Préparer la mise hors service de l’agent Log Analytics

L’agent Log Analytics, également connu sous le nom d’agent de surveillance Microsoft (MMA), a pris sa retraite en novembre 2024 comme décrit dans le plan de retraite des agents Defender for Cloud Log Analytics. En raison de cette retraite, les plans Defender for Servers et Defender for SQL sur machines dans Microsoft Defender for Cloud seront mis à jour, et les fonctionnalités qui dépendent de l’agent Log Analytics seront repensées.

Cet article résume les plans pour la retraite de l’agent Log Analytics (MMA).

Préparer Defender pour serveurs

Le plan Defender for Servers utilise l’agent Log Analytics en disponibilité générale (GA) et en AMA pour le support des agents et fonctionnalités Defender for Servers (en aperçu). Voici ce qui se passera désormais avec ces fonctionnalités :

Pour simplifier l’intégration, vous obtenez toutes les fonctionnalités et capacités de sécurité de Defender for Servers avec un seul agent (Microsoft Defender for Endpoint), complété par un scan machine sans agent, sans dépendance à l’agent Log Analytics ou à l’agent Azure Monitor (AMA).

• Les fonctionnalités de Defender for Servers, qui sont basées sur AMA, sont actuellement en préversion et ne seront pas mises à disposition en disponibilité générale (GA).
• Les fonctionnalités en aperçu qui dépendent de l’AMA restent prises en charge jusqu’à ce qu’une version alternative de la fonctionnalité soit fournie, qui repose sur l’intégration Defender for Endpoint ou la fonction de balayage machine sans agent.
• En activant l’intégration de Defender pour point de terminaison et la fonctionnalité d’analyse sans agent des machines avant la dépréciation, votre déploiement Defender pour serveurs sera pris en charge et à jour.

Caractéristiques de la fonctionnalité

Le tableau suivant résume comment les fonctionnalités de Defender for Servers sont proposées. La plupart des fonctionnalités sont déjà en disponibilité générale à l’aide de l’intégration de Defender pour point de terminaison ou de l’analyse des machines sans agent. Les fonctionnalités restantes de Defender for Servers, listées dans le tableau suivant, seront soit disponibles en GA au moment du retrait du MMA, soit seront dépréciées.

Expérience d’approvisionnement automatique de l’agent Log Analytics : plan de mise hors service

Dans le cadre de la retraite des agents MMA, la capacité d’autoprovisionnement qui permet l’installation et la configuration de l’agent pour les clients Defender for Cloud sera également dépréciée en 2 étapes :

1. À la fin de septembre 2024 , l’approvisionnement automatique de MMA sera désactivé pour les clients qui n’utilisent plus la fonctionnalité, ainsi que pour les abonnements nouvellement créés :

   • Les abonnements existants qui désactivent l’approvisionnement automatique MMA après la fin de septembre ne pourront plus activer la fonctionnalité par la suite.

   • Sur les abonnements nouvellement créés, l’approvisionnement automatique ne peut plus être activé et est automatiquement désactivé.

2. Fin novembre 2024 - Le provisionnement automatique du MMA sera désactivé sur les abonnements qui ne l’ont pas encore désactivé. À partir de ce moment, il n’est plus possible d’activer l’autoprovisionnement MMA sur les abonnements existants.

L’avantage de 500 Mo pour l’ingestion des données

Pour ne pas dépasser la limite d’ingestion gratuite de 500 Mo d’ingestion des données pour les types de données pris en charge, vous devez migrer de MMA vers AMA.

En savoir plus sur le déploiement d’AMA.

Pour les serveurs SQL sur les machines, nous vous recommandons de migrer vers le processus de provisionnement automatique d’Azure Monitoring Agent (AMA) ciblé par SQL Server.

Modifications apportées à l’intégration héritée de Defender pour serveurs Plan 2 en utilisant l’agent Log Analytics

Microsoft abandonne l’approche héritée des serveurs embarqués pour passer au Defender for Servers Plan 2, qui utilise l’agent Log Analytics et les espaces de travail Log Analytics. La retraite comprend les changements suivants :

• L’expérience d’intégration de nouvelles machines non-Azure vers Defender for Servers via les agents et espaces de travail Log Analytics est supprimée des pages Inventory et Getting Started du portail Defender for Cloud.

• Pour éviter de perdre la couverture sécurité des machines concernées qui se connectent à un espace de travail Log Analytics, prenez les mesures suivantes pour la retraite de l’Agent :

  • Si vous avez intégré des serveurs non-Azure (sur site et multicloud) en utilisant l’intégration d’agent Log Analytics hérité pour les machines non-Azure, connectez ces machines en utilisant des serveurs compatibles Azure Arc aux abonnements et connecteurs Azure Defender for Servers Plan 2. Pour plus d’informations sur le déploiement des machines à grande échelle, consultez les options de déploiement des serveurs Azure Arc.
  • Si vous avez utilisé l’approche héritée pour activer Defender for Servers Plan 2 sur certaines machines virtuelles Azure, activez Defender for Servers Plan 2 sur les abonnements Azure pour ces machines. Vous pouvez ensuite exclure des machines individuelles de la couverture Defender for Servers en utilisant la configuration Defender for Servers par ressource.

Le tableau suivant résume l’action requise pour chaque serveur intégré à Defender for Servers Plan 2 via l’approche héritée :

Expérience de mise à jour système et de recommandations de correctifs - changements et conseils de migration

Les mises à jour et correctifs système sont essentiels pour assurer la sécurité et la santé de vos machines. Les mises à jour contiennent souvent des correctifs de sécurité pour des vulnérabilités qui, si elles ne sont pas corrigées, peuvent être exploitées par des acteurs malveillants.

Defender for Cloud Foundational CSPM et les plans Defender for Servers fournissaient auparavant des recommandations de mise à jour système en utilisant l’agent Log Analytics. L’expérience précédente de recommandation des mises à jour des systèmes basées sur des agents de Log Analytics a été remplacée par des recommandations de sécurité recueillies via Gestionnaire de mise à jour Azure et construites à partir de deux nouvelles recommandations :

• Les machines doivent être configurées pour rechercher régulièrement les mises à jour système manquantes

• Les mises à jour du système doivent être installées sur vos machines (gérées par Gestionnaire de mise à jour Azure)

Apprenez comment remédier aux mises à jour système et aux recommandations de correctifs sur vos machines.

Quelles recommandations sont remplacées ?

Le tableau suivant résume le calendrier des recommandations déconseillées et remplacées.

Comment faire pour préparer les nouvelles recommandations ?

• Connectez vos machines non Azure à Arc.

• Assurez-vous que le paramètre de mise à jour évaluation périodique est activé sur vos machines. Vous pouvez l’activer de deux manières :

  • Corrigez la recommandation : les machines doivent être configurées pour vérifier périodiquement l’absence de mises à jour système, en utilisant Gestionnaire de mise à jour Azure.
  • Activez l’évaluation périodique à grande échelle avec Azure Policy.

• Lorsque vous terminez ces étapes, Update Manager peut récupérer les dernières mises à jour des machines, et vous pouvez consulter le dernier état de conformité des machines.

Expérience des recommandations de protection de point de terminaison – modifications et conseils de migration

La découverte des points de terminaison et les recommandations étaient auparavant fournies par le Defender for Cloud CSPM fondamental et les plans Defender pour serveurs à l’aide de l’agent Log Analytics en GA, ou en aperçu via l’AMA. Les expériences précédentes de découverte et de recommandation de points de terminaison basées sur MMA et AMA ont été remplacées par des recommandations de sécurité recueillies via le scan machine sans agent.

Les recommandations de protection des points de terminaison sont construites en deux étapes. La première étape est la détection et la découverte de solutions de réponse des points d’extrémité. La deuxième étape consiste à évaluer la configuration de la solution. Les tableaux suivants fournissent des détails sur les expériences actuelles et nouvelles pour chaque étape.

