Transizione da gruppi a singole raccomandazioni in Defender per il cloud

Overview

Microsoft Defender per il cloud ha completato la transizione dalle raccomandazioni raggruppate, note anche come sottovalutazioni, alle raccomandazioni individuali.

Le singole raccomandazioni forniscono una visione più dettagliata dei risultati sulla sicurezza. Invece di aggregare più risultati sotto una raccomandazione raggruppata, ogni risultato viene rappresentato come una raccomandazione individuale che può essere indagata, prioritizzata e rimediata separatamente.

Le raccomandazioni raggruppate sono state deprecate il 31 luglio 2026. I clienti dovrebbero utilizzare raccomandazioni individuali come modello principale per l'indagine e la bonifica.

Questo articolo spiega l'impatto operativo della transizione e come aggiornare i flussi di lavoro esistenti, le query, le regole di governance, le esenzioni e le configurazioni di esportazione continua.

Se hai bisogno di aggiornare configurazioni o query esistenti, usa il riferimento di transizione per raccomandazioni alla fine di questo articolo. Mappa ogni raccomandazione raggruppata deprecata al relativo ID raccomandazione e alla categoria di raccomandazione attuale o alla raccomandazione sostitutiva.

Raccomandazioni raggruppate e singole

La tabella seguente riepiloga le differenze comportamentali e operative tra raccomandazioni raggruppate e singole.

Esempi di modifiche di modellazione:

• Vulnerabilità delle macchine virtuali → raccomandazione per ogni aggiornamento software.
• Segreti → Raccomandazione per chiave/tipo di segreto.
• Le regole di SQL VA → Ogni regola diventa una raccomandazione indipendente.

Adozione di singole raccomandazioni

Buone pratiche: Usa le raccomandazioni individuali come modello principale per l'indagine e la bonifica.

Le raccomandazioni individuali sono il modello attuale di postura in Defender per il cloud. Offrono vantaggi chiari:

• Definizione di priorità granulare e accurata: ogni ricerca viene assegnata singolarmente, consentendo di concentrarsi su ciò che riduce il rischio più velocemente.

• Maggiore chiarezza e governance: è possibile applicare titolarità, esenzioni e flussi di lavoro al livello corretto (per ricerca).

• Coerenza tra Defender: un singolo modello unificato in futuro.

• A prova di futuro: si tratta del modello che continuerà a evolversi e a essere completamente supportato.

Cosa è cambiato

• Ogni risultato appare come una raccomandazione separata.
• Il volume di raccomandazioni può essere più alto perché i risultati sono rappresentati individualmente.
• La prioritizzazione viene applicata a livello di singolo riscontro.

Dove iniziare

• Iniziare a esaminare e valutare le singole raccomandazioni per il lavoro quotidiano sulla sicurezza
• Usa le singole raccomandazioni per gestire indagini, correzioni, responsabilità ed esenzioni
• Aspettatevi una coda più dettagliata e attuabile rispetto alle raccomandazioni raggruppate

Esempio di transizione: gestione delle vulnerabilità

La gestione delle vulnerabilità è una delle aree più comuni in cui la transizione ha un impatto operativo diretto. Per molti team di sicurezza e conformità, l'esecuzione di query e il rilevamento delle vulnerabilità dei computer è un flusso di lavoro giornaliero fondamentale. L'esempio seguente illustra le modifiche e come adattarsi.

Prima (modello di raccomandazioni raggruppate):

La raccomandazione Le macchine devono avere i risultati delle vulnerabilità risolti ha aggregato tutti i risultati delle vulnerabilità delle macchine in un'unica voce per ogni macchina. Hai eseguito questa query usando le valutazioni secondarie in Azure Resource Graph, filtrando in base all'ID della raccomandazione e al tipo di risorsa.

Dopo (modello di raccomandazioni individuali):

Ogni singola raccomandazione include un elenco di risultati della vulnerabilità. Invece di una voce aggregata per macchina, si vedono singoli risultati per ogni pacchetto software vulnerabile, che coprono VM Azure, nodi AKS, istanze EC2, istanze GCP e container, all'interno delle categorie di raccomandazione SoftwareUpdate e ServiceUpgrade.

