Zarządzanie zaleceniami MCSB w Defender dla Chmury

Microsoft Defender dla Chmury ocenia zasoby pod kątem polityk i standardów bezpieczeństwa w Defender dla Chmury. Domyślnie podczas dołączania kont w chmurze do Defender dla Chmury jest włączony standard testu porównawczego zabezpieczeń Microsoft Cloud (MCSB. Defender dla Chmury rozpoczyna ocenę stanu zabezpieczeń zasobu względem mechanizmów kontroli w standardzie MCSB i wystawia zalecenia dotyczące zabezpieczeń na podstawie ocen.

W tym artykule opisano sposób zarządzania zaleceniami udostępnianymi przez mcSB.

Wymagania wstępne

Istnieją dwie konkretne role w Defender dla Chmury, które mogą wyświetlać elementy zabezpieczeń i zarządzać nimi:

• Czytelnik zabezpieczeń: ma uprawnienia do wyświetlania elementów usługi Defender dla Chmury, takich jak zalecenia, alerty, zasady i kondycja. Nie można wprowadzać zmian.
• Administrator zabezpieczeń: ma te same uprawnienia do wyświetlania co czytelnik zabezpieczeń. Może również aktualizować zasady zabezpieczeń i odrzucać alerty.

Odrzucanie i wymuszanie zaleceń

• Odmowa służy do zapobiegania wdrażaniu zasobów, które nie są zgodne z mcSB. Jeśli na przykład masz kontrolę Deny, która określa, że nowe konto magazynu musi spełniać określone kryterium, nie można utworzyć takiego konta magazynu, jeśli nie spełnia ono tego kryterium.

• Enforce pozwala używać efektu DeployIfNotExist w usłudze Azure Policy i automatycznie korygować zasoby niezgodne z zasadami w momencie ich tworzenia.

  Note

  Opcje Wymuś i Odrzuć dotyczą zaleceń platformy Azure i są obsługiwane tylko dla części zaleceń.

Aby sprawdzić, które rekomendacje można odrzucić i egzekwować, na stronie polityki bezpieczeństwa, na zakładce Standardy, wybierz benchmark bezpieczeństwa w chmurze Microsoft i przejrzyj rekomendację, aby sprawdzić, czy dostępne są działania odmowy lub egzekwowania.

Zarządzanie ustawieniami rekomendacji

1. W portalu Defender dla Chmury otwórz ustawienia środowiska.

2. Wybierz konto chmurowe lub zarządzające, w którym chcesz zarządzać rekomendacjami MCSB.

3. Otwórz polityki bezpieczeństwa i wybierz standard MCSB. Włącz standard.

4. Wybierz wielokropek >Zarządzaj rekomendacjami.

   

5. Obok odpowiedniej rekomendacji wybierz menu z wielokropkami, a następnie wybierz Zarządzanie efektem i parametrami.

   • Aby włączyć zalecenie, wybierz pozycję Inspekcja.
   • Aby wyłączyć rekomendację, wybierz Wyłączone.
   • Aby odrzucić lub wymusić zalecenie, wybierz pozycję Odmów.

Wymuszanie zalecenia

Zalecenie można wymusić tylko na stronie szczegółów zalecenia.

1. W portalu Defender dla Chmury otwórz stronę Recommendations i wybierz odpowiednie zalecenie.

2. W górnym menu wybierz pozycję Wymuszaj.

   

3. Wybierz opcję Zapisz.

Ustawienie egzekwowania wchodzi w życie natychmiast, ale rekomendacje aktualizują się w zależności od okresu świeżości, do 12 godzin.

Modyfikacja dodatkowych parametrów rekomendacji

Możesz chcieć skonfigurować dodatkowe parametry, żeby uzyskać jakieś rekomendacje. Na przykład zalecenia dotyczące rejestrowania diagnostycznego mają domyślny okres przechowywania jednego dnia. Możesz zmienić wartość domyślnego okresu retencyjnego.

Na stronie szczegółów rekomendacji kolumna Dodatkowe parametry wskazuje, czy rekomendacja ma powiązane dodatkowe parametry.

• Default. Rekomendacja działa z domyślną konfiguracją.
• Skonfigurowane. Konfiguracja rekomendacji jest modyfikowana względem wartości domyślnych.
• Brak. Rekomendacja nie wymaga dodatkowej konfiguracji.

1. Obok rekomendacji MCSB wybierz menu z elipsami, a następnie wybierz Zarządzaj efektem i parametrami.

2. W obszarze Dodatkowe parametry skonfiguruj dostępne parametry przy użyciu nowych wartości.

3. Wybierz opcję Zapisz.

Jeśli chcesz przywrócić zmiany, wybierz pozycję Przywróć domyślne , aby przywrócić wartość domyślną zalecenia.

Zidentyfikuj konflikty między ustawieniami rekomendacji

Potencjalne konflikty mogą wystąpić, gdy istnieje wiele przypisań norm o różnych wartościach.

1. Aby zidentyfikować konflikty w akcjach efektów, w obszarze Dodaj wybierz pozycje Konflikt efektu>Ma konflikt, aby zidentyfikować ewentualne konflikty.

   

2. Aby zidentyfikować konflikty w dodatkowych parametrach, w obszarze Dodaj wybierz pozycję Konflikt dodatkowych parametrów>, aby zidentyfikować wszelkie konflikty.

3. Jeśli konflikty zostaną znalezione, w obszarze Ustawienia rekomendacji wybierz wymaganą wartość i zapisz.

Wszystkie standardowe przypisania w wybranym zakresie są dostosowane do wartości wybranej w ustawieniach rekomendacji, co rozwiązuje konflikt.

Treści powiązane

• Dowiedz się, jak ustawić zasady przy użyciu programu PowerShell
• Dowiedz się, jak edytować zasady zabezpieczeń w Azure Policy
• Dowiedz się, jak ustawić politykę dla subskrypcji lub grup zarządzania przy użyciu Azure Policy
• Dowiedz się, jak włączyć Defender dla Chmury dla wszystkich subskrypcji w grupie zarządzania