Wyklucz zasoby z zaleceń

Podczas badania zaleceń dotyczących zabezpieczeń w usłudze Microsoft Defender dla Chmury przejrzyj listę zasobów, których dotyczy problem. Czasami można znaleźć zasób, który nie powinien znajdować się na liście lub znajduje się zalecenie, które pojawia się w zakresie, w którym nie należy. Na przykład Defender dla Chmury może nie śledzić procesu korygowania lub zalecenie może nie dotyczyć określonej subskrypcji. Twoja organizacja może zdecydować się na zaakceptowanie ryzyka związanego z konkretnym zasobem lub zaleceniem.

W takich przypadkach utwórz regułę wykluczania w celu:

• Wyklucz zasób, aby usunąć go z listy zasobów w złej kondycji i z wpływu wskaźnika bezpieczeństwa. Usługa Defender dla Chmury wyświetla zasób jako Nie dotyczy i pokazuje przyczynę jako Wykluczony wraz z uzasadnieniem, które wybierasz.

• Wyklucz subskrypcję lub grupę zarządzania, aby uniemożliwić zaleceniom wpływ na wynik bezpieczeństwa lub ich wyświetlanie w tym zakresie. Wykluczenie dotyczy istniejących zasobów i zasobów utworzonych później. Usługa Defender dla Chmury zaznacza zalecenie na podstawie uzasadnienia wybranego dla danego zakresu.

Dla każdego zakresu utwórz regułę wykluczania w celu:

• Oznacz konkretne zalecenie jako Złagodzone lub Zaakceptowane ryzyko dla co najmniej jednej subskrypcji lub dla grupy zarządzania.

• Oznacz co najmniej jeden zasób jako Złagodzony lub Ryzyko zaakceptowane dla określonego zalecenia.

Zwolnienie z ograniczeń zasobów jest ograniczone do 5000 zasobów na subskrypcję. Jeśli dodasz więcej niż 5000 wykluczeń na subskrypcję, na stronie wykluczenia mogą wystąpić problemy z ładowaniem.

Wymagania wstępne

Wyjątki w usłudze Defender dla Chmury bazują na inicjatywie Microsoft Cloud Security Benchmark (MCSB). Przed utworzeniem wykluczeń usługa MCSB musi być przypisana do subskrypcji.

Możesz utworzyć wykluczenia dla zaleceń należących do domyślnej inicjatywy MCSB lub innych wbudowanych standardów regulacyjnych. Niektóre zalecenia w MCSB nie pozwalają na wykluczenia. Listę tych zaleceń można znaleźć w często zadawanych pytaniach dotyczących wykluczeń.

Uprawnienia:

Aby utworzyć wykluczenia, potrzebne są następujące uprawnienia:

• Właściciel lub administrator zabezpieczeń w zakresie, w którym tworzysz wykluczenie.
• Aby utworzyć regułę, potrzebujesz uprawnień do edytowania zasad w usłudze Azure Policy. Aby uzyskać szczegółowe informacje, zobacz Uprawnienia RBAC platformy Azure w usłudze Azure Policy.
• Musisz mieć uprawnienia do zwolnień dla wszystkich przypisań inicjatyw w zakresie docelowym. Jeśli wiele inicjatyw zawiera zalecenie, musisz utworzyć wykluczenie z uprawnieniami we wszystkich tych inicjatywach. Brak uprawnień do choćby jednej inicjatywy może spowodować niepowodzenie wyjątku.

Potrzebne są następujące akcje kontroli dostępu opartej na rolach (RBAC):

• Uprawnienia na poziomie subskrypcji nie są dziedziczone do góry do grup zarządzających. Jeśli przypisanie zasad znajduje się na poziomie grupy zarządzania, potrzebna jest rola przypisana na tym poziomie.

• Aby zarządzać zwolnieniami dla określonych zasobów, potrzebne są akcje RBAC wymagane na poziomie zasobu lub grupy zasobów. Przypisania ról w zakresie subskrypcji mogą nie zapewniać wystarczającego dostępu do tworzenia lub usuwania wykluczeń dla poszczególnych zasobów. Sprawdź, czy przypisanie roli obejmuje zakres zasobu, który chcesz wykluczyć.