Découvrez comment gérer les nouvelles recommandations de détection et de réponse de point de terminaison (sans agent).

Solution de protection évolutive des points de terminaison : découverte

Le tableau suivant compare les expériences de découverte actuelles et nouvelles pour les solutions de détection et de réponse des points de terminaison.

Solution de protection évolutive des points de terminaison : évaluation de la configuration

Le tableau suivant compare l’expérience actuelle et la nouvelle expérience d’évaluation de la configuration pour les solutions de détection et de réponse des points de terminaison.

Quelles recommandations sont déconseillées ?

Le tableau suivant résume le calendrier des recommandations déconseillées et remplacées.

La nouvelle expérience de recommandation de protection des terminaux sans agent, basée sur le scan des machines sans agent, prend en charge à la fois Windows et Linux OS pour les machines multicloud.

Comment le remplacement fonctionnera-t-il ?

• Les recommandations actuelles fournies par l’agent Log Analytics ou l’AMA seront déconseillées au fil du temps.
• Certaines de ces recommandations existantes seront remplacées par de nouvelles recommandations basées sur l’analyse des machines sans agent.
• Les recommandations actuellement en disponibilité générale restent en place jusqu’à la mise hors service de l’agent Log Analytics.
• Les recommandations actuellement en préversion seront remplacées lorsque la nouvelle recommandation est disponible en préversion.

Qu’est-ce qui se passe avec le score sécurisé ?

Les points suivants expliquent comment le score de sécurité est affecté pendant la transition entre les recommandations de protection des points de terminaison basées sur MMA et celles sans agent.

• Les recommandations actuellement en disponibilité générale continueront d’affecter le degré de sécurisation.
• Les nouvelles recommandations actuelles et à venir se trouvent sous le même contrôle Microsoft Cloud Security Benchmark, ce qui garantit qu'il n'y a aucun impact en double sur le score de sécurité.

Comment faire pour préparer les nouvelles recommandations ?

Pour vous préparer aux nouvelles recommandations de protection des terminaux sans agent, prenez les mesures suivantes :

• Assurez-vous que le scan machine sans agent est activé dans le cadre du Plan 2 de Defender for Servers, ou de la gestion de la posture de sécurité de Defender Cloud.
• Si cela convient à votre environnement, supprimez les recommandations obsolètes lorsque la recommandation de remplacement en disponibilité générale devient disponible. Pour ce faire, désactivez la recommandation dans l’Initiative intégrée Defender for Cloud dans Azure Policy.

Expérience de surveillance de l’intégrité des fichiers – modifications et conseils de migration

Defender for Servers Plan 2 propose désormais une nouvelle solution de surveillance de l’intégrité des fichiers (FIM) propulsée par l’intégration Defender for Endpoint (MDE). Une fois FIM basé sur MDE disponible de manière générale, l’expérience FIM basé sur AMA dans le portail Defender for Cloud sera supprimée. En novembre, FIM alimenté par MMA sera mis hors service.

Migration de FIM via AMA

Si vous utilisez actuellement FIM sur AMA :

• Vous ne pouvez plus intégrer de nouveaux abonnements ou serveurs à FIM basés sur l’AMA et l’extension de suivi des changements, ni voir les changements via le portail Defender for Cloud à partir du 30 mai.

• Si vous souhaitez continuer à consommer les événements FIM collectés par AMA, vous pouvez vous connecter manuellement à l’espace de travail concerné et afficher les modifications dans la table de suivi des modifications à l’aide de la requête suivante :

  ConfigurationChange
  
  | where TimeGenerated > ago(14d)
  
  | where ConfigChangeType in ('Registry', 'Files') 
  
  | summarize count() by Computer, ConfigChangeType
  

• Si vous souhaitez continuer à intégrer de nouvelles étendues ou configurer des règles de surveillance, vous pouvez utiliser manuellement les règles de connexion de données pour configurer ou personnaliser différents aspects de la collecte de données.

