Exempter des ressources à partir des suggestions

Lorsque vous examinez les recommandations de sécurité dans Microsoft Defender pour Cloud, vous passez en revue la liste des ressources affectées. Parfois, vous trouvez une ressource qui ne doit pas figurer dans la liste ou vous trouvez une recommandation qui apparaît dans une étendue où elle n’appartient pas. Par exemple, Defender for Cloud peut ne pas suivre un processus de correction, ou une recommandation peut ne pas s’appliquer à un abonnement spécifique. Votre organisation peut décider d’accepter les risques liés à la ressource ou à la recommandation spécifique.

Dans ce cas, créez une règle d’exemption pour :

• Exemptez une ressource pour la supprimer de la liste des ressources non saines et de l’impact du score sécurisé. Defender pour Cloud répertorie la ressource comme non applicable et indique la raison d’être exemptée avec la justification que vous sélectionnez.

• Exemptez un abonnement ou un groupe d’administration pour empêcher la recommandation d’affecter votre score de sécurité ou d’apparaître pour ce périmètre. L’exemption s’applique aux ressources existantes et aux ressources que vous créez ultérieurement. Defender pour le Cloud marque la recommandation avec la justification que vous sélectionnez pour cette étendue.

Pour chaque étendue, créez une règle d’exemption pour :

• Marquez une recommandation spécifique en tant qu’atténuation ou risque accepté pour un ou plusieurs abonnements, ou pour un groupe d’administration.

• Marquez une ou plusieurs ressources comme étant atténuées ou à risque acceptées pour une recommandation spécifique.

L’exemption des ressources est limitée à 5 000 ressources par abonnement. Si vous ajoutez plus de 5 000 exemptions par abonnement, vous pouvez rencontrer des problèmes de chargement sur la page d’exemption.

Prerequisites

Defender for Cloud exemptions reposent sur l’initiative Microsoft Cloud Security Benchmark (MCSB). MCSB doit être attribué à l'abonnement avant de créer des exemptions.

Vous pouvez créer des exemptions pour les recommandations qui appartiennent à l’initiative MCSB par défaut ou à d’autres normes réglementaires intégrées. Certaines recommandations dans MCSB ne permettent pas les exemptions. Vous trouverez la liste de ces recommandations dans le FAQ sur les exemptions.

Autorisations :

Pour créer des exemptions, vous avez besoin des autorisations suivantes :

• Propriétaire ou Administrateur de sécurité dans l’étendue où vous créez l’exemption.
• Pour créer une règle, vous devez disposer de l’autorisation de modifier des stratégies dans Azure Policy. Pour plus d’informations, consultez Autorisations Azure RBAC dans la stratégie Azure.
• Vous devez disposer d’une autorisation d’exemption sur toutes les attributions d’initiative au niveau de l’étendue cible. Si plusieurs initiatives contiennent une recommandation, vous devez créer l’exemption avec des autorisations sur l’ensemble d’entre elles. Une autorisation manquante sur une même initiative peut entraîner l’échec de l’exemption.

Vous avez besoin des actions de contrôle d’accès en fonction du rôle (RBAC) suivantes :

• Les autorisations au niveau de l’abonnement ne remontent pas aux groupes d’administration. Si l’attribution de stratégie se fait au niveau du groupe d’administration, vous devez disposer du rôle assigné à ce niveau.

• Pour gérer les exemptions pour des ressources spécifiques, vous avez besoin des actions RBAC requises au niveau de la ressource ou du groupe de ressources. Les attributions de rôles délimitées par l’abonnement peuvent ne pas fournir un accès suffisant pour créer ou supprimer des exemptions sur des ressources individuelles. Vérifiez que votre attribution de rôle couvre l’étendue de la ressource que vous souhaitez exempter.

• Lorsque vous créez une exemption au niveau du groupe d’administration, vérifiez que le Microsoft Azure fournisseur de ressources de sécurité dispose des autorisations nécessaires en lui attribuant le rôle Reader sur ce groupe d’administration. Accordez ce rôle de la même façon que vous accordez des autorisations utilisateur.

Limitations :

• Vous ne créez pas d’exemptions pour les recommandations personnalisées.

