Ativar acesso em tempo real

Defender para Servidores no Microsoft Defender para a Cloud disponibiliza uma funcionalidade de acesso just-in-time (JIT) às máquinas.

Pode usar o acesso just-in-time do Microsoft Defender para a Cloud para proteger as suas máquinas virtuais Azure (VMs) de acessos não autorizados à rede. Os firewalls frequentemente incluem regras de permissão que deixam as VMs expostas. O JIT permite o acesso apenas quando necessário, nas portas exigidas e durante o tempo exigido.

Neste artigo, você aprenderá a configurar e usar o acesso just-in-time, incluindo como:

• Habilite o Just-in-Time nas VMs através do portal do Azure ou de forma programática.
• Solicitar acesso a uma VM que tenha acesso just-in-time ativado no portal do Azure ou programaticamente
• Audite a atividade de acesso just-in-time para garantir que suas VMs estejam protegidas adequadamente

Pré-requisitos

• Ative o Microsoft Defender for Servers Plan 2 na subscrição.

• VMs suportadas: VMs implementadas através do Azure Resource Manager, VMs protegidas pelo Azure Firewall na mesma rede virtual (VNet) da VM, e instâncias AWS EC2 (Preview).

• VMs sem suporte: VMs implantadas com modelos de implantação clássicos, VMs protegidas por Firewalls do Azure controladas pelo Gerenciador de Firewall do Azure.

• Para configurar o acesso just-in-time nas suas VMs AWS, ligue a sua conta AWS ao Defender para a Cloud.

• Para criar uma política JIT, o nome da política, juntamente com o nome da VM alvo, não pode exceder os 56 caracteres.

• Precisas das permissões Reader e SecurityReader para visualizar o estado e os parâmetros do JIT. Um cargo personalizado também pode fornecer este acesso.

• Para um papel personalizado, atribua as permissões resumidas na tabela seguinte. Para criar uma função menos privilegiada para usuários que só precisam solicitar acesso JIT a uma VM, use o scriptSet-JitLeastPrivilegedRole.

Trabalhar com acesso a VM JIT usando o Microsoft Defender para a Cloud

Pode usar o Defender para a Cloud ou ativar programaticamente o acesso à VM JIT com as suas próprias opções personalizadas. Também pode ativar o JIT com parâmetros predefinidos e codificados diretamente das máquinas virtuais do Azure.

O acesso a VMs just-in-time mostra suas VMs agrupadas em:

• Configuradas: VMs configuradas para permitir acesso just-in-time às VMs. Esta perspetiva mostra:

  • o número de pedidos de EIC aprovados nos últimos sete dias;
  • a data e hora do último acesso
  • os detalhes da conexão configurados
  • o último utilizador

• Não configurado: VMs sem JIT ativado, mas que suportem JIT. Ativa o JIT para estas VMs.

• Não suportado: VMs que não suportam JIT porque:

  • Grupo de segurança de rede (NSG) ou Azure Firewall em falta. O JIT requer que um NSG seja configurado ou uma configuração de firewall, ou ambos.
  • Máquina virtual clássica. O JIT suporta VMs que são implementadas através do Resource Manager.
  • Outro. A solução JIT está desativada na política de segurança da subscrição ou do grupo de recursos.

Habilite o JIT em suas VMs do Microsoft Defender para a Cloud

No Defender para a Cloud, você pode habilitar e configurar o acesso à VM JIT.

Para ativar o JIT nas suas VMs a partir do Defender para a Cloud:

1. Abra as proteções de carga de trabalho e, nas proteções avançadas, selecione Acesso à VM just-in-time.

   

2. Na guia Máquinas virtuais não configuradas , marque as VMs a serem protegidas com JIT e selecione Habilitar JIT em VMs.

   A página de acesso à VM JIT é aberta listando as portas que o Defender para a Cloud recomenda proteger:

   • 22 - SSH
   • 3389 - RDP
   • 5985 - WinRM
   • 5986 - WinRM

   Para personalizar o acesso JIT:

   1. Selecione Adicionar.

   2. Selecione uma das portas na lista para editá-la ou insira outras portas. Para cada porta, você pode definir:

      • Protocol
      • IPs de origem permitidos
      • Tempo máximo de solicitação

   3. Selecione OK.

3. Para salvar a configuração da porta, selecione Salvar.

Editar a configuração JIT em uma VM habilitada para JIT usando o Defender para a Cloud

Você pode modificar a configuração just-in-time de uma VM adicionando e configurando uma nova porta para proteger essa VM ou alterando qualquer outra configuração relacionada a uma porta já protegida.

