Undanta resurser från rekommendationer

När du undersöker säkerhetsrekommendationer i Microsoft Defender för molnet granskar du listan över berörda resurser. Ibland hittar du en resurs som inte ska finnas i listan, eller så hittar du en rekommendation som visas i ett omfång där den inte hör hemma. Till exempel kanske Defender för molnet inte spårar en reparationsprocess, eller så kanske en rekommendation inte gäller för en viss prenumeration. Din organisation kan besluta att acceptera de risker som är relaterade till den specifika resursen eller rekommendationen.

I sådana fall skapar du en undantagsregel för att:

• Undanta en resurs för att ta bort den från listan över ohälsosamma resurser och från påverkan på säkerhetspoängen. Defender för molnet listar resursen som Inte tillämplig och visar orsaken som Undantagen med den motivering som du väljer.

• Undanta en prenumeration eller hanteringsgrupp för att förhindra att rekommendationen påverkar din säkerhetspoäng eller visas för det specifika området. Undantaget gäller för befintliga resurser och resurser som du skapar senare. Defender för molnet markerar rekommendationen med den motivering som du väljer för det omfånget.

Skapa en undantagsregel för varje omfång för att:

• Markera en specifik rekommendation som Minimerad eller Risk accepterad för en eller flera prenumerationