Prepare-se para a desativação do agente do Log Analytics

O agente do Log Analytics, também conhecido como Agente de Monitorização da Microsoft (MMA), foi descontinuado em novembro de 2024, conforme descrito no plano de descontinuação do agente do Log Analytics no Defender para a Cloud. Devido a esta descontinuação, os planos Defender for Servers e Defender for SQL on machines no Microsoft Defender para a Cloud serão atualizados, e as funcionalidades que dependem do agente Log Analytics serão reformuladas.

Este artigo apresenta um resumo dos planos para a descontinuação do agente do Log Analytics (MMA).

Preparar o Defender para servidores

O plano Defender for Servers utiliza o agente Log Analytics em disponibilidade geral (GA) e em AMA para suporte a agentes e funcionalidades Defender for Servers (em pré-visualização). Veja o que está acontecendo com esses recursos no futuro:

Para simplificar a integração, obtém todas as funcionalidades e capacidades de segurança do Defender for Servers com um único agente (Microsoft Defender para Endpoint), complementado por varredura de máquinas sem agente, sem dependência do agente Log Analytics ou do agente Azure Monitor (AMA).

• As funcionalidades do Defender for Servers, baseadas no AMA, encontram-se atualmente em pré-visualização e não serão disponibilizadas de forma geral.
• As funcionalidades em pré-visualização que dependem de AMA continuam a ser suportadas até que seja fornecida uma versão alternativa da funcionalidade, que depende da integração com o Defender for Endpoint ou da funcionalidade de varredura de máquinas sem agente.
• Ao habilitar a integração do Defender for Endpoint e o recurso de verificação de máquina sem agente antes que a descontinuação ocorra, sua implantação do Defender for Servers estará atualizada e terá suporte.

Funcionalidade do recurso

A tabela seguinte resume como são fornecidas as funcionalidades do Defender para Servidores. A maioria das funcionalidades já está disponível de forma geral através da integração com o Defender for Endpoint ou da análise sem agente das máquinas. As funcionalidades restantes do Defender for Servers, listadas na tabela seguinte, estarão disponíveis na GA quando o MMA for retirado, ou serão obsoletas.

Experiência de autoprovisionamento do agente de análise de log - plano de substituição

Como parte da aposentação do agente MMA, a capacidade de autoprovisionamento que proporciona a instalação e configuração do agente para clientes do Defender para a Cloud será também descontinuada em 2 fases:

1. Até ao final de setembro de 2024 - o provisionamento automático do MMA será desativado para clientes que já não utilizam a funcionalidade, bem como para subscrições recém-criadas:

   • As subscrições existentes que desligam a provisão automática do MMA após o final de setembro deixarão de poder ativar a funcionalidade posteriormente.

   • Em subscrições recém-criadas, a provisão automática já não pode ser ativada e é automaticamente desligada.

2. No final de novembro de 2024 - o aprovisionamento automático do MMA será desativado nas subscrições que ainda não o desativaram. A partir desse momento, já não é possível ativar a provisão automática do MMA nas subscrições existentes.

O benefício de 500 MB para ingestão de dados

Para preservar a franquia gratuita de ingestão de dados de 500 MB para os tipos de dados suportados, é necessário migrar de MMA para AMA.

Saiba mais sobre como implantar o AMA.

Para servidores SQL em máquinas, recomendamos migrar para o processo de aprovisionamento automático do Azure Monitoring Agent (AMA) para SQL Server.

Alterações à integração legada do Defender for Servers Plan 2 através da utilização do agente Log Analytics

A Microsoft está a descontinuar a abordagem antiga para integrar servidores no Defender for Servers Plan 2 que utiliza o agente do Log Analytics e as áreas de trabalho do Log Analytics. A descontinuação inclui as seguintes alterações:

• A experiência de integração de novas máquinas não Azure para o Defender for Servers, utilizando agentes e espaços de trabalho Log Analytics, foi removida das páginas de Inventário e Início no portal Defender para a Cloud.

• Para evitar perder a cobertura de segurança nas máquinas afetadas que se ligam a um Log Analytics Workspace, tome as seguintes ações para a aposentação do Agente:

  • Se integrou servidores não Azure (tanto no local como em ambientes multicloud) através da integração legada do agente do Log Analytics para máquinas não Azure, ligue essas máquinas às subscrições do Azure e aos conectores do Defender for Servers Plano 2 através de servidores habilitados para Azure Arc. Para mais informações sobre a implementação de máquinas em escala, consulte as opções de implementação de servidores do Azure Arc.
  • Se usou a abordagem legada para ativar o Defender for Servers Plan 2 em VMs Azure selecionadas, ative o Defender for Servers Plan 2 nas subscrições Azure para estas máquinas. Pode então excluir máquinas individuais da cobertura do Defender para Servidores usando a configuração Defender para Servidores por recurso.

