Preparare il ritiro dell'agente di Log Analytics

L'agente Log Analytics, noto anche come Microsoft Monitoring Agent (MMA), è stato ritirato a novembre 2024, come descritto nel piano di ritiro dell'agente Log Analytics per Defender per il cloud. A causa di questo ritiro, i piani Defender for Servers e Defender for SQL su macchine in Microsoft Defender per il cloud saranno aggiornati e le funzionalità che dipendono dall'agente Log Analytics saranno riprogettate.

Questo articolo riassume i piani per il pensionamento dell'agente Log Analytics (MMA).

Preparare Defender per server

Il piano Defender for Servers usa l'agente Log Analytics in disponibilità generale (GA) e AMA per il supporto per l'agente e le funzionalità di Defender for Servers (in anteprima). Di seguito sono indicate le implicazioni di queste funzionalità in futuro:

Per semplificare l'onboarding, ottieni tutte le funzionalità e le funzionalità di sicurezza di Defender for Servers con un unico agente (Microsoft Defender per endpoint), integrato dalla scansione delle macchine senza agente, senza alcuna dipendenza da Log Analytics agent o Monitoraggio di Azure agent (AMA).

• Le funzionalità di Defender for Servers, basate su AMA, sono attualmente disponibili in anteprima e non saranno rilasciate in disponibilità generale.
• Le funzionalità in anteprima che dipendono dall'AMA rimangono supportate fino a quando non viene fornita una versione alternativa della funzione, che si basa sull'integrazione con Defender for Endpoint o sulla funzione di scansione macchina senza agente.
• Abilitando l'integrazione di Defender per endpoint e la funzionalità di analisi dei computer senza agente prima che avvenga la deprecazione, la distribuzione di Defender per server sarà aggiornata e supportata.

Funzionalità

La tabella seguente riassume come vengono fornite le funzionalità di Defender for Servers. La maggior parte delle funzionalità è già disponibile a livello generale usando l'integrazione di Defender per endpoint o l'analisi dei computer senza agente. Le restanti funzionalità di Defender for Servers, elencate nella tabella seguente, saranno disponibili in GA al momento del ritiro della MMA, oppure saranno deprecate.

Esperienza di provisioning automatico dell'agente di Log Analytics - Piano di deprecazione

Come parte del pensionamento degli agenti MMA, la capacità di autoprovisioning che fornisce l'installazione e la configurazione dell'agente per i clienti Defender per il cloud sarà anch'essa deprecata in 2 fasi:

1. Entro la fine di settembre 2024 , il provisioning automatico di MMA verrà disabilitato per i clienti che non usano più la funzionalità, nonché per le nuove sottoscrizioni create:

   • Le sottoscrizioni esistenti che disattivano il provisioning automatico MMA dopo la fine di settembre non saranno più in grado di abilitare la funzionalità in seguito.

   • Nelle sottoscrizioni appena create, il provisioning automatico non può più essere abilitato e viene disattivato automaticamente.

2. Fine novembre 2024 - Il provisioning automatico MMA sarà disabilitato sugli abbonamenti che non l'hanno ancora disattivato. Da quel momento in poi, non è più possibile abilitare l'autoprovisioning MMA sugli abbonamenti esistenti.

Vantaggio di 500 MB per l'inserimento dati

Per mantenere i 500 MB di abbuono di inserimento dati gratuito per i tipi di dati supportati, è necessario eseguire la migrazione da MMA ad AMA.

Altre informazioni su come distribuire AMA.

Per i server SQL nei computer è consigliabile eseguire la migrazione al processo di provisioning automatico dell'agente di Monitoraggio di Azure (AMA) SQL server-targeted.

Modifiche all'onboarding legacy di Defender per server piano 2 usando l'agente di analisi dei log

Microsoft sta abbandonando l'approccio legacy usato per integrare i server in Defender for Servers Plan 2, che utilizza l'agente Log Analytics e gli spazi di lavoro Log Analytics. Il pensionamento include le seguenti modifiche:

• L'esperienza di onboarding per l'onboarding di nuovi computer non Azure in Defender per server tramite agenti e aree di lavoro di analisi dei log viene rimossa dai pannelli Inventario e Introduzione nel portale di Defender per il cloud.