Aggiorna le query di Azure Resource Graph

Query precedente (raccomandazioni raggruppate):

securityresources
| where type =~ "microsoft.security/assessments/subassessments"
| where id contains "1195afff-c881-495e-9bc5-1486211ae03f"
| where properties.resourceDetails.id contains "microsoft.compute/virtualmachines"
| extend DisplayName = tostring(properties.displayName)
| extend Severity = tostring(properties.status.severity)
| extend SoftwareVersion = tostring(properties.additionalData.softwareVersion)
| extend RecommendedVersion = tostring(properties.additionalData.recommendedVersion)
| mv-expand CVE = properties.additionalData.cve
| extend CVE_Title = tostring(CVE["title"])
| project DisplayName, Severity, SoftwareVersion, RecommendedVersion, CVE_Title

Nuova query (raccomandazioni individuali):

securityresources
| where type == "microsoft.security/assessments"
| where properties.resourceDetails.ResourceType =~ "microsoft.compute/virtualmachines"
| where properties.metadata.recommendationCategory == "SoftwareUpdate"
| extend DisplayName = tostring(properties.displayName)
| extend Severity = tostring(properties.metadata.severity)
| extend DetectedVersions = tostring(properties.additionalData.DetectedSoftwareVersions)
| extend FixedVersion = tostring(properties.additionalData.FixedVersion)
| extend CvesDetails = parse_json(tostring(properties.additionalData.CvesDetails))
| mv-expand CveDetail = CvesDetails
| extend CveId = tostring(CveDetail.CveId)
| project DisplayName, Severity, DetectedVersions, FixedVersion, CveId

securityresources
| where type =~ "microsoft.security/cvedetails"

I campi chiave cambiano tra i due schemi:

Analisi e assegnazione delle priorità su larga scala

Le raccomandazioni individuali introducono una maggiore granularità. Per concentrarsi sui problemi più importanti e gestire la maggiore granularità delle singole raccomandazioni, Defender per il cloud offre diversi strumenti e visualizzazioni progettati per facilitare l'analisi efficace.

Schede delle categorie

• Avvia le indagini nella categoria di sicurezza più rilevante per il dominio di competenza o rischio del team.
• Usare le categorie per ridurre il rumore e lo sforzo di messa a fuoco

Le categorie disponibili includono:

• All - Visualizzazione completa della postura
• Configurazioni errate : rischi basati sulla configurazione
• Vulnerabilità : vulnerabilità del software e della piattaforma
• Segreti : chiavi esposte e segreti

Definizione delle priorità dei problemi ad alto impatto

Procedura consigliata: Rendi critico e alto livello di rischio la visualizzazione operativa predefinita.

• Filtrare le raccomandazioni in base al livello di rischio
• Risolvere prima problemi ad alto impatto per ridurre rapidamente i rischi

Uso efficace delle visualizzazioni di aggregazione

Le visualizzazioni aggregate consentono di allineare la correzione al flusso di lavoro:

• Visualizza per titolo
  • Mostra tutti gli asset per una singola raccomandazione
  • Adatto per la correzione in blocco tra più risorse
• Visualizzare per risorsa
  • Mostra tutte le raccomandazioni per un singolo asset
  • Adatto per l'analisi a livello di asset o l'isolamento di computer ad alto rischio

Scegliere l'aggregazione corrispondente all'attività:

• Correzione dei problemi diffusa: Visualizzazione per titolo
• Analisi degli asset: visualizzazione per risorsa

Come gestire le nuove raccomandazioni individuali

Con la transizione alle raccomandazioni individuali completata, Microsoft Defender per il cloud continua a supportare regole di governance, esportazione continua e esenzioni. La modifica principale riguarda come vengono definiti queste azioni.

Vengono create singole raccomandazioni per ogni tipo di aggiornamento software, segreto o problema. Poiché vengono generati in base allo stato corrente delle risorse, le azioni non vengono più applicate a una singola raccomandazione statica. Al contrario, le azioni di gestione vengono ora applicate a livello di categoria di raccomandazione .

Le regole di governance, l'esportazione continua e le esenzioni continuano a funzionare come oggi, ma invece di usare come destinazione una chiave di raccomandazione raggruppata, ora si usa come destinazione una categoria di raccomandazione. Ogni categoria include automaticamente tutte le raccomandazioni individuali correnti e future di quel tipo.

L'esperienza di gestione aggiornata è disponibile nelle impostazioni dell'ambiente, in Regole di governance e regole di esenzione, in cui è possibile applicare in modo coerente la proprietà, l'automazione o le esenzioni in un'intera categoria di raccomandazioni individuali.

