Voorbereiden op buitengebruikstelling van de Log Analytics-agent

De Log Analytics agent, ook bekend als de Microsoft Monitoring Agent (MMA), ging in november 2024 met pensioen zoals beschreven in het pensioenplan van de Defender voor Cloud Log Analytics agent. Vanwege deze pensionering zullen de Defender for Servers en Defender for SQL on Machine-abonnementen in Microsoft Defender voor Cloud worden bijgewerkt, en zullen functies die afhankelijk zijn van de Log Analytics-agent worden herontworpen.

Dit artikel vat de plannen samen voor het pensioen van de Log Analytics-agent (MMA).

Defender voorbereiden voor servers

Het Defender for Servers-plan maakt gebruik van de Log Analytics-agent die algemeen beschikbaar is (GA), en van AMA voor Defender for Servers-agent- en functieondersteuning (in preview). Dit gebeurt er in de toekomst met deze functies:

Om onboarding te vereenvoudigen, krijg je alle beveiligingsfuncties en mogelijkheden van Defender for Servers met één agent (Microsoft Defender voor Eindpunt), aangevuld met agentloos machinescanning, zonder enige afhankelijkheid van Log Analytics agent of Azure Monitor agent (AMA).

• De functies van Defender for Servers die zijn gebaseerd op AMA, zijn momenteel als preview beschikbaar en zullen niet algemeen beschikbaar komen.
• Functies in preview die afhankelijk zijn van AMA blijven ondersteund totdat een alternatieve versie van de functie wordt geleverd, die vertrouwt op de integratie van Defender for Endpoint of de agentloze machine scanning-functie.
• Door de functie defender voor eindpuntintegratie en het scannen van machines zonder agent in te schakelen voordat de afschaffing plaatsvindt, wordt de implementatie van Defender for Servers bijgewerkt en ondersteund.

Functionaliteit van de functie

De volgende tabel vat samen hoe de functies van Defender for Servers worden aangeboden. De meeste functies zijn al algemeen beschikbaar met behulp van Defender for Endpoint-integratie of het scannen van machines zonder agent. De overige functies van Defender for Servers die in de volgende tabel staan, zullen ofwel beschikbaar zijn in GA wanneer de MMA wordt stopgezet, of worden afgeschaft.

Ervaring met automatische inrichting van de Log Analytics-agent - uitfaseringsplan

Als onderdeel van de pensioenering van MMA-agenten zal de automatische provisioning-mogelijkheid die de installatie en configuratie van de agent voor Defender voor Cloud-klanten mogelijk maakt, ook in twee fasen worden afgeschaft:

1. Eind september 2024 wordt automatische inrichting van MMA uitgeschakeld voor klanten die de mogelijkheid niet meer gebruiken, evenals voor nieuw gemaakte abonnementen:

   • Bestaande abonnementen die na eind september automatische inrichting van MMA uitschakelen, kunnen de mogelijkheid daarna niet meer inschakelen.

   • Bij nieuw gemaakte abonnementen kan automatisch inrichten niet meer worden ingeschakeld en wordt automatisch uitgeschakeld.

2. Eind november 2024 - MMA automatische provisioning wordt uitgeschakeld op abonnementen die het nog niet hebben uitgeschakeld. Vanaf dat moment is het niet langer mogelijk om MMA automatisch te provisioneren op bestaande abonnementen.

Het voordeel van 500 MB voor gegevensopname

Als u de 500 MB gratis toegestane gegevensopname voor de ondersteunde gegevenstypen wilt behouden, moet u migreren van MMA naar AMA.

Meer informatie over het implementeren van AMA.

Voor SQL-servers op machines raden we u aan om te migreren naar het automatisch inrichtingsproces van de op SQL-servers gerichte Azure Monitoring Agent (AMA).

Wijzigingen in het onboarden van verouderde Defender for Servers Plan 2 met de Log Analytics-agent

Microsoft schaft de verouderde methode af om servers te koppelen aan Defender for Servers Plan 2, waarbij gebruik wordt gemaakt van de Log Analytics-agent en Log Analytics-werkruimten. De pensionering omvat de volgende wijzigingen:

• De onboarding-ervaring voor het inwerken van nieuwe niet-Azure-machines naar Defender for Servers met behulp van Log Analytics-agenten en werkruimtes is verwijderd van de Inventaris- en Getting Start-pagina's in het Defender voor Cloud-portaal.

