Isentar recursos das recomendações

Quando investiga as recomendações de segurança no Microsoft Defender para a Cloud, revê a lista de recursos afetados. Por vezes, encontras um recurso que não deveria estar na lista, ou uma recomendação que aparece num âmbito onde não pertence. Por exemplo, o Defender para a Cloud pode não acompanhar um processo de remediação, ou uma recomendação pode não se aplicar a uma subscrição específica. A sua organização pode decidir aceitar os riscos relacionados com o recurso ou recomendação específica.

Nesses casos, criar uma regra de isenção para:

• Isentar um recurso e removê-lo da lista de recursos não saudáveis e do impacto na pontuação segura. O Defender para a Cloud lista o recurso como Não aplicável e mostra a razão como Isento com a justificação que selecionar.

• Isenta uma subscrição ou grupo de gestão para evitar que a recomendação afete a tua pontuação segura ou apareça nesse âmbito. A isenção aplica-se a recursos existentes e a recursos que cria mais tarde. Defender para a Cloud assinala a recomendação com a justificação que selecionar para esse alcance.

Para cada âmbito, criar uma regra de isenção para:

• Marque uma recomendação específica como Mitigada ou Risco aceite para uma ou mais subscrições, ou para um grupo de gestão.

• Marque um ou mais recursos como Mitigados ou Riscos Aceites para uma recomendação específica.

A isenção de recursos está limitada a 5.000 recursos por subscrição. Se adicionar mais de 5.000 isenções por subscrição, pode ter problemas de carregamento na página de isenções.

Pré-requisitos

As isenções do Defender para a Cloud baseiam-se na iniciativa Microsoft Cloud Security Benchmark (MCSB). O MCSB deve ser atribuído à subscrição antes de criar isenções.

Pode criar isenções para recomendações que pertencem à iniciativa padrão do MCSB ou a outros padrões regulatórios incorporados. Algumas recomendações no MCSB não apoiam isenções. Pode encontrar uma lista destas recomendações nas perguntas frequentes sobre isenções.

Permissões:

Para criar isenções, precisa das seguintes permissões:

• Proprietário ou Administrador de Segurança , dependendo do âmbito onde cria a isenção.
• Para criar uma regra, precisa de permissões para editar políticas no Azure Policy. Para obter mais detalhes, veja permissões do Azure RBAC no Azure Policy.
• Deve ter autorização de isenção em todas as atribuições de iniciativa no âmbito alvo. Se várias iniciativas conterem uma recomendação, deve criar a isenção com permissões para todas elas. A ausência de permissão até para uma iniciativa pode fazer com que a isenção não funcione.

Precisa das seguintes ações de controlo de acesso baseado em funções (RBAC):

• As permissões ao nível de subscrição não herdam para os grupos de gestão. Se a atribuição de políticas for ao nível do grupo de gestão, precisas do papel atribuído a esse nível.

• Para gerir isenções para recursos específicos, precisa das ações RBAC exigidas ao nível do recurso ou grupo de recursos. Atribuições de funções com âmbito de subscrição podem não fornecer acesso suficiente para criar ou eliminar isenções em recursos individuais. Verifica se a tua atribuição de função cobre o âmbito do recurso que pretendes isentar.

• Quando criar uma isenção ao nível do grupo de gestão, assegure que o Fornecedor de Recursos de Segurança Microsoft Azure tem as permissões necessárias, atribuindo-lhe o papel de Reader nesse grupo de gestão. Conceda esta função da mesma maneira que concede permissões aos utilizadores.

Limitações:

• Não crias isenções para recomendações personalizadas.

• As recomendações de pré-visualização podem não suportar isenções. Verifica se a recomendação mostra uma etiqueta de Pré-visualização .

• Se desativares uma recomendação, também isentas todas as suas subrecomendações.

• As recomendações baseadas em Kusto Query Language (KQL) usam atribuições padrão e não utilizam eventos de isenção do Azure Policy nos Registos de Atividade. Para determinar se uma recomendação é baseada em KQL ou em políticas, abra a recomendação no portal e verifique o campo de chave de Avaliação . As recomendações baseadas em KQL mostram um formato padrão de chave de avaliação e não têm um link associado à definição do Azure Policy. As recomendações baseadas em políticas apresentam uma ligação direta à definição subjacente da política.

• Quando cria uma isenção no portal Defender para a Cloud, o Defender para a Cloud identifica todas as iniciativas que contêm a recomendação e cria automaticamente a isenção em todas elas. Se criar a isenção através da API do Azure Policy, terá de criar manualmente uma isenção separada para cada iniciativa. Para mais informações, consulte o FAQ sobre Isenções.

• Quando atribui uma nova iniciativa que contém uma recomendação com uma isenção existente, a isenção não se transfere para a nova iniciativa. Criar uma nova isenção para a recomendação ao abrigo da iniciativa recém-atribuída.