Para editar as regras JIT existentes para uma VM:

1. Abra as proteções de carga de trabalho e, nas proteções avançadas, selecione Acesso à VM just-in-time.

2. Na guia Máquinas virtuais configuradas , clique com o botão direito do mouse em uma VM e selecione Editar.

3. Na configuração de acesso à VM JIT, edite a lista de portas ou selecione Adicionar para uma nova porta personalizada.

4. Quando terminar de editar as portas, selecione Guardar.

Solicitar acesso a uma VM habilitada para JIT do Microsoft Defender para a Cloud

Quando uma VM tem o JIT ativado, precisas de pedir acesso para te ligares a ela. Pode pedir acesso de qualquer forma suportada, independentemente de como ativou o JIT.

Para solicitar acesso a uma VM habilitada com JIT ao Defender para a Cloud:

1. Na página Acesso à VM just-in-time, selecione o separador Configurado.

2. Selecione as VMs que você deseja acessar.

   • O ícone na coluna Detalhes da Conexão indica se o JIT está habilitado no security group ou firewall da rede. Se estiver ativado em ambos, apenas o ícone do firewall será exibido.

   • A coluna Detalhes da Conexão mostra o usuário e as portas que podem acessar a VM.

3. Selecione Solicitar acesso. A janela Solicitar acesso é aberta.

4. Em Solicitar acesso, selecione as portas que deseja abrir para cada VM, os endereços IP de origem nos quais deseja abrir a porta e a janela de tempo para abrir as portas.

5. Selecione Abrir portas.

   Note

   Se um utilizador que está a pedir acesso estiver atrás de um proxy, introduza o intervalo de endereços IP do proxy.

Outras maneiras de trabalhar com acesso a VM JIT

Também pode gerir o acesso just-in-time a VMs através de máquinas virtuais Azure, PowerShell ou da API REST.

Máquinas virtuais do Azure

As tarefas seguintes mostram como ativar e solicitar o acesso JIT a partir da experiência das máquinas virtuais Azure no portal Azure.

Habilite o JIT em suas VMs a partir de máquinas virtuais do Azure

Você pode habilitar o JIT em uma VM nas páginas de máquinas virtuais do Azure do portal do Azure.

Para ativar o JIT numa VM a partir de máquinas virtuais Azure:

1. No portal do Azure, procure e selecione Máquinas virtuais.

2. Selecione a máquina virtual que deseja proteger com JIT.

3. No menu, selecione Configuração.

4. Em Acesso just-in-time, selecione Ativar just-in-time.

   Por padrão, o acesso just-in-time para a VM usa estas configurações:

   • Máquinas Windows:
     • Porta RDP: 3389
     • Acesso máximo permitido: 3 horas
     • Endereços IP de origem permitidos: Qualquer
   • Máquinas Linux:
     • Porta SSH: 22
     • Acesso máximo permitido: 3 horas
     • Endereços IP de origem permitidos: Qualquer

5. Para editar qualquer um desses valores ou adicionar mais portas à sua configuração JIT, use a página just-in-time do Microsoft Defender para a Cloud:

   1. No menu do Defender para a Cloud, selecione Just-in-time VM access.

   2. Na guia Configurado , clique com o botão direito do mouse na VM à qual você deseja adicionar uma porta e selecione Editar.

      

   3. Em Configuração de acesso à VM JIT, você pode editar as configurações existentes de uma porta já protegida ou adicionar uma nova porta personalizada.

   4. Quando terminar de editar as portas, selecione Guardar.

Solicitar acesso a uma VM habilitada para JIT na página de conexão da máquina virtual do Azure

Quando uma VM tem o JIT ativado, precisas de pedir acesso para te ligares a ela. Pode pedir acesso de qualquer forma suportada, independentemente de como ativou o JIT.

Para solicitar acesso de máquinas virtuais do Azure:

1. No portal do Azure, abra as páginas de máquinas virtuais.

2. Selecione a VM à qual você deseja se conectar e abra a página Conectar .

   O Azure verifica se o JIT está habilitado nessa VM.

   • Se o JIT não estiver habilitado para a VM, você será solicitado a habilitá-lo.
   • Se o JIT estiver ativado, selecione Solicitar acesso para passar um pedido de acesso com o IP solicitante, intervalo de tempo e portas que configurou para essa VM.

PowerShell

Também pode ativar e solicitar acesso ao JIT usando os cmdlets do PowerShell.

Habilitar o JIT em suas VMs usando o PowerShell

Para habilitar o acesso just-in-time a VMs a partir do PowerShell, use o cmdlet oficial do Microsoft Defender para a Cloud PowerShell.