• Defender for Cloud recommande de désactiver FIM via AMA, et d’intégrer votre environnement à la nouvelle version FIM basée sur Defender for Endpoint dès sa sortie.

Désactiver FIM sur AMA

Pour désactiver FIM sur AMA, supprimez la solution Azure Change Tracking. Pour plus d’informations, consultez Supprimer la solution ChangeTracking.

Vous pouvez également supprimer les règles de collecte de données de suivi des modifications de fichier associées (DCR). Pour plus d’informations, consultez Remove-AzDataCollectionRuleAssociation ou Remove-AzDataCollectionRule.

Après avoir désactivé la collection d’événements de fichiers en utilisant l’une des méthodes ci-dessus :

• Les nouveaux événements cessent d’être collectés sur la portée sélectionnée.
• Les événements historiques qui ont déjà été collectés restent stockés dans l’espace de travail approprié sous la table ConfigurationChange dans la section Change Tracking. Ces événements restent disponibles dans l’espace de travail concerné selon la période de conservation définie dans cet espace de travail. Pour plus d’informations, consultez Fonctionnement de la rétention et de l’archivage.

Migration de FIM sur Log Analytics Agent (MMA)

Si vous utilisez actuellement FIM sur l’agent Log Analytics (MMA) :

• La surveillance de l’intégrité des fichiers basée sur l’agent Log Analytics (MMA) sera mise hors service à la fin du mois de novembre 2024.

• Defender for Cloud recommande de désactiver FIM plutôt que MMA, et d’intégrer votre environnement à la nouvelle version FIM basée sur Defender for Endpoint dès sa sortie.

Désactiver FIM sur MMA

Pour désactiver FIM sur MMA, supprimez la solution Azure Change Tracking. Pour plus d’informations, consultez Supprimer la solution ChangeTracking.

Après avoir désactivé la collection d’événements de fichier :

• Les nouveaux événements cessent d’être collectés sur la portée sélectionnée.
• Les événements historiques qui ont déjà été collectés restent stockés dans l’espace de travail approprié sous la table ConfigurationChange dans la section Change Tracking. Ces événements restent disponibles dans l’espace de travail concerné selon la période de conservation définie dans cet espace de travail. Pour plus d’informations, consultez Fonctionnement de la rétention et de l’archivage.

Évolutions de l’expérience de base et directives de migration

La fonctionnalité de détection des erreurs de configuration des configurations de référence pour les machines virtuelles (VM) contribue à garantir que vos VM respectent les meilleures pratiques de sécurité et les stratégies organisationnelles. Baselines misconfiguration vérifie vos VM par rapport à des bases de sécurité prédéfinies et identifie toute déviation ou mauvaise configuration pouvant représenter un risque pour votre environnement.

L’agent Log Analytics (également appelé Microsoft Monitoring agent ou MMA) a pris sa retraite en novembre 2024, et les changements suivants s’appliquent :

• Les informations sur la machine sont collectées en utilisant la configuration invitée Azure Policy.

• Les stratégies Azure suivantes sont activées avec la configuration Invité Azure Policy :

  • « Les machines Windows doivent répondre aux exigences de la base de référence de sécurité Azure Compute »
  • « Les machines Linux doivent répondre aux exigences de la base de référence de sécurité Azure Compute »

  Note

  Si vous supprimez ces politiques, vous perdez l’accès aux avantages de l’extension de configuration invitée Azure Policy.

• Defender for Cloud Fundamentalal CSPM n’inclut plus de recommandations d’OS basées sur les bases de sécurité de calcul. Ces recommandations sont disponibles lorsque vous activez le Defender for Servers Plan 2.

Pour en savoir plus sur la tarification Defender for Servers Plan 2, consultez la page tarifaire Defender for Cloud. Vous pouvez également estimater les coûts avec la calculatrice de coûts de Defender for Cloud.

