Explorar os planos do CSPM e a visibilidade da postura

A equipe de segurança da Contoso Healthcare precisa de visibilidade em todo o ambiente de Azure: infraestrutura clínica, máquinas virtuais, contas de armazenamento, bancos de dados e aplicativos alimentados por IA, incluindo Azure serviços OpenAI e Fábrica de IA do Azure. Microsoft Defender para Nuvem fornece recursos do CSPM (Cloud Security Posture Management) que fornecem aos engenheiros de segurança uma visão abrangente sobre seu estado de segurança na nuvem. Aqui, você explora as duas opções de plano do CSPM. Primeiro, saiba como navegar no painel visão geral da nuvem no portal do Defender. Em seguida, descubra como o CSPM inventaria cargas de trabalho de nuvem e IA e entenda o modelo de Pontuação Segura de Nuvem que mede o risco de segurança.

Entender os dois planos do CSPM

Defender para Nuvem oferece dois planos CSPM com recursos diferentes. Foundational CSPM é habilitado por padrão sem custo ao integrar uma assinatura Azure. Esse plano fornece pontuação segura, recomendações de segurança, inventário de ativos, avaliações do MCSB (Security Benchmark) Microsoft Cloud, automação de fluxo de trabalho e ferramentas de correção em ambientes Azure, AWS, GCP e locais.

GPSN do Defender é um plano pago que estende as funcionalidades fundamentais com recursos avançados. Com GPSN do Defender, você obtém uma análise de caminho de ataque que identifica possíveis rotas de movimentação lateral. Além disso, você obtém recursos de priorização de risco que exibem os problemas mais críticos e o gerenciador de segurança de nuvem para busca proativa de ameaças. O plano também inclui a gestão de postura de segurança da IA para as cargas de trabalho do Azure OpenAI e do AI Foundry. Combine isso com o DSPM (gerenciamento de postura de segurança de dados), verificação de dados confidenciais, verificação sem agente de VMs e contêineres, gerenciamento de superfície de ataque externo, avaliações de conformidade regulatória além do MCSB, recomendações de segurança personalizadas e regras de governança para acompanhamento de correção.

Noções básicas sobre qual plano está ativo determinam quais recursos você pode acessar. Diversas funcionalidades de alto valor, incluindo a priorização de risco, análise de caminho de ataque em todos os tipos de carga de trabalho, verificação sem agente para Máquinas Virtuais (VMs) e contêineres, e o gerenciamento de postura de segurança com IA, requerem o plano do GPSN do Defender. Para um ambiente como o da Contoso Healthcare, em que a infraestrutura clínica, os armazenamentos de dados confidenciais e as cargas de trabalho de IA têm perfis de risco diferentes, GPSN do Defender fornece a profundidade da análise necessária.

Navegar no painel visão geral da nuvem

O painel visão geral da nuvem serve como seu centro de comando central para segurança na nuvem no portal Microsoft Defender. Para acessá-lo, entre no portal do Defender em security.microsoft.com e navegue até a visão geral do > de segurança na nuvem. O painel fornece filtros de escopo e ambiente na parte superior, permitindo que você restrinja a exibição a assinaturas Azure específicas ou dinamize entre ambientes Azure, AWS e GCP.

A seção Segurança em um relance exibe suas métricas mais críticas. Você verá o Cloud Secure Score (versão prévia) com um indicador de tendência, Proteção contra Ameaças, que mostra a contagem de alertas ativos por gravidade, e Cobertura de Ativos detalhando quantos recursos têm proteção total (planos de proteção de postura e contra ameaças), proteção parcial (um plano) ou nenhuma proteção. Esta seção te informa de imediato qual é a sua postura de segurança cibernética.

As Principais Ações orientam suas próximas etapas destacando Recomendações Críticas, incidentes de alta severidade a serem investigados e caminhos de ataque que mostram possíveis rotas de exploração. Essa orientação acionável ajuda você a concentrar os esforços de correção no que mais importa.

A seção Tendências ao longo do tempo mostra como sua postura de segurança e detecção de ameaças evoluem. Ele inclui um grafo de Postura de Segurança — histórico de Pontuação Segura de Nuvem e recomendações por gravidade — e um grafo de Detecção de Ameaças mostrando tendências de alerta por gravidade. Cada grafo é atualizado diariamente e reflete o intervalo de tempo selecionado (30 dias, 3 meses ou 6 meses).