Definir uma isenção

Recomendamos a criação de isenções no portal Defender para a Cloud. As isenções criadas através da API do Azure Policy podem não integrar-se totalmente com o Defender para a Cloud. Podem causar resultados inesperados, como isenções que não se propagam a todas as iniciativas relevantes. Se precisar de usar a API, veja estrutura de isenções do Azure Policy.

Para criar uma regra de isenção:

1. Inicie sessão no portal Azure.

2. Vá paraRecomendações do >.

3. Selecione uma recomendação.

4. Selecione Isentar.

   

5. Selecione o âmbito da isenção.

   • Se selecionar um grupo de gestão, o Defender para a Cloud isenta a recomendação de todas as subscrições desse grupo.
   • Se criar esta regra para isentar um ou mais recursos da recomendação, escolha Recursos selecionados e selecione os recursos relevantes da lista.

6. Introduza um nome.

7. (Opcional) Defina uma data de validade.

8. Selecione a categoria para a isenção:

   • Resolvido através de serviço de terceiros (mitigado) – se usar um serviço que não seja Microsoft para remediação, que o Defender para a Cloud não acompanha.

   Note

   Quando isentas um recurso como mitigado, conta como saudável. Não ganhas pontos pela remediação, mas o Defender para a Cloud não desconta pontos por deixá-la pouco saudável, por isso os recursos isentos não baixam a tua pontuação.

   • Risco aceite (dispensa) – se decidir aceitar o risco de não mitigar esta recomendação.

9. Introduza uma descrição.

10. Selecione Criar.

    

Depois de criar a isenção

Uma isenção pode demorar até 24 horas a entrar em vigor. O Defender para a Cloud avalia recursos a cada 12 a 24 horas. Após a entrada em vigor da isenção:

• A recomendação ou os recursos não afetam a sua pontuação de segurança.

• Se isentar recursos específicos, o Defender para a Cloud lista-os no separador Não aplicável da página de detalhes de recomendação.

• Se isentar uma recomendação, o Defender para a Cloud oculta-a por defeito na página de Recomendações . Isto acontece porque o filtro padrão de estado de Recomendação exclui Recomendações Não aplicáveis . O mesmo comportamento ocorre se excluir todas as recomendações de um controlo de segurança.

Compreenda como o tipo de isenção afeta o estatuto de recomendação

O tipo de isenção que escolher determina como a isenção afeta a recomendação e a pontuação segura:

• Isenções mitigadas : Recursos isentos contam como saudáveis. A pontuação de segurança melhora.
• Isenções de renúncia: Recursos isentos são excluídos do cálculo da pontuação de segurança. Os recursos não contam para a pontuação segura, mas podem aparecer nas recomendações.

Verifique se a isenção está a funcionar

Se a recomendação ainda mostrar recursos como pouco saudáveis após 24 horas, consulte Resolver uma isenção que não atualize o estado da recomendação para passos detalhados.

Passo seguinte

Conteúdo relacionado

• Gerir recomendações de segurança falsos positivos para o Defender for Storage

As isenções ajudam as equipas de segurança a focar-se nos riscos que exigem ação, mantendo um registo regulado dos resultados que não requerem remediação. Use uma isenção quando uma constatação for revista e considerada um falso positivo, coberta por outro controlo, temporariamente adiada ou aceite como risco. Cada isenção regista o seu âmbito, condições de correspondência, justificação e período de revisão, ajudando a sua organização a reduzir o ruído operacional sem perder visibilidade ou prestação de contas.

Por que usar isenções?

As isenções oferecem uma alternativa estruturada à supressão informal de uma ocorrência de segurança. Eles ajudam as organizações:

• Concentre os recursos de remediação em descobertas de segurança que exijam ação.
• Aplicar uma decisão de risco documentada de forma consistente em todo o âmbito relevante.
• Reduza o trabalho repetitivo gerindo exceções através de regras centralizadas.
• Registar a justificação e o contexto de apoio necessários para a governação, auditoria e conformidade.
• Reavalie os riscos aceites através das datas de expiração e da revisão do ciclo de vida.
• Preservar o contexto de segurança dos resultados isentos nas experiências de investigação e de caminho de ataque.

Casos de uso

Crie uma exceção depois de uma constatação ter sido gerada e revista, e a sua organização determinar que a remediação não é atualmente necessária. Cenários comuns incluem:

• A deteção é um falso positivo.
• A organização analisou e aceitou o risco.
• Um controlo externo mitiga o risco.
• Já existe uma medida de mitigação alternativa implementada.
• A remediação é adiada por motivos comerciais ou técnicos documentados.

Remover uma regra ou criar uma exceção?