• Per evitare di perdere la copertura di sicurezza sulle macchine interessate che si collegano a un Log Analytics Workspace, adotta le seguenti azioni per il pensionamento dell'Agente:

  • Se è stato eseguito l'onboarding di server non-Azure (sia locali che multicloud) utilizzando l'onboarding legacy dell'agente v per computer non-Azure, connettere queste macchine alle sottoscrizioni e ai connettori di Azure Defender per server Piano 2 usando server con Azure Arc abilitato. Per altre informazioni sulla distribuzione di macchine su larga scala, consulta le opzioni di distribuzione del server Azure Arc.
  • Se hai usato l'approccio legacy per abilitare Defender for Servers Plan 2 su alcune VM Azure selezionate, abilita Defender for Servers Plan 2 sugli abbonamenti Azure per queste macchine. Puoi quindi escludere singole macchine dalla copertura Defender for Servers usando la configurazione per risorsa di Defender for Server.

La tabella seguente riassume l'azione richiesta per ogni server integrato in Defender for Servers Plan 2 tramite l'approccio legacy:

Esperienza di aggiornamento di sistema e raccomandazioni per patch - cambiamenti e linee guida per la migrazione

Gli aggiornamenti e le patch di sistema sono fondamentali per mantenere la sicurezza e l'integrità dei computer. Gli aggiornamenti spesso contengono patch di sicurezza per vulnerabilità che, se non risolte, possono essere sfruttate da attori malintenzionati.

Defender per il cloud Foundational CSPM e i piani Defender for Servers fornivano in precedenza raccomandazioni per l'aggiornamento del sistema utilizzando l'agente Log Analytics. La precedente esperienza di raccomandazione sugli aggiornamenti di sistema basati su agenti di Log Analytics è stata sostituita da raccomandazioni di sicurezza raccolte tramite Gestore aggiornamenti di Azure e costruite da due nuove raccomandazioni:

• I computer devono essere configurati per verificare periodicamente la presenza di aggiornamenti di sistema mancanti

• Gli aggiornamenti di sistema devono essere installati nei computer (con tecnologia Gestore aggiornamenti di Azure)

Scopri come risolvere gli aggiornamenti di sistema e le raccomandazioni per le patch sulle tue macchine.

Quali raccomandazioni vengono sostituite?

La tabella seguente riepiloga il calendario dei consigli deprecati e sostituiti.

Come prepararsi per i nuovi consigli?

• Connetti i tuoi computer non Azure ad Arc.

• Assicurarsi che l'impostazione di aggiornamento della valutazione periodica sia abilitata nei computer. Puoi attivarlo in due modi:

  • Correggi la raccomandazione: le macchine dovrebbero essere configurate per controllare periodicamente la mancanza di aggiornamenti di sistema, utilizzando Gestore aggiornamenti di Azure.
  • Abilita la valutazione periodica su larga scala con Criteri di Azure.

• Quando completi questi passaggi, Update Manager può recuperare gli aggiornamenti più recenti delle macchine e puoi visualizzare lo stato di conformità delle macchine più recente.

Esperienza di consigli di Endpoint Protection - indicazioni per le modifiche e la migrazione

L'individuazione degli endpoint e i consigli erano precedentemente forniti da CSPM di base di Defender per il cloud e dai piani Defender per server usando l'agente di Log Analytics in disponibilità generale o in anteprima tramite l'AMA. Le precedenti esperienze di scoperta e raccomandazione degli endpoint basate su MMA e AMA sono state sostituite da raccomandazioni di sicurezza raccolte tramite la scansione di macchine senza agente.

I consigli di Endpoint Protection vengono costruiti in due stadi. La prima fase è la rilevazione degli endpoint e la scoperta della soluzione di risposta. La seconda fase è la valutazione della configurazione della soluzione. Le tabelle seguenti forniscono informazioni dettagliate sulle esperienze correnti e nuove per ogni stadio.

Informazioni su come gestire i nuovi consigli sul rilevamento e reazione dagli endpoint (senza agente).

Soluzione di rilevamento e reazione dagli endpoint - Individuazione

La tabella seguente confronta le esperienze di discovery attuali e nuove per soluzioni di rilevamento e risposta degli endpoint.

Soluzione di rilevamento e reazione dagli endpoint - Valutazione della configurazione

La tabella seguente confronta le esperienze attuali e nuove di valutazione della configurazione per soluzioni di rilevamento e risposta degli endpoint.

Quali consigli vengono deprecati?

La tabella seguente riepiloga il calendario dei consigli deprecati e sostituiti.

La nuova esperienza di raccomandazioni per la protezione degli endpoint senza agente, basata sulla scansione delle macchine senza agente, supporta sia Windows che Linux OS per macchine multicloud.

Come funzionerà la sostituzione?

• I consigli correnti forniti dall'agente di Log Analytics o dall'AMA verranno deprecati nel tempo.
• Alcuni di questi consigli esistenti verranno sostituiti da nuovi consigli basati sull'analisi dei computer senza agente.
• I consigli attualmente in disponibilità generale rimangono invariati fino al ritiro dell'agente di Log Analytics.
• I consigli attualmente in anteprima verranno sostituiti quando il nuovo consiglio sarà disponibile in anteprima.

Cosa accade con il punteggio di sicurezza?

I seguenti punti spiegano come il punteggio sicuro venga influenzato durante la transizione dalle raccomandazioni per la protezione degli endpoint basate sulla MMA a quelle senza agente.

• I consigli attualmente in disponibilità generale continueranno a influire sul punteggio di sicurezza.
• Le nuove raccomandazioni attuali e future si trovano nello stesso controllo Microsoft Cloud Security Benchmark, assicurandosi che non vi sia alcun impatto duplicato sul punteggio di sicurezza.

Come prepararsi per i nuovi consigli?

Per prepararsi alle nuove raccomandazioni di protezione degli endpoint senza agente, adottare le seguenti azioni:

• Assicurati che la scansione delle macchine senza agente sia abilitata come parte di Defender for Servers Plan 2 o Defender Cloud Security Posture Management.
• Se adatto al tuo ambiente, rimuovi le raccomandazioni obsolete quando la raccomandazione sostitutiva della GA diventa disponibile. A tale scopo, disabilitare il consiglio nell'iniziativa predefinita Defender per il cloud in Criteri di Azure.

Esperienza FIM (File Integrity Monitoring) - Indicazioni per le modifiche e la migrazione

Defender for Servers Plan 2 ora offre una nuova soluzione File Integrity Monitoring (FIM) alimentata dall'integrazione Defender for Endpoint (MDE). Dopo che FIM powered by MDE sarà generalmente disponibile, l'esperienza del portale Defender per il cloud per FIM powered by AMA sarà rimossa. A novembre, FIM basato su MMA sarà deprecato.

Migrazione da FIM su AMA

Se attualmente si usa FIM su AMA:

• Non è più possibile integrare nuovi abbonamenti o server a FIM basati su AMA e l'estensione per il monitoraggio dei cambiamenti o visualizzare le modifiche tramite il portale Defender per il cloud a partire dal 30 maggio.

• Se si desidera continuare a usare gli eventi FIM raccolti da AMA, è possibile connettersi manualmente all'area di lavoro pertinente e visualizzare le modifiche nella tabella Rilevamento modifiche con la query seguente:

  ConfigurationChange
  
  | where TimeGenerated > ago(14d)
  
  | where ConfigChangeType in ('Registry', 'Files') 
  
  | summarize count() by Computer, ConfigChangeType
  

• Se si desidera continuare l'onboarding di nuovi ambiti o configurare regole di monitoraggio, è possibile usare manualmente le Regole di connessione dati per configurare o personalizzare vari aspetti della raccolta dati.