A tabela seguinte resume a ação necessária para cada servidor integrado no Defender for Servers Plan 2 através da abordagem legada:

Experiência com atualizações de sistemas e recomendações de patches - alterações e orientações de migração

As atualizações e patches do sistema são cruciais para manter a segurança e a saúde das suas máquinas. As atualizações frequentemente contêm correções de segurança para vulnerabilidades que, se não corrigidas, podem ser exploradas por agentes maliciosos.

O Defender para a Cloud Foundational CSPM e os planos Defender for Servers forneceram anteriormente recomendações de atualização do sistema através do agente Log Analytics. A experiência anterior de recomendação de atualizações de sistemas baseadas em agentes do Log Analytics foi substituída por recomendações de segurança recolhidas através do Gestor de Atualizações do Azure e construídas a partir de duas novas recomendações:

• As máquinas devem ser configuradas para verificar periodicamente se há atualizações do sistema ausentes

• As atualizações do sistema devem ser instaladas nas suas máquinas (alimentadas por Gestor de Atualizações do Azure)

Aprenda a remediar atualizações do sistema e recomendações de correções nas suas máquinas.

Quais recomendações estão a ser substituídas?

A tabela a seguir resume o cronograma para recomendações que estão sendo preteridas e substituídas.

Como me preparo para as novas recomendações?

• Ligue as suas máquinas que não sejam Azure ao Arc.

• Certifique-se de que a configuração de atualização da avaliação periódica esteja ativada em suas máquinas. Podes ativá-lo de duas formas:

  • Corrigir a recomendação: As máquinas devem ser configuradas para verificar periodicamente a ausência de atualizações do sistema, usando o Gestor de Atualizações do Azure.
  • Ative a avaliação periódica em larga escala com o Azure Policy.

• Quando completar estes passos, o Gestor de Atualizações pode obter as atualizações mais recentes das máquinas e pode consultar o estado de conformidade mais recente da máquina.

Experiência de recomendações de proteção de ponto final - alterações e orientações de migração

A deteção de pontos finais e as recomendações foram anteriormente disponibilizadas pelo Defender para a Cloud Foundational CSPM e pelos planos do Defender for Servers com o agente do Log Analytics em disponibilidade geral, ou em pré-visualização através do AMA. As experiências anteriores de descoberta e recomendação de endpoints baseadas em MMA e AMA foram substituídas por recomendações de segurança recolhidas através de varrimento automático sem agente.

As recomendações de proteção de pontos finais são elaboradas em duas fases. A primeira etapa é a deteção de endpoints e a descoberta de soluções de resposta. A segunda etapa é a avaliação da configuração da solução. As tabelas a seguir fornecem detalhes das experiências atuais e novas para cada etapa.

Saiba como gerenciar as novas recomendações de deteção e resposta de endpoint (sem agente).

Solução de deteção e resposta de pontos terminais - descoberta

A tabela seguinte compara as experiências atuais e novas de descoberta para soluções de deteção e resposta de endpoints.

Solução de deteção e resposta em pontos finais - avaliação da configuração

A tabela seguinte compara as experiências atuais e novas de avaliação de configuração para soluções de deteção e resposta de endpoints.

Que recomendações estão a ser preteridas?

A tabela a seguir resume o cronograma para recomendações que estão sendo preteridas e substituídas.

A nova experiência de recomendações de proteção de pontos finais sem agente, baseada na análise de máquinas sem agente, suporta os sistemas operativos Windows e Linux para máquinas multicloud.

Como funcionará a substituição?

• As recomendações atuais fornecidas pelo Log Analytics Agent ou pelo AMA serão preteridas ao longo do tempo.
• Algumas destas recomendações existentes serão substituídas por novas recomendações baseadas na análise sem agente das máquinas.
• As recomendações atualmente em GA permanecem em vigor até que o agente do Log Analytics se aposente.
• As recomendações que estão atualmente em pré-visualização serão substituídas quando a nova recomendação estiver disponível na pré-visualização.

O que se passa com o secure score?

Os pontos seguintes explicam como a classificação de segurança é afetada durante a transição de recomendações de proteção de pontos finais baseadas no MMA para recomendações de proteção de pontos finais sem agente.

