Zasady bezpieczeństwa w programie Defender dla Chmury

Zasady zabezpieczeń w usłudze Microsoft Defender dla Chmury definiują sposób oceniania zasobów w chmurze pod kątem zabezpieczeń na platformie Azure, w usługach Amazon Web Services (AWS) i Google Cloud Platform (GCP). Zasady określają standardy, mechanizmy kontroli i warunki używane przez usługę Defender dla Chmury do oceny konfiguracji zasobów i identyfikowania potencjalnych zagrożeń bezpieczeństwa.

Każda zasada obejmuje standardy zabezpieczeń, które definiują mechanizmy kontroli i logikę oceny stosowane do danego środowiska. Usługa Defender dla Chmury stale ocenia zasoby zgodnie z tymi standardami. Gdy zasób nie spełnia zdefiniowanej kontrolki, usługa Defender dla Chmury generuje zalecenie dotyczące zabezpieczeń, które opisuje problem i akcje wymagane do jego rozwiązania.

Dzięki temu usługa Defender dla Chmury może stale oceniać zasoby i zwiększać poziom zabezpieczeń organizacji.

Standardy zabezpieczeń

Zasady zabezpieczeń w usłudze Defender dla Chmury mogą obejmować kilka typów standardów:

• Testy porównawcze zabezpieczeń — wbudowane punkty odniesienia, takie jak test porównawczy zabezpieczeń w chmurze firmy Microsoft (MCSB) i testy porównawcze dostawców chmury, które definiują podstawowe najlepsze rozwiązania.

• Standardy zgodności z przepisami — struktury z programów branżowych i zgodności dostępnych po włączeniu planu usługi Defender dla Chmury.

• Standardy niestandardowe — standardy zdefiniowane przez organizację, które obejmują wbudowane lub niestandardowe zalecenia w celu dostosowania ocen usługi Defender dla Chmury do wewnętrznych zasad zabezpieczeń.

Dowiedz się więcej o standardach zabezpieczeń w usłudze Defender dla Chmury.

Zalecenia dotyczące zabezpieczeń

Zalecenia dotyczące zabezpieczeń to szczegółowe informacje z możliwością działania generowane na podstawie ocen względem standardów zabezpieczeń. Każde zalecenie zawiera:

• Krótki opis problemu
• Kroki korygowania
• Zasoby, których dotyczy problem
• Stopień zagrożenia i czynniki ryzyka
• Kontekst ścieżki ataku (jeśli jest dostępny)

Model ryzyka usługi Defender dla Chmury priorytetyzuje zalecenia na podstawie narażenia, wrażliwości danych, potencjału lateralnego przemieszczania oraz wykorzystywalności.

Zalecenia niestandardowe

Możesz utworzyć niestandardowe rekomendacje, aby zdefiniować własną logikę oceny przy użyciu języka KQL (Kusto Query Language). Ta funkcja jest dostępna dla wszystkich chmur po włączeniu planu CSPM w usłudze Defender.

Rekomendacje niestandardowe są tworzone w niestandardowym standardzie i mogą być również połączone z dodatkowymi standardami w razie potrzeby. Każde zalecenie obejmuje logikę zapytań, kroki korygowania, ważność i odpowiednie typy zasobów. Po utworzeniu niestandardowe zalecenia są wyświetlane razem z wbudowanymi zaleceniami na pulpicie nawigacyjnym zgodności z przepisami i wpływają na ogólną ocenę stanu zabezpieczeń.

Dowiedz się więcej o tworzeniu niestandardowych zaleceń.

Example

McSB zawiera wiele kontrolek, które definiują oczekiwane konfiguracje zabezpieczeń. Jednym z tych mechanizmów kontroli jest „Konta magazynowania powinny ograniczać dostęp do sieci przy użyciu reguł sieci wirtualnej”.

Defender dla Chmury stale ocenia zasoby. Jeśli znajdzie jakieś elementy, które nie spełniają tego zabezpieczenia, oznacza je jako niezgodne i powoduje wygenerowanie zalecenia. W tym przypadku wskazówki dotyczą wzmacniania zabezpieczeń kont usługi Azure Storage, które nie są chronione za pomocą reguł sieci wirtualnej.