Para configurar o JIT numa VM com PowerShell:

Este exemplo permite o acesso just-in-time à VM numa VM específica com as seguintes regras:

• Feche as portas 22 e 3389
• Defina uma janela de tempo máxima de 3 horas para cada um para que possam ser abertos por solicitação aprovada
• Permitir que o usuário que está solicitando acesso controle os endereços IP de origem
• Permitir que o usuário que está solicitando acesso estabeleça uma sessão bem-sucedida mediante uma solicitação de acesso just-in-time aprovada

Os seguintes comandos do PowerShell criam essa configuração JIT:

1. Atribua uma variável que contenha as regras de acesso de VM just-in-time para uma VM:

   $JitPolicy = (@{
       id="/subscriptions/SUBSCRIPTIONID/resourceGroups/RESOURCEGROUP/providers/Microsoft.Compute/virtualMachines/VMNAME";
       ports=(@{
           number=22;
           protocol="*";
           allowedSourceAddressPrefix=@("*");
           maxRequestAccessDuration="PT3H"},
           @{
           number=3389;
           protocol="*";
           allowedSourceAddressPrefix=@("*");
           maxRequestAccessDuration="PT3H"})})
   

2. Insira as regras de acesso just-in-time da VM numa matriz.

   $JitPolicyArr=@($JitPolicy)
   

3. Configure as regras de acesso à VM just-in-time na VM selecionada:

   Set-AzJitNetworkAccessPolicy -Kind "Basic" -Location "LOCATION" -Name "default" -ResourceGroupName "RESOURCEGROUP" -VirtualMachine $JitPolicyArr
   

   Use o -Name parâmetro para especificar o nome da política JIT para cada VM. Por exemplo, para estabelecer a configuração JIT para duas VMs diferentes, VM1 e VM2, use: Set-AzJitNetworkAccessPolicy -Name VM1 e Set-AzJitNetworkAccessPolicy -Name VM2.

Solicitar acesso a uma VM habilitada para JIT usando o PowerShell

No exemplo a seguir, você pode ver uma solicitação de acesso de VM just-in-time a uma VM específica para a porta 22, para um endereço IP específico e para um período de tempo específico:

Para solicitar acesso a uma VM habilitada para JIT usando PowerShell, execute os seguintes comandos:

1. Configure as propriedades de acesso para pedidos de VM:

   $JitPolicyVm1 = (@{
       id="/subscriptions/SUBSCRIPTIONID/resourceGroups/RESOURCEGROUP/providers/Microsoft.Compute/virtualMachines/VMNAME";
       ports=(@{
           number=22;
           endTimeUtc="2020-07-15T17:00:00.3658798Z";
           allowedSourceAddressPrefix=@("IPV4ADDRESS")})})
   

2. Insira os parâmetros de solicitação de acesso da VM em uma matriz:

   $JitPolicyArr=@($JitPolicyVm1)
   

3. Envie o pedido de acesso (utilize o ID do recurso do passo 1)

   Start-AzJitNetworkAccessPolicy -ResourceId "/subscriptions/SUBSCRIPTIONID/resourceGroups/RESOURCEGROUP/providers/Microsoft.Security/locations/LOCATION/jitNetworkAccessPolicies/default" -VirtualMachine $JitPolicyArr
   

Saiba mais na documentação do cmdlet do PowerShell.

API REST

Pode gerir o acesso ao JIT VM de forma programática usando a API REST do Microsoft Defender para a Cloud.

Habilite o JIT em suas VMs usando a API REST

A funcionalidade de acesso just-in-time à VM pode ser usada com a API Microsoft Defender para a Cloud. Use essa API para obter informações sobre VMs configuradas, adicionar novas, solicitar acesso a uma VM e muito mais.

Para mais informações, consulte as políticas de acesso à rede JIT.

Solicitar acesso a uma VM habilitada para JIT usando a API REST

A funcionalidade de acesso just-in-time à VM pode ser usada com a API Microsoft Defender para a Cloud. Use essa API para obter informações sobre VMs configuradas, adicionar novas, solicitar acesso a uma VM e muito mais.

Para mais informações, consulte as políticas de acesso à rede JIT.

Auditar a atividade de acesso JIT no Defender para a Cloud

Use a pesquisa de registos para rever a atividade das VMs. Para visualizar os logs:

1. Em Acesso à VM just-in-time, selecione a guia Configurado .

2. Para a VM que pretende auditar, abra o menu de opções no final da linha.

3. Selecione Registro de atividades no menu.

   

   O log de atividades fornece uma exibição filtrada de operações anteriores para essa VM, juntamente com hora, data e assinatura.

4. Para baixar as informações de log, selecione Baixar como CSV.

Passo seguinte