Qu’est-ce que la gestion de posture de sécurité Cloud (CSPM)

Cloud Security Posture Management (CSPM) est une fonctionnalité essentielle de Microsoft Defender pour Cloud. CSPM offre une visibilité continue de l’état de sécurité de vos actifs et charges de travail cloud, en proposant des conseils pratiques pour améliorer votre posture de sécurité dans Azure, AWS et GCP.

Defender for Cloud évalue continuellement votre infrastructure cloud selon les normes de sécurité définies pour vos abonnements Azure, vos comptes Amazon Web Services (AWS) et les projets Google Cloud Platform (GCP). Defender pour le cloud émet des recommandations de sécurité pour vous aider à identifier et à réduire les erreurs de configuration et les risques de sécurité du cloud.

Pour Azure Database pour PostgreSQL pour un serveur flexible, CSPM Defender évalue en continu les configurations au niveau serveur et au niveau de la base de données selon les meilleures pratiques de sécurité de PostgreSQL. Les évaluations identifient les problèmes de sécurité réseau, d’audit et de résilience opérationnelle. Si CSPM Defender est déjà activé, les évaluations fournissent des recommandations prioritaires sur le risque sans nécessiter d’autres configurations.

Lorsque le CSPM fondamental est activé, la norme Microsoft Cloud Security Benchmark (MCSB) fournit des recommandations pour sécuriser votre environnement multicloud. Le score de sécurisation basé sur certaines des recommandations MCSB vous aide à surveiller la conformité du cloud. Un score plus élevé indique un niveau de risque identifié inférieur.

Plans de CSPM

Defender pour Cloud propose deux plans CSPM :

  • CSPM de base (gratuit) : Disponible gratuitement.
  • CSPM Defender (payant) : Offre des capacités supplémentaires au-delà du plan CSPM fondamental, incluant des outils CSPM avancés pour la visibilité cloud et la surveillance de la conformité. Ce plan offre des fonctionnalités avancées de posture de sécurité telles que la posture de sécurité de l’IA, l’analyse des chemins d’attaque et la priorisation des risques.

Disponibilité du plan

CSPM Defender prend en charge plusieurs modèles de déploiement et environnements cloud :

  • Clouds commerciaux : Disponibles dans toutes les régions commerciales Azure.
  • Clouds gouvernementaux : disponibles dans Azure Government et Azure Government Secret.
  • Multi-cloud : Prise en charge des environnements Azure, AWS et GCP.
  • Hybride : Ressources sur site connectées via Azure Arc.
  • DevOps : intégration GitHub, Azure DevOps et GitLab.
  • Registres externes : les connecteurs Docker Hub et JFrog Artifactory prennent en charge certaines capacités CSPM de base et CSPM Defender. Defender for Containers prend également en charge certaines fonctionnalités d’images de conteneurs. Pour la disponibilité selon le plan, voir les fonctionnalités du registre externe et les modèles d’accès aux fonctionnalités de Defender for Containers.

Pour plus d’informations sur la disponibilité régionale et la prise en charge du cloud gouvernemental, consultez la matrice de prise en charge des environnements cloud.

Tarification du plan

La facturation CSPM Defender est basée sur des ressources spécifiques activées dans vos abonnements ou connecteurs.

  • Consultez la tarification de Defender pour cloud et utilisez la calculatrice de coûts pour estimer les coûts.
  • Les fonctionnalités avancées de gestion de la posture de sécurité DevOps (annotations de demandes de tirage, mappage du code au cloud, analyse des chemins d’attaque et explorateur de sécurité) nécessitent le plan CSPM Defender payant. Le plan gratuit fournit des recommandations Azure DevOps de base. Pour plus de détails, voir les fonctionnalités de sécurité DevOps.
  • Les tables des ressources facturables Azure et AWS dans cet article répertorient les types de ressources couverts, les exigences d’activation et les dates de prise d’effet de la facturation pour la protection Serverless et les conteneurs Serverless.

Gestion de la posture de sécurité cloud Azure

CSPM Defender fournit la gestion de la posture de sécurité cloud pour les charges de travail de l’infrastructure, du calcul, des données et des applications Azure. Apprenez comment activer CSPM Defender sur votre abonnement Azure.

Ressources facturables Azure

CSPM Defender protège toutes les charges de travail Azure, mais la facturation ne s’applique qu’aux ressources spécifiques listées dans le tableau suivant :

Service Types de ressources Exclusions
Compute Machines virtuelles, groupes de machines virtuelles identiques, machines virtuelles classiques Machines virtuelles désallouées, machines virtuelles Databricks
Storage Comptes de stockage Comptes sans conteneurs blob ou partages de fichiers
Databases Serveurs SQL, Azure Database pour PostgreSQL serveurs flexibles, Azure Database pour MySQL serveurs flexibles, espaces de travail Synapse -
Protection sans serveur 1 Applications fonctionnelles, Web Apps -
Conteneurs sans serveur 2 Azure Container Apps (ACA), Azure Container Instances (ACI) -

1 Pour protéger les applications de fonction et les Web Apps et commencer la facturation de cette fonctionnalité, activez la protection sans serveur dans CSPM Defender. La facturation est entrée en vigueur le 1er avril 2026.