Treści powiązane

• Dowiedz się więcej o standardach zabezpieczeń i mcSB.
• Dowiedz się, jak przeglądać zalecenia dotyczące zabezpieczeń.
• Dowiedz się, jak przypisywać standardy dla środowisk chmury i zarządzać nimi .
• Monitoruj i popraw swoją postawę względem zgodności na pulpicie zgodności z przepisami.

Zasady postawy określają, jakie zalecenia dotyczące postawy bezpieczeństwa są oceniane oraz w jakim zakresie mają zastosowanie. Organizacje mogą konfigurować polityki w różnych środowiskach, aby dostosować ocenę rekomendacji do wymagań biznesowych, dotyczących zgodności i operacyjnych.

Dlaczego stosować zasady kondycji zabezpieczeń?

Zasady kondycji zabezpieczeń pomagają organizacjom dostosować domyślne zalecenia firmy Microsoft dotyczące zabezpieczeń tak, aby odpowiadały ich specyficznym wymaganiom dotyczącym bezpieczeństwa, zgodności i działalności operacyjnej. Chociaż punkt odniesienia firmy Microsoft stanowi solidny punkt wyjścia, organizacje często potrzebują dodatkowej elastyczności, aby określać, które reguły bezpieczeństwa powinny być oceniane, dostosowywać parametry reguł lub dostosowywać zakres rekomendacji dla różnych środowisk.

Dzięki zastosowaniu zasad stanu zabezpieczeń zespoły bezpieczeństwa mogą stosować bardziej rygorystyczne wymagania w środowiskach o wysokiej wrażliwości, dodawać reguły specyficzne dla organizacji lub zgodne z przepisami oraz redukować niepotrzebny hałas w środowiskach o niższym ryzyku. Pomaga to zapewnić, że zalecenia są zgodne z priorytetami biznesowymi, obowiązkami regulacyjnymi oraz oczekiwanym poziomem bezpieczeństwa dla każdego środowiska, co skutkuje bardziej istotnymi i praktycznymi wynikami.

Przed rozpoczęciem

Sprawdź, czy środowisko jest zarządzane w Defender

Polityki tworzone w Defender dotyczą tylko środowisk zarządzanych w Defender. Możesz zweryfikować lokalizację zarządzania na jeden z poniższych sposobów:

• W obszarze Rekomendacje przejrzyj właściwość Zarządzany w i potwierdź, że wartość to Defender.

• W obszarze zarządzania środowiskiem chmurowym otwórz stronę Zarządzanie środowiskiem chmurowym i upewnij się, że odpowiednie środowisko jest zarządzane w Defender.

Jeśli środowisko jest zarządzane w Azure, możesz połączyć je z Defender i kontynuować zarządzanie zasadami stanu zabezpieczeń za pomocą Defender lub dalej zarządzać odpowiednią konfiguracją w Azure.

Plans

Zasady poziomu zabezpieczeń są dostępne tylko w środowiskach, w których jest włączony obsługiwany plan Microsoft Defender.

• Do zakresu polityki można wybrać tylko środowiska z aktywnym kwalifikowanym planem.
• Środowiska bez włączonych kwalifikowalnych planów nie są dostępne do przypisywania zasad.
• Jeśli w organizacji nie są włączone żadne plany, funkcja Recommendation Policies jest niedostępna.

Permissions

Zunifikowana kontrola dostępu oparta na rolach (RBAC) Microsoft Defender kontroluje dostęp do polityk rekomendacji:

Aby delegować zarządzanie zasadami, przejdź do System>Permissions>Microsoft Defender XDR>Roles w portalu Microsoft Defender i utwórz lub zaktualizuj rolę z wymaganymi uprawnieniami i zakresem.

Zrozum typy zasad

Portal Defender zawiera politykę bazową zarządzaną przez Microsoft i obsługuje niestandardowe polityki rekomendacji.

Podstawowa polityka MDC

Polityka MDC Baseline to polityka zarządzana przez Microsoft, która zawiera zalecany zestaw zasad bezpieczeństwa opartych na badaniach Microsoft, analizie zagrożeń oraz najlepszych praktykach. Ma na celu pomoc organizacjom w wzmacnianiu ich bezpieczeństwa poprzez identyfikację i redukcję typowych ścieżek ataków, błędnych konfiguracji oraz ekspozycji możliwych do wykorzystania.

W przeciwieństwie do ram skoncentrowanych na zgodności, które są przede wszystkim zaprojektowane z myślą o spełnianiu wymogów regulacyjnych, Polityka Bazowa MDC koncentruje się na poprawie wyników bezpieczeństwa i redukcji ryzyka. Zapewnia natychmiastową wartość w zakresie stanu zabezpieczeń przy minimalnej konfiguracji i stanowi zalecany punkt wyjścia dla większości organizacji.

Kluczowe cechy polityki bazowej MDC:

• Microsoft zarządza i nieustannie aktualizuje zawartość polityk, aby odzwierciedlać zmieniające się zagrożenia, badania nad bezpieczeństwem oraz najlepsze praktyki.
• Polityka jest zarządzana przez Microsoft i celowo zapewnia ograniczoną personalizację. Organizacje mogą modyfikować parametry reguł, zmieniać zakres przypisania, edytować parametry reguł oraz włączać lub wyłączać politykę, ale zestaw zalecanych przez firmę Microsoft mechanizmów zabezpieczeń jest utrzymywany przez firmę Microsoft.
• Polityka nie może zostać usunięta i można ją wyłączyć tylko wtedy, gdy nie jest już wymagana. Utrzymanie polityki dostępnej pozwala organizacjom łatwo ponownie włączyć zalecany przez firmę Microsoft bazowy poziom zabezpieczeń bez konieczności jego odtwarzania lub rekonfiguracji.

Przypisanie domyślne

Aby pomóc organizacjom natychmiast osiągnąć korzyści w zakresie bezpieczeństwa, zasada MDC Baseline jest domyślnie przypisana do wszystkich połączonych środowisk.

• Istniejące połączone środowiska są automatycznie uwzględniane w zakresie zasad.
• Nowo połączone środowiska są automatycznie przypisywane do polityki.
• Organizacje mogą modyfikować przypisanie i ograniczać politykę do wybranych środowisk, gdy jest to potrzebne.

Tworzenie zasad niestandardowych

Przejdź do Zarządzanie ekspozycją>Zasady, a następnie wybierz Utwórz politykę.

Proces tworzenia obejmuje trzy główne decyzje:

Po utworzeniu polityki Microsoft Defender przeprowadza odpowiednie oceny bezpieczeństwa. Nowe lub zaktualizowane rekomendacje są generowane, gdy aktywa w wybranym zakresie nie spełniają wymagań zasad. Przetwarzanie zasad i aktualizacje rekomendacji nie są natychmiastowe.

Zasady zgodności

Microsoft wspiera zalecenia związane z zgodnością i mapuje je na wspólne ramy regulacyjne, takie jak HIPAA, PCI DSS, ISO 27001 i NIST. Jednak Recommendation Policies nie zawierają gotowych polityk dla konkretnych ram zgodności.

Takie podejście pomaga utrzymać usprawnione zarządzanie politykami, unikając szerokiego zestawu z góry zdefiniowanych polityk zgodności, które mogą nie być istotne dla Twojej organizacji. Zamiast tego organizacje mogą tworzyć ukierunkowane polityki skoncentrowane na zgodności, wybierając rekomendacje dopasowane do ram regulacyjnych, które stosują. Daje to elastyczność w budowaniu polityk zgodności dostosowanych do konkretnych wymagań, jednocześnie zmniejszając niepotrzebną złożoność i obciążenia administracyjne.

Aby stworzyć politykę skoncentrowaną na zgodności:

1. Utwórz nowe zasady.
2. Przypisz politykę do środowisk, które muszą spełnić wybrane ramy zgodności i wymagania regulacyjne.
3. Filtruj reguły według pożądanych ram regulacyjnych.
4. Wybierz wszystkie reguły.

Więcej informacji znajduje się w artykule Przypisywanie standardów zgodności z przepisami.

Zarządzanie zasadami

Korzystaj z Zarządzania Regułami, gdy musisz zrozumieć, jak konkretna rekomendacja jest konfigurowana i stosowana w całej organizacji. Ten widok upraszcza administrację, zapewniając jedno miejsce do śledzenia przypisań reguł, zrozumienia relacji politycznych oraz zarządzania konfiguracjami reguł bez konieczności poruszania się po wielu politykach.