Tanto as políticas de recomendação como as isenções permitem controlar o comportamento das recomendações, mas servem propósitos de governação diferentes. Use uma alteração de política quando uma recomendação não deve ser avaliada para um âmbito específico. Use uma isenção quando a recomendação se mantiver válida, mas a remediação não for temporariamente necessária e deve ser acompanhada para fins de governação, auditoria ou conformidade.

Antes de começar

Verifique se um ambiente é gerido no Defender

As isenções criadas no Defender aplicam-se apenas a ativos que pertençam a ambientes geridos no Defender. Pode verificar a localização de gestão de qualquer uma das seguintes formas:

• Com base na experiência de recomendações, analise a propriedade Managed in e confirme que o valor é Defender.

• A partir da gestão do ambiente cloud, abra a página cloud Gestão do ambiente e confirme que o ambiente aplicável está gerido no Defender.

Se uma descoberta afetar os ativos geridos no Azure, tem duas opções:

• Ligue o ambiente ao Defender e continue a gerir isenções através do Defender.
• Crie a exceção no Azure.

Permissions

O controlo unificado de acesso baseado em funções (RBAC) do Microsoft Defender controla o acesso às isenções:

Para delegar a gestão de isenções, vá a System>Permissions>Microsoft Defender XDR>Roles no portal Microsoft Defender e crie ou atualize um papel com a permissão e âmbito necessários.

Criar uma isenção

Vá a Gestão de Exposição>Políticas>Isenção, e depois selecione Criar Isenção. O processo de criação inclui quatro decisões:

Após a submissão da exceção, o Microsoft Defender processa a exceção e atualiza as deteções correspondentes. As alterações ao estado da deteção, aos cálculos de exposição e às métricas de postura relacionadas poderão não ser refletidas imediatamente.

Crie uma exceção de uma recomendação

Também pode criar uma isenção diretamente de uma recomendação. Quando lançado a partir de uma recomendação, o Defender pré-prepreenche automaticamente as condições de isenção com base na recomendação selecionada para reduzir o esforço de configuração e garantir que a isenção visa a deteção pretendida:

O que é o pré-preenchimento?

• A condição de isenção é automaticamente definida como Por recomendação e baseia-se na recomendação a partir da qual a isenção foi criada. Esta condição não pode ser alterada durante o fluxo de criação.
• O âmbito é automaticamente preenchido com os recursos selecionados quando a isenção foi criada. Pode refinar, restringir ou expandir o âmbito conforme necessário antes de submeter o pedido de isenção.

Se a seleção incluir ativos geridos pelo Defender e geridos pelo Azure, a isenção do Defender aplica-se apenas aos ativos geridos pelo Defender suportados. Gerir os ativos restantes no Azure ou transferir o ambiente relevante para a gestão do Defender.

Gerir o ciclo de vida das isenções

Use a página de regras de isenção para rever as decisões da organização sobre isenções e gerir o seu ciclo de vida.

• Editar uma regra quando o seu âmbito, condições de correspondência, justificação, proprietário ou período de revisão mudam.
• Elimine uma regra quando a exceção deixa de ser válida e os resultados correspondentes devem regressar ao rastreio ativo da remediação.
• Revise as regras prestes a expirar antes do fim do período de risco aprovado.
• Revise regras expiradas como prova histórica de decisões anteriores e determine se é necessária uma nova avaliação.

Quando uma exceção é eliminada ou atinge a sua data de validade, o Microsoft Defender reavalia automaticamente as deteções afetadas. Quaisquer achados que ainda necessitem de remediação regressam ao estado Active e, mais uma vez, contribuem para os cálculos de postura e risco. As conclusões que já não são aplicáveis permanecem inalteradas.

Compreenda o efeito de uma isenção

Quando uma isenção está ativa, os resultados correspondentes são marcados como Isento. A isenção altera a forma como o resultado é tratado, mas não remove o resultado, as suas evidências de suporte ou a sua relação com outros sinais de segurança.

Os resultados isentos continuam disponíveis ao longo das experiências de investigação e análise detalhada do Microsoft Defender. Dependendo dos filtros atuais, as ocorrências isentas podem estar ocultas por predefinição. Para as rever, atualize o filtro de estado para incluir as conclusões Isentas.

Impacto da pontuação

Os resultados isentos são excluídos dos cálculos da pontuação de segurança aplicável enquanto a isenção estiver ativa. O impacto na pontuação depende do âmbito da isenção e da experiência do produto.

Caminhos de ataque

Isentar uma recomendação não a remove dos caminhos de ataque associados. O Microsoft Defender continua a incluir a recomendação na análise do caminho de ataque e identifica-a claramente como Exempted. Isto ajuda as equipas de segurança a compreender o impacto potencial do risco aceite, a manter a visibilidade sobre como a recomendação contribui para a exposição global e a reavaliar a exceção caso a postura de segurança ou os requisitos empresariais mudem.