• As recomendações que estão atualmente em disponibilidade geral continuarão a afetar a classificação de segurança.
• As recomendações atuais e futuras estão localizadas sob o mesmo controlo do Microsoft Cloud Security Benchmark, garantindo que não haja impacto duplicado na pontuação de segurança.

Como me preparo para as novas recomendações?

Para se preparar para as novas recomendações de proteção de endpoints sem agente, tome as seguintes ações:

• Assegure que a varredura de máquinas sem agente está ativada como parte do Defender for Servers Plan 2 ou da Gestão da Postura de Segurança da Defender Cloud.
• Se for adequado ao seu ambiente, remova as recomendações obsoletas quando a recomendação GA substituta estiver disponível. Para fazer isso, desative a recomendação na iniciativa incorporada do Defender para a Cloud no Azure Policy.

Experiência em monitoramento de integridade de arquivos - alterações e diretrizes de migração

O Defender for Servers Plan 2 oferece agora uma nova solução de Monitorização da Integridade de Ficheiros (FIM) alimentada pela integração Defender for Endpoint (MDE). Depois de o FIM com tecnologia MDE estar disponível de forma geral, a experiência do FIM com tecnologia AMA no portal do Defender para a Cloud será removida. Em novembro, o FIM powered by MMA será descontinuado.

Migração da FIM sobre AMA

Se você usa atualmente FIM sobre AMA:

• Já não pode integrar novas subscrições ou servidores no FIM com base no AMA e na extensão de acompanhamento de alterações ou visualizar alterações através do portal Defender para a Cloud a partir de 30 de maio.

• Se quiser continuar consumindo eventos FIM coletados pela AMA, você pode se conectar manualmente ao espaço de trabalho relevante e exibir as alterações na tabela Controle de Alterações com a seguinte consulta:

  ConfigurationChange
  
  | where TimeGenerated > ago(14d)
  
  | where ConfigChangeType in ('Registry', 'Files') 
  
  | summarize count() by Computer, ConfigChangeType
  

• Se quiser continuar a integrar novos escopos ou configurar regras de monitoramento, você pode usar manualmente as Regras de Conexão de Dados para configurar ou personalizar vários aspetos da coleta de dados.

• O Defender para a Cloud recomenda desativar o FIM através do AMA e migrar o seu ambiente para a nova versão do FIM baseada no Defender for Endpoint quando esta for disponibilizada.

Desativar o FIM através do AMA

Para desabilitar o FIM sobre AMA, remova a solução de Controle de Alterações do Azure. Para obter mais informações, consulte Remover a solução ChangeTracking.

Em alternativa, pode remover as regras de recolha de dados (DCR) relacionadas com o controlo de alterações de ficheiros. Para obter mais informações, consulte Remove-AzDataCollectionRuleAssociation ou Remove-AzDataCollectionRule.

Depois de desativar a coleção de eventos de ficheiros usando um dos métodos acima:

• Novos eventos deixam de ser recolhidos no âmbito selecionado.
• Os eventos históricos que já foram coletados permanecem armazenados no espaço de trabalho relevante na tabela ConfigurationChange na seção Controle de Alterações . Estes eventos permanecem disponíveis no espaço de trabalho relevante, de acordo com o período de retenção definido nesse espaço. Para obter mais informações, consulte Como a retenção e o arquivamento funcionam.

Migrar de FIM através do Log Analytics Agent (MMA)

Se você usa atualmente o FIM sobre o Log Analytics Agent (MMA):

• O monitoramento da integridade de arquivos com base no Log Analytics Agent (MMA) será preterido no final de novembro de 2024.

• A Defender para a Cloud recomenda desativar o FIM em vez do MMA e integrar o seu ambiente na nova versão FIM baseada no Defender for Endpoint aquando do lançamento.

Desativar FIM via MMA

Para desabilitar o FIM sobre MMA, remova a solução de Controle de Alterações do Azure. Para obter mais informações, consulte Remover a solução ChangeTracking.

Depois de desativar a recolha de eventos de ficheiro:

• Novos eventos deixam de ser recolhidos no âmbito selecionado.
• Os eventos históricos que já foram coletados permanecem armazenados no espaço de trabalho relevante na tabela ConfigurationChange na seção Controle de Alterações . Estes eventos permanecem disponíveis no espaço de trabalho relevante, de acordo com o período de retenção definido nesse espaço. Para obter mais informações, consulte Como a retenção e o arquivamento funcionam.

Alterações de experiência de base e orientações de migração

A funcionalidade de configuração incorreta das linhas de base em VMs ajuda a garantir que as suas VMs estão em conformidade com as melhores práticas de segurança e as políticas organizacionais. A configuração errada de baselines verifica as suas VMs em relação a bases de segurança pré-definidas e identifica quaisquer desvios ou configurações incorretas que possam representar um risco para o seu ambiente.

O agente do Log Analytics (também conhecido por Microsoft Monitoring Agent ou MMA) foi descontinuado em novembro de 2024, e aplicam-se as seguintes alterações:

• A informação da máquina é recolhida utilizando a configuração de convidados do Azure Policy.

• As seguintes políticas do Azure são habilitadas com a configuração de convidado do Azure Policy:

  • "As máquinas Windows devem atender aos requisitos da linha de base de segurança de computação do Azure"
  • "As máquinas Linux devem atender aos requisitos da linha de base de segurança de computação do Azure"

  Note

  Se remover estas políticas, perde o acesso aos benefícios da extensão de configuração de convidados do Azure Policy.

• O CSPM fundamental do Defender para a Cloud já não inclui recomendações de sistemas operativos baseadas em linhas de base de segurança computacional. Estas recomendações estão disponíveis quando ativa o Defender for Servers Plan 2.

Para saber mais sobre os preços do Defender for Servers Plan 2, consulte a página de preços do Defender para a Cloud. Você também pode estimar custos com a calculadora de custos do Defender para a Cloud.

As recomendações que o MCSB fornece e que não fazem parte das bases de segurança computacional do Windows e Linux continuam a fazer parte do CSPM básico gratuito.

Instalar a configuração de convidado do Azure Policy

Para continuar a receber a experiência base, precisa de ativar o Defender for Servers Plan 2 e instalar a configuração de convidados do Azure Policy. Quando ativa o Defender for Servers Plan 2 e instala a configuração de convidados do Azure Policy, garante que continua a receber as mesmas recomendações e orientações de reforço que recebeu durante a experiência base.

Dependendo do seu ambiente, poderá precisar de seguir os seguintes passos:

1. Analise a matriz de suporte da configuração de convidado da Política do Azure.

2. Instale a configuração de convidado da Política do Azure em suas máquinas.

   • Máquinas do Azure: no portal do Defender para a Cloud, na página de recomendações, procure e selecione a extensão Configuração Convidado deve estar instalada nas máquinas e proceda à correção da recomendação.

   • (Apenas para VMs do Azure) Tem de atribuir uma identidade gerida.

     • No portal do Defender para a Cloud, na página de recomendações, pesquise e selecione A extensão Configuração de Convidado das máquinas virtuais deve ser implementada com identidade gerida atribuída pelo sistema e corrija a recomendação.

   • (Apenas VMs Azure) Opcional: Para autoprovisionar a configuração de convidados do Azure Policy para toda a sua subscrição, pode ativar o agente de Configuração de Convidados (pré-visualização).

     • Para ativar o agente de Configuração de Convidados:

       1. Inicie sessão no portal Azure.

       2. Aceda a Definições do ambiente>A sua subscrição>Definições & Monitorização.

       3. Selecione Configuração do convidado.

          

       4. Defina o agente de Configuração de Convidados (pré-visualização) como Ativado.

          

       5. Selecione Continuar.

   • GCP e AWS: a configuração de convidado do Azure Policy é instalada automaticamente quando liga o seu projeto do GCP ou liga as suas contas da AWS, com o aprovisionamento automático do Azure Arc ativado, ao Defender para a Cloud.

   • Máquinas locais: a configuração de convidado da Política do Azure é habilitada por padrão quando você integra máquinas locais como VMs ou máquinas habilitadas para Azure Arc.

Depois de completar os passos necessários para instalar a configuração de convidados do Azure Policy, obtém automaticamente acesso às funcionalidades base com base na configuração de convidados do Azure Policy. Quando instala a configuração de convidados do Azure Policy, garante que continua a receber as mesmas recomendações e orientações de reforço que recebeu durante a experiência base.

Alterações às recomendações

Com a descontinuação da MMA, as seguintes recomendações baseadas em MMA estão prestes a ser obsoletas:

• As máquinas devem ser configuradas de forma segura
• O provisionamento automático do agente do Log Analytics deve ser habilitado em assinaturas

As recomendações obsoletas são substituídas pelas seguintes recomendações baseadas na configuração de convidados do Azure Policy:

• As vulnerabilidades na configuração de segurança nos seus computadores Windows devem ser corrigidas (com tecnologia Guest Configuration)
• As vulnerabilidades na configuração de segurança das suas máquinas Linux devem ser corrigidas (com tecnologia Guest Configuration)
• A extensão de Guest Configuration deve ser instalada nas máquinas

Recomendações duplicadas

Quando você habilita o Defender para a Cloud em uma assinatura do Azure, o benchmark de segurança na nuvem da Microsoft (MCSB), incluindo linhas de base de segurança de computação que avaliam a conformidade do sistema operacional da máquina, é habilitado como um padrão de conformidade padrão. O CSPM (gerenciamento básico de postura de segurança na nuvem) gratuito no Defender para a Cloud faz recomendações de segurança com base no MCSB.

Se uma máquina estiver a correr tanto a configuração de convidados MMA como a Azure Policy, verá recomendações duplicadas. A duplicação de recomendações ocorre porque ambos os métodos funcionam ao mesmo tempo e produzem as mesmas recomendações. Estas duplicações afetam a sua Conformidade e Pontuação Segura.

Para evitar recomendações duplicadas enquanto a configuração de convidado do MMA e a do Azure Policy estiverem ambas em execução, pode desativar as recomendações do MMA Machines should be configured securely e Auto provisioning of the Log Analytics agent should be enabled on subscriptions acedendo à página Conformidade regulamentar no Defender para a Cloud.

Depois de encontrar a recomendação, selecione as máquinas relevantes e isenta-as.

Algumas das regras de configuração de linha de base fornecidas pela ferramenta de configuração de convidado da Política do Azure são mais atuais e oferecem uma cobertura mais ampla. Como resultado, a transição para a funcionalidade Baselines alimentada pela configuração de convidados do Azure Policy pode afetar o seu estado de conformidade, pois incluem verificações que podem não ter sido realizadas anteriormente.

Sugestões de pesquisa

Com a retirada do MMA, o Defender para a Cloud já não consulta recomendações com base nas informações do espaço de trabalho do Log Analytics. Em vez disso, o Defender para a Cloud utiliza agora o Azure Resource Graph para consultas de API e portais para consultar informações de recomendação.

Aqui estão dois exemplos de consultas que você pode usar:

• Consultar todas as regras não saudáveis para um recurso específico

  Securityresources 
  | where type == "microsoft.security/assessments/subassessments" 
  | extend assessmentKey=extract(@"(?i)providers/Microsoft.Security/assessments/([^/]*)", 1, id) 
  | where assessmentKey == '1f655fb7-63ca-4980-91a3-56dbc2b715c6' or assessmentKey ==  '8c3d9ad0-3639-4686-9cd2-2b2ab2609bda' 
  | parse-where id with machineId:string '/providers/Microsoft.Security/' * 
  | where machineId  == '{machineId}'
  

• Todas as regras com problemas e a quantidade de máquinas com problemas para cada regra

  securityresources 
  | where type == "microsoft.security/assessments/subassessments" 
  | extend assessmentKey=extract(@"(?i)providers/Microsoft.Security/assessments/([^/]*)", 1, id) 
  | where assessmentKey == '1f655fb7-63ca-4980-91a3-56dbc2b715c6' or assessmentKey ==  '8c3d9ad0-3639-4686-9cd2-2b2ab2609bda' 
  | parse-where id with * '/subassessments/' subAssessmentId:string 
  | parse-where id with machineId:string '/providers/Microsoft.Security/' * 
  | extend status = tostring(properties.status.code) 
  | summarize count() by subAssessmentId, status
  

Planeie a migração do seu agente do Log Analytics

Matriz de planeamento da migração

Planeie a migração de agentes de acordo com as necessidades do seu negócio. A tabela seguinte de planeamento de migração resume as orientações.

Utilize a experiência de migração do MMA

A experiência de migração do MMA é uma ferramenta que ajuda você a migrar do MMA para o AMA. A experiência fornece um guia passo a passo para ajudá-lo a migrar suas máquinas do MMA para o AMA.

Ao utilizar a experiência de migração MMA, pode:

• Migre os servidores do onboarding antigo através do espaço de trabalho Log Analytics.
• Certifique-se de que as assinaturas atendam a todos os pré-requisitos para receber todos os benefícios do Plano 2 do Defender for Servers.
• Migre para a nova versão da FIM através do MDE.

1. Inicie sessão no portal Azure.

2. Vá para Defender para a Cloud>Configurações do Ambiente.

3. Selecione Migração de MMA.

   

4. Selecione Executar ação para uma das ações disponíveis:

   

Permita que a experiência seja carregada e siga as etapas para concluir a migração.

Passo seguinte