• Podczas tworzenia wykluczenia na poziomie grupy zarządzania upewnij się, że Microsoft Azure Dostawca zasobów zabezpieczeń ma niezbędne uprawnienia, przypisując mu rolę Reader w tej grupie zarządzania. Przyznaj tę rolę w taki sam sposób, w jaki przyznajesz uprawnienia użytkownika.

Ograniczenia:

• Nie tworzysz wykluczeń dla rekomendacji niestandardowych.

• Rekomendacje dotyczące wersji zapoznawczej mogą nie obsługiwać wykluczeń. Sprawdź, czy zalecenie zawiera tag Podgląd .

• Jeśli wyłączysz zalecenie, wykluczysz również wszystkie jego podpolecenia.

• Rekomendacje oparte na języku Kusto Query Language (KQL) korzystają ze standardowych przypisań i nie używają zdarzeń zwolnienia z zasad Azure Policy w dziennikach aktywności. Aby określić, czy zalecenie jest oparte na KQL czy na zasadach, otwórz zalecenie w portalu i zlokalizuj pole Klucz oceny. Rekomendacje oparte na języku KQL pokazują standardowy format klucza oceny i nie mają skojarzonego linku do definicji Azure Policy. Rekomendacje oparte na zasadach wyświetlają bezpośredni link do podstawowej definicji zasad.

• Podczas tworzenia wykluczenia z portalu Defender dla Chmury Defender dla Chmury identyfikuje wszystkie inicjatywy zawierające zalecenie i automatycznie tworzy wykluczenie we wszystkich z nich. Jeśli zamiast tego utworzysz wykluczenie za pomocą interfejsu API Azure Policy, musisz utworzyć oddzielne wykluczenie dla każdej inicjatywy ręcznie. Więcej informacji można znaleźć w FAQ o zwolnieniach.

• Po przypisaniu nowej inicjatywy, która zawiera zalecenie z istniejącym wykluczeniem, wykluczenie nie jest przenoszone do nowej inicjatywy. Utwórz nowe wykluczenie dla zalecenia w ramach nowo przypisanej inicjatywy.

Definiowanie wykluczenia

Zalecamy utworzenie wykluczeń w portalu Defender dla Chmury. Wykluczenia utworzone za pośrednictwem interfejsu API Azure Policy mogą nie być w pełni zintegrowane z Defender dla Chmury. Mogą one spowodować nieoczekiwane wyniki, takie jak wykluczenia, które nie są propagowane we wszystkich odpowiednich inicjatywach. Jeśli musisz użyć interfejsu API, zobacz Azure Policy struktura wykluczeń.

Aby utworzyć regułę wykluczania:

1. Zaloguj się do portalu Azure.

2. Przejdź do Defender dla Chmury>Rekomendacje.

3. Wybierz zalecenie.

4. Wybierz pozycję Wyklucz.

   

5. Wybierz zakres wykluczenia.

   • Jeśli wybierzesz grupę zarządzania, usługa Defender dla Chmury wykluczy zalecenie ze wszystkich subskrypcji w tej grupie.
   • Jeśli utworzysz tę regułę, aby zwolnić co najmniej jeden zasób z zalecenia, wybierz pozycję Wybrane zasoby i wybierz odpowiednie zasoby z listy.

6. Wprowadź nazwę.

7. (Opcjonalnie) Ustaw datę wygaśnięcia.

8. Wybierz kategorię wykluczenia:

   • Resolved za pośrednictwem usługi innej firmy (złagodzone) — jeśli używasz usługi innej niż Microsoft do korygowania, które Defender dla Chmury nie śledzą.

   Note

   Jeśli wyłączysz zasób jako złagodzony, będzie uznawany za zdrowy. Nie zyskujesz punktów za naprawę, ale Defender dla Chmury nie odejmuje punktów za pozostawienie zasobów w złym stanie, więc wykluczone zasoby nie obniżają wyniku.

   • Ryzyko zaakceptowane (odstąpienie) — jeśli zdecydujesz się zaakceptować ryzyko niedostosowania tego zalecenia.