• Il se peut que les recommandations en préversion ne prennent pas en charge les exemptions. Vérifiez si la recommandation affiche une balise d’aperçu .

• Si vous désactivez une recommandation, vous exemptez également toutes ses sous-recommandations.

• Les recommandations basées sur le langage de requête Kusto (KQL) utilisent des attributions standard et n’utilisent pas les événements d’exemption d’Azure Policy dans les journaux d’activité. Pour déterminer si une recommandation est basée sur KQL ou basée sur une stratégie, ouvrez la recommandation dans le portail et vérifiez le champ Clé d’évaluation . Les recommandations basées sur KQL montrent un format de clé d'évaluation standard et n'ont pas de lien de définition de Azure Policy associé. Les recommandations basées sur des stratégies affichent un lien direct vers la définition de stratégie sous-jacente.

• Lorsque vous créez une exemption à partir du portail Defender for Cloud, Defender for Cloud identifie toutes les initiatives qui contiennent la recommandation et crée automatiquement l’exemption. Si vous créez l’exemption via l’API Azure Policy à la place, vous devez créer une exemption distincte pour chaque initiative manuellement. Pour plus d’informations, consultez la FAQ sur les exemptions.

• Lorsque vous attribuez une nouvelle initiative qui contient une recommandation avec une exemption existante, l’exemption ne passe pas à la nouvelle initiative. Créez une nouvelle exemption pour la recommandation dans le cadre de l’initiative récemment attribuée.

Définir une exemption

Nous vous recommandons de créer des exemptions dans le portail Defender for Cloud. Les exemptions créées via l’API Azure Policy peuvent ne pas être entièrement intégrées à Defender for Cloud. Ils peuvent provoquer des résultats inattendus, tels que des exemptions qui ne se propagent pas dans toutes les initiatives pertinentes. Si vous devez utiliser l’API, consultez Azure Policy structure d’exemption.

Pour créer une règle d’exemption :

1. Connectez-vous au portail Azure.

2. Accédez à Defender pour le Cloud>Recommandations.

3. Sélectionnez une recommandation.

4. Sélectionnez Exempt.

   

5. Sélectionnez l’étendue de l’exemption.

   • Si vous sélectionnez un groupe d’administration, Defender pour Cloud exempte la recommandation de tous les abonnements de ce groupe.
   • Si vous créez cette règle pour exempter une ou plusieurs ressources de la recommandation, choisissez Ressources sélectionnées et sélectionnez les ressources pertinentes dans la liste.

6. Entrez un nom.

7. (Facultatif) Définissez une date d’expiration.

8. Sélectionnez la catégorie de l’exemption :

   • Résolu par un service tiers (atténué) : si vous utilisez un service non Microsoft pour la remédiation que Defender for Cloud ne surveille pas.

   Note

   Lorsque vous exemptez une ressource comme atténuée, elle compte comme saine. Vous n’obtenez pas de points grâce à la remédiation, mais Defender for Cloud ne vous en retire pas si vous laissez l’élément dans un état non sain, de sorte que les ressources exemptées ne réduisent pas votre score.

   • Risque accepté (dispense) : si vous décidez d’accepter le risque de ne pas atténuer cette recommandation.

9. Saisissez une description.

10. Cliquez sur Créer.

    

Après avoir créé l’exemption

Une exemption peut prendre jusqu'à 24 heures pour prendre effet. Defender for Cloud évalue les ressources toutes les 12 à 24 heures. Une fois l’exemption appliquée :

• La recommandation ou les ressources n’affectent pas votre score de sécurisation.

• Si vous exemptez des ressources spécifiques, Defender pour Cloud les répertorie dans l’onglet Non applicable de la page détails de la recommandation.

• Si vous exemptez une recommandation, Defender pour Cloud le masque par défaut dans la page Recommandations . Cela se produit parce que le filtre d’état recommandation par défaut exclut les recommandations non applicables . Le même comportement se produit si vous exemptez toutes les recommandations dans un contrôle de sécurité.

Comprendre comment le type d’exemption affecte l’état de la recommandation

Le type d’exemption que vous sélectionnez détermine la façon dont l’exemption affecte la recommandation et le score sécurisé :

• Exemptions atténuées : Les ressources exemptées sont considérées comme saines. Le score de sécurité s'améliore.
• Exonérations : Les ressources exemptées sont exclues du calcul du score sécurisé. Les ressources ne comptent pas dans le score de sécurité, mais peuvent toujours apparaître dans les recommandations.