• Om te voorkomen dat je de beveiligingsdekking verliest op de getroffen machines die verbinding maken met een Log Analytics Workspace, neem je de volgende stappen voor het pensioen van de agent:

  • Als je niet-Azure-servers (zowel on-premises als multicloud) hebt geïnboarded door gebruik te maken van de legacy Log Analytics agent onboarding voor niet-Azure machines, verbind deze machines dan via Azure Arc-geschikte servers met Defender for Servers Plan 2 Azure-abonnementen en connectors. Voor meer informatie over het grootschalig uitrollen van machines, zie Azure Arc server-implementatieopties.
  • Als je de legacy-methode hebt gebruikt om Defender voor Servers Plan 2 in te schakelen op geselecteerde Azure VM's, schakel dan Defender for Servers Plan 2 in op de Azure-abonnementen voor deze machines. Je kunt vervolgens individuele machines uitsluiten van de Defender for Servers-dekking door gebruik te maken van de Defender for Servers per resource configuratie.

De volgende tabel geeft een overzicht van de benodigde actie voor elke server die via de verouderde methode is toegevoegd aan Defender for Servers Plan 2:

Systeemupdates en patchaanbevelingen, ervaring - veranderingen en migratierichtlijnen

Systeemupdates en patches zijn van cruciaal belang voor het behouden van de beveiliging en status van uw computers. Updates bevatten vaak beveiligingspatches voor kwetsbaarheden die, als ze niet worden opgelost, misbruikbaar zijn voor kwaadwillenden.

Defender voor Cloud Foundational CSPM en de Defender for Servers-plannen boden eerder aanbevelingen voor systeemupdates met behulp van de Log Analytics-agent. De eerdere Log Analytics-ervaring met agent-gebaseerde systeemupdates is vervangen door beveiligingsaanbevelingen die worden verzameld met Azure Update Manager en opgebouwd uit twee nieuwe aanbevelingen:

• Machines moeten worden geconfigureerd om periodiek te controleren op ontbrekende systeemupdates

• Er moeten systeemupdates worden geïnstalleerd op uw computers (mogelijk gemaakt door Azure Update Manager)

Leer hoe je systeemupdates en patchaanbevelingen op je machines kunt corrigeren.

Welke aanbevelingen worden vervangen?

De volgende tabel bevat een overzicht van het tijdschema voor de afgeschafte en vervangen aanbevelingen.

Hoe kan ik voorbereiden op de nieuwe aanbevelingen?

• Verbind uw niet-Azure machines met Arc.

• Zorg ervoor dat de instelling voor periodieke evaluatie-updates is ingeschakeld op uw computers. Je kunt het op twee manieren inschakelen:

  • Verbeter de aanbeveling: Machines moeten zo worden geconfigureerd dat ze periodiek controleren op ontbrekende systeemupdates, met behulp van Azure Update Manager.
  • Schakel periodieke beoordeling op schaal in met Azure Policy.

• Wanneer je deze stappen hebt voltooid, kan Update Manager de nieuwste updates van de machines ophalen en kun je de nieuwste nalevingsstatus van de machine bekijken.

Ervaring met aanbevelingen voor Endpoint Protection - wijzigingen en migratierichtlijnen

Detectie van eindpunten en aanbevelingen werden eerder aangeboden via de Defender voor Cloud Foundational CSPM- en Defender for Servers-abonnementen met behulp van de Log Analytics-agent in GA, of als preview via de AMA. De eerdere MMA- en AMA-gebaseerde ervaringen met het ontdekken en adviseren van eindpunten zijn vervangen door beveiligingsaanbevelingen die worden verzameld met agentless machine scanning.

Aanbevelingen voor Endpoint Protection worden in twee fasen samengesteld. De eerste fase is eindpuntdetectie en het ontdekken van responsoplossingen. De tweede fase is de beoordeling van de configuratie van de oplossing. De volgende tabellen bevatten details van de huidige en nieuwe ervaringen voor elke fase.

Meer informatie over het beheren van de nieuwe eindpuntdetectie en -respons aanbevelingen (zonder agent).