9. Wprowadź opis.

10. Wybierz Utwórz.

    

Po utworzeniu wykluczenia

Zastosowanie wykluczenia może potrwać do 24 godzin. Defender dla Chmury ocenia zasoby co 12 do 24 godzin. Po wprowadzeniu wykluczenia:

• Zalecenie lub zasoby nie wpływają na wskaźnik bezpieczeństwa.

• Jeśli wykluczysz określone zasoby, usługa Defender dla Chmury wyświetli je na karcie Nie dotyczy na stronie szczegółów rekomendacji.

• Jeśli wykluczysz zalecenie, usługa Defender dla Chmury domyślnie ukrywa je na stronie Zalecenia . Dzieje się tak, ponieważ domyślny filtr Stan rekomendacji wyklucza zalecenia Nie dotyczy . Takie samo zachowanie występuje, jeśli wykluczysz wszystkie zalecenia w kontroli zabezpieczeń.

Informacje o tym, jak typ wykluczenia wpływa na stan rekomendacji

Wybrany typ wykluczenia określa, w jaki sposób wykluczenie wpływa na rekomendację i wskaźnik bezpieczeństwa:

• Ograniczone zwolnienia: zwolnione zasoby są uważane za zdrowe. Zwiększa się wskaźnik bezpieczeństwa.
• Wyjątki: Wykluczone zasoby nie są brane pod uwagę w obliczeniach wskaźnika bezpieczeństwa. Zasoby nie są wliczane do wskaźnika bezpieczeństwa, ale mogą nadal pojawiać się w zaleceniach.

Sprawdź, czy wykluczenie działa

Jeśli zalecenie nadal wyświetla zasoby jako niewłaściwe po 24 godzinach, zobacz Rozwiązywanie wykluczenia, które nieaktualizuje stanu rekomendacji aby uzyskać szczegółowe kroki.

Następny krok

Treści powiązane

• Zarządzanie fałszywie dodatnimi zaleceniami zabezpieczeń w usłudze Defender for Storage

Wyjątki pomagają zespołom ds. bezpieczeństwa skupić się na ryzykach, które wymagają podjęcia działań, jednocześnie utrzymując uporządkowaną listę ustaleń, które nie wymagają remediacji. Użyj wyjątku, gdy wynik został przeanalizowany i uznany za fałszywie pozytywny, objęty inną kontrolą, tymczasowo odroczony lub zaakceptowany jako akceptowalne ryzyko. Każde zwolnienie dokumentuje swój zakres, warunki dopasowania, uzasadnienie oraz okres przeglądu, pomagając Twojej organizacji zmniejszyć szum operacyjny bez utraty widoczności czy odpowiedzialności.

Dlaczego warto używać wykluczeń?

Wyjątki stanowią uporządkowaną alternatywę dla nieformalnego tłumienia ustalenia dotyczącego bezpieczeństwa. Pomagają organizacjom:

• Skup zasoby naprawcze na ustaleniach związanych z bezpieczeństwem, które wymagają działań.
• Konsekwentnie stosuj udokumentowaną decyzję o ryzyku w odpowiednim zakresie.
• Ogranicz powtarzalną pracę poprzez zarządzanie wyjątkami za pomocą scentralizowanych reguł.
• Dokumentuj uzasadnienie i kontekst wspierający potrzebny do nadzoru, audytu i zgodności.
• Ponownie oceń akceptowane ryzyka na podstawie dat ważności i przeglądu cyklu życia.
• Zachowaj kontekst bezpieczeństwa wyłączonych wyników w badaniach i widokach ścieżek ataku.

Przypadki użycia

Utwórz zwolnienie po tym, jak zostanie wygenerowany i przeanalizowany wynik, a Twoja organizacja uzna, że obecnie nie jest konieczne działanie naprawcze. Typowe scenariusze obejmują:

• To wykrycie to fałszywy alarm.
• Organizacja przeanalizowała i zaakceptowała ryzyko.
• Mechanizm kontrolny strony trzeciej ogranicza ryzyko.
• Alternatywne działanie zaradcze jest już wdrożone.
• Działania naprawcze są odraczane z udokumentowanych powodów biznesowych lub technicznych.