• Defender per il cloud consiglia di disabilitare FIM tramite AMA e di integrare l'ambiente nella nuova versione FIM basata su Defender for Endpoint al momento del rilascio.

Disabilitare FIM su AMA

Per disabilitare FIM su AMA, rimuovere la soluzione Rilevamento modifiche di Azure. Per altre informazioni, vedere Rimuovere la soluzione ChangeTracking.

In alternativa, è possibile rimuovere le regole di raccolta dati (DCR) di rilevamento modifiche file correlate. Per altre informazioni, vedere Remove-AzDataCollectionRuleAssociation o Remove-AzDataCollectionRule.

Dopo aver disabilitato la raccolta eventi del file usando uno dei metodi sopra:

• Nuovi eventi smettono di essere raccolti sull'ambito selezionato.
• Gli eventi cronologici già raccolti rimangono archiviati nell'area di lavoro pertinente nella tabella ConfigurationChange nella sezione Rilevamento modifiche. Questi eventi rimangono disponibili nello spazio di lavoro rilevante secondo il periodo di conservazione definito in tale spazio. Per altre informazioni, vedere Funzionamento della conservazione e dell'archiviazione.

Eseguire la migrazione da FIM tramite l'agente di Log Analytics (MMA)

Se attualmente si usa FIM sull'agente di Log Analytics (MMA):

• FIM (File Integrity Monitoring) basato sull'agente di Log Analytics (MMA) verrà deprecato alla fine di novembre 2024.

• Defender per il cloud consiglia di disabilitare FIM invece di MMA e di inserire il tuo ambiente nella nuova versione FIM basata su Defender for Endpoint al momento del rilascio.

Disabilitare FIM su MMA

Per disabilitare FIM su MMA, rimuovere la soluzione Rilevamento modifiche di Azure. Per altre informazioni, vedere Rimuovere la soluzione ChangeTracking.

Dopo aver disabilitato la raccolta di eventi di file:

• Nuovi eventi smettono di essere raccolti sull'ambito selezionato.
• Gli eventi cronologici già raccolti rimangono archiviati nell'area di lavoro pertinente nella tabella ConfigurationChange nella sezione Rilevamento modifiche. Questi eventi rimangono disponibili nello spazio di lavoro rilevante secondo il periodo di conservazione definito in tale spazio. Per altre informazioni, vedere Funzionamento della conservazione e dell'archiviazione.

Cambiamenti di base nell'esperienza e linee guida sulla migrazione

La funzionalità di configurazione errata delle baseline per le VM aiuta a garantire che le proprie VM seguano le procedure consigliate di sicurezza e le politiche organizzative. Baselines misconfiguration verifica le tue VM rispetto a quelle di sicurezza predefinite e identifica eventuali deviazioni o configurazioni errate che potrebbero rappresentare un rischio per l'ambiente.

L'agente Log Analytics (noto anche come Microsoft Monitoring agent o MMA) è stato ritirato nel novembre 2024 e si applicano le seguenti modifiche:

• Le informazioni sulla macchina vengono raccolte utilizzando la configurazione ospite di Criteri di Azure.

• I criteri di Azure seguenti sono abilitati con la configurazione guest di Criteri di Azure:

  • "I computer Windows devono soddisfare i requisiti della baseline di sicurezza del calcolo Azure"
  • "I computer Linux devono soddisfare i requisiti per la baseline di sicurezza del calcolo Azure"

  Note

  Se rimuovi queste policy, perdi l'accesso ai vantaggi dell'estensione di configurazione ospite di Criteri di Azure.

• Defender per il cloud basato sul CSPM non include più raccomandazioni sui sistemi operativi basati sui punti di riferimento sulla sicurezza del calcolo. Queste raccomandazioni sono disponibili quando attivi il Defender for Servers Plan 2.

Per saperne sui prezzi di Defender for Servers Plan 2, consulta la pagina dei prezzi di Defender per il cloud. È anche possibile stimare i costi con il calcolatore dei costi di Defender per il cloud.

