Explore os planos de Gestão de Postura de Segurança da Nuvem (CSPM) e a visibilidade da postura

A equipa de segurança da Contoso Healthcare precisa de visibilidade em todo o seu ambiente Azure — infraestrutura clínica, máquinas virtuais, contas de armazenamento, bases de dados e aplicações baseadas em IA, incluindo serviços Azure OpenAI e Azure AI Foundry. O Microsoft Defender para a Cloud oferece capacidades de Gestão da Postura de Segurança na Cloud (CSPM) que proporcionam aos engenheiros de segurança uma visão abrangente do seu estado de segurança na cloud. Aqui, exploras as duas opções de planos CSPM. Primeiro, aprenda a navegar no painel de Visão Geral da Cloud no portal do Defender. Depois, descubra como o CSPM inventaria cargas de trabalho na cloud e IA, e compreenda o modelo Cloud Secure Score que mede o risco de segurança.

Compreenda os dois planos CSPM

A Defender para a Cloud oferece dois planos CSPM com capacidades diferentes. Foundational CSPM está ativado por defeito e sem custos quando se adere a uma subscrição no Azure. Este plano fornece pontuação segura, recomendações de segurança, inventário de ativos, avaliações do Microsoft Cloud Security Benchmark (MCSB), automação de fluxos de trabalho e ferramentas de remediação em ambientes Azure, AWS, GCP e on-premises.

GPSC do Defender é um plano pago que estende as capacidades fundamentais com funcionalidades avançadas. Com o GPSC do Defender, obtém-se uma análise do caminho de ataque que identifica potenciais rotas de movimento lateral. Além disso, obtém capacidades de priorização de risco que revelam as questões mais críticas e o cloud security explorer para caça proativa a ameaças. O plano inclui também a gestão de postura de segurança da IA para trabalhos do Azure OpenAI e AI Foundry. Combine isto com a gestão da postura de segurança de dados (DSPM), análise de dados sensíveis, análise sem agente para VMs e containers, gestão externa de superfícies de ataque, avaliações de conformidade regulamentar para além do MCSB, recomendações de segurança personalizadas e regras de governação para rastreamento de remediação.

Compreender qual plano está ativo determina a que funcionalidades pode aceder. Muitas capacidades de alto valor — incluindo priorização de risco, análise de caminhos de ataque em todos os tipos de carga de trabalho, varredura sem agente para VMs e containers, e gestão da postura de segurança de IA — requerem o plano GPSC do Defender. Para um ambiente como o da Contoso Healthcare, onde infraestruturas clínicas, armazenamentos de dados sensíveis e cargas de trabalho de IA têm perfis de risco diferentes, o GPSC do Defender fornece a profundidade de análise necessária.

Navegar pelo painel de Visão Geral da Cloud

O painel Cloud Overview serve como o seu centro de comando central para a segurança na cloud no portal Microsoft Defender. Para aceder a ele, inicie sessão no portal Defender em security.microsoft.com e depois navegue até Cloud Security > Visão Geral. O painel fornece filtros de âmbito e ambiente no topo, permitindo-lhe restringir a visão a subscrições específicas do Azure ou pivotar entre ambientes Azure, AWS e GCP.

A secção de Segurança em resumo mostra as suas métricas mais críticas. Vê-se o Cloud Secure Score (pré-visualização) com um indicador de tendência, a Proteção contra Ameaças que mostra a contagem de alertas ativos por gravidade, e a Cobertura de Ativos que detalha quantos recursos têm proteção total (tanto postura como planos de proteção contra ameaças), proteção parcial (um plano) ou nenhuma proteção. Esta secção indica-lhe imediatamente onde se encontra a sua postura de segurança.

As Principais Ações orientam os seus próximos passos, destacando Recomendações Críticas, Incidentes de Alta Severidade a investigar e Caminhos de Ataque que mostram potenciais rotas de exploração. Esta orientação prática ajuda-o a focar os esforços de remediação no que mais importa.

A secção Tendências ao longo do tempo mostra como a sua postura de segurança e a deteção de ameaças evoluem. Inclui um gráfico de Postura de Segurança — histórico Cloud Secure Score e recomendações por gravidade — e um gráfico de Deteção de Ameaças que mostra tendências de alertas por gravidade. Cada gráfico atualiza-se diariamente e reflete o intervalo de tempo selecionado (30 dias, 3 meses ou 6 meses).