Poznaj wpływ zasady

Zasady oceny stanu zabezpieczeń określają, które kontrole bezpieczeństwa są oceniane dla wybranych aktywów. Gdy aktyw nie spełnia wymagań określonych przez włączoną politykę, Microsoft Defender generuje rekomendację, która pomaga rozwiązać zidentyfikowaną lukę w zabezpieczeniach.

Jeśli do tego samego aktywa stosuje się wiele zasad, rekomendacja jest generowana za każdym razem, gdy aktywo nie spełnia wymagań co najmniej jednej obowiązującej zasady. Gdy oceny polityki się różnią, priorytetem jest najbardziej restrykcyjny wynik.

Przejście do usługi Microsoft Defender

Organizacje mogą nadal zarządzać zasadami kondycji zabezpieczeń i standardami bezpieczeństwa zarówno z poziomu portalu Azure, jak i portalu Microsoft Defender podczas przejścia na Managed in Defender.

Rekomendacje są oceniane we wszystkich odpowiednich źródłach zasad i są spójnie prezentowane w obu portalach. Zapewnia to jedną kolejkę rekomendacji i zapobiega generowaniu duplikatów rekomendacji, gdy ten sam wymóg bezpieczeństwa jest skonfigurowany w wielu miejscach.

Własność zasad

Własność zasady pozostaje przy portalu, na którym utworzono zasadę lub standard:

• Standardy i polityki bezpieczeństwa tworzone w Azure są nadal zarządzane w Azure.
• Polityki tworzone w Defender są zarządzane ze strony polityk Posture w Microsoft Defender.
• Definicje polityk nie są synchronizowane ani kopiowane między Azure a Defender.
• Rekomendacje generowane przez konfiguracje Azure i Defender pojawiają się w obu obsługiwanych środowiskach.

Zarządzanie rekomendacjami

Skorzystaj z Źródła zasad w rekomendacji, aby:

• Zrozum, czy rekomendacja jest napędzana przez Azure, Defender, czy oba te rozwiązania.
• Przejdź do odpowiedniego obszaru zarządzania polisami.
• Zaktualizuj, wyłącz lub usuń konfigurację zasad odpowiedzialną za zalecenie.

Najlepsza praktyka dla istniejących środowisk

Microsoft zaleca zarządzanie zasadami kondycji zabezpieczeń w Defender, kiedy to możliwe, oraz stosowanie zasad zabezpieczeń platformy Azure tylko w sytuacjach, które obecnie nie są obsługiwane w Defender, takich jak zasady wymagające efektu Deny lub niestandardowych rekomendacji.

Aby zmniejszyć narzut operacyjny i uniknąć nakładania się zarządzania politykami, wyłącz standardy bezpieczeństwa Azure, które nie są już wymagane w środowiskach zarządzanych przez Defender.

W sytuacjach wymagających funkcji dostępnych wyłącznie w Azure, stwórz dedykowane standardy bezpieczeństwa Azure zawierające tylko te kontrole. Takie podejście pozwala organizacjom scentralizować zarządzanie rekomendacjami w Defender, jednocześnie kontynuując stosowanie zasad platformy Azure dla funkcji, które nie mają równoważnej obsługi w usłudze Defender.

Dobre praktyki dotyczące nowych subskrypcji

Nowe subskrypcje Azure domyślnie dziedziczą standardy bezpieczeństwa Azure. Przyjmując Microsoft Defender jako podstawowy sposób zarządzania oceną kondycji zabezpieczeń, przejrzyj standardy Azure przypisane do nowo utworzonych subskrypcji i wyłącz standardy, którymi nie zamierzasz zarządzać w Azure.

Dopóki standardy Azure pozostają włączone, mogą one nadal generować rekomendacje wraz z politykami zarządzanymi przez Defender. Rekomendacje są prezentowane jako jedno doświadczenie rekomendacyjne, a pole Źródło zasad może służyć do określenia, czy rekomendacja pochodzi ze standardu zabezpieczeń platformy Azure, zasad ochrony Defender, czy z obu.

Podstawowy CSPM

Microsoft Defender nie zawiera darmowego planu Foundational CSPM. Zamiast tego oferuje pojedynczy plan CSPM w usłudze Defender, który jest płatną ofertą i zalecanym rozwiązaniem firmy Microsoft do zarządzania kondycją zabezpieczeń.