Le raccomandazioni fornite dall'MCSB e che non fanno parte delle basi di sicurezza di calcolo di Windows e Linux continuano a far parte del CSPM di base gratuito.

Installare la configurazione guest di Criteri di Azure

Per continuare a ricevere l'esperienza di base, devi abilitare Defender for Servers Plan 2 e installare la configurazione ospite di Criteri di Azure. Quando abiliti Defender for Servers Plan 2 e installi la configurazione ospite di Criteri di Azure, ti assicuri di continuare a ricevere le stesse raccomandazioni e indicazioni di rafforzamento che hai ricevuto durante l'esperienza di base.

A seconda dell'ambiente in cui si trovi, potresti dover adottare i seguenti passaggi:

1. Esaminare la matrice di supporto per la configurazione guest di Criteri di Azure.

2. Installare la configurazione guest di Criteri di Azure nei computer.

   • Computer Azure: nella pagina consigli del portale di Defender per il cloud, cercare e selezionare L'estensione configurazione guest deve essere installata nei computer e correggere il consiglio.

   • (Solo VM Azure) Devi assegnare un'identità gestita.

     • Nella pagina consigli del portale di Defender per il cloud, cercare e selezionare L'estensione Configurazione guest delle macchine virtuali deve essere distribuita con l'identità gestita assegnata dal sistema e correggere il consiglio.

   • (Solo per le VM di Azure) Facoltativo: per eseguire automaticamente il provisioning della configurazione guest di Criteri di Azure per l'intera sottoscrizione, puoi abilitare l'agente Guest Configuration (anteprima).

     • Per abilitare l'agente Guest Configuration:

       1. Accedi al portale di Azure.

       2. Passare a Impostazioni ambiente>Sottoscrizione>Impostazioni e monitoraggio.

       3. Selezionare Configurazione guest.

          

       4. Spostare l'interruttore dell'agente di Configurazione guest (anteprima) su On.

          

       5. Seleziona Continua.

   • GCP e AWS: la configurazione guest di Criteri di Azure viene installata automaticamente quando si connette il progetto GCP oppure si connettono gli account AWS con provisioning automatico di Azure Arc abilitato a Defender per il cloud.

   • Computer locali: la configurazione guest di Criteri di Azure è abilitata per impostazione predefinita quando si esegue l'onboarding di computer locali come macchine virtuali o computer abilitati per Azure Arc.

Dopo aver completato i passaggi necessari per installare la configurazione guest di Criteri di Azure, ottieni automaticamente accesso alle funzionalità di base basandoti sulla configurazione guest di Criteri di Azure. Quando installi la configurazione ospite di Criteri di Azure, ti assicuri di continuare a ricevere le stesse raccomandazioni e indicazioni di rafforzamento che hai ricevuto durante l'esperienza di base.

Modifiche ai consigli

Con la depreciazione della MMA, le seguenti raccomandazioni basate sulla MMA saranno destinate a essere deprecate:

• I computer devono essere configurati in modo sicuro
• È consigliabile abilitare il provisioning automatico dell'agente di Log Analytics nelle sottoscrizioni

Le raccomandazioni deprecate vengono sostituite dalle seguenti raccomandazioni basate sulla configurazione guest di Criteri di Azure:

• È consigliabile correggere le vulnerabilità della configurazione della sicurezza nei computer Windows (con Configurazione guest)
• È consigliabile correggere le vulnerabilità della configurazione della sicurezza nei computer Linux (con Configurazione guest).
• L'estensione Configurazione guest deve essere installata nelle macchine virtuali

Consigli duplicati

Quando si abilita Defender per il cloud in una sottoscrizione di Azure, il Benchmark di sicurezza di Microsoft Cloud (MCSB), che include le baseline di sicurezza di calcolo che valutano la conformità del sistema operativo del computer, è abilitato come standard di conformità predefinito. Cloud Security Posture Management (CSPM) in Defender per il cloud offre consigli sulla sicurezza basati su MCSB.