Isenções existentes do Azure e a transição para o Defender

Esta secção é principalmente relevante para organizações que historicamente geriam recomendações e isenções no Azure e que agora estão a transitar os seus ambientes para serem geridos no Defender. Durante esta transição, a Microsoft preserva as configurações existentes de isenção do Azure enquanto estabelece o Defender como o local central para gerir novas decisões de isenção.

Como funciona a titularidade da isenção

Microsoft Defender e Azure podem coexistir durante o período de transição. Embora as regras de isenção continuem a pertencer ao portal onde foram originalmente criadas, o estatuto de recomendação mantém-se consistente entre as experiências.

• As regras de isenção criadas no Azure continuam a ser geridas no Azure.
• As regras de isenção criadas no Defender são geridas a partir da página Exemption rules no Defender.
• As definições das regras de isenção não são sincronizadas nem copiadas entre o Azure e o Defender.
• Tanto as isenções do Azure como do Defender afetam as recomendações correspondentes.
• O estado de recomendação e o estado de isenção mantêm-se consistentes independentemente de qual portal detém a regra de isenção.

Isenções existentes do Azure

Quando um ambiente se torna Gerido no Defender, a Microsoft continua a respeitar regras de isenção que foram anteriormente criadas no Azure.

• As isenções existentes do Azure continuam a influenciar os cálculos do estado da recomendação e da postura.
• As equipas de segurança podem continuar a editar ou remover estas isenções no Azure.
• Estas isenções criadas pelo Azure não aparecem como regras de isenção geríveis no Defender.

Esta abordagem permite que as organizações migrem para o Defender sem perturbar as decisões existentes de aceitação de riscos ou exigir a migração imediata das regras históricas de exceção.

Criação de novas isenções

Depois de um ambiente se tornar Gerido no Defender, novas exceções para esse âmbito devem ser criadas no Defender. Novas isenções do Azure não podem ser criadas para esses escopos através da experiência de portal suportada.

Este modelo de propriedade dá às equipas de segurança controlo centralizado sobre novas decisões de isenção, preservando as configurações existentes do Azure. Também impede que as equipas criem novas regras concorrentes para o mesmo âmbito gerido pelo Defender em portais diferentes.

Limitations

As seguintes limitações aplicam-se à gestão de isenções no portal Microsoft Defender:

• As isenções existentes do Azure continuam a ser respeitadas depois de um ambiente ser gerido no Defender, mas não são automaticamente migradas para o portal do Defender.
• O processamento, atualizações de estado, recálculo de pontuação e propagação de estado entre portais não são imediatos e requerem tempo adicional de processamento.

Porquê usar a gestão de isenções no Microsoft Defender?

As organizações que optam por gerir a sua postura cloud no Microsoft Defender podem beneficiar de uma experiência centralizada de gestão de isenções integrada diretamente em todo o fluxo de trabalho de gestão de exposição. O Azure continua a suportar a gestão de isenções, enquanto o Defender oferece uma experiência unificada para organizações que procuram gerir a postura de segurança em todas as cargas de trabalho e decisões relacionadas a partir de um único local.

• Escopos flexíveis: O Defender permite que as organizações criem isenções abrangendo ambientes e ativos suportados, proporcionando mais flexibilidade na seleção de escopos do que o âmbito tradicional baseado em hierarquia no Azure.
• Redução da sobrecarga administrativa: Regras de isenção centralizadas e reutilizáveis ajudam a reduzir o número de isenções que precisam de ser criadas e mantidas em múltiplas subscrições, grupos de gestão e âmbitos do Azure.
• Permissões de segurança detalhadas: O Microsoft Defender XDR unificado RBAC permite que as organizações separem as permissões de leitura e gestão e deleguem a gestão de isenções a equipas de segurança específicas sem dependerem apenas de funções administrativas do Azure.
• Governação do ciclo de vida por design: Embora o Azure também suporte a gestão de isenções, o Defender oferece uma experiência de governação mais focada na segurança. As isenções incluem períodos de revisão e datas obrigatórias de expiração, facilitando o acompanhamento, revisão e validação de decisões temporárias de aceitação de riscos durante auditorias e avaliações de conformidade. As equipas de segurança podem facilmente identificar isenções que se aproximam do prazo, rever isenções expiradas e reavaliar periodicamente os riscos aceites.
• Processamento de isenções mais rápido: As isenções criadas no Defender refletem-se normalmente no estado de recomendação, cálculos de pontuação e experiências relacionadas mais rapidamente do que as isenções equivalentes no Azure. A Microsoft continua a melhorar a eficiência do processamento para reduzir ainda mais o tempo necessário para que as alterações das isenções entrem em vigor.

Conteúdo relacionado

• controlo de acesso baseado em funções (RBAC) unificado do Microsoft Defender
• Gerir políticas de posture