Preparar-se para a desativação do agente do Log Analytics

O agente Log Analytics, também conhecido como Agente de Monitoramento Microsoft (MMA), aposentou-se em novembro de 2024, conforme descrito no plano de aposentadoria do agente Defender para Nuvem Log Analytics. Por causa dessa aposentadoria, os planos Defender for Servers e Defender for SQL para máquinas no Microsoft Defender para Nuvem serão atualizados, e recursos que dependem do agente Log Analytics serão redesenhados.

Este artigo resume os planos para a aposentadoria do agente Log Analytics (MMA).

Preparar o Defender para servidores

O plano Defender for Servers utiliza o agente Log Analytics em disponibilidade geral (GA) e no AMA para suporte a agentes e recursos do Defender for Servers (em prévia). Veja o que está acontecendo com esses recursos daqui para frente:

Para simplificar a integração, você recebe todos os recursos e capacidades de segurança do Defender for Servers com um único agente (Microsoft Defender para Ponto de Extremidade), complementado por varredura de máquinas sem agente, sem dependência do agente Log Analytics ou do agente Azure Monitor (AMA).

• Os recursos do Defender for Servers, baseados no AMA, estão atualmente em versão preliminar e não serão lançados em disponibilidade geral (GA).
• Recursos em versão prévia que dependem do AMA permanecem com suporte até que seja disponibilizada uma versão alternativa do recurso, baseada na integração com o Defender for Endpoint ou no recurso de verificação de máquinas sem agente.
• Ao habilitar a integração do Defender para Ponto de Extremidade e o recurso de verificação de computador sem agente antes que a substituição ocorra, a implantação do Defender para servidores permanecerá atualizada e com suporte.

Funcionalidade do recurso

A tabela a seguir resume como os recursos do Defender para Servidores são fornecidos. A maioria dos recursos já está disponível de forma geral usando a integração com o Defender for Endpoint ou a verificação de máquinas sem agente. Os recursos restantes do Defender for Servers listados na tabela a seguir estarão disponíveis em disponibilidade geral (GA) até que o MMA seja desativado ou serão descontinuados.

Experiência de provisionamento automático do agente do Log Analytics - plano de substituição

Como parte da aposentadoria do agente MMA, a capacidade de autoprovisionamento que fornece a instalação e configuração do agente para clientes do Defender para Nuvem também será descontinuada em 2 etapas:

1. Até o final de setembro de 2024 – o provisionamento automático do MMA será desabilitado para clientes que não estão mais usando a funcionalidade, bem como para assinaturas recém-criadas:

   • As assinaturas existentes que desativam o provisionamento automático do MMA após o final de setembro não poderão mais habilitar a funcionalidade posteriormente.

   • Em assinaturas recém-criadas, o provisionamento automático não pode mais ser habilitado e é desativado automaticamente.

2. Fim de novembro de 2024 - O provisionamento automático do MMA será desativado nas assinaturas que ainda não o desativaram. A partir desse ponto, não é mais possível habilitar o provisionamento automático do MMA para assinaturas existentes.

O benefício de 500 MB para ingestão de dados

Para preservar os 500 MB de permissão de ingestão gratuita de dados para os tipos de dados com suporte, você precisa migrar do MMA para o AMA.

Saiba mais sobre como implantar o AMA.

Para SQL Servers nos computadores, recomendamos migrar para o processo de provisionamento automático do AMA (agente do Azure Monitor) direcionado ao SQL Server.

Alterações na integração herdada do Plano 2 do Defender para servidores usando o agente do Log Analytics

A Microsoft está descontinuando a abordagem legada para integrar servidores ao Defender for Servers Plan 2 que usa o agente do Log Analytics e os workspaces do Log Analytics. A aposentadoria inclui as seguintes mudanças:

• A experiência de integração de novas máquinas que não são do Azure no Defender for Servers, usando agentes e espaços de trabalho do Log Analytics, foi removida das páginas Inventário e Introdução no portal do Defender para Nuvem.

• Para evitar perder a cobertura de segurança nas máquinas afetadas que se conectam a um Log Analytics Workspace, tome as seguintes ações para a aposentadoria do Agente:

  • Se você integrou servidores não Azure (tanto no local quanto em várias nuvens) usando a integração legada do agente do Log Analytics para máquinas que não sejam Azure, conecte essas máquinas usando servidores habilitados pelo Azure Arc às assinaturas e conectores do Plano 2 do Defender para servidores do Azure. Para mais informações sobre implantação de máquinas em escala, veja as opções de implantação de servidores do Azure Arc.
  • Se você usou a abordagem legada para habilitar o Defender for Servers Plan 2 em VMs Azure selecionadas, ative o Defender for Servers Plan 2 nas assinaturas do Azure para essas máquinas. Você pode então excluir máquinas individuais da cobertura do Defender for Servers usando a configuração Defender for Servers por recurso.