Se una macchina esegue sia la configurazione MMA che quella di Criteri di Azure ospite, si vedono raccomandazioni duplicate. La duplicazione delle raccomandazioni avviene perché entrambi i metodi funzionano contemporaneamente e producono le stesse raccomandazioni. Questi duplicati influenzano il tuo Compliance e il Secure Score.

Per evitare raccomandazioni duplicate mentre sono in esecuzione sia MMA sia la configurazione guest di Criteri di Azure, puoi disabilitare le raccomandazioni MMA Machines should be configured securely e Auto provisioning of the Log Analytics agent should be enabled on subscriptions andando alla pagina Conformità normativa in Defender per il cloud.

Dopo aver individuato la raccomandazione, selezionare i computer pertinenti ed esentarli.

Alcune delle regole di configurazione di base basate sullo strumento di configurazione guest di Criteri di Azure sono più aggiornate e offrono una copertura più ampia. Di conseguenza, la transizione alla funzione Baselines supportata dalla configurazione ospite di Criteri di Azure può influire sul tuo stato di conformità poiché includono controlli che potrebbero non essere stati eseguiti in precedenza.

Elementi consigliati per le query

Con il ritiro dell'MMA, Defender per il cloud non esegue più query sulle raccomandazioni tramite le informazioni dell'area di lavoro di analisi dei log. Invece, Defender per il cloud ora utilizza Azure Resource Graph per le query API e del portale, al fine di recuperare le informazioni sulle raccomandazioni.

Ecco due query di esempio che è possibile utilizzare:

• Eseguire query su tutte le regole non integre per una risorsa specifica

  Securityresources 
  | where type == "microsoft.security/assessments/subassessments" 
  | extend assessmentKey=extract(@"(?i)providers/Microsoft.Security/assessments/([^/]*)", 1, id) 
  | where assessmentKey == '1f655fb7-63ca-4980-91a3-56dbc2b715c6' or assessmentKey ==  '8c3d9ad0-3639-4686-9cd2-2b2ab2609bda' 
  | parse-where id with machineId:string '/providers/Microsoft.Security/' * 
  | where machineId  == '{machineId}'
  

• Tutte le regole non integre e la quantità se i computer non integri per ogni

  securityresources 
  | where type == "microsoft.security/assessments/subassessments" 
  | extend assessmentKey=extract(@"(?i)providers/Microsoft.Security/assessments/([^/]*)", 1, id) 
  | where assessmentKey == '1f655fb7-63ca-4980-91a3-56dbc2b715c6' or assessmentKey ==  '8c3d9ad0-3639-4686-9cd2-2b2ab2609bda' 
  | parse-where id with * '/subassessments/' subAssessmentId:string 
  | parse-where id with machineId:string '/providers/Microsoft.Security/' * 
  | extend status = tostring(properties.status.code) 
  | summarize count() by subAssessmentId, status
  

Pianifica la migrazione degli agenti di Log Analytics

Matrice di pianificazione della migrazione

Pianifica la migrazione degli agenti in base alle esigenze della tua azienda. La seguente tabella sulla pianificazione della migrazione riassume le linee guida.

Usa l'esperienza di migrazione MMA

L'esperienza di migrazione MMA è uno strumento che consente di eseguire la migrazione da MMA ad AMA. L'esperienza offre una guida dettagliata che consente di eseguire la migrazione dei computer dall'MMA all'AMA.

Utilizzando l'esperienza di migrazione MMA, puoi:

• Migra i server dall'onboarding legacy tramite lo spazio di lavoro Log Analytics.
• Assicurarsi che le sottoscrizioni soddisfino tutti i prerequisiti per ricevere tutti i vantaggi di Defender per server piano 2.
• Eseguire la migrazione alla nuova versione di FIM tramite MDE.

1. Accedi al portale di Azure.

2. Passare a Defender per il cloud>Impostazioni ambiente.

3. Selezionare Migrazione MMA.

   

4. Selezionare Esegui azione per una delle azioni disponibili:

   

Consentire all'esperienza di caricare e seguire la procedura per completare la migrazione.

Passo successivo