Oplossing voor eindpuntdetectie en -respons - inventarisatie

De volgende tabel vergelijkt de huidige en nieuwe ontdekkingservaringen voor endpoint-detectie- en responsoplossingen.

Oplossing voor eindpuntdetectie en -respons - configuratie-evaluatie

De volgende tabel vergelijkt de huidige en nieuwe configuratiebeoordelingservaringen voor endpointdetectie- en responsoplossingen.

Welke aanbevelingen worden afgeschaft?

De volgende tabel bevat een overzicht van het tijdschema voor de afgeschafte en vervangen aanbevelingen.

De ervaring met nieuwe aanbevelingen voor agentloze endpointbeveiliging, gebaseerd op agentloos scannen van machines, ondersteunt zowel Windows- als Linux-besturingssystemen voor multicloud-machines.

Hoe werkt de vervanging?

• De huidige aanbevelingen die worden verstrekt door de Log Analytics-agent of de AMA, zullen geleidelijk worden uitgefaseerd.
• Sommige van deze bestaande aanbevelingen worden vervangen door nieuwe aanbevelingen op basis van het scannen van machines zonder agent.
• Aanbevelingen die momenteel in algemene beschikbaarheid zijn opgenomen, blijven aanwezig totdat de Log Analytics-agent buiten gebruik wordt gesteld.
• Aanbevelingen die momenteel in preview zijn, worden vervangen wanneer de nieuwe aanbeveling beschikbaar is in preview.

Wat gebeurt er met Secure Score?

De volgende punten leggen uit hoe de secure score wordt beïnvloed tijdens de overgang van MMA-gebaseerde naar agentless endpoint protection aanbevelingen.

• Aanbevelingen die momenteel in GA zijn, blijven Secure Score beïnvloeden.
• Huidige en toekomstige nieuwe aanbevelingen bevinden zich onder dezelfde Microsoft Cloud Security Benchmark-controle, zodat er geen dubbele impact op de beveiligingsscore is.

Hoe kan ik voorbereiden op de nieuwe aanbevelingen?

Om je voor te bereiden op de nieuwe aanbevelingen voor agentloze endpointbescherming, neem de volgende acties:

• Zorg ervoor dat agentloos machinescannen is ingeschakeld als onderdeel van Defender for Servers Plan 2 of Defender Cloud Security Posture Management.
• Als het geschikt is voor uw omgeving, verwijder dan verouderde aanbevelingen zodra de vervangende GA-aanbeveling beschikbaar is. Hiervoor schakelt u de aanbeveling uit in het ingebouwde Defender voor Cloud-initiatief in Azure Policy.

Ervaring voor bewaking van bestandsintegriteit - wijzigingen en migratierichtlijnen

Defender for Servers Plan 2 biedt nu een nieuwe File Integrity Monitoring (FIM)-oplossing, aangedreven door integratie van Defender for Endpoint (MDE). Nadat FIM powered by MDE algemeen beschikbaar is, zal de Defender voor Cloud-portaalervaring voor FIM powered by AMA worden verwijderd. In november wordt FIM powered by MMA afgeschaft.

Migratie van FIM via AMA

Als u momenteel FIM via AMA gebruikt:

• Je kunt vanaf 30 mei geen nieuwe abonnementen of servers meer inboarden op FIM op basis van AMA en de wijzigingsvolgextensie of wijzigingen via het Defender voor Cloud-portaal bekijken.

• Als u FIM-gebeurtenissen wilt blijven gebruiken die door AMA zijn verzameld, kunt u handmatig verbinding maken met de relevante werkruimte en wijzigingen in de Wijzigingen bijhouden tabel weergeven met de volgende query:

  ConfigurationChange
  
  | where TimeGenerated > ago(14d)
  
  | where ConfigChangeType in ('Registry', 'Files') 
  
  | summarize count() by Computer, ConfigChangeType
  

• Als u wilt doorgaan met onboarden van nieuwe bereiken of bewakingsregels wilt configureren, kunt u gegevensverbindingsregels handmatig gebruiken om verschillende aspecten van gegevensverzameling te configureren of aan te passen.

• Defender voor Cloud raadt aan om FIM uit te schakelen via AMA en je omgeving te integreren met de nieuwe FIM-versie op basis van Defender for Endpoint bij release.

FIM via AMA uitschakelen

Als u FIM via AMA wilt uitschakelen, verwijdert u de Azure Wijzigingen bijhouden-oplossing. Zie ChangeTracking-oplossing verwijderen voor meer informatie.

U kunt ook de gerelateerde regels voor gegevensverzameling voor het bijhouden van bestandswijzigingen (DCR) verwijderen. Zie Remove-AzDataCollectionRuleAssociation of Remove-AzDataCollectionRule voor meer informatie.

Nadat je het verzamelen van bestandsgebeurtenissen hebt uitgeschakeld met een van de bovenstaande methoden:

• Nieuwe gebeurtenissen worden niet meer verzameld op de geselecteerde scope.
• De historische gebeurtenissen die al zijn verzameld, blijven opgeslagen in de relevante werkruimte onder de tabel ConfigurationChange in de sectie Wijzigingen bijhouden. Deze gebeurtenissen blijven beschikbaar in de relevante werkruimte volgens de bewaarperiode die in deze werkruimte is gedefinieerd. Zie Hoe retentie en archivering werken voor meer informatie.

Migreren van FIM via Log Analytics Agent (MMA)

Als u momenteel FIM gebruikt via de Log Analytics Agent (MMA):

• Bewaking van bestandsintegriteit op basis van MMA (Log Analytics Agent) wordt eind november 2024 afgeschaft.

• Defender voor Cloud raadt aan om FIM uit te schakelen over MMA en je omgeving te integreren met de nieuwe FIM-versie op basis van Defender for Endpoint bij release.

FIM uitschakelen via MMA

Als u FIM via MMA wilt uitschakelen, verwijdert u de Azure Wijzigingen bijhouden-oplossing. Zie ChangeTracking-oplossing verwijderen voor meer informatie.

Nadat u de verzameling bestandsevenementen hebt uitgeschakeld:

• Nieuwe gebeurtenissen worden niet meer verzameld op de geselecteerde scope.
• De historische gebeurtenissen die al zijn verzameld, blijven opgeslagen in de relevante werkruimte onder de tabel ConfigurationChange in de sectie Wijzigingen bijhouden. Deze gebeurtenissen blijven beschikbaar in de relevante werkruimte volgens de bewaarperiode die in deze werkruimte is gedefinieerd. Zie Hoe retentie en archivering werken voor meer informatie.

Veranderingen in de basiservaring en migratierichtlijnen

Met de functie voor basislijnmisconfiguratie op virtuele machines kunt u ervoor zorgen dat uw virtuele machines voldoen aan best practices voor beveiliging en aan het beleid van uw organisatie. Baselines verkeerde configuratie controleert je VM's aan de hand van vooraf gedefinieerde beveiligingsbaselines en identificeert eventuele afwijkingen of verkeerde configuraties die een risico kunnen vormen voor je omgeving.

De Log Analytics-agent (ook bekend als de Microsoft Monitoring-agent of MMA) ging in november 2024 met pensioen, en de volgende wijzigingen gelden:

• Machine-informatie wordt verzameld door gebruik te maken van de gastconfiguratie van Azure Policy.

• De volgende Azure-beleidsregels zijn ingeschakeld met de gastconfiguratie van Azure Policy:

  • 'Windows-machines moeten voldoen aan de vereisten van de Azure Compute-beveiligingsbasislijn'
  • 'Linux-machines moeten voldoen aan de vereisten voor de Azure Compute-beveiligingsbasislijn'

  Note

  Als je deze beleidsregels verwijdert, verlies je de toegang tot de voordelen van de Azure Policy gastconfiguratie-extensie.

• Defender voor Cloud fundamentele CSPM bevat geen OS-aanbevelingen meer gebaseerd op computebeveiligingsbaselines. Deze aanbevelingen zijn beschikbaar wanneer je de Defender for Servers Plan 2 inschakelt.

Om meer te weten te komen over de prijzen van Defender for Servers Plan 2, bekijk de prijspagina van Defender voor Cloud. U kunt ook kosten inschatten met de kostencalculator van Defender voor Cloud.