A tabela a seguir resume a ação necessária para cada servidor integrado ao Defender for Servers Plan 2 através da abordagem legada:

Experiência de atualização do sistema e recomendações de patches - mudanças e orientações de migração

As atualizações e os patches do sistema são cruciais para manter a segurança e a integridade dos seus computadores. As atualizações frequentemente contêm patches de segurança para vulnerabilidades que, se não corrigidas, podem ser exploradas por agentes maliciosos.

O Defender para Nuvem Foundational CSPM e os planos do Defender for Servers já forneciam recomendações de atualização do sistema usando o agente Log Analytics. A experiência anterior de recomendação de atualizações de sistema baseadas em agentes do Log Analytics foi substituída por recomendações de segurança coletadas usando o Gerenciador de Atualizações do Azure e construídas a partir de duas novas recomendações:

• Os computadores devem ser configurados para verificar periodicamente se há atualizações ausentes do sistema

• As atualizações do sistema devem ser instaladas em seus computadores (gerenciados por Gerenciador de Atualizações do Azure)

Aprenda como remediar atualizações do sistema e recomendações de patches em suas máquinas.

Quais recomendações estão sendo substituídas?

A tabela a seguir resume o cronograma das recomendações que estão sendo preteridas e substituídas.

Como me preparar para as novas recomendações?

• Conecte seus computadores não Azure ao Arc.

• Certifique-se de que a configuração de atualização avaliação periódica está habilitada em suas máquinas. Você pode habilitá-lo de duas maneiras:

  • Corrija a recomendação: As máquinas devem ser configuradas para verificar periodicamente a ausência de atualizações do sistema, usando o Gerenciador de Atualizações do Azure.
  • Ative a avaliação periódica em grande escala usando o Azure Policy.

• Ao completar essas etapas, o Gerenciador de Atualizações pode buscar as atualizações mais recentes das máquinas, e você pode visualizar o status de conformidade mais recente da máquina.

Experiência de recomendações de proteção de ponto de extremidade – alterações e diretrizes de migração

As recomendações e a descoberta de pontos de extremidade foram fornecidas anteriormente pelos planos do CSPM básico do Defender para Nuvem e do Defender para servidores usando o agente do Log Analytics em GA ou na versão preliminar por meio do AMA. As experiências anteriores de descoberta e recomendação de endpoints baseadas em MMA e AMA foram substituídas por recomendações de segurança coletadas usando varredura de máquinas sem agente.

As recomendações de proteção de endpoint são elaboradas em duas etapas. A primeira etapa é a detecção de endpoints e a descoberta da solução de resposta. A segunda etapa é a avaliação da configuração da solução. As tabelas a seguir fornecem detalhes das experiências atuais e novas para cada fase.

Saiba como gerenciar as novas recomendações de detecção e resposta de ponto de extremidade (sem agente).

Solução de detecção e resposta de ponto de extremidade – descoberta

A tabela a seguir compara as experiências atuais e novas de descoberta para soluções de detecção e resposta de endpoints.

Solução de detecção e resposta de ponto de extremidade – avaliação de configuração

A tabela a seguir compara as experiências atuais e novas de avaliação de configuração para soluções de detecção e resposta de endpoints.

Quais recomendações estão sendo preteridas?

A tabela a seguir resume o cronograma das recomendações que estão sendo preteridas e substituídas.

A nova experiência de recomendações de proteção de endpoints sem agente, baseada na varredura de máquinas sem agente, suporta tanto o Windows quanto o Linux para máquinas multicloud.

Como a substituição funcionará?

• As recomendações atuais fornecidas pelo Agente do Log Analytics ou pelo AMA serão preteridas ao longo do tempo.
• Algumas dessas recomendações existentes serão substituídas por novas recomendações com base na verificação de computador sem agente.
• As recomendações atualmente em GA permanecem em vigor até que o agente do Log Analytics seja desativado.
• As recomendações que estão atualmente em versão prévia serão substituídas quando a nova recomendação estiver disponível na versão prévia.

O que está acontecendo com a classificação de segurança?

Os pontos a seguir explicam como a pontuação de segurança é afetada durante a transição das recomendações de proteção de endpoint baseadas em MMA para recomendações de proteção de endpoint sem agente.

• As recomendações que estão atualmente em GA continuarão a afetar a pontuação segura.
• As recomendações atuais e futuras estão localizadas no mesmo controle do Microsoft Cloud Security Benchmark, garantindo que não haja impacto duplicado na pontuação de segurança.

Como me preparar para as novas recomendações?

Para se preparar para as novas recomendações de proteção de endpoints sem agente, tome as seguintes ações:

• Certifique-se de que a varredura de máquinas sem agente esteja habilitada como parte do Defender for Servers Plan 2 ou do Defender Cloud Security Posture Management.
• Se for adequado para o seu ambiente, remova recomendações obsoletas quando a recomendação GA substituta estiver disponível. Para fazer isso, desabilite a recomendação na iniciativa interna do Defender para Nuvem no Azure Policy.

Experiência de Monitoramento de Integridade do Arquivo – alterações e diretrizes de migração

O Defender for Servers Plan 2 agora oferece uma nova solução de Monitoramento de Integridade de Arquivos (FIM) alimentada pela integração com o Defender for Endpoint (MDE). Após o FIM com tecnologia MDE estar em disponibilidade geral, a experiência no portal do Defender para Nuvem para o FIM com tecnologia AMA será removida. Em novembro, o FIM, ativado pelo MMA, será preterido.

Migração de FIM para AMA

Se você usa atualmente o FIM via AMA:

• Você não pode mais integrar novas assinaturas ou servidores no FIM com base no AMA e na extensão de rastreamento de mudanças, nem visualizar as mudanças pelo portal Defender para Nuvem a partir de 30 de maio.

• Se quiser continuar consumindo eventos FIM coletados por AMA, você poderá se conectar manualmente ao workspace relevante e exibir alterações na tabela de Controle de Alterações com a seguinte consulta:

  ConfigurationChange
  
  | where TimeGenerated > ago(14d)
  
  | where ConfigChangeType in ('Registry', 'Files') 
  
  | summarize count() by Computer, ConfigChangeType
  

• Se quiser continuar integrando novos escopos ou configurando regras de monitoramento, você poderá usar manualmente as Regras de Conexão de Dados para configurar ou personalizar vários aspectos da coleta de dados.

• O Defender para Nuvem recomenda desativar o FIM via AMA e migrar seu ambiente para a nova versão do FIM com base no Defender for Endpoint quando ela for lançada.

Desabilitar FIM sobre AMA

Para desabilitar o FIM por AMA, remova a solução de Controle de Alterações do Azure. Para obter mais informações, consulte Remover a solução ChangeTracking.

Como alternativa, você pode remover as DCRs (regras de coleta de dados) relacionadas ao rastreamento de alterações de arquivo. Para obter mais informações, consulte Remove-AzDataCollectionRuleAssociation ou Remove-AzDataCollectionRule.

Depois de desativar a coleção de eventos de arquivo usando um dos métodos acima:

• Novos eventos deixam de ser coletados no escopo selecionado.
• Os eventos históricos que já foram coletados permanecem armazenados no workspace relevante na tabela ConfigurationChange na seção Controle de Alterações. Esses eventos permanecem disponíveis no espaço de trabalho relevante de acordo com o período de retenção definido nesse espaço. Para obter mais informações, consulte Como a retenção e o arquivamento funcionam.

Migrar do FIM por meio do Agente do Log Analytics (MMA)

Se você atualmente usa o FIM por meio do Agente do Log Analytics (MMA):

• O Monitoramento de Integridade do Arquivo com base no Agente do Log Analytics (MMA) será preterido no final de novembro de 2024.

• O Defender para Nuvem recomenda desativar o FIM em vez do MMA e integrar seu ambiente na nova versão do FIM baseada no Defender for Endpoint no lançamento.

Desabilitar FIM sobre MMA

Para desabilitar o FIM por meio do MMA, remova a solução de Controle de Alterações do Azure. Para obter mais informações, consulte Remover a solução ChangeTracking.

Depois de desabilitar a coleção de eventos de arquivo:

• Novos eventos deixam de ser coletados no escopo selecionado.
• Os eventos históricos que já foram coletados permanecem armazenados no workspace relevante na tabela ConfigurationChange na seção Controle de Alterações. Esses eventos permanecem disponíveis no espaço de trabalho relevante de acordo com o período de retenção definido nesse espaço. Para obter mais informações, consulte Como a retenção e o arquivamento funcionam.