2 Pour protéger Azure Container Apps et Azure Container Instances et commencer à facturer cette fonctionnalité, activez le composant Serverless Containers dans CSPM Defender. Activez l’accès au registre pour une couverture complète des conteneurs sans serveur. La facturation est entrée en vigueur le 1er juillet 2026.

Fonctionnalités et capacités d’Azure

Le tableau suivant résume les fonctionnalités d’Azure disponibles dans Foundational CSPM et CSPM Defender :

Fonctionnalité CSPM de base CSPM Defender
Inventaire des ressources
Exportation de données
Visualisation des données et création de rapports avec les classeurs Azure
Benchmark de sécurité du Cloud Microsoft
Degré de sécurisation
Recommandations de sécurité
Outils de correction
Automatisation de workflow
Évaluation des vulnérabilités des conteneurs du code au cloud sans agent -
Découverte sans agent pour Kubernetes -
Analyse des secrets de machine virtuelle sans agent -
Analyse des vulnérabilités des machines virtuelles sans agent -
Gestion de la posture de sécurité de l’IA -
Gestion de la posture de sécurité des API -
Analyse du chemin d’attaque -
Tableau de bord de la sécurité Azure Kubernetes Service (préversion) -
Protection des ressources critiques -
Recommandations personnalisées -
gestion de la posture de sécurité des données (DSPM), analyse des données sensibles -
Découverte et gestion de la posture pour les charges de travail conteneurisées sans serveur -
Gouvernance pour favoriser la correction à grande échelle -
Analyse de l’exposition à Internet -
Gestion de la surface d’attaque externe -
Évaluation de la conformité réglementaire -
Chasse aux risques avec l’Explorateur de sécurité -
Hiérarchisation des risques -
Protection sans serveur -

Gestion de la posture de sécurité du cloud AWS

CSPM Defender se connecte aux comptes Amazon Web Services (AWS) pour fournir la gestion de la posture de sécurité cloud, des évaluations de sécurité, l’analyse des vulnérabilités et le contexte des risques pour les ressources AWS. Apprenez comment connecter vos comptes AWS à Defender for Cloud et relisez les prérequis AWS.

Ressources facturables AWS

Le tableau suivant liste les ressources facturables et les exclusions lorsque vous activez CSPM Defender sur les connecteurs AWS :

Service Types de ressources Exclusions
Compute Instances EC2 Machines virtuelles désallouées
Storage Compartiments S3 –
Databases Instances RDS –
Protection sans serveur 3 Fonctions AWS Lambda –
Conteneurs sans serveur 4 Amazon ECS sur AWS Fargate –

3 Pour protéger les fonctions AWS Lambda et commencer à facturer cette capacité, activez la protection Serverless dans CSPM Defender. La facturation est entrée en vigueur le 1er avril 2026. Une ressource facturable représente huit fonctions AWS Lambda.

4 Pour protéger Amazon ECS sur les charges de travail AWS Fargate et commencer à facturer cette fonctionnalité, activez le composant Conteneurs Serverless dans CSPM Defender. Activez l’accès au registre pour une couverture complète des conteneurs sans serveur. La facturation est entrée en vigueur le 1er juillet 2026. Une ressource facturable représente deux charges de travail Amazon ECS sur AWS Fargate.

Fonctionnalités et capacités AWS

Le tableau suivant résume les capacités AWS disponibles dans Foundational CSPM et CSPM Defender :

Fonctionnalité CSPM de base CSPM Defender
Inventaire des ressources
Exportation de données
Visualisation des données et création de rapports avec les classeurs Azure
Benchmark de sécurité du Cloud Microsoft
Degré de sécurisation
Recommandations de sécurité
Outils de correction
Automatisation de workflow
Évaluation des vulnérabilités des conteneurs du code au cloud sans agent -
Découverte sans agent pour Kubernetes -
Analyse des secrets de machine virtuelle sans agent -
Analyse des vulnérabilités des machines virtuelles sans agent -
Gestion de la posture de sécurité de l’IA -
Analyse du chemin d’attaque -
Ingestion AWS CloudTrail (préversion) -
Protection des ressources critiques -
Recommandations personnalisées -
gestion de la posture de sécurité des données (DSPM), analyse des données sensibles -
Découverte et gestion de la posture pour les charges de travail conteneurisées sans serveur -
Gouvernance pour favoriser la correction à grande échelle -
Analyse de l’exposition à Internet -
Gestion de la surface d’attaque externe -
Évaluation de la conformité réglementaire -
Chasse aux risques avec l’Explorateur de sécurité -
Hiérarchisation des risques -
Protection sans serveur -

Gestion de la posture de sécurité du cloud GCP

CSPM Defender se connecte aux projets Google Cloud Platform (GCP) pour fournir une gestion de la posture de sécurité cloud et une évaluation des vulnérabilités pour les environnements GCP. Apprenez comment connecter vos projets GCP à Defender for Cloud et relisez les prérequis GCP.