Vérifier que l’exemption fonctionne

Si la recommandation affiche toujours des ressources non saines après 24 heures, consultez Résoudre une exemption qui ne met pas à jour l’état de la recommandation pour obtenir des étapes détaillées.

Étape suivante

Contenu connexe

• Gérer les recommandations de sécurité faussement positives pour Defender for Storage.

Les exemptions aident les équipes de sécurité à se concentrer sur les risques nécessitant une action tout en maintenant un registre régi des conclusions qui ne nécessitent pas de remédiation. Utilisez une exemption lorsqu’un constat a été examiné et considéré comme un faux positif, couvert par un autre contrôle, temporairement différé ou accepté comme risque. Chaque exemption enregistre sa portée, ses conditions correspondantes, sa justification et sa période d’examen, aidant ainsi votre organisation à réduire le bruit opérationnel sans perdre visibilité ni responsabilité.

Pourquoi utiliser des exemptions ?

Les exemptions offrent une alternative structurée à la suppression informelle d’une alerte de sécurité. Ils aident les organisations :

• Concentrez les ressources de remédiation sur les résultats de sécurité nécessitant une action.
• Appliquer une décision documentée sur les risques de manière cohérente dans le champ d’application concerné.
• Réduisez le travail répétitif en gérant les exceptions grâce à des règles centralisées.
• Consignez la justification et le contexte de soutien nécessaires à la gouvernance, à l’audit et à la conformité.
• Réévaluer les risques acceptés via les dates d’expiration et la revue du cycle de vie.
• Préservez le contexte de sécurité des résultats exemptés dans les enquêtes et les expériences de chemin d’attaque.

Cas d’utilisation

Créez une exception après qu’une conclusion a été formulée et examinée, et que votre organisation a déterminé que la correction n’est pas actuellement nécessaire. Les scénarios courants sont les suivants :

• Le résultat est un faux positif.
• L’organisation a examiné et accepté le risque.
• Un contrôle externe atténue le risque.
• Une alternative d’atténuation est déjà en place.
• La remédiation est différée pour une raison commerciale ou technique documentée.

Supprimer une règle ou créer une exemption ?

Les politiques de recommandation et les exemptions permettent de contrôler le comportement de recommandation, mais elles servent des objectifs de gouvernance différents. Utilisez une modification de stratégie lorsqu’une recommandation ne doit pas être évaluée pour une portée spécifique. Utilisez une exemption lorsque la recommandation reste valide, mais que la remédiation n’est temporairement pas nécessaire et doit être suivie à des fins de gouvernance, d’audit ou de conformité.

Avant de commencer

Vérifiez qu’un environnement est géré dans Defender

Les exemptions créées dans Defender ne s’appliquent qu’aux ressources appartenant aux environnements gérés dans Defender. Vous pouvez vérifier l’emplacement de gestion de la manière suivante :

• Dans l’expérience Recommandations, examinez la propriété Géré dans et confirmez que la valeur est Defender.

• Depuis la gestion de l’environnement cloud, ouvrez la page de gestion de l’environnement cloud et confirmez que l’environnement applicable est géré dans Defender.

Si une découverte affecte les actifs gérés dans Azure, vous avez deux options :

• Connectez l’environnement à Defender et continuez à gérer les exemptions via Defender.
• Créez l’exemption dans Azure.

Permissions

Le contrôle d’accès unifié basé sur les rôles (RBAC) Microsoft Defender contrôle l’accès aux exemptions :

Pour déléguer la gestion des exemptions, rendez-vous dans System>Permissions>Microsoft Defender XDR>Roles dans le portail Microsoft Defender et créez ou mettez à jour un rôle avec les autorisations et la portée requises.

Créer une exemption

Allez dans Gestion de l’exposition>>, puis sélectionnez Créer une exemption. Le processus de création comprend quatre décisions :

Après la soumission de l’exemption, Microsoft Defender traite l’exemption et met à jour les résultats correspondants. Les changements apportés au statut des résultats, aux calculs d’exposition et aux métriques de posture associées peuvent ne pas être pris en compte immédiatement.