Aanbevelingen die de MCSB geeft en die geen deel uitmaken van de Windows- en Linux-rekenbeveiligingsbaselines, blijven onderdeel van het gratis fundamenteel CSPM.

Azure Policy-gastconfiguratie installeren

Om de basiservaring te blijven ontvangen, moet je de Defender voor Servers Plan 2 inschakelen en de Azure Policy gastconfiguratie installeren. Wanneer je Defender voor Servers Plan 2 inschakelt en de gastconfiguratie van Azure Policy installeert, zorg je ervoor dat je dezelfde aanbevelingen en hardening-richtlijnen blijft ontvangen als tijdens de basiservaring.

Afhankelijk van je omgeving moet je mogelijk de volgende stappen nemen:

1. Bekijk de ondersteuningsmatrix voor de Gastconfiguratie van Azure Policy.

2. Installeer de Gastconfiguratie van Azure Policy op uw computers.

   • Azure-computers: Zoek en selecteer in de Defender voor Cloud-portal op de pagina met aanbevelingen De extensie Gastconfiguratie moet worden geïnstalleerd op computers en los de aanbeveling op.

   • (Alleen Azure VM's) Je moet een beheerde identiteit toewijzen.

     • Zoek op de pagina met aanbevelingen in de Defender voor Cloud-portal naar De gastconfiguratie-extensie van virtuele machines moet worden geïmplementeerd met een door het systeem toegewezen beheerde identiteit en selecteer deze, en los de aanbeveling op.

   • (Alleen Azure VM's) Optioneel: Om de Azure Policy-gastconfiguratie automatisch voor je volledige abonnement te provisioneren, kun je de Guest Configuration Agent (preview) inschakelen.

     • Om de Guest Configuration Agent in te schakelen:

       1. Meld u aan bij het Azure-portaal.

       2. Navigeer naar Omgevingsinstellingen>Uw abonnement>Instellingen en controle.

       3. Selecteer Gastconfiguratie.

          

       4. Schakel de gastconfiguratieagent (preview) in op Aan.

          

       5. Klik op Doorgaan.

   • GCP en AWS: De gastconfiguratie van Azure Policy wordt automatisch geïnstalleerd wanneer u uw GCP-project verbindt met Defender voor Cloud, of wanneer u uw AWS-accounts verbindt met Defender voor Cloud terwijl automatische inrichting met Azure Arc is ingeschakeld.

   • Lokale machines: de gastconfiguratie van Azure Policy is standaard ingeschakeld wanneer u lokale machines integreert als Azure Arc-ingeschakelde machine of VM.

Nadat je de benodigde stappen hebt voltooid om de Azure Policy-gastconfiguratie te installeren, krijg je automatisch toegang tot de basisfuncties gebaseerd op de Azure Policy-gastconfiguratie. Wanneer je de gastconfiguratie van Azure Policy installeert, zorg je ervoor dat je dezelfde aanbevelingen en hardening-richtlijnen blijft ontvangen als tijdens de basiservaring.

Wijzigingen in aanbevelingen

Met de afschaffing van de MMA zullen de volgende MMA-gebaseerde aanbevelingen worden afgeschaft:

• Machines moeten veilig worden geconfigureerd
• Automatische inrichting van de Log Analytics-agent moet zijn ingeschakeld voor abonnementen

De verouderde aanbevelingen worden vervangen door de volgende Azure Policy-gastconfiguratie-gebaseerde aanbevelingen:

• Beveiligingsproblemen in de beveiligingsconfiguratie op uw Windows-computers moeten worden hersteld (mogelijk gemaakt door gastconfiguratie)
• Beveiligingsproblemen in de beveiligingsconfiguratie op uw Linux-machines moeten worden hersteld (mogelijk gemaakt door gastconfiguratie)
• De extensie voor gastconfiguratie moet worden geïnstalleerd op computers

Dubbele aanbevelingen

Wanneer u Defender voor Cloud inschakelt voor een Azure-abonnement, wordt de Microsoft-cloudbeveiligingsbenchmark (MCSB) , inclusief rekenbeveiligingsbasislijnen waarmee de naleving van het besturingssysteem wordt beoordeeld, ingeschakeld als standaardnalevingsstandaard. Gratis basaal beheer van de beveiligingsstatus van de cloud (CSPM) in Defender voor Cloud doet beveiligingsaanbevelingen op basis van de MCSB.