Usunąć regułę czy utworzyć wyjątek?

Zarówno polityka rekomendacji, jak i zwolnienia pozwalają kontrolować sposób działania rekomendacji, ale służą różnym celom zarządzania. Stosuj zmianę zasad, gdy rekomendacja nie powinna być oceniana dla konkretnego zakresu. Użyj zwolnienia, gdy rekomendacja pozostaje ważna, ale działania naprawcze tymczasowo nie są wymagane i powinny być monitorowane w celach zarządzania, audytu lub zgodności.

Przed rozpoczęciem

Sprawdź, czy środowisko jest zarządzane w Defender

Wykluczenia utworzone w Defender dotyczą tylko zasobów należących do środowisk zarządzanych w Defender. Możesz zweryfikować lokalizację zarządzania na jeden z następujących sposobów:

• W obszarze Rekomendacje przejrzyj właściwość Zarządzane w i potwierdź, że wartość to Defender.

• W obszarze zarządzania środowiskiem chmurowym otwórz stronę Zarządzanie środowiskiem chmurowym i upewnij się, że odpowiednie środowisko jest zarządzane w usłudze Defender.

Jeśli odkrycie dotyczy zasobów zarządzanych w Azure, masz dwie opcje:

• Połącz środowisko z Defender i kontynuuj zarządzanie zwolnieniami za pomocą Defender.
• Utwórz wyjątek w Azure.

Permissions

Zunifikowana kontrola dostępu oparta na rolach (RBAC) Microsoft Defender kontroluje dostęp do wyjątków:

Aby delegować zarządzanie wyłączeniami, przejdź do System>Permissions>Microsoft Defender XDR>Roles w portalu Microsoft Defender i utwórz lub zaktualizuj rolę z wymaganymi uprawnieniami i zakresem.

Tworzenie wykluczenia

Przejdź do Zarządzanie ekspozycją>Zasady>Wyjątek, a następnie wybierz Utwórz wyjątek. Proces tworzenia obejmuje cztery decyzje:

Po złożeniu wykluczenia Microsoft Defender przetwarza wykluczenie i aktualizuje pasujące wyniki. Zmiany w statusie ustalenia, obliczaniu ekspozycji i powiązanych metrykach stanu zabezpieczeń mogą nie być od razu widoczne.

Utwórz wyjątek od rekomendacji

Możesz także utworzyć zwolnienie bezpośrednio z rekomendacji. Po uruchomieniu z rekomendacji Defender automatycznie wstępnie wypełnia warunki wyjątku na podstawie wybranej rekomendacji, aby zmniejszyć nakład konfiguracji i zapewnić, że wyjątek jest zgodny z zamierzonym wykryciem:

Co jest wstępnie wypełnione?

• Warunek zwolnienia jest automatycznie ustawiony na Na podstawie rekomendacji i opiera się na rekomendacji, na podstawie której zwolnienie zostało utworzone. Ten warunek nie może zostać zmieniony podczas procesu tworzenia.
• Zakres jest automatycznie wypełniany aktywami wybranymi w momencie utworzenia zwolnienia. Możesz dalej doprecyzować, zawężać lub rozszerzać zakres w razie potrzeby przed złożeniem wyłączenia.

Jeśli wybór obejmuje zarówno zasoby zarządzane przez Defender, jak i przez Azure, zwolnienie Defender dotyczy tylko obsługiwanych zasobów zarządzanych przez Defender. Zarządzaj pozostałymi zasobami w Azure lub przenieś odpowiednie środowisko pod zarządzanie w Defender.

Zarządzanie cyklem życia zwolnienia

Skorzystaj ze strony Reguły zwolnień, aby przejrzeć decyzje organizacji dotyczące zwolnień i zarządzać ich cyklem życia.

• Edytuj regułę, gdy zmienia się jej zakres, warunki dopasowania, uzasadnienie, właściciel lub okres przeglądu.
• Usuń regułę, gdy wyjątek przestaje być ważny, a pasujące ustalenia powinny wrócić do aktywnego śledzenia napraw.
• Przejrzyj wygasające reguły przed końcem zatwierdzonego okresu ryzyka.
• Przeanalizuj wygasłe reguły jako historyczne dowody wcześniejszych decyzji i ustal, czy wymagana jest nowa ocena.