Les recommandations fournies par le MCSB et qui ne font pas partie des bases de sécurité informatique de Windows et Linux continuent de faire partie du CSPM fondamental gratuit.

Installer la configuration Invité Azure Policy

Pour continuer à acquérir l’expérience de base, vous devez activer le Defender for Servers Plan 2 et installer la configuration invitée Azure Policy. Lorsque vous activez Defender for Servers Plan 2 et installez la configuration invitée Azure Policy, vous vous assurez de continuer à recevoir les mêmes recommandations et conseils de renforcement que lors de l’expérience de base.

Selon votre environnement, vous devrez peut-être suivre les étapes suivantes :

1. Consultez la matrice de prise en charge pour la configuration Invité Azure Policy.

2. Installez la configuration Invité Azure Policy sur vos machines.

   • Machines Azure : dans le portail Defender pour le cloud, dans la page des recommandations, recherchez et sélectionnez L’extension Configuration Invité doit être installée sur les machines, puis implémentez la recommandation.

   • (VM Azure uniquement) Vous devez attribuer une identité gérée.

     • Dans le portail Defender pour le cloud, dans la page des recommandations, recherchez et sélectionnez L’extension Configuration Invité des machines virtuelles doit être déployée avec une identité managée affectée par le système, puis implémentez la recommandation.

   • (VM Azure uniquement) Optionnel : Pour provisionner automatiquement la configuration invitée Azure Policy pour l’ensemble de votre abonnement, vous pouvez activer l’agent de configuration invité (aperçu).

     • Pour activer l’agent de configuration invité :

       1. Connectez-vous au portail Azure.

       2. Accédez à Paramètres d’environnement>Votre abonnement>Paramètres et surveillance.

       3. Sélectionnez Configuration Invité.

          

       4. Basculez l’agent Configuration Invité (préversion) sur Activé.

          

       5. Cliquez sur Continuer.

   • GCP et AWS : la configuration Invité Azure Policy est automatiquement installée lorsque vous connectez votre projet GCP, ou lorsque vous connectez vos comptes AWS avec le provisionnement automatique Azure Arc activé, à Defender for Cloud.

   • Machines locales : la configuration Invité Azure Policy est activée par défaut lorsque vous intégrez des machines locales en tant que machines ou machines virtuelles avec Azure Arc.

Après avoir terminé les étapes nécessaires pour installer la configuration invitée Azure Policy, vous obtenez automatiquement un accès aux fonctionnalités de base en fonction de la configuration invitée Azure Policy. Lorsque vous installez la configuration invitée Azure Policy, vous vous assurez de continuer à recevoir les mêmes recommandations et conseils de renforcement que lors de l’expérience de base.

Modifications apportées aux recommandations

Avec la dépréciation de la MMA, les recommandations suivantes basées sur la MMA sont sur le point d’être dépréciées :

• Les machines doivent être configurées en toute sécurité
• L’approvisionnement automatique de l’agent Log Analytics doit être activé sur les abonnements

Les recommandations obsolètes sont remplacées par les recommandations suivantes basées sur la configuration invitée Azure Policy :

• Les vulnérabilités dans la configuration de la sécurité sur vos machines Windows doivent être corrigées (avec Guest Configuration)
• Les vulnérabilités dans la configuration de la sécurité sur vos machines Linux doivent être corrigées (avec Guest Configuration)
• L’extension Configuration Invité doit être installée sur les machines

Recommandations en double

Lorsque vous activez Defender pour le cloud sur un abonnement Azure, le benchmark MCSB (Microsoft Cloud Security Benchmark), y compris les bases de référence de sécurité de calcul qui évaluent la conformité du système d’exploitation de la machine, est activé en tant que norme de conformité par défaut. La gestion de la posture de sécurité cloud (CSPM) dans Defender pour le cloud émet gratuitement des recommandations de sécurité basées sur MCSB.

