エージェントレス マシンのスキャン

Microsoft Defender for Cloud のエージェントレス マシン スキャンは、Defender for Cloud に接続されたマシンのセキュリティ態勢を強化します。

エージェントレス スキャンでは、インストール済みのエージェントやネットワーク接続は必要なく、マシンのパフォーマンスにも影響を与えません。 エージェントレス コンピュータスキャン

エージェントレス スキャンは、次の Defender for Cloud プランで使用できます。

エージェントレス スキャン アーキテクチャ

エージェントレス スキャンは次のように機能します。

  1. Defender for Cloud は、VM ディスク (ルート + データ ディスク) のスナップショットを取得し、スナップショットに格納されているオペレーティング システム構成とファイル システムの帯域外の詳細な分析を実行します。

    • コピーされたスナップショットは、VM と同じリージョンに保持されます。
    • スキャンは VM に影響しません。

  2. コピーされたディスクから必要なメタデータを取得した後、Defender for Cloud はディスクのコピーされたスナップショットを直ちに削除し、構成のギャップと潜在的な脅威の検出のためにメタデータを関連する Microsoft のエンジンに送信します。 たとえば、脆弱性評価では、分析はDefender 脆弱性の管理によって行われます。

  3. Defender for Cloud はスキャン結果を表示します。この [セキュリティ アラート] ページに表示される結果には、エージェント ベースとエージェントレスの両方の結果がまとめられています。

  4. Defender for Cloud は、リージョンごとに揮発性、分離されており、非常に安全なスキャン環境内でディスクを分析します。 スキャンに関連しないディスク スナップショットとデータは、メタデータの収集に必要な時間 (通常は数分) より長く保存されることはありません。

エージェントレス スキャンを使用してオペレーティング システム データを収集するプロセスの図。

エージェントレス スキャンで使用されるアクセス許可

Defender for Cloud では、エージェントレス スキャンを実行するために特定のロールとアクセス許可が使用されました。

Azureアクセス許可

組み込みロール VM スキャナー オペレーターには、スナップショット プロセスに必要な VM ディスクの読み取り専用アクセス許可があります。 アクセス許可の詳細な一覧は次のとおりです。

  • Microsoft.Compute/disks/read
  • Microsoft.Compute/disks/beginGetAccess/action
  • Microsoft.Compute/disks/diskEncryptionSets/read
  • Microsoft.Compute/virtualMachines/instanceView/read
  • Microsoft.Compute/virtualMachines/read
  • Microsoft.Compute/virtualMachineScaleSets/instanceView/read
  • Microsoft.Compute/virtualMachineScaleSets/read
  • Microsoft.Compute/virtualMachineScaleSets/virtualMachines/read
  • Microsoft.Compute/virtualMachineScaleSets/virtualMachines/instanceView/read

CMK 暗号化ディスクのカバレッジが有効になっている場合は、より多くのアクセス許可が必要です。

  • Microsoft.KeyVault/vaults/keys/read
  • Microsoft.KeyVault/vaults/keys/wrap/action
  • Microsoft.KeyVault/vaults/keys/unwrap/action

AWS のアクセス許可

エージェントレス スキャンを有効にしたときに、ロール VmScanner がスキャナーに割り当てられます。 このロールには、スナップショット (タグによってスコープ指定) を作成およびクリーンアップし、VM の現在の状態を確認するための最小限のアクセス許可が設定されています。 詳細なアクセス許可は次のとおりです。

特性 Value
SID VmScannerDeleteSnapshotAccess
アクション ec2:DeleteSnapshot
Conditions "StringEquals":{"ec2:ResourceTag/CreatedBy”:<br>"Microsoft Defender for Cloud"}
Resources arn:aws:ec2:::snapshot/
Effect 許可する
特性 Value
SID VmScannerAccess
アクション ec2:ModifySnapshotAttribute
ec2:DeleteTags
ec2:CreateTags
ec2:CreateSnapshots
ec2:CopySnapshots
ec2:CreateSnapshot
Conditions なし
Resources arn:aws:ec2:::instance/
arn:aws:ec2:::snapshot/
arn:aws:ec2:::volume/
Effect 許可する
特性 Value
SID VmScannerVerificationAccess
アクション ec2:DescribeSnapshots
ec2:DescribeInstanceStatus
Conditions なし
Resources *
Effect 許可する
特性 Value
SID VmScannerEncryptionKeyCreation
アクション kms:CreateKey
Conditions なし
Resources *
Effect 許可する
特性 Value
SID VmScannerEncryptionKeyManagement
アクション kms:TagResource
kms:GetKeyRotationStatus
kms:PutKeyPolicy
kms:GetKeyPolicy
kms:CreateAlias
kms:ListResourceTags
Conditions なし
Resources arn:aws:kms::${AWS::AccountId}: key/ <br> arn:aws:kms:*:${AWS::AccountId}:alias/DefenderForCloudKey
Effect 許可する
特性 Value
SID VmScannerEncryptionKeyUsage
アクション kms:GenerateDataKeyWithoutPlaintext
kms:DescribeKey
kms:RetireGrant
kms:CreateGrant
kms:ReEncryptFrom
Conditions なし
Resources arn:aws:kms::${AWS::AccountId}: key/
Effect 許可する

GCP のアクセス許可

オンボード中、インスタンスの状態を取得してスナップショットを作成するために必要な最小限のアクセス許可で新しいカスタム ロールが作成されます。

また、CMEK で暗号化されたディスクのスキャンをサポートするために、既存の GCP KMS ロールへのアクセス許可が付与されます。 ロールは次のとおりです。

  • roles/MDCAgentlessScanningRole が Defender for Cloud のサービス アカウントに、compute.disks.createSnapshot と compute.instances.get のアクセス許可と共に付与されます。
  • Defender for Cloud のコンピューティング エンジン サービス エージェントに roles/cloudkms.cryptoKeyEncrypterDecrypter が付与されます

次のステップ

エージェントレス マシンのスキャンを有効にします。

  • Last updated on