Organizacje, które chcą nadal otrzymywać zalecenia dotyczące kondycji zabezpieczeń w środowiskach zarządzanych przez Defender, muszą włączyć CSPM w usłudze Defender, nawet jeśli nadal zarządzają zasadami i standardami zabezpieczeń z poziomu portalu Azure.

Organizacje, które wcześniej korzystały z Azure Foundational CSPM, muszą włączyć CSPM w usłudze Defender, aby nadal otrzymywać zalecenia dotyczące kondycji zabezpieczeń, nawet jeśli zarządzanie zasadami i standardami zabezpieczeń pozostaje w portalu Azure. Bez CSPM w usłudze Defender zalecenia dotyczące stanu zabezpieczeń nie są generowane dla środowisk zarządzanych w Defender.

Ograniczenia

Następujące ograniczenia dotyczą zarządzania zasadami oceny kondycji zabezpieczeń w portalu Microsoft Defender:

• Obsługiwane są tylko środowiska Azure.
• Istniejące polityki Azure są nadal respektowane, ale nie są automatycznie przenoszone do portalu Defender.
• Tworzenie niestandardowych rekomendacji nie jest obecnie wspierane w Defender. Niestandardowe rekomendacje mogą być nadal zarządzane w Azure, a powstałe rekomendacje są widoczne zarówno w Azure, jak i Defender.
• Zasady postawy usługi Defender obecnie obsługują jedynie ocenę rekomendacji opartą na audycie. Efekty polityki, takie jak Deny, nie są wspierane w Defender i muszą być nadal zarządzane przez Azure Policy.
• Aktualizacje rekomendacji nie są natychmiastowe i wymagają dodatkowego czasu przetwarzania. Microsoft stale poprawia czas przetwarzania w obszarze zarządzania stanem zabezpieczeń.

Dlaczego warto korzystać z zarządzania politykami w Microsoft Defender?

Azure nadal wspiera istniejące możliwości konfiguracji zasad, podczas gdy Microsoft Defender zapewnia ujednolicone środowisko zarządzania stanem zabezpieczeń w chmurze, na punktach końcowych, w obszarze tożsamości oraz innych obciążeniach zarządzanych przez Defender. Pozwala to zespołom ds. bezpieczeństwa zarządzać wymaganiami dotyczącymi stanu zabezpieczeń, zaleceniami, informacjami o ekspozycji oraz powiązanymi decyzjami dotyczącymi zarządzania z jednej lokalizacji.

Organizacje mogą przenieść zarządzanie zasadami kondycji zabezpieczeń do Microsoft Defender i skorzystać z następujących rozwiązań:

• Zarządzanie politykami odgórnie: Zdefiniuj wymagania bezpieczeństwa centralnie i stosuj je konsekwentnie w środowiskach, które ich wymagają.
• Zmniejszenie narzutu administracyjnego: Polityki wielokrotnego użytku zmniejszają powtarzalną konfigurację i upraszczają zarządzanie stanem zabezpieczeń w różnych środowiskach.
• Elastyczne zakresy bezpieczeństwa: Stosuj polityki w środowiskach zarządzanych przez Defender bez ograniczeń hierarchii zasobów Azure.
• Bazowy poziom zabezpieczeń zarządzany przez Microsoft: Zacznij od zasad MDC Baseline, które koncentrują się na poprawie poziomu zabezpieczeń i zmniejszeniu narażenia, a następnie dodawaj zasady niestandardowe tylko tam, gdzie różnią się wymagania biznesowe, dotyczące zabezpieczeń lub zgodności.
• Szczegółowe uprawnienia bezpieczeństwa: Użyj zunifikowanego RBAC Microsoft Defender do oddzielenia uprawnień odczytu i zarządzania oraz delegowania zarządzania politykami do konkretnych zespołów bezpieczeństwa.
• Nadzór nad obciążeniami: Zarządzaj wymaganiami dotyczącymi stanu zabezpieczeń w ramach wspólnego środowiska w chmurze, punktach końcowych, tożsamością i innych obsługiwanych obciążeniach Defender.
• Ulepszone przetwarzanie rekomendacji: Czas przetwarzania polityk i rekomendacji jest optymalizowany pod kątem doświadczenia Defender i stale się poprawia.

Treści powiązane

• Microsoft Defender — ujednolicona kontrola dostępu oparta na rolach (RBAC)
• Zarządzanie zasadami postawy