Mudanças de experiência básica e orientações de migração

O recurso de detecção de configuração incorreta de baselines em VMs ajuda a garantir que suas VMs estejam em conformidade com as melhores práticas de segurança e as políticas organizacionais. A configuração errada de Baselines verifica suas VMs em relação a linhas de segurança pré-definidas e identifica quaisquer desvios ou configurações incorretas que possam representar risco ao seu ambiente.

O agente Log Analytics (também conhecido como Microsoft Monitoring agent ou MMA) foi aposentado em novembro de 2024, e as seguintes mudanças se aplicam:

• As informações da máquina são coletadas usando a configuração de convidados do Azure Policy.

• As seguintes políticas do Azure estão habilitadas com a configuração de convidado do Azure Policy:

  • "Os computadores Windows devem atender aos requisitos da linha de base de segurança de computação do Azure"
  • "Os computadores Linux devem atender aos requisitos da linha de base de segurança de computação do Azure"

  Note

  Se você remover essas políticas, perde o acesso aos benefícios da extensão de configuração de convidados do Azure Policy.

• O CSPM fundamental do Defender para Nuvem não inclui mais recomendações de sistemas operacionais baseadas em bases de segurança de computação. Essas recomendações estão disponíveis quando você ativa o Defender para Servidores Plano 2.

Para saber mais sobre os preços do Defender for Servers Plan 2, confira a página de preços do Defender para Nuvem. Você também pode estimar custos com a calculadora de custos Defender para Nuvem.

As recomendações que o MCSB fornece e que não fazem parte das linhas básicas de segurança de computação do Windows e Linux continuam a fazer parte do CSPM básico gratuito.

Instalar a configuração de convidado do Azure Policy

Para continuar recebendo a experiência básica, você precisa ativar o Defender for Servers Plan 2 e instalar a configuração de convidados do Azure Policy. Ao ativar o Plano 2 do Defender para servidores e instalar a configuração de convidado do Azure Policy, você garante que continuará recebendo as mesmas recomendações e orientações de proteção que recebeu por meio da experiência de linha de base.

Dependendo do seu ambiente, talvez seja necessário seguir os seguintes passos:

1. Examine a matriz de suporte da configuração de convidado do Azure Policy.

2. Instale a configuração de convidado do Azure Policy em seus computadores.

   • Computadores do Azure: no portal do Defender para Nuvem, na página de recomendações, pesquise e selecione A extensão configuração de convidado deve ser instalada nos computadores e corrija a recomendação.

   • (Apenas VMs do Azure) Você deve atribuir uma identidade gerenciada.

     • No portal do Defender para Nuvem, na página de recomendações, pesquise e selecione A extensão de Configuração de Convidado das máquinas virtuais deve ser implantada com a identidade gerenciada atribuída pelo sistema e Corrija a recomendação.

   • (Apenas VMs Azure) Opcional: Para autoprovisionar a configuração de convidados do Azure Policy para toda a sua assinatura, você pode ativar o agente de Configuração de Convidados (prévia).

     • Para ativar o agente de Configuração de Convidados:

       1. Entre no portal do Azure.

       2. Navegue até as Configurações de ambiente>Sua assinatura>Configurações e monitoramento.

       3. Selecione Configuração de convidado.

          

       4. Alterne o agente de Configuração de convidado (versão prévia) para Ativado.

          

       5. Selecione Continuar.

   • GCP e AWS: a configuração de convidado da Política do Azure é instalada automaticamente quando você conecta seu projeto do GCP ou conecta suas contas da AWS ao Defender para Nuvem com o provisionamento automático do Azure Arc habilitado.

   • Computadores locais: a configuração de convidado do Azure Policy é habilitada por padrão quando você integra computadores locais como máquinas ou VMs habilitadas para Azure Arc.

Após completar os passos necessários para instalar a configuração de convidados do Azure Policy, você automaticamente terá acesso às funcionalidades básicas com base na configuração de convidados do Azure Policy. Ao instalar a configuração de convidados do Azure Policy, você garante que continue recebendo as mesmas recomendações e orientações de reforço que recebeu durante a experiência base.