Ressources facturables de GCP

Le tableau suivant liste les ressources facturables et les exclusions lorsque vous activez CSPM Defender sur les projets GCP :

Service Types de ressources Exclusions
Compute Instances de calcul, groupes d’instances Instances non en cours d'exécution
Storage Compartiments de stockage Classes nearline/coldline/archive, régions non compatibles
Databases Instances Cloud SQL –

Fonctionnalités et capacités du GCP

Le tableau suivant résume les capacités GCP disponibles dans Foundational CSPM et CSPM Defender :

Fonctionnalité CSPM de base CSPM Defender
Inventaire des ressources
Exportation de données
Visualisation des données et création de rapports avec les classeurs Azure
Benchmark de sécurité du Cloud Microsoft
Degré de sécurisation
Recommandations de sécurité
Outils de correction
Automatisation de workflow
Évaluation des vulnérabilités des conteneurs du code au cloud sans agent -
Découverte sans agent pour Kubernetes -
Analyse des secrets de machine virtuelle sans agent -
Analyse des vulnérabilités des machines virtuelles sans agent -
Gestion de la posture de sécurité de l’IA -
Analyse du chemin d’attaque -
Protection des ressources critiques -
Recommandations personnalisées -
gestion de la posture de sécurité des données (DSPM), analyse des données sensibles - 5
Gestion de la surface d’attaque externe -
Gouvernance pour favoriser la correction à grande échelle -
Analyse de l’exposition à Internet -
Évaluation de la conformité réglementaire -
Chasse aux risques avec l’Explorateur de sécurité -
Hiérarchisation des risques -

5 GCP : la découverte de données sensibles ne prend en charge que le stockage cloud.

Azure Arc Gestion de la posture de sécurité du cloud

Defender for Cloud étend la gestion de la posture de sécurité cloud aux ressources sur site et hybrides connectées via Azure Arc. Apprenez à connecter des machines sur site à Azure Arc et à examiner les prérequis d’intégration hybride. Utilisez Foundational CSPM pour consulter les ressources compatibles Arc dans l’inventaire des actifs, évaluer leur configuration de sécurité, et examiner les recommandations de sécurité ainsi que le score sécurisé.

Les capacités CSPM fondamentales suivantes supportent les ressources compatibles Arc :

Fonctionnalité CSPM de base CSPM Defender
Inventaire des ressources
Exportation de données
Visualisation des données et création de rapports avec les classeurs Azure
Degré de sécurisation
Recommandations de sécurité
Outils de correction
Automatisation de workflow
Évaluation des vulnérabilités du registre de conteneurs pour les clusters connectés à Arc -

L’évaluation de la vulnérabilité du registre des conteneurs nécessite un accès au registre et est également disponible via Defender for Containers.

CSPM Defender ajoute des capacités avancées de gestion de la posture pour les ressources compatibles Arc prises en charge. La disponibilité dépend du type de ressource et de l’environnement connecté. Pour les scénarios Arc pris en charge et la disponibilité cloud, voir la matrice de support pour les environnements cloud.

Gestion de la posture de sécurité Cloud DevOps

Les fonctionnalités de gestion de la posture de sécurité du cloud pour DevOps fournissent une contextualisation du code au cloud, des annotations de pull requests, l’exploration des risques dans l’explorateur de sécurité et l’analyse des chemins d’attaque pour les environnements DevOps.

Pour la disponibilité des fonctionnalités, les prérequis, la matrice complète des fonctionnalités et les exigences d’autorisation, voir Support et prérequis pour la sécurité DevOps. Vous pouvez aussi aller directement sur Azure DevOps ou sur les exigences du registre externe.

Intégrations et posture externe

Defender for Cloud s’intègre avec les systèmes partenaires et les plateformes de sécurité externes pour une posture de sécurité unifiée et une réponse aux incidents.

Prise en charge du cloud Azure

Pour obtenir une couverture cloud commerciale et nationale, consultez la matrice de prise en charge de l’environnement cloud Azure.

Étapes suivantes

  • Dernière mise à jour :