Créez une exception à une recommandation

Vous pouvez également créer une exemption directement à partir d’une recommandation. Lorsqu’il est lancé à partir d’une recommandation, Defender préremplit automatiquement les conditions d’exemption en fonction de la recommandation sélectionnée afin de réduire l’effort de configuration et de s’assurer que l’exemption cible le résultat constaté visé :

Qu’est-ce qui est prérempli ?

• La condition d’exemption est automatiquement définie sur Par recommandation et est basée sur la recommandation à partir de laquelle l’exemption a été créée. Cette condition ne peut pas être modifiée pendant le flux de création.
• La portée est automatiquement remplie avec les actifs sélectionnés lors de la création de l’exemption. Vous pouvez affiner, restreindre ou élargir la portée si nécessaire avant de soumettre l’exemption.

Si la sélection inclut à la fois des actifs gérés par Defender et gérés par Azure, l’exemption Defender ne s’applique qu’aux actifs gérés par Defender pris en charge. Gérez les actifs restants dans Azure ou transférez l’environnement concerné vers la gestion Defender.

Gérer le cycle de vie des exemptions

Utilisez la page des règles d’exemption pour examiner les décisions d’exemption de l’organisation et gérer leur cycle de vie.

• Modifier une règle lorsque sa portée, ses conditions correspondantes, sa justification, son propriétaire ou sa période de révision changent.
• Supprimer une règle lorsque l’exception n’est plus valide et les constatations correspondantes doivent revenir au suivi actif de la remédiation.
• Révisez les règles arrivant à expiration avant la fin de la période de risque approuvée.
• Examinez les règles expirées comme preuve historique des décisions antérieures et déterminez si une nouvelle évaluation est nécessaire.

Lorsqu’une exemption est supprimée ou atteint sa date d’expiration, Microsoft Defender réévalue automatiquement les résultats concernés. Toute constatation nécessitant encore une correction revient à un état actif et contribue à nouveau aux calculs de posture et de risque. Les conclusions qui ne sont plus applicables restent inchangées.

Comprendre l’effet d’une exemption

Lorsqu’une exemption est active, les résultats correspondants sont marqués comme exemptés. L’exemption modifie la manière dont le résultat est traité, mais elle ne supprime pas le résultat, ses preuves à l’appui ni sa relation avec d’autres signaux de sécurité.

Les constatations exemptées restent disponibles tout au long des enquêtes et des analyses approfondies sur Microsoft Defender. Selon les filtres actuels, les résultats exemptés peuvent être masqués par défaut. Pour les examiner, mettez à jour le filtre de statut pour inclure les constatations exemptées.

Impact du score

Les résultats exemptés sont exclus des calculs applicables du score de sécurité tant que l’exemption reste active. L’impact sur le score dépend de la portée de l’exemption et de l’expérience produit.

Chemins d’attaque

Exempter une recommandation ne la retire pas des chemins d’attaque associés. Microsoft Defender continue d’inclure cette recommandation dans l’analyse des chemins d’attaque et l’identifie clairement comme exemptée. Cela aide les équipes de sécurité à comprendre l’impact potentiel du risque accepté, à maintenir une visibilité sur la contribution de la recommandation à l’exposition globale, et à réévaluer l’exemption si la posture de sécurité ou les exigences commerciales changent.

Exemptions Azure existantes et transition vers Defender

Cette section concerne principalement les organisations qui, historiquement, géraient les recommandations et les exemptions dans Azure et qui font désormais passer leurs environnements en mode Managed in Defender. Durant cette transition, Microsoft préserve les configurations existantes d’exemptions Azure tout en établissant Defender comme lieu central pour la gestion des nouvelles décisions d’exemption.

Comment fonctionne la propriété des exemptions

Microsoft Defender et Azure peuvent coexister pendant la période de transition. Bien que les règles d’exemption restent la propriété du portail où elles ont été créées à l’origine, le statut de recommandation reste cohérent entre les expériences.

