywirusowe z EDR dla firm:

W segmencie antywirusów dla Linux dla użytkowników indywidulanych wyboru praktycznie nie ma. Najbardziej polecany jest ClamAV – darmowy i open source ze skanowaniem plików, opcjonalnie on-access, ale wymaga konfiguracji. Istnieje nakładka graficzna na ClamAV o nazwie ClamTk. Za to w kwestii ochrony dla Linux najbardziej możemy polecić rozszerzenia dla przeglądarek, które chronią przed scamem, phishingiem, złośliwymi przekierowaniami, „reklamami”.

Dla producentów rozwiązań EDR i XDR jest to istotny kierunek. Organizacje korzystające z różnych systemów operacyjnych oczekują możliwości monitorowania zdarzeń, analizowania incydentów i reagowania na zagrożenia bez konieczności utrzymywania kilku niezależnych narzędzi. Linux może być niewielką częścią firmowego środowiska desktopowego, ale jednocześnie znajdować się na komputerach pracowników posiadających szeroki dostęp do infrastruktury IT.

Rozszerzenie Defendera może również zwiększyć presję konkurencyjną na dostawców zabezpieczeń, którzy dotychczas oferowali ochronę Linuksa głównie w wariantach serwerowych. Samo ogłoszenie Microsoftu nie przesądza jednak o zmianie rynku. Dużo będzie zależało od skuteczności wykrywania, jakości telemetrii, wpływu na wydajność i stabilności działania na różnych dystrybucjach.

Czy antywirus na Linuksie ma sens?

Dla przeciętnego użytkownika, który korzysta z aktualnej dystrybucji, instaluje oprogramowanie z zaufanych źródeł i nie uruchamia przypadkowych skryptów, dodatkowy antywirus nie musi być koniecznością. Nie oznacza to jednak, iż wszystkie zagrożenia zostały wyeliminowane. Ochrona przed phishingiem, bezpieczeństwo przeglądarki, aktualizacje systemu i kontrola uprawnień pozostają ważne niezależnie od systemu operacyjnego.

Inaczej wygląda sytuacja programisty, administratora lub pracownika mającego dostęp do infrastruktury przedsiębiorstwa. W takim środowisku EDR może dostarczać informacji o uruchamianych procesach, podejrzanych poleceniach, komunikacji sieciowej i próbach kradzieży danych. Są to możliwości wykraczające poza klasyczne skanowanie plików.

Nie należy też zakładać, iż instalacja Defendera automatycznie zabezpieczy środowisko przed atakami supply chain. Produkt może wykryć część złośliwych działań na stacji roboczej, ale nie zastępuje kontroli zależności, weryfikacji kodu i zabezpieczania procesu tworzenia oprogramowania.

Zaufanie do oprogramowania, które instalujemy i uruchamiamy, staje się jednym z ważniejszych problemów współczesnego cyberbezpieczeństwa.