Comportamento classico del punteggio di sicurezza dopo la transizione

Dopo la transizione dalle raccomandazioni raggruppate alle singole raccomandazioni, alcuni classici controlli di punteggio sicuro nel portale Azure possono essere influenzati da risultati che ora sono rappresentati attraverso il modello delle singole raccomandazioni.

In alcuni casi, una risorsa potrebbe apparire come malsana in un controllo di punteggio sicuro anche se la precedente raccomandazione raggruppata non è più visibile sotto quel controllo.

Quando ciò si verifica, le risorse pertinenti hanno segnalazioni di sicurezza associate che contribuiscono al segnale di comportamento per quell'area. Per indagare i risultati sottostanti, si passa alla vista del rischio, che è la vista consigliata per rivedere e dare priorità ai risultati.

La vista rischio fornisce l'esperienza attuale e dettagliata di raccomandazione e aiuta a identificare i risultati specifici che dovrebbero essere esaminati o rimediati.

Questo comportamento è previsto come parte della transizione verso raccomandazioni individuali. Il classico punteggio sicuro nel portale Azure è stato progettato per rimanere funzionalmente stabile durante questa transizione, mentre i clienti passano al modello di raccomandazioni individuali per indagini e remedi.

Correggere le vulnerabilità

Abilita la gestione degli accessi

Le seguenti raccomandazioni sono state sostituite da singole nuove raccomandazioni. Utilizzare la nuova chiave di valutazione per future configurazioni di governance, esenzione ed esportazione.

Implementa le migliori pratiche di configurazione della sicurezza

Applicare aggiornamenti di sistema

Se uno di questi controlli sicuri del punteggio di sicurezza mostra risorse non integre ma la raccomandazione raggruppata sottostante non è visibile, rivedere i risultati applicabili nella vista rischio. I risultati sono rappresentati attraverso l'attuale modello di raccomandazione individuale piuttosto che dall'esperienza di raccomandazione raggruppata obsoleta.

Cosa si dovrebbe fare ora

• Utilizzare raccomandazioni individuali come modello principale per l'indagine e la bonifica.
• Usa la vista del rischio per identificare e dare priorità ai risultati associati a risorse malsane.
• Aggiornate le query di Azure Resource Graph, le regole di governance, le configurazioni di esportazione continua e i flussi di lavoro di esenzione che si basavano su raccomandazioni raggruppate o sotto-valutazioni.
• Usa categorie di raccomandazione, come SoftwareUpdate, SystemUpdate, HostMisconfigurations, e ExposedSecrets, dove applicabile.
• Prevedetevi un aumento del volume di raccomandazioni in alcune aree perché i singoli risultati forniscono dettagli più pratici. Questo aumento non indica necessariamente che il rischio sia aumentato.
• Utilizzare il riferimento alla transizione della raccomandazione per identificare la categoria di raccomandazione attuale o la raccomandazione di sostituzione.
• Completa la migrazione dalla disattivazione delle regole alle esenzioni.

Riferimento per la transizione delle raccomandazioni

Usa questo riferimento per associare ogni raccomandazione raggruppata deprecata al relativo ID della raccomandazione e alla categoria di raccomandazione corrente o alla raccomandazione sostitutiva. Le raccomandazioni sono organizzate per prodotto. Questo è il riferimento per:

• Aggiornamento di regole di governance, regole di esenzione ed esportazione continua, che ora sono destinate a una categoria di raccomandazioni anziché a una chiave di raccomandazione specifica. Trovare la categoria per ogni raccomandazione attualmente gestita, quindi aggiornare le configurazioni per usare tale categoria.
• Migrazione delle query: sostituire gli ID di raccomandazione raggruppati con il tipo di risorsa microsoft.security/assessments e filtrare per properties.metadata.recommendationCategory. La colonna dell'ID raccomandazione consente di verificare che stai selezionando le raccomandazioni corrette.

Ogni raccomandazione raggruppata passava a uno di due stati finali:

• Sostituito da singole raccomandazioni : la raccomandazione raggruppata viene sostituita da singole raccomandazioni generate in modo dinamico per ogni ricerca. Aggiornare le regole di governance, le esenzioni e l'esportazione continua per impostare come destinazione la categoria Raccomandazione anziché l'ID raccomandazione.
• Sostituito da una singola raccomandazione: la raccomandazione raggruppata viene sostituita da una nuova raccomandazione specifica con un ID raccomandazione fisso. La categoria di raccomandazione viene visualizzata come Sconosciuta. Aggiorna le configurazioni per utilizzare direttamente il nuovo ID raccomandazione — non utilizzare il filtro per categoria per queste raccomandazioni.

Microsoft Defender per server

Le seguenti raccomandazioni raggruppate sono state inserite sotto Microsoft Defender for Servers.

Come esaminare i risultati: Correggere le vulnerabilità del computer

Sostituito da singole raccomandazioni : aggiornare le regole di governance, le esenzioni e l'esportazione continua per usare la categoria di raccomandazione:

Sostituito da singole raccomandazioni : le raccomandazioni raggruppate seguenti sono deprecate e non hanno una sola sostituzione diretta. Sono sostituiti da nuove raccomandazioni individuali ora disponibili in Defender per il cloud.

Nuove raccomandazioni individuali

Microsoft Defender per database

Le seguenti raccomandazioni SQL raggruppate sono state inserite sotto Microsoft Defender for Databases. Dopo la transizione, ogni regola di valutazione della vulnerabilità SQL viene visualizzata come singola raccomandazione segnalata nella risorsa del database anziché nella risorsa server. Per analizzare i risultati per un database Azure SQL, aprire la risorsa nel portale di Azure, passare a Microsoft Defender per il cloud e selezionare la ricerca specifica per visualizzare la descrizione, la gravità e le indicazioni sulla correzione della regola. Per i server SQL nei computer, aprire la pagina Raccomandazioni in Defender per il cloud, trovare la raccomandazione individuale pertinente e seguire la stessa procedura di correzione.

Informazioni sugli approcci di correzione e su come esaminare i risultati.

Raccomandazioni deprecate: le raccomandazioni raggruppate seguenti sono deprecate e non hanno una sola sostituzione diretta. Vengono sostituiti dalle nuove raccomandazioni per la valutazione della vulnerabilità SQL ora disponibili in Defender per il cloud. Per l'elenco completo, vedere Regole di valutazione della vulnerabilità SQL e mapping delle raccomandazioni.

Microsoft Defender per contenitori

Le seguenti raccomandazioni raggruppate sono state inserite sotto Microsoft Defender for Containers. Dopo la transizione, i risultati della vulnerabilità dei contenitori vengono visualizzati come singole raccomandazioni, con ogni livello di immagine vulnerabile o pacchetto esposto come ricerca separata.

Come esaminare i risultati: visualizzare e correggere le vulnerabilità per i contenitori in esecuzione nei cluster Kubernetes Visualizzare ecorreggere |

Sostituito da singole raccomandazioni : aggiornare le regole di governance, le esenzioni e l'esportazione continua per usare la categoria di raccomandazione:

Microsoft Defender per DevOps

Le seguenti raccomandazioni raggruppate sono state trasferite sotto Microsoft Defender per DevOps. Dopo la transizione, i singoli risultati per l'analisi del codice, le vulnerabilità delle dipendenze, i segreti, l'infrastruttura come problemi di codice e la sicurezza api vengono visualizzati nelle categorie di raccomandazioni pertinenti.

Come esaminare i risultati: in Defender per il cloud passare a Raccomandazioni e filtrare in base alla categoria pertinente: ApiVulnerabilities, SoftwareUpdate, CodeVulnerabilities, IacVulnerabilities o ExposedSecrets. Selezionare una singola raccomandazione per visualizzare il repository interessato, trovare i dettagli e i passaggi di correzione.

Sostituito da singole raccomandazioni : aggiornare le regole di governance, le esenzioni e l'esportazione continua per usare la categoria di raccomandazione:

Microsoft Defender per identità

Sostituito da una singola raccomandazione: le raccomandazioni raggruppate seguenti vengono sostituite da una nuova raccomandazione specifica con una chiave di valutazione fissa. Aggiorna le regole di governance, le esenzioni e l'esportazione continua per utilizzare direttamente la nuova chiave di valutazione.

Importante: le regole di esenzione per queste raccomandazioni di sostituzione sono disponibili solo per i clienti a pagamento. I clienti non paganti perderanno le funzionalità di esenzione per queste raccomandazioni quando le valutazioni originali vengono ritirate.

Passaggi successivi

• Rivedere le raccomandazioni sulla sicurezza
• Correggere le raccomandazioni sulla sicurezza
• Panoramica delle raccomandazioni sulla sicurezza
• Transizione da regole di disabilitazione a esenzioni