Transição de recomendações agrupadas para individuais no Defender para a Cloud

Overview

O Microsoft Defender para a Cloud completou a transição de recomendações agrupadas, também conhecidas como subavaliações, para recomendações individuais.

As recomendações individuais fornecem uma visão mais detalhada das conclusões de segurança. Em vez de agregar múltiplos achados sob uma recomendação agrupada, cada achado é representado como uma recomendação individual que pode ser investigada, priorizada e remediada separadamente.

As recomendações agrupadas foram descontinuadas a 31 de julho de 2026. Os clientes devem usar recomendações individuais como modelo principal para investigação e remediação.

Este artigo explica o impacto operacional da transição e como atualizar fluxos de trabalho existentes, consultas, regras de governação, isenções e configurações contínuas de exportação.

Se precisar de atualizar configurações ou consultas existentes, utilize a referência de transição por recomendação no final deste artigo. Mapeia cada recomendação agrupada obsoleta ao seu ID de recomendação e à categoria atual de recomendação ou recomendação de substituição.

Recomendações agrupadas vs. individuais

A tabela seguinte resume as diferenças comportamentais e operacionais entre recomendações agrupadas e individuais.

Exemplos de mudanças de modelação:

• Vulnerabilidades na VM → Recomendação por atualização de software.
• Segredos → Recomendação por chave/tipo de segredo.
• Regras SQL VA → Cada regra torna-se uma recomendação independente.

Adoção de recomendações individuais

Boas práticas: Use recomendações individuais como modelo principal para investigação e remediação.

As recomendações individuais são o modelo atual de postura no Defender para a Cloud. Proporcionam benefícios claros:

• Priorização detalhada e precisa – Cada conclusão é avaliada individualmente, ajudando-o a focar-se no que reduz o risco mais rapidamente.

• Maior clareza e governação – A responsabilidade, as isenções e os fluxos de trabalho podem ser aplicados ao nível correto (conforme a conclusão).

• Consistência em Defender – Um modelo único e unificado daqui para a frente.

• À prova de futuro – Este é o modelo que continuará a evoluir e a ser totalmente suportado.

O que mudou

• Cada conclusão surge como uma recomendação separada.
• O volume de recomendação pode ser maior porque os resultados são representados individualmente.
• A priorização é aplicada ao nível da descoberta individual.

Por onde começar

• Comece a rever e triar as recomendações individuais para o trabalho diário de segurança
• Use recomendações individuais para impulsionar investigação, remediação, propriedade e isenções
• Espere uma lista de tarefas mais detalhada e útil em comparação com recomendações agrupadas.

Exemplo de transição: gestão de vulnerabilidades

A gestão de vulnerabilidades é uma das áreas mais comuns onde a transição tem impacto operacional direto. Para muitas equipas de segurança e conformidade, consultar e monitorizar vulnerabilidades das máquinas é um fluxo de trabalho diário central. O exemplo seguinte mostra o que muda e como se deve adaptar.

Antes (modelo de recomendações agrupadas):

A recomendação As máquinas devem ter os resultados de vulnerabilidades resolvidos agregou todos os resultados de vulnerabilidades em todas as suas máquinas numa única entrada por máquina. Consultaste isto usando subavaliações no Azure Resource Graph, filtrando por ID de recomendação e tipo de recurso.

Depois (modelo de recomendações individuais):

Cada recomendação individual tem uma lista de descobertas de vulnerabilidades. Em vez de uma entrada agregada por máquina, vê deteções individuais para cada pacote de software vulnerável, abrangendo VMs do Azure, nós do AKS, instâncias do EC2, instâncias do GCP e contentores, nas categorias de recomendação SoftwareUpdate e ServiceUpgrade.