Gdy wyjątek zostanie usunięty lub osiągnie datę ważności, Microsoft Defender automatycznie ponownie ocenia wyniki, których dotyczy. Wszystkie ustalenia, które nadal wymagają remediacji, wracają do stanu aktywnego i ponownie przyczyniają się do obliczeń kondycji zabezpieczeń i ryzyka. Wnioski, które nie są już aktualne, pozostają niezmienione.

Zrozum skutki zwolnienia

Gdy zwolnienie jest aktywne, pasujące wyniki są oznaczane jako Zwolnione. Wyjątek zmienia sposób traktowania tego wyniku, ale nie usuwa tego wyniku, wspierających go dowodów ani jego związku z innymi sygnałami bezpieczeństwa.

Wykluczone ustalenia pozostają dostępne podczas dochodzenia i szczegółowej analizy w Microsoft Defender. W zależności od obecnych filtrów ustalenia wyłączone z oceny mogą być domyślnie ukryte. Aby je przejrzeć, zaktualizuj filtr statusu, aby uwzględnił wyniki Wyłączone.

Wpływ wyniku

Zwolnione ustalenia są wyłączone z odpowiednich obliczeń wyniku bezpieczeństwa, dopóki zwolnienie pozostaje aktywne. Wpływ na wynik zależy od zakresu zwolnienia oraz sposobu korzystania z produktu.

Ścieżki ataków

Wyłączenie rekomendacji nie usuwa jej z powiązanych ścieżek ataku. Microsoft Defender nadal uwzględnia tę rekomendację w analizie ścieżki ataku i wyraźnie określa ją jako Wyłączona. Pomaga to zespołom ds. bezpieczeństwa zrozumieć potencjalny wpływ akceptowanego ryzyka, zachować wgląd w to, jak rekomendacja przyczynia się do całkowitej ekspozycji, oraz ponownie ocenić wyjątek, jeśli zmieni się postawa bezpieczeństwa lub wymagania biznesowe.

Istniejące wyłączenia Azure i przejście do Defender

Ta sekcja jest przede wszystkim istotna dla organizacji, które historycznie zarządzały zaleceniami i zwolnieniami w Azure, a obecnie przenoszą swoje środowiska do trybu Managed in Defender. W trakcie tej transformacji Microsoft zachowuje istniejące konfiguracje wykluczeń platformy Azure, jednocześnie ustanawiając Defender jako centralne miejsce do zarządzania nowymi decyzjami dotyczącymi wykluczeń.

Jak działa własność zwolnień

Microsoft Defender i Azure mogą współistnieć w okresie przejściowym. Chociaż zasady zwolnień pozostają własnością portalu, w którym zostały pierwotnie stworzone, status rekomendacji pozostaje niezmienny w różnych środowiskach.

• Reguły wyjątków utworzone w Azure nadal są zarządzane w Azure.
• Zasadami wykluczeń utworzonymi w Defender zarządza się na stronie Zasady wykluczeń w Defender.
• Definicje reguł wyjątków nie są synchronizowane ani kopiowane między Azure a Defender.
• Zarówno wyjątki platformy Azure, jak i wyjątki usługi Defender wpływają na odpowiednie zalecenia.
• Status rekomendacji i stan zwolnienia pozostają spójne niezależnie od tego, który portal jest właścicielem zasady zwolnienia.

Istniejące wyjątki Azure

Gdy środowisko staje się zarządzane w Defender, Microsoft nadal przestrzega zasad zwolnień, które wcześniej zostały stworzone w Azure.

• Istniejące wyłączenia Azure nadal wpływają na status rekomendacji i obliczenia poziomu zabezpieczeń.
• Zespoły ds. bezpieczeństwa mogą nadal edytować lub usuwać te wyjątki w Azure.
• Te zwolnienia utworzone przez Azure nie pojawiają się w Defender jako zasady zwolnień, którymi można zarządzać.