Os blocos Workload Insights na parte inferior mostram inteligência especializada da Microsoft Cloud-Native Application Protection Platform (CNAPP). Cada tile representa uma categoria de carga de trabalho: Computação, Dados, Containers, IA, APIs, DevOps e Gestão de Direitos de Infraestrutura Cloud (CIEM). Cada tile mostra os principais problemas de segurança, o estado da cobertura de proteção e links para visualizações detalhadas dessa carga de trabalho. Por exemplo, o tile de Cálculo revela descobertas para máquinas virtuais e conjuntos de escalas, o tile de Dados destaca exposições de armazenamento e bases de dados, e o tile de IA mostra insights para implementações de Azure OpenAI, Azure AI Foundry e agentes de IA.

Descubra cargas de trabalho de IA com gestão da postura de segurança da IA

O GPSC do Defender descobre e inventaria continuamente recursos em todo o seu ambiente Azure — máquinas virtuais, contas de armazenamento, bases de dados, contentores e muito mais — fornecendo a base de cobertura de ativos para todas as recomendações e pontuações de segurança. Para além da descoberta padrão de recursos, o GPSC do Defender também fornece descoberta especializada para cargas de trabalho em IA generativa. Para a Contoso Healthcare, isto significa visibilidade sobre as instâncias do Azure OpenAI Service, projetos do Azure AI Foundry e implementações de Azure Machine Learning juntamente com a sua infraestrutura clínica e administrativa, tudo isto sem necessidade de configuração manual.

O sistema constrói uma Lista de Materiais de IA (IA BOM) — um inventário abrangente de todos os componentes das aplicações de IA, fontes de dados e artefactos, desde o código de desenvolvimento até à implementação na cloud. Este inventário capta não só os próprios serviços de IA, mas também as configurações de identidade, padrões de acesso a dados, estado de exposição à internet e componentes de infraestrutura associados. Com o BOM de IA, compreende toda a superfície de ataque das suas aplicações de IA generativa.

O GPSC do Defender também fornece a descoberta de agentes de Inteligência Artificial atualmente na versão de pré-visualização. O sistema identifica automaticamente os agentes de IA implementados através do Azure AI Foundry e do Microsoft Copilot Studio, preenchendo o inventário de IA com detalhes sobre configurações, capacidades e ligações dos agentes.

Esta visibilidade sobre cargas de trabalho de IA torna-se a base para as recomendações de segurança específicas de IA que avalia nos passos seguintes. A Contoso Healthcare consegue agora ver exatamente onde as suas aplicações de IA correm e que componentes requerem atenção de segurança.

Compreenda o Cloud Secure Score

O Cloud Secure Score no portal Defender representa uma abordagem baseada no risco para medir a sua postura de segurança. Ao contrário da clássica pontuação segura disponível no portal Azure — que utiliza um modelo baseado em controlo que trata todas as recomendações com igual peso — a Cloud Secure Score incorpora a criticidade dos ativos e fatores de risco contextuais no seu cálculo.

O modelo baseado em risco avalia múltiplas dimensões: se um ativo tem exposição à internet, lida com dados sensíveis, se está em potenciais caminhos de movimento lateral ou se representa um serviço empresarial crítico. Uma conta de armazenamento mal configurada contendo registos de saúde de clientes e exposta à internet recebe uma ponderação de risco mais elevada do que uma conta de armazenamento de desenvolvimento igualmente mal configurada, sem dados sensíveis. Esta análise contextual significa que a sua pontuação reflete o risco real do negócio, e não apenas a conformidade com controlos.

Pontuações mais elevadas indicam menor risco identificado. Ao remediar recomendações de risco mais elevado, a sua pontuação reflete o risco reduzido em todo o ambiente — foque-se primeiro nos achados de Risco Crítico e Alto Risco, pois são os que têm maior peso no cálculo. Para visualizar esta pontuação no portal do Defender, navegue até Gestão de Exposições > Iniciativas > Segurança na Cloud e depois selecione Abrir página de iniciativa. A página da iniciativa mostra a sua pontuação atual, tendência histórica ao longo do tempo e a divisão da pontuação por categoria de carga de trabalho.

Para equipas que trabalham principalmente no portal Azure, a clássica pontuação segura mantém-se disponível e continua a funcionar como antes. No entanto, o Cloud Secure Score no portal Defender fornece uma avaliação de risco mais precisa ao considerar o contexto em torno de cada descoberta de segurança.