• Les règles d’exemption créées dans Azure continuent d’être gérées dans Azure.
• Les règles d’exemption créées dans Defender sont gérées depuis la page des règles d’exemption dans Defender.
• Les définitions des règles d'exemption ne sont pas synchronisées ni copiées entre Azure et Defender.
• Les exemptions Azure et Defender influencent toutes deux les recommandations correspondantes.
• Le statut de recommandation et l’État d’exemption restent cohérents, quel que soit le portail qui possède la règle d’exemption.

Exemptions Azure existantes

Lorsqu’un environnement devient Géré dans Defender, Microsoft continue de respecter les règles d’exemption précédemment créées dans Azure.

• Les exemptions Azure existantes continuent d’influencer le statut des recommandations et les calculs de posture.
• Les équipes de sécurité peuvent continuer à modifier ou supprimer ces exemptions dans Azure.
• Ces exemptions créées par Azure ne semblent pas être des règles d'exemption gérables dans Defender.

Cette approche permet aux organisations de passer à Defender sans perturber les décisions existantes d’acceptation des risques ni nécessiter la migration immédiate des règles d’exemption historiques.

Création de nouvelles exemptions

Une fois qu’un environnement est géré dans Defender, de nouvelles exemptions pour ce périmètre doivent être créées dans Defender. Les nouvelles exemptions Azure ne peuvent pas être créées pour ces étendues via l’expérience de portail prise en charge.

Ce modèle de propriété offre aux équipes de sécurité un contrôle centralisé sur les nouvelles décisions d’exemption tout en préservant les configurations Azure existantes. Cela empêche également les équipes de créer de nouvelles règles concurrentes pour la même portée gérée par Defender dans différents portails.

Limitations

Les limitations suivantes s’appliquent à la gestion des exemptions dans le portail Microsoft Defender :

• Les exemptions Azure existantes continuent d'être respectées après la gestion d'un environnement dans Defender, mais elles ne sont pas automatiquement migrées vers le portail Defender.
• Le traitement, les mises à jour de statut, le recalcul du score et la propagation de statut entre portails ne sont pas immédiats et nécessitent un temps de traitement supplémentaire.

Pourquoi utiliser la gestion des exemptions dans Microsoft Defender ?

Les organisations qui choisissent de gérer leur posture cloud avec Microsoft Defender peuvent bénéficier d’une expérience centralisée de gestion des exemptions, intégrée directement dans l’ensemble du flux de travail de gestion des expositions. Azure continue de soutenir la gestion des exemptions, tandis que Defender offre une expérience unifiée aux organisations souhaitant gérer la posture de sécurité sur toutes les charges de travail et les décisions associées depuis un seul lieu.

• Périmètres flexibles : Defender permet aux organisations de créer des exemptions dans les environnements et actifs pris en charge, offrant ainsi une plus grande flexibilité dans la sélection du périmètre que le cadrage hiérarchique Azure traditionnel.
• Réduction des charges administratives : Des règles d’exemption centralisées et réutilisables contribuent à réduire le nombre d’exemptions à créer et à maintenir sur plusieurs abonnements Azure, groupes de gestion et champs d’application.
• Autorisations de sécurité granulaires : Microsoft Defender XDR RBAC unifié permet aux organisations de séparer les autorisations de lecture et de gestion et de déléguer la gestion des exemptions à des équipes de sécurité spécifiques sans dépendre uniquement des rôles administratifs Azure.
• Gouvernance du cycle de vie par conception : Bien qu’Azure supporte également la gestion des exemptions, Defender offre une expérience de gouvernance plus axée sur la sécurité. Les exemptions incluent des périodes d’examen et des dates d’expiration obligatoires, facilitant le suivi, l’examen et la validation des décisions temporaires d’acceptation des risques lors des audits et des évaluations de conformité. Les équipes de sécurité peuvent facilement identifier les exemptions proches de l’expiration, examiner les exemptions expirées et réévaluer périodiquement les risques acceptés.
• Traitement des exemptions plus rapide : Les exemptions créées dans Defender se reflètent généralement plus rapidement dans le statut de recommandation, les calculs de score et les expériences associées que les exemptions équivalentes dans Azure. Microsoft continue d’améliorer l’efficacité des traitements afin de réduire encore le temps nécessaire à l’entrée en vigueur des modifications des exemptions.

Contenu connexe

• Microsoft Defender contrôle d’accès unifié basé sur les rôles (RBAC)
• Gérer les politiques de posture