Takie podejście pozwala organizacjom przejść na Defender bez zakłócania istniejących decyzji dotyczących akceptacji ryzyka lub konieczności natychmiastowej migracji historycznych reguł wyjątków.

Tworzenie nowych zwolnień

Gdy środowisko stanie się zarządzane w Defender, w Defender muszą zostać utworzone nowe zwolnienia dla tego zakresu. Nowych zwolnień Azure nie można tworzyć dla tych zakresów za pośrednictwem obsługiwanego interfejsu portalu.

Ten model własności daje zespołom bezpieczeństwa scentralizowaną kontrolę nad nowymi decyzjami o wyjątkach, jednocześnie zachowując istniejące konfiguracje Azure. Zapobiega to także tworzeniu nowych, konkurujących reguł dla tego samego zakresu zarządzanego przez Defender w różnych portalach.

Ograniczenia

Następujące ograniczenia dotyczą zarządzania wyłączeniami w portalu Microsoft Defender:

• Istniejące wyjątki Azure pozostają respektowane po objęciu środowiska zarządzaniem w Defender, ale nie są automatycznie migrowane do portalu Defender.
• Przetwarzanie, aktualizacje statusu, przeliczanie wyniku i propagacja statusu między portalami nie są natychmiastowe i wymagają dodatkowego czasu przetwarzania.

Dlaczego warto korzystać z zarządzania wyjątkami w Microsoft Defender?

Organizacje, które zdecydują się zarządzać stanem zabezpieczeń chmury w Microsoft Defender, mogą skorzystać ze scentralizowanego zarządzania wyłączeniami, zintegrowanego bezpośrednio z całym procesem zarządzania ekspozycją. Azure nadal wspiera zarządzanie wyłączeniami, podczas gdy Defender oferuje ujednolicone środowisko dla organizacji chcących zarządzać poziomem bezpieczeństwa we wszystkich obciążeniach roboczych i powiązanych decyzjach z jednego miejsca.

• Elastyczne zakresy: Defender umożliwia organizacjom tworzenie wyjątków w obsługiwanych środowiskach i zasobach, zapewniając większą elastyczność w wyborze zakresu niż tradycyjne określanie zakresu oparte na hierarchii Azure.
• Zmniejszone narzuty administracyjne: Scentralizowane i wielokrotnego użytku zasady zwolnień pomagają zmniejszyć liczbę zwolnień, które trzeba tworzyć i utrzymywać w wielu subskrypcjach, grupach zarządzania i zakresach Azure.
• Szczegółowe uprawnienia bezpieczeństwa: Zunifikowany RBAC Microsoft Defender XDR umożliwia organizacjom oddzielne uprawnienia do odczytu i zarządzania oraz delegowanie zarządzania wyłączeniami konkretnym zespołom bezpieczeństwa bez polegania wyłącznie na rolach administracyjnych Azure.
• Zarządzanie cyklem życia z założenia: Choć Azure również wspiera zarządzanie wyjątkami, Defender oferuje bardziej ukierunkowane na bezpieczeństwo podejście do nadzoru. Zwolnienia obejmują okresy przeglądu oraz obowiązkowe daty wygaśnięcia, co ułatwia śledzenie, przegląd i walidację decyzji o tymczasowej akceptacji ryzyka podczas audytów i ocen zgodności. Zespoły ds. bezpieczeństwa mogą łatwo identyfikować wyjątki zbliżające się do wygaśnięcia, przeglądać wygasłe wyjątki i okresowo ponownie oceniać akceptowane ryzyka.
• Szybsze przetwarzanie wyłączeń: Wyłączenia utworzone w Defender są zazwyczaj odzwierciedlane w statusie rekomendacji, obliczeniach wyników i powiązanych funkcjach szybciej niż równoważne wyłączenia w Azure. Microsoft stale poprawia wydajność przetwarzania, aby jeszcze bardziej skrócić czas potrzebny na wprowadzenie zmian wyjątków.

Treści powiązane

• Microsoft Defender — ujednolicona kontrola dostępu oparta na rolach (RBAC)
• Zarządzanie zasadami stanu zabezpieczeń