Os blocos de Insights de Carga de Trabalho na superfície inferior contêm informações especializadas da Plataforma de Proteção de Aplicativos Nativos da Nuvem (CNAPP) da Microsoft. Cada bloco representa uma categoria de carga de trabalho: Computação, Dados, Contêineres, IA, APIs, DevOps e CIEM (Gerenciamento de Direitos de Infraestrutura de Nuvem). Cada bloco mostra os principais problemas de segurança, o status de cobertura de proteção e links para exibições detalhadas dessa carga de trabalho. Por exemplo, o bloco Computação exibe resultados para máquinas virtuais e conjuntos de dimensionamento, o bloco Dados destaca as exposições de armazenamento e banco de dados, e o bloco IA mostra insights para o OpenAI do Azure, a Fábrica de IA do Azure e as implantações de agentes de IA.

Descubra cargas de trabalho de IA com gerenciamento de postura de segurança de IA.

GPSN do Defender descobre e inventaria continuamente recursos em seu ambiente de Azure — máquinas virtuais, contas de armazenamento, bancos de dados, contêineres e muito mais — fornecendo a base de cobertura de ativos para todas as recomendações de segurança e pontuação. Além da descoberta de recursos padrão, GPSN do Defender também fornece descoberta especializada para cargas de trabalho de IA generativas. Para a Contoso Healthcare, isso significa visibilidade de instâncias Serviço OpenAI do Azure, projetos Fábrica de IA do Azure e implantações Azure Machine Learning junto com sua infraestrutura clínica e administrativa, tudo sem a necessidade de configuração manual.

O sistema cria uma AI BOM (Cobrança de Materiais de IA) – um inventário abrangente de todos os componentes de aplicativos de IA, fontes de dados e artefatos que abrangem desde o código de desenvolvimento até a implantação em nuvem. Esse inventário captura não apenas os próprios serviços de IA, mas também as configurações de identidade, os padrões de acesso a dados, o status de exposição à Internet e os componentes de infraestrutura associados. Com a IA BOM, você entende a superfície de ataque completa de seus aplicativos de IA generativos.

GPSN do Defender também fornece descoberta de agentes de IA atualmente em versão prévia. O sistema identifica automaticamente agentes de IA implantados por meio de Fábrica de IA do Azure e Microsoft Copilot Studio, preenchendo o inventário de IA com detalhes sobre configurações, funcionalidades e conexões do agente.

Essa visibilidade das cargas de trabalho de IA torna-se a base para as recomendações de segurança específicas de IA que você avalia nas etapas subsequentes. A Contoso Healthcare agora pode ver exatamente onde seus aplicativos de IA são executados e quais componentes exigem atenção de segurança.

Entender a pontuação de segurança na nuvem

O Cloud Secure Score no portal Defender representa uma abordagem baseada em risco para medir sua postura de segurança. Ao contrário da pontuação de segurança clássica disponível no portal Azure, que usa um modelo baseado em controle que trata todas as recomendações com igual peso, a Pontuação segura de nuvem incorpora a criticidade do ativo e fatores de risco contextuais em seu cálculo.

O modelo baseado em risco avalia várias dimensões: se um ativo tem exposição à Internet, lida com dados confidenciais, se senta em possíveis caminhos de movimentação lateral ou representa um serviço comercial crítico. Uma conta de armazenamento configurada incorretamente que contém registros de integridade do cliente e exposta à Internet recebe maior ponderação de risco do que uma conta de armazenamento de desenvolvimento configurada incorretamente sem dados confidenciais. Essa análise contextual significa que sua pontuação reflete o risco real dos negócios, não apenas a conformidade de controle.

Pontuações mais altas indicam menor risco identificado. À medida que você corrige recomendações de maior risco, sua pontuação reflete o risco reduzido em todo o seu ambiente– concentre-se primeiro nos achados críticos e de alto risco, pois eles carregam o maior peso no cálculo. Para exibir essa pontuação no portal do Defender, navegue até o Gerenciamento de Exposições > Iniciativas > Cloud Security e selecione Abrir página de iniciativa. A página da iniciativa exibe sua pontuação atual, tendência histórica ao longo do tempo e detalhamento de pontuação por categoria de carga de trabalho.

Para equipes que trabalham principalmente no portal Azure, a pontuação de segurança clássica permanece disponível e continua funcionando como antes. No entanto, o Cloud Secure Score no portal Defender fornece uma avaliação de risco mais precisa considerando o contexto em torno de cada descoberta de segurança.