Alterações nas recomendações

Com a descontinuação da MMA, as seguintes recomendações baseadas em MMA estão prestes a ser descontinuadas:

• Os computadores devem ser configurados com segurança
• O provisionamento automático do agente do Log Analytics deve ser habilitado em assinaturas

As recomendações obsoletas são substituídas pelas seguintes recomendações baseadas em configuração de convidados do Azure Policy:

• É preciso corrigir as vulnerabilidades da configuração de segurança dos computadores Windows (com auxílio da Configuração de Convidado)
• É preciso corrigir as vulnerabilidades da configuração de segurança dos computadores Linux (com auxílio da Configuração de Convidado)
• A extensão de Configuração de Convidado deve ser instalada nos computadores

Recomendações duplicadas

Quando você habilita o Defender para Nuvem em uma assinatura do Azure, o Microsoft Cloud Security Benchmark (MCSB), incluindo linhas de base de segurança de computação que avaliam a conformidade do sistema operacional do computador, é habilitado como um padrão de conformidade. O gerenciamento da postura de segurança na nuvem (GPSN) grátis no Defender para Nuvem faz recomendações de segurança com base no MCSB.

Se uma máquina estiver rodando tanto a configuração de convidados MMA quanto a do Azure Policy, você vê recomendações duplicadas. A duplicação de recomendações ocorre porque ambos os métodos funcionam ao mesmo tempo e produzem as mesmas recomendações. Essas duplicatas afetam sua Conformidade e sua Pontuação de Segurança.

Para evitar recomendações duplicadas enquanto o MMA e a configuração de convidado do Azure Policy estiverem em execução, você pode desativar as recomendações do MMA Machines should be configured securely e Auto provisioning of the Log Analytics agent should be enabled on subscriptions acessando a página Conformidade regulatória no Defender para Nuvem.

Depois de encontrar a recomendação, selecione as máquinas relevantes e as isente.

Algumas das regras de configuração de linha de base alimentadas pela ferramenta de configuração de convidado do Azure Policy são mais atuais e oferecem uma cobertura mais ampla. Como resultado, a transição para o recurso Baselines powered by Azure Policy guest configuration pode afetar seu status de conformidade, pois incluem verificações que talvez não tenham sido realizadas anteriormente.

Recomendações de consulta

Com a desativação do MMA, o Defender para Nuvem não consulta mais as recomendações por meio das informações do workspace do Log Analytics. Em vez disso, o Defender para Nuvem agora usa o Azure Resource Graph para consultas de API e portais para consultar informações de recomendação.

Aqui estão dois exemplos de consultas que você pode usar:

• Consultar todas as regras não saudáveis para um recurso específico

  Securityresources 
  | where type == "microsoft.security/assessments/subassessments" 
  | extend assessmentKey=extract(@"(?i)providers/Microsoft.Security/assessments/([^/]*)", 1, id) 
  | where assessmentKey == '1f655fb7-63ca-4980-91a3-56dbc2b715c6' or assessmentKey ==  '8c3d9ad0-3639-4686-9cd2-2b2ab2609bda' 
  | parse-where id with machineId:string '/providers/Microsoft.Security/' * 
  | where machineId  == '{machineId}'
  

• Todas as regras de não íntegro e o valor se houver computadores não íntegros para cada

  securityresources 
  | where type == "microsoft.security/assessments/subassessments" 
  | extend assessmentKey=extract(@"(?i)providers/Microsoft.Security/assessments/([^/]*)", 1, id) 
  | where assessmentKey == '1f655fb7-63ca-4980-91a3-56dbc2b715c6' or assessmentKey ==  '8c3d9ad0-3639-4686-9cd2-2b2ab2609bda' 
  | parse-where id with * '/subassessments/' subAssessmentId:string 
  | parse-where id with machineId:string '/providers/Microsoft.Security/' * 
  | extend status = tostring(properties.status.code) 
  | summarize count() by subAssessmentId, status
  

Planeje a migração do seu agente do Log Analytics

Matriz de planejamento de migração

Planeje a migração de agentes de acordo com as necessidades do seu negócio. A tabela de planejamento de migração a seguir resume as orientações.

Use a experiência de migração do MMA

A experiência de migração do MMA é uma ferramenta que ajuda você a migrar do MMA para o AMA. A experiência fornece um guia passo a passo para ajudar você a migrar seus computadores do MMA para o AMA.

Usando a experiência de migração do MMA, você pode:

• Migre os servidores direto do processo de integração herdado por meio do workspace do Log Analytics.
• Verifique se as assinaturas atendem a todos os pré-requisitos para receber todos os benefícios do Plano 2 do Defender para servidores.
• Migre para a nova versão do FIM via MDE.

1. Entre no portal do Azure.

2. Vá para Defender para Nuvem>Configurações do ambiente.

3. Selecione MMA migration.

   

4. Selecione Executar ação para uma das ações disponíveis:

   

Permita que a experiência carregue e siga as etapas para concluir a migração.

Próximas etapas