Als een machine zowel de MMA- als de Azure Policy-gastconfiguratie draait, zie je dubbele aanbevelingen. De duplicatie van aanbevelingen gebeurt omdat beide methoden tegelijkertijd draaien en dezelfde aanbevelingen opleveren. Deze duplicaten beïnvloeden je Compliance en Secure Score.

Om dubbele aanbevelingen te voorkomen terwijl zowel de MMA als de gastconfiguratie van Azure Policy actief zijn, kun je de MMA-aanbevelingen Machines should be configured securely en Auto provisioning of the Log Analytics agent should be enabled on subscriptions uitschakelen door naar de pagina Naleving van regelgeving in Defender voor Cloud te gaan.

Nadat je de aanbeveling hebt gevonden, selecteer je de relevante machines en neem je ze vrij.

Sommige basislijnconfiguratieregels die worden mogelijk gemaakt door het hulpprogramma voor gastconfiguratie van Azure Policy, zijn actueler en bieden een bredere dekking. Als gevolg hiervan kan de overgang naar de Baselines-functie die wordt aangedreven door de gastconfiguratie van Azure Policy je compliance-status beïnvloeden, omdat ze controles bevatten die mogelijk eerder niet zijn uitgevoerd.

Zoekaanbevelingen

Met de uitfasering van de MMA vraagt Defender voor Cloud aanbevelingen niet langer op via de werkruimtegegevens van Log Analytics. In plaats daarvan gebruikt Defender voor Cloud nu Azure Resource Graph voor API- en portaalqueries om aanbevelingsinformatie op te vragen.

Hier volgen twee voorbeeldquery's die u kunt gebruiken:

• Alle ongezonde regels voor een specifieke bron opvragen

  Securityresources 
  | where type == "microsoft.security/assessments/subassessments" 
  | extend assessmentKey=extract(@"(?i)providers/Microsoft.Security/assessments/([^/]*)", 1, id) 
  | where assessmentKey == '1f655fb7-63ca-4980-91a3-56dbc2b715c6' or assessmentKey ==  '8c3d9ad0-3639-4686-9cd2-2b2ab2609bda' 
  | parse-where id with machineId:string '/providers/Microsoft.Security/' * 
  | where machineId  == '{machineId}'
  

• Alle ongezonde regels en het aantal ongezonde machines voor elk

  securityresources 
  | where type == "microsoft.security/assessments/subassessments" 
  | extend assessmentKey=extract(@"(?i)providers/Microsoft.Security/assessments/([^/]*)", 1, id) 
  | where assessmentKey == '1f655fb7-63ca-4980-91a3-56dbc2b715c6' or assessmentKey ==  '8c3d9ad0-3639-4686-9cd2-2b2ab2609bda' 
  | parse-where id with * '/subassessments/' subAssessmentId:string 
  | parse-where id with machineId:string '/providers/Microsoft.Security/' * 
  | extend status = tostring(properties.status.code) 
  | summarize count() by subAssessmentId, status
  

Plan je migratie van je Log Analytics-agent

Migratieplanningsmatrix

Plan de migratie van een agent op basis van de behoeften van uw bedrijf. De volgende migratieplanningstabel vat de richtlijnen samen.

Gebruik de MMA-migratie-ervaring

De MMA-migratie is een hulpprogramma waarmee u kunt migreren van de MMA naar de AMA. De ervaring biedt een stapsgewijze handleiding voor het migreren van uw machines van de MMA naar de AMA.

Door gebruik te maken van de MMA-migratie-ervaring kun je:

• Migreer servers van de legacy onboarding via de Log Analytics-werkruimte.
• Zorg ervoor dat abonnementen voldoen aan alle vereisten voor het ontvangen van alle voordelen van Defender for Servers Plan 2.
• Migreren naar de nieuwe versie van FIM via MDE.

1. Meld u aan bij het Azure-portaal.

2. Ga naar Defender voor Cloud>Omgevingsinstellingen.

3. Selecteer MMA-migratie.

   

4. Selecteer Actie ondernemen voor een van de beschikbare acties:

   

Laat de ervaring laden en volg de stappen om de migratie te voltooien.

Volgende stap