Transizione da regole di disabilitazione a esenzioni

Microsoft Defender per il cloud sta passando il modello di raccomandazione da raccomandazioni raggruppate a singole raccomandazioni. Questo articolo spiega come migrare le tue regole di disabilitazione esistenti al nuovo modello di esenzione, incluso come mappare ogni tipo di regola disabilitata al suo equivalente di esenzione e i passaggi per completare la migrazione prima che le raccomandazioni raggruppate vengano deprecate. Come parte di questa modifica:

• Le raccomandazioni raggruppate vengono deprecate e sostituite con singole raccomandazioni. Scopri di più sulla transizione dalle raccomandazioni raggruppate a quelle individuali.
• Le regole di disabilitazione, usate con le raccomandazioni raggruppate, sono deprecate.
• Le regole di esenzione sono il nuovo approccio per le raccomandazioni individuali e basate sui rischi.

Cosa cambia

Nel modello precedente, deprecato il 31 luglio 2026, le raccomandazioni raggruppate usano regole di disabilitazione per eliminare i risultati.

Nel nuovo modello, le raccomandazioni individuali e basate sul rischio usano regole di esenzione. Per altre informazioni, vedere esentare le risorse su larga scala ed esentare le risorse dalle raccomandazioni.

Le regole di disabilitazione create per le raccomandazioni raggruppate non sono supportate nel nuovo modello.

Perché usare le esenzioni?

Le esenzioni offrono un modo più scalabile, flessibile e centralizzato per gestire le eccezioni.

1. Gestione centralizzata tra le raccomandazioni: le regole di disabilitazione si applicano per ogni raccomandazione. Se volevi disabilitare le stesse Vulnerabilità e Esposizioni Comuni (CVE) su più raccomandazioni, dovevi creare una regola separata per ciascuna. Con le esenzioni, si applica una regola una sola volta e influisce su tutte le raccomandazioni pertinenti.
2. Granularità a livello di risorsa: le regole di disabilitazione non supportano il controllo con granularità fine per una risorsa specifica. Le esenzioni consentono di applicare regole a livello di singola risorsa, ad esempio una macchina virtuale o un contenitore.
3. Visibilità e monitoraggio centralizzati: con le regole di disattivazione, dovevi aprire ogni raccomandazione per visualizzarne le regole. Con le esenzioni, è possibile visualizzare e gestire tutte le regole in un'unica esperienza centralizzata.
4. Ciclo di vita dell'esenzione con date di scadenza: le regole di disabilitazione rimangono attive fino a quando non vengono rimosse manualmente. Le esenzioni supportano le date di scadenza, che consentono di ridurre regolarmente i rischi di lunga durata ed esaminare le vulnerabilità accettate.

Indicazioni sulla migrazione

Non esiste alcuna migrazione automatica dalle regole di disabilitazione alle esenzioni. Tuttavia, è possibile ricreare le regole esistenti usando condizioni di esenzione.

Associare le regole di disattivazione alle condizioni di esenzione

Usare questa tabella per convertire le regole di disabilitazione esistenti in condizioni di esenzione.

Procedura consigliata per la migrazione

Usa i seguenti passaggi per migrare le tue regole di disabilitazione esistenti in esenzioni.

1. Identificare le regole di disabilitazione esistenti: esaminare le regole configurate per ogni raccomandazione e prendere nota delle condizioni usate, ad esempio CVE e gravità. In alternativa, è possibile usare la query di Azure Resource Graph (ARG) seguente per recuperare tutte le regole disabilitate esistenti:

   policyresources
   | where type =~ "microsoft.authorization/policyassignments"
   | extend filters = todynamic(properties).metadata.subAssessmentSettings.filters
   | where filters != ""
   

2. Tradurre in condizioni di esenzione: usare la tabella di mapping precedente per convertire ogni regola nell'equivalente di esenzione.

3. Creare le esenzioni: per creare e gestire le esenzioni, vedere esentare le risorse su larga scala ed esentare le risorse dalle raccomandazioni.

   

4. Preferisce le regole riutilizzabili: se possibile, usare condizioni di esenzione più ampie che si applicano a più raccomandazioni per ridurre la duplicazione.

Ricrea un'esenzione basata sulle vulnerabilità utilizzando l'API REST

Quando migri le regole di disabilitazione della valutazione delle vulnerabilità, puoi utilizzare l'API REST di Standard Assignments per creare un'esenzione equivalente basata sulla vulnerabilità.

Il seguente esempio esenta i risultati di vulnerabilità che corrispondono a tutte le condizioni specificate: ID CVE, gravità e punteggio CVSS.

Sostituisci {subscriptionId} con il tuo ID di abbonamento Azure e {standardAssignmentName} con un GUID unico per l'esenzione.

PUT https://management.azure.com/subscriptions/{subscriptionId}/providers/Microsoft.Security/standardAssignments/{standardAssignmentName}?api-version=2024-08-01

Usa il seguente corpo della richiesta:

{
  "properties": {
    "description": "Exempts vulnerability findings that match the specified conditions.",
    "displayName": "Vulnerability assessment exemption",
    "excludedScopes": [],
    "effect": "Exempt",
    "assignedStandard": null,
    "exemptionData": {
      "exemptionCategory": "Waiver",
      "assignedAssessment": {
        "assessmentKey": "122e0164-4019-4126-8c64-b0816b49505f"
      },
      "subAssessmentExemptionRule": {
        "if": {
          "allOf": [
            {
              "field": "va.cve.cveId",
              "operationType": "ContainedInOperation",
              "operation": {
                "values": [
                  {
                    "title": "CVE-2020-1347"
                  }
                ]
              }
            },
            {
              "field": "va.cve.severity",
              "operationType": "LessThanFilterOperation",
              "operation": {
                "value": "Low"
              }
            },
            {
              "field": "va.cve.cvss",
              "operationType": "LessThanFilterOperation",
              "operation": {
                "value": "8.0"
              }
            }
          ]
        }
      }
    }
  }
}

L'operatore allOf applica l'esenzione solo ai riscontri di vulnerabilità che soddisfano tutte e tre le condizioni. Cambia la chiave di valutazione e i valori delle condizioni per farli corrispondere alla regola di disabilitazione che stai ricreando.

Per ulteriori informazioni, vedi Assegnazioni Standard - Crea.

Passaggi successivi

• Transizione da gruppi a singole raccomandazioni : informazioni sulla modifica più ampia del modello di raccomandazione di cui fa parte questa transizione.
• Esentare le risorse dalle raccomandazioni : creare un'esenzione per una risorsa o una sottoscrizione specifica.
• Esentare le risorse su larga scala : gestire le esenzioni centralmente in più ambiti.
• Esaminare le esenzioni : visualizzare e controllare tutte le regole di esenzione attive.
• Disattivare i rilevamenti delle vulnerabilità nelle immagini (basati sul rischio) — Informazioni sulla funzionalità delle regole di disattivazione in fase di deprecazione.
• Raccomandazioni di sicurezza in Defender per il cloud : informazioni sul funzionamento delle raccomandazioni nel nuovo modello di raccomandazioni individuali.