Atualize as suas consultas no Azure Resource Graph

Consulta antiga (recomendações agrupadas):

securityresources
| where type =~ "microsoft.security/assessments/subassessments"
| where id contains "1195afff-c881-495e-9bc5-1486211ae03f"
| where properties.resourceDetails.id contains "microsoft.compute/virtualmachines"
| extend DisplayName = tostring(properties.displayName)
| extend Severity = tostring(properties.status.severity)
| extend SoftwareVersion = tostring(properties.additionalData.softwareVersion)
| extend RecommendedVersion = tostring(properties.additionalData.recommendedVersion)
| mv-expand CVE = properties.additionalData.cve
| extend CVE_Title = tostring(CVE["title"])
| project DisplayName, Severity, SoftwareVersion, RecommendedVersion, CVE_Title

Nova consulta (recomendações individuais):

securityresources
| where type == "microsoft.security/assessments"
| where properties.resourceDetails.ResourceType =~ "microsoft.compute/virtualmachines"
| where properties.metadata.recommendationCategory == "SoftwareUpdate"
| extend DisplayName = tostring(properties.displayName)
| extend Severity = tostring(properties.metadata.severity)
| extend DetectedVersions = tostring(properties.additionalData.DetectedSoftwareVersions)
| extend FixedVersion = tostring(properties.additionalData.FixedVersion)
| extend CvesDetails = parse_json(tostring(properties.additionalData.CvesDetails))
| mv-expand CveDetail = CvesDetails
| extend CveId = tostring(CveDetail.CveId)
| project DisplayName, Severity, DetectedVersions, FixedVersion, CveId

securityresources
| where type =~ "microsoft.security/cvedetails"

Alterações de campo chave entre os dois esquemas:

Investigar e priorizar em grande escala

As recomendações individuais introduzem uma maior granularidade. Para o ajudar a focar-se nas questões que mais importam e a lidar com a maior granularidade das recomendações individuais, o Defender para a Cloud disponibiliza várias ferramentas e opiniões concebidas para o ajudar numa investigação eficaz.

Separadores de categoria

• Inicie investigações dentro da categoria de segurança mais relevante para a propriedade ou domínio de risco da sua equipa
• Use categorias para reduzir o ruído e o esforço de foco

As categorias disponíveis incluem:

• Todos – Vista completa da posição corporal
• Configurações incorretas – Riscos baseados na configuração
• Vulnerabilidades – Vulnerabilidades de software e plataforma
• Segredos – Chaves e segredos expostos

Priorizar questões de alto impacto

Boas práticas: Faça dos níveis Críticos e de Alto Risco a sua visão operacional padrão.

• Recomendações de filtro por nível de risco
• Aborde primeiro questões de alto impacto para reduzir o risco rapidamente

Utilizar eficazmente as vistas de agregação

As vistas agregadas ajudam a alinhar a remediação com o seu fluxo de trabalho:

• Ver por título
  • Mostrar todos os recursos para uma única recomendação
  • Adequado para remediação em massa em múltiplos recursos
• Ver por recurso
  • Mostra todas as recomendações para um único ativo
  • Adequado para investigação a nível de ativos ou isolamento de máquinas de alto risco

Escolha a agregação que corresponde à tarefa:

• Remediação generalizada de problemas: Ver por título
• Investigação de ativos: Visualizar por recurso

Como gerir as novas recomendações individuais

Com a transição para recomendações individuais concluída, o Microsoft Defender para a Cloud continua a suportar regras de Governação, exportação contínua e Isenções. A principal mudança é a forma como estas ações são definidas.

As recomendações individuais são criadas por atualização de software, segredo ou tipo de problema. Como são geradas de acordo com o estado atual dos seus recursos, as ações deixam de ser aplicadas a uma única recomendação estática. Em vez disso, as ações de gestão são agora aplicadas ao nível da categoria de recomendação .

As regras de governação, a exportação contínua e as Isenções continuam a funcionar como atualmente, mas, em vez de terem como destino uma chave de recomendação agrupada, passam agora a ter como destino uma categoria de recomendação. Cada categoria inclui automaticamente todas as recomendações individuais atuais e futuras desse tipo.

A experiência de gestão atualizada está disponível em Definições de Ambiente, nas regras de Governação e regras de Isenção, onde pode aplicar atribuição de propriedade, automação ou isenções de forma consistente numa categoria inteira de recomendações individuais.

Comportamento clássico de pontuação segura após a transição

Após a transição de recomendações agrupadas para recomendações individuais, alguns controlos clássicos de pontuação segura no portal Azure podem ser afetados por resultados que agora são representados através do modelo de recomendações individuais.

Em alguns casos, um recurso pode parecer pouco saudável num controlo de pontuação seguro, mesmo que a recomendação agrupada anterior já não seja visível sob esse controlo.

Quando isto ocorre, os recursos aplicáveis têm resultados de segurança associados que contribuem para o indicador de postura dessa área. Para investigar as conclusões subjacentes, mude para a vista de Risco, que é a vista recomendada para rever e priorizar os resultados.

A vista de risco fornece a experiência atual e detalhada de recomendação e ajuda-o a identificar as conclusões específicas que devem ser revistas ou remediadas.

Este comportamento é esperado como parte da transição para recomendações individuais. A clássica pontuação segura no portal Azure foi concebida para se manter funcionalmente estável durante esta transição, enquanto os clientes passam para o modelo de recomendações individuais para investigação e remediação.

Corrigir vulnerabilidades

Ativar a gestão de acessos

As seguintes recomendações foram substituídas por recomendações únicas novas. Use a nova chave de avaliação para futuras configurações de governação, isenção e exportação.

Implementar as melhores práticas de configuração de segurança

Aplicar atualizações do sistema

Se um destes controlos de pontuação segura mostrar recursos pouco saudáveis mas a recomendação agrupada subjacente não for visível, reveja os resultados aplicáveis na vista de Risco. Os resultados são representados através do atual modelo de recomendações individuais, em vez da experiência de recomendação agrupada obsoleta.

O que deves fazer agora

• Use recomendações individuais como modelo principal para investigação e remediação.
• Use a perspetiva de risco para identificar e priorizar os achados associados a recursos pouco saudáveis.
• Atualize consultas do Azure Resource Graph, regras de governação, configurações de exportação contínua e fluxos de trabalho de isenção que dependiam de recomendações agrupadas ou subavaliações.
• Use categorias de recomendação, como SoftwareUpdate, SystemUpdate, HostMisconfigurations, e ExposedSecrets, quando aplicável.
• Espera-se que o volume de recomendações aumente em algumas áreas porque os resultados individuais fornecem mais detalhes acionáveis. Este aumento não indica necessariamente que o risco aumentou.
• Use a referência de transição de recomendação para identificar a categoria atual de recomendação ou recomendação de substituição.
• Completa a tua migração das regras de desativação para as isenções.

Referência de transição recomendada

Use esta referência para mapear cada recomendação agrupada obsoleta ao seu ID de recomendação e à categoria atual de recomendação ou recomendação de substituição. As recomendações estão organizadas por produto. Esta é a sua referência para:

• A atualização das regras de governação, das regras de isenção e da exportação contínua — passa agora a apontar para uma categoria de recomendação em vez de uma chave de recomendação específica. Encontre a categoria para cada recomendação que gere atualmente, depois atualize as suas configurações para usar essa categoria.
• Migrar consultas — substitua os IDs de recomendação agrupados pelo tipo de recurso microsoft.security/assessments e filtre por properties.metadata.recommendationCategory. A coluna do ID da recomendação permite-lhe confirmar se está a selecionar as recomendações corretas.

Cada recomendação agrupada transitava para um de dois estados finais:

• Substituída por recomendações individuais — A recomendação agrupada é substituída por recomendações individuais geradas dinamicamente por cada conclusão. Atualize as regras de governação, isenções e exportação contínua para direcionar a categoria de Recomendação em vez do ID de recomendação.
• Substituída por uma única nova recomendação — A recomendação agrupada é substituída por uma nova recomendação individual específica com um ID de recomendação fixo. A categoria de recomendação aparece como Desconhecida. Atualize as suas configurações para usar diretamente o novo ID de recomendação — não use o filtro de categoria para estas recomendações.

Microsoft Defender para Servidores

As seguintes recomendações agrupadas foram transferidas sob o Microsoft Defender para Servidores.

Como rever as conclusões: Remediar vulnerabilidades de máquinas

Substituído por recomendações individuais — atualização das regras de governação, isenções e exportação contínua para utilizar a categoria de recomendação:

Substituídas por recomendações individuais — as seguintes recomendações agrupadas estão obsoletas e não têm uma única substituição direta. São substituídas por novas recomendações individuais agora disponíveis no Defender para a Cloud.

Novas recomendações individuais

Microsoft Defender para Bases de Dados

As seguintes recomendações SQL agrupadas foram transferidas sob Microsoft Defender para Bases de Dados. Após a transição, cada regra de avaliação de vulnerabilidades SQL aparece como uma recomendação individual reportada no recurso da base de dados em vez do recurso servidor. Para analisar as conclusões de uma base de dados SQL do Azure, abra o recurso no portal Azure, vá ao Microsoft Defender para a Cloud e selecione a descoberta específica para ver a descrição da regra, gravidade e orientação para remediação. Para servidores SQL em máquinas, abra a página de Recomendações no Defender para a Cloud, encontre a recomendação individual relevante e siga os mesmos passos de remediação.

Aprenda sobre abordagens de remediação e como rever os resultados.

Recomendações obsoletas — as seguintes recomendações agrupadas estão obsoletas e não têm uma única substituição direta. São substituídas pelas novas recomendações individuais de avaliação de vulnerabilidades SQL agora disponíveis no Defender para a Cloud. Para a lista completa, consulte regras de avaliação de vulnerabilidades SQL e mapeamento de recomendações.

Microsoft Defender para contentores

As seguintes recomendações agrupadas foram transferidas sob o Microsoft Defender for Containers. Após a transição, as descobertas de vulnerabilidades dos contentores aparecem como recomendações individuais, com cada camada ou pacote de imagem vulnerável a emergir como uma descoberta separada.

Como analisar os resultados: Veja e corrija vulnerabilidades em contentores em execução em clusters do Kubernetes | Veja e corrija os resultados da avaliação de vulnerabilidades para imagens do registo de imagens

Substituído por recomendações individuais — atualização das regras de governação, isenções e exportação contínua para utilizar a categoria de recomendação:

Microsoft Defender para DevOps

As seguintes recomendações agrupadas foram integradas no âmbito do Microsoft Defender para DevOps. Após a transição, os resultados individuais da análise de código, das vulnerabilidades de dependências, dos segredos, dos problemas de infraestrutura como código e da segurança de API aparecem nas categorias de recomendação relevantes.

Como rever conclusões: No Defender para a Cloud, vá a Recomendações e filtre pela categoria relevante: ApiVulnerabilities, SoftwareUpdate, CodeVulnerabilities, IacVulnerabilities ou ExposedSecrets. Selecione qualquer recomendação individual para visualizar o repositório afetado, encontrar detalhes e passos de remediação.

Substituído por recomendações individuais — atualização das regras de governação, isenções e exportação contínua para utilizar a categoria de recomendação:

Microsoft Defender para Identidade

Substituídas por uma única nova recomendação — as seguintes recomendações agrupadas são substituídas por uma nova recomendação individual específica com uma chave de avaliação fixa. Atualize as suas regras de governação, isenções e exportação contínua para usar diretamente a nova chave de avaliação .

Importante: As regras de isenção para estas recomendações de substituição estão disponíveis apenas para clientes pagos. Os clientes que não pagam perderão a capacidade de isenção para estas recomendações quando as avaliações originais forem retiradas.

Passos seguintes

• Rever as recomendações de segurança
• Remediar as recomendações de segurança
• Visão geral das recomendações de segurança
• Transição das regras de incapacidade para as isenções