Ative a varredura sem agente nos computadores

A varredura de máquinas sem agentes ajuda-o a descobrir vulnerabilidades, segredos, sinais de malware e inventário de software em máquinas cloud sem necessidade de implementar agentes de endpoint. No Microsoft Defender para a Cloud, esta funcionalidade passa pelos seus conectores cloud para que as equipas de segurança possam escalar a cobertura com baixo overhead operacional e impacto mínimo no desempenho.

Este artigo explica os ambientes suportados, as limitações importantes ao nível da cobertura e como ativar e gerir a análise no Azure, na AWS e no GCP.

A varredura sem agente executa-se uma vez a cada 24 horas num horário não configurável.

O que a análise sem agente abrange

A tabela seguinte mostra o que cada capacidade oferece e quais os planos que a incluem.

A varredura sem agente tem uma definição para cada ambiente ligado, como uma subscrição Azure, uma conta AWS ou um projeto GCP. Os planos disponibilizados para esse ambiente determinam quais as capacidades sem agente disponíveis. As capacidades individuais sem agente não podem ser ativadas ou desligadas separadamente.

Máquinas compatíveis e cobertura de digitalização

Temporização da varridura e estado da máquina

Azure VM requisitos

A varredura sem agente suporta máquinas virtuais standard do Azure e conjuntos de dimensionamento de máquinas virtuais que utilizem orquestração flexível, sujeitas aos seguintes limites:

Requisitos AWS

Suportes de varredura sem agente:

• Instâncias do Amazon EC2 e instâncias em grupos do Auto Scaling.
• Discos não encriptados.
• Discos encriptados com chaves geridas pela plataforma ou pelo cliente.

As Imagens de Máquina Amazon (AMIs) que requerem licenciamento de terceiros, incluindo imagens aplicáveis do AWS Marketplace, não são suportadas.

Requisitos do GCP

A varredura sem agente suporta instâncias e grupos de instâncias do Compute Engine, tanto geridos como não geridos, com chaves de encriptação geridas pela Google ou chaves de encriptação geridas pelo cliente (CMEK).

As políticas organizacionais do GCP podem impedir que o Defender para a Cloud crie ou aceda aos snapshots necessários para a digitalização. Se não aparecerem resultados no prazo de 24 horas, consulte Resolver um erro de análise sem agente para o GCP.

Cobertura e limitações da análise de malware

A varredura de malware sem agentes proporciona visibilidade periódica e pontual em vez de proteção contínua ou em tempo real. A quantidade e o tipo de conteúdo numa VM podem afetar a cobertura da análise.

Limites comprimidos de pacotes

Uma varredura de malware pode completar com cobertura parcial da VM quando um pacote comprimido cumpre alguma destas condições:

Objetivos de planeamento da contagem de ficheiros

Para um menor risco de cobertura parcial, utilize estes alvos de planeamento para o número total de ficheiros elegíveis para análise de malware em toda a VM:

Cargas de trabalho que criam ou modificam aproximadamente 200.000 ficheiros ou mais entre análises também podem ter um maior risco de cobertura parcial.

Ficheiros que podem não ser digitalizados

Os ficheiros seguintes podem não ser digitalizados:

• Ficheiros vazios.
• Ficheiros que são inacessíveis ou já não estão disponíveis no momento da digitalização.
• Ficheiros com atributos de sistema operativo não suportados, incluindo ficheiros de sistema, offline, comprimidos ao nível do sistema operativo ou de ponto de análise.

O que significa cobertura parcial

A cobertura parcial não descarta os resultados da ecografia. As deteções de conteúdos que foram digitalizados com sucesso continuam a ser reportadas.

Para melhorar a cobertura:

• Reduzir grandes coleções de ficheiros quando for operacionalmente apropriado.
• Extrair ou dividir pacotes comprimidos que excedam os limites dos pacotes.
• Certifique-se de que os ficheiros importantes estão acessíveis no momento da digitalização.

Limitações e configurações não suportadas

A varredura sem agente não suporta as seguintes configurações.

Antes de começares

Verifique os seguintes requisitos:

• Plano: A análise sem agente requer o GPSC do Defender ou o Defender para Servidores Plano 2. A análise de malware sem agentes está disponível apenas com o Defender for Servers Plan 2.
• Ambiente conectado: A subscrição Azure, a conta AWS ou o projeto ou organização GCP devem estar ligados ao Microsoft Defender para a Cloud.
• Suporte de máquinas: Confirme que a máquina e os seus discos cumprem os requisitos em Máquinas Suportadas e cobertura de varredura e que não estão listados em Limitações e configurações não suportadas.
• Permissões:Revise as permissões usadas pela varredura sem agente.
• Encriptação gerida pelo cliente: Para discos Azure encriptados com chaves geridas pelo cliente, conceda as permissões adicionais do Key Vault descritas nas VMs do Azure com chaves geridas pelo cliente. A configuração dos conectores AWS e GCP inclui as permissões necessárias para os seus serviços de gestão de chaves.

Ativar a varredura sem agente

Utilize as orientações de implementação nesta secção e siga o procedimento para cada ambiente cloud.

Planeie a implementação

Uma implementação faseada ajuda-o a confirmar permissões, identificar máquinas não suportadas e estabelecer um processo repetível antes de permitir a varredura sem agente num grande ambiente.

