Configuraciones incorrectas del sistema operativo

Microsoft Defender para la nube proporciona recomendaciones de seguridad para mejorar la posición de seguridad de la organización y reducir el riesgo. Un elemento importante en la reducción de riesgos es proteger las máquinas en todo el entorno empresarial. Este artículo explica cómo evaluar y corregir configuraciones erróneas de la línea base del sistema operativo utilizando la extensión Azure Machine Configuration y Administración de vulnerabilidades de Defender.

Evaluación (extensión de configuración de máquinas de Azure)

Defender for Cloud utiliza iniciativas de políticas integradas de Azure para evaluar y aplicar configuraciones de seguridad. La iniciativa predeterminada es el Microsoft Cloud Security Benchmark (MCSB).

MCSB incluye líneas base de seguridad de proceso para sistemas operativos Windows y Linux.

Estas recomendaciones básicas del sistema operativo no forman parte de las funciones gratuitas de postura de seguridad en Defender for Cloud.

• Las recomendaciones están disponibles cuando se habilita el plan 2 de Defender para servidores.

• Cuando se habilita el plan 2 de Defender para servidores, las directivas de Azure pertinentes se habilitan en la suscripción:

  • "Las máquinas Windows deben cumplir los requisitos de la base de referencia de seguridad de procesos de Azure"
  • "Las máquinas Linux deben cumplir los requisitos de la base de referencia de seguridad de procesos de Azure"

• Asegúrese de no eliminar estas directivas o no podrá aprovechar la extensión de configuración de la máquina que se utiliza para recopilar datos de la máquina.

Recopilación de datos

La información de la máquina se recopila para su evaluación mediante la extensión de configuración de máquina de Azure (anteriormente conocida como configuración de invitado de Azure Policy) que se ejecuta en la máquina.

Instalación de la extensión de configuración de la máquina

La extensión de configuración de la máquina se instala de la siguiente manera:

• Azure: En las máquinas de Azure, instale corrigiendo la recomendación La extensión de Configuración de invitado debe instalarse en las máquinas.
• AWS/GCP: en máquinas AWS y GCP, la configuración de la máquina se instala de forma predeterminada al seleccionar el aprovisionamiento de Arc en el conector AWS o GCP.
• Local: en el caso de las máquinas locales, la configuración de la máquina se habilita de forma predeterminada al incorporar máquinas virtuales locales como máquinas virtuales habilitadas para Azure Arc.
• Máquinas virtuales de Azure: solo en las máquinas virtuales de Azure (no en las máquinas virtuales habilitadas para Arc) se debe asignar una identidad administrada al equipo corrigiendo la recomendación La extensión de configuración de invitado de las máquinas virtuales debe implementarse con una identidad administrada asignada por el sistema.

¿Qué no se incluye?

Las características adicionales proporcionadas por la extensión de configuración de máquinas ajenas a Defender for Cloud no están incluidas y están sujetas a los precios de la configuración de máquinas de Azure Policy.

• Por ejemplo, políticas de corrección y personalizadas.
• Consulte los detalles de precios de la configuración de máquinas de Azure Policy.

Evaluación (Administración de vulnerabilidades de Defender)

Defender for Cloud se integra con Microsoft Defender para punto de conexión y Administración de vulnerabilidades de Microsoft Defender. Esta integración proporciona a las máquinas protección contra vulnerabilidades y funciones de detección y respuesta en endpoints (EDR).

Como parte de la integración con Administración de vulnerabilidades de Defender, se proporciona una evaluación de las líneas de base de seguridad.

• La evaluación de líneas base de seguridad utiliza perfiles de línea base personalizados.
• Cada perfil es una plantilla de configuración y benchmarks del dispositivo para compararlos.

Sistemas y requisitos soportados

Los siguientes requisitos y limitaciones se aplican a la evaluación de líneas base de seguridad:

• Actualmente, la evaluación de dispositivos conforme a los perfiles de evaluación de las líneas base de seguridad de Administración de vulnerabilidades de Defender está disponible como vista previa pública.

• El plan 2 de Defender para servidores debe estar habilitado y el agente de Defender para punto de conexión debe ejecutarse en las máquinas que quiera evaluar.

• Se admite la evaluación para los equipos que ejecutan configuraciones base de seguridad:

  • windows_server_2008_r2
  • windows_server_2016
  • windows_server_2019
  • windows_server_2022

Revisión de recomendaciones

Para revisar las recomendaciones realizadas por las evaluaciones de línea de base de seguridad, busque la recomendación "Las máquinas deben configurarse de forma segura (con tecnología MDVM)" y vea la recomendación de todos los recursos.

Pasos siguientes

• Instale la configuración de la máquina de Azure Policy.
• Corrija los errores de configuración de línea de base del sistema operativo mediante aplicar correcciones de línea de base de seguridad.