Skanowanie maszyn bez agenta

Skanowanie maszyn bez agenta w Microsoft Defender dla Chmury poprawia stan zabezpieczeń maszyn połączonych z Defender dla Chmury.

Skanowanie bez agenta nie wymaga żadnych zainstalowanych agentów ani łączności sieciowej i nie ma wpływu na wydajność maszyny. Skanowanie maszyn bez agenta:

• Skanuje ustawienia wykrywania i reagowania w punktach końcowych (EDR): skanuje maszyny, aby ocenić, czy uruchomione jest rozwiązanie EDR i czy ustawienia są poprawne, jeśli maszyny są zintegrowane z Microsoft Defender dla Punktu Końcowego. Dowiedz się więcej
• Skanowanie inwentarza oprogramowania: Przeskanuj swój inwentarz oprogramowania za pomocą zintegrowanego zarządzania lukami Microsoft Defender.
• Skanuje pod kątem luk w zabezpieczeniach: Ocenianie maszyn pod kątem luk w zabezpieczeniach przy użyciu zintegrowanego narzędzia Zarządzanie lukami w zabezpieczeniach w usłudze Defender.
• Skany w poszukiwaniu tajnych danych na maszynach: lokalizowanie tajnych danych w postaci zwykłego tekstu w środowisku obliczeniowym przy użyciu skanowania tajnych danych bez agenta.
• Skany w poszukiwaniu złośliwego oprogramowania: Skanuj urządzenia w poszukiwaniu złośliwego oprogramowania i wirusów za pomocą Microsoft Defender Antivirus.
• Skany maszyn wirtualnych działających jako węzły Kubernetes: Ocena podatności oraz skanowanie pod kątem złośliwego oprogramowania są dostępne dla maszyn wirtualnych działających jako węzły Kubernetes w przypadku, gdy Defender dla Serwerów Plan 2 lub plan Defender for Containers jest włączony. Dostępne tylko w chmurach komercyjnych.

Skanowanie bez agenta jest dostępne w następujących planach usługi Defender dla Chmury:

• Zarządzanie stanem zabezpieczeń w chmurze (CSPM) w usłudze Defender.
• Defender dla serwerów Plan 2.
• Skanowanie złośliwego oprogramowania jest dostępne tylko w usłudze Defender for Servers (plan 2).
• Skanowanie bez agenta jest dostępne dla maszyn wirtualnych Azure, instancji obliczeniowych AWS EC2 i GCP połączonych z Defender dla Chmury.

Architektura skanowania bez agenta

Oto jak działa skanowanie bez agenta:

1. Defender dla Chmury tworzy migawki dysków maszyn wirtualnych (główny + dysk danych) i wykonuje głęboką, poza pasmową analizę konfiguracji systemu operacyjnego i systemu plików przechowywanych w migawce.

   • Skopiowana migawka pozostaje w tym samym regionie co maszyna wirtualna.
   • Skanowanie nie ma wpływu na maszynę wirtualną.

2. Gdy Defender dla Chmury uzyskuje niezbędne metadane z skopiowanego dysku, natychmiast usuwa skopiowaną migawkę dysku i wysyła metadane do odpowiednich mechanizmów firmy Microsoft w celu wykrywania luk w konfiguracji i potencjalnych zagrożeń. Na przykład w ocenie luk w zabezpieczeniach analiza jest wykonywana przez Zarządzanie lukami w zabezpieczeniach w usłudze Defender.

3. Defender dla Chmury wyświetla wyniki skanowania, konsolidując wyniki zarówno oparte na agencie, jak i bez agenta, na stronie alertów zabezpieczeń.

4. Defender dla Chmury analizuje dyski w środowisku skanowania, które jest regionalne, niestabilne, izolowane i wysoce bezpieczne. Migawki dysków i dane niepowiązane ze skanowaniem nie są przechowywane dłużej niż jest to konieczne do zebrania metadanych, zazwyczaj kilka minut.

Uprawnienia używane w skanowaniu bez agenta

Defender dla Chmury używa określonych ról i uprawnień do wykonywania skanowania bez agenta.

• Na platformie Azure te uprawnienia są automatycznie dodawane do subskrypcji po włączeniu skanowania bez agenta.
• W usłudze AWS te uprawnienia są dodawane do stosu CloudFormation w łączniku platformy AWS.
• W narzędziu GCP te uprawnienia są dodawane do skryptu dołączania w łączniku GCP.

Uprawnienia platformy Azure

Wbudowany operator skanera maszyn wirtualnych roli ma uprawnienia tylko do odczytu dla dysków maszyn wirtualnych, które są wymagane w procesie migawek. Szczegółowa lista uprawnień to:

• Microsoft.Compute/disks/read
• Microsoft.Compute/disks/beginGetAccess/action
• Microsoft.Compute/disks/diskEncryptionSets/read
• Microsoft.Compute/virtualMachines/instanceView/read
• Microsoft.Compute/virtualMachines/read
• Microsoft.Compute/virtualMachineScaleSets/instanceView/read
• Microsoft.Compute/virtualMachineScaleSets/read
• Microsoft.Compute/virtualMachineScaleSets/virtualMachines/read
• Microsoft.Compute/virtualMachineScaleSets/virtualMachines/instanceView/read

Po włączeniu pokrycia dysków zaszyfrowanych za pomocą klucza CMK wymagane są więcej uprawnień:

• Microsoft.KeyVault/vaults/keys/read
• Microsoft.KeyVault/vaults/keys/wrap/action
• Microsoft.KeyVault/vaults/keys/unwrap/action

Uprawnienia platformy AWS

Rola VmScanner jest przypisywana do skanera podczas włączania skanowania bez agenta. Ta rola ma minimalny zestaw uprawnień do tworzenia i usuwania migawek (określone według tagu) oraz do sprawdzania bieżącego stanu VM. Szczegółowe uprawnienia to:

Uprawnienia GCP

Podczas dołączania tworzona jest nowa rola niestandardowa z minimalnymi uprawnieniami wymaganymi do uzyskania stanu wystąpień i tworzenia migawek.

Ponadto uprawnienia do istniejącej roli usługi KMS GCP są przyznawane w celu obsługi skanowania dysków zaszyfrowanych przy użyciu klucza CMEK. Istnieją następujące role:

• roles/MDCAgentlessScanningRole przyznana dla konta usługi Defender dla Chmury z uprawnieniami: compute.disks.createSnapshot, compute.instances.get
• roles/cloudkms.cryptoKeyEncrypterDecrypter przyznane agentowi usługi silnika obliczeniowego usługi Defender dla Chmury

Następne kroki

Włącz skanowanie maszyn bez agenta.