Si une machine exécute à la fois MMA et la configuration invité d’Azure Policy, des recommandations en double s’affichent. La duplication des recommandations se produit parce que les deux méthodes fonctionnent en même temps et produisent les mêmes recommandations. Ces doublons affectent votre Compliance et votre Score de Sécurité.

Pour éviter les recommandations en double lorsque MMA et la configuration invité d’Azure Policy s’exécutent toutes les deux, vous pouvez désactiver les recommandations MMA Machines should be configured securely et Auto provisioning of the Log Analytics agent should be enabled on subscriptions en accédant à la page Conformité réglementaire dans Defender for Cloud.

Une fois que vous avez trouvé la recommandation, sélectionnez les machines concernées et exemptez-les.

Certaines des règles de configuration de base de référence avec l’outil de configuration Invité Azure Policy sont plus actuelles et offrent une couverture plus large. En conséquence, la transition vers la fonctionnalité Baselines alimentée par la configuration invitée d’Azure Policy peut affecter votre statut de conformité puisqu’elle inclut des vérifications qui n’auraient peut-être pas été effectuées auparavant.

Suggestions de requête

Avec la mise hors service de MMA, Defender for Cloud n’interroge plus les recommandations à partir des informations de l’espace de travail Log Analytics. À la place, Defender for Cloud utilise désormais Azure Resource Graph pour les requêtes API et portails afin de solliciter les informations de recommandation.

Voici deux exemples de requêtes que vous pouvez utiliser :

• Rechercher toutes les règles défaillantes pour une ressource spécifique

  Securityresources 
  | where type == "microsoft.security/assessments/subassessments" 
  | extend assessmentKey=extract(@"(?i)providers/Microsoft.Security/assessments/([^/]*)", 1, id) 
  | where assessmentKey == '1f655fb7-63ca-4980-91a3-56dbc2b715c6' or assessmentKey ==  '8c3d9ad0-3639-4686-9cd2-2b2ab2609bda' 
  | parse-where id with machineId:string '/providers/Microsoft.Security/' * 
  | where machineId  == '{machineId}'
  

• Toutes les règles non saines et nombre de machines non saines pour chacune

  securityresources 
  | where type == "microsoft.security/assessments/subassessments" 
  | extend assessmentKey=extract(@"(?i)providers/Microsoft.Security/assessments/([^/]*)", 1, id) 
  | where assessmentKey == '1f655fb7-63ca-4980-91a3-56dbc2b715c6' or assessmentKey ==  '8c3d9ad0-3639-4686-9cd2-2b2ab2609bda' 
  | parse-where id with * '/subassessments/' subAssessmentId:string 
  | parse-where id with machineId:string '/providers/Microsoft.Security/' * 
  | extend status = tostring(properties.status.code) 
  | summarize count() by subAssessmentId, status
  

Planifiez la migration de vos agents Log Analytics

Matrice de planification de la migration

Planifiez la migration des agents en fonction des besoins de votre entreprise. Le tableau suivant sur la planification des migrations résume les directives.

Utiliser l'expérience de migration MMA

L’expérience de migration MMA est un outil qui vous aide à migrer de MMA vers AMA. L’expérience fournit un guide pas à pas pour vous aider à migrer vos machines de MMA vers AMA.

En utilisant l’expérience de migration MMA, vous pouvez :

• Migrez les serveurs depuis l’ancien processus d’intégration via l’espace de travail Log Analytics.
• Vérifier que les abonnements remplissent tous les prérequis afin de bénéficier de tous les avantages de Defender pour serveurs Plan 2.
• Migrer vers la nouvelle version de FIM via MDE.

1. Connectez-vous au portail Azure.

2. Accédez à Defender pour le cloud>Paramètres d’environnement.

3. Sélectionnez Migration MMA.

   

4. Sélectionnez Agir pour l’une des actions disponibles :

   

Laissez l’expérience se charger, puis suivez les étapes nécessaires pour effectuer la migration.

Étape suivante