Vantagens de um lançamento faseado

• Encontre lacunas de cobertura cedo: Identificar máquinas que excedam os limites do disco ou utilizam configurações não suportadas antes de uma implementação ampla.
• Validar permissões: Confirme que os snapshots de disco e as chaves de encriptação geridas pelo cliente podem ser acedidos conforme esperado.
• Defina expectativas claras: Verifique quais os resultados de inventário, vulnerabilidade, segredos e malware que devem aparecer para cada plano ativado.
• Reduzir o trabalho repetido: Use o conector validado e a configuração de permissões como padrão para ambientes adicionais.

Diretrizes para um lançamento bem-sucedido

Sequência recomendada de lançamento

1. Selecione uma subscrição Azure representativa, uma conta AWS ou um projeto GCP.

2. Analise as suas máquinas com base nas tabelas de cobertura e limitações suportadas nesta página.

3. Se for necessária a verificação de malware, reveja a contagem de ficheiros e as orientações relativas a pacotes comprimidos.

4. Confirme que o plano, o conector e as permissões de encriptação necessárias estão em vigor.

5. Defina quais os resultados que espera ver para as máquinas de teste.

6. Ative a varredura sem agente e permita até 24 horas para a varredura agendada.

7. Verifique se aparecem resultados de inventário de software ou vulnerabilidades. Para validar a análise de malware, siga Testar a análise de malware sem agentes.

8. Resolver questões de permissões, conectores ou suporte.

9. Repita o processo para o próximo grupo de subscrições, contas ou projetos.

Azure

Para permitir a análise sem agente para uma subscrição do Azure:

1. No Defender para a Cloud, abra Configurações de ambiente.

2. Selecione a subscrição relevante.

3. Para GPSC do Defender ou Defender para Servidores Plano 2, selecione Definições.

   

4. Em Configurações e monitoramento, ative a verificação sem agente para máquinas.

   

5. Selecione Guardar.

Espere até 24 horas para a próxima ecografia agendada. Se os resultados não aparecerem, use a lista de verificação de resolução de problemas.

VMs Azure com chaves geridas pelo cliente

As VMs do Azure com discos encriptados por chaves geridas pelo cliente requerem permissões adicionais do Key Vault. Estas permissões permitem ao Defender para a Cloud criar e examinar uma cópia segura do disco encriptado.

Atribuir permissões ao Microsoft Defender para a Cloud Servers Scanner Resource Provider com o ID 0c7668b5-3260-4ad0-9f53-34ed54fa19b2da aplicação.

• Para um cofre de chaves que utiliza políticas de acesso: Conceder permissões de obtenção, embrulhar chave e desdobrar chaves .
• Para um cofre de chaves que use o controlo de acesso baseado em funções (RBAC) do Azure: Atribua a função incorporada Utilizador de Encriptação do Serviço de Criptografia do Cofre de Chaves.

Para atribuir estas permissões em vários Key Vaults, utilize o script de suporte a CMK para análise sem agente.

AWS

Para permitir a análise sem agente para uma conta AWS:

1. No Defender para a Cloud, abra Configurações de ambiente.

2. Selecione a conta do AWS relevante.

3. Para GPSC do Defender ou Defender para Servidores Plano 2, selecione Definições.

   

4. Ative a análise sem agente para máquinas.

   

5. Selecione Salvar e Avançar: Configurar o acesso.

6. Faça o download do modelo CloudFormation.

7. Crie a pilha CloudFormation na AWS seguindo as instruções no ecrã.

8. Se estiver a integrar uma conta de gestão da AWS, implemente o modelo tanto como stack como StackSet.

9. Selecione Próximo: Rever e gerar, e depois selecione Atualizar.

Os conectores de conta de membro podem demorar até 24 horas a ser criados. A informação sobre inventário de software e vulnerabilidades atualiza-se automaticamente após o início da digitalização.

GCP

Para permitir a digitalização sem agente para um projeto ou organização GCP:

1. No Defender para a Cloud, abra Configurações de ambiente.

2. Selecione o projeto ou organização GCP relevante.

3. Para GPSC do Defender ou Defender para Servidores Plano 2, selecione Definições.

   

4. Defina a varredura sem agente em Ativada.

   

5. Selecione Salvar e Avançar: Configurar o acesso.

6. Copiar e executar o script de integração na organização GCP pretendida ou no âmbito do projeto.

7. Selecione Próximo: Rever e gerar, e depois selecione Atualizar.

Espere até 24 horas para a próxima ecografia agendada. Se os resultados não aparecerem, verifique se uma política da organização GCP está a restringir o acesso a discos, imagens ou snapshots.

Resolução de problemas de resultados em falta ou incompletos

A varredura sem agente é executada a cada 24 horas. Depois de ativar a varredura ou alterar permissões, espere até 24 horas antes de resolver os resultados em falta.

Nenhuma máquina é digitalizada

Algumas VMs do Azure não são analisadas

Apenas o disco do sistema operativo da máquina virtual do Azure é analisado

As VMs do Azure com discos encriptados com chave gerida pelo cliente não são digitalizadas

As máquinas AWS não são analisadas

As máquinas GCP não são digitalizadas

Os resultados estão ausentes ou desatualizados para máquinas paradas

A análise de malware tem cobertura parcial

Os alertas de malware não aparecem

Conteúdo relacionado

• Como funciona a varredura automática sem agente
• Verificação de malware sem agente
• Testar a análise de malware sem agente
• Resolver um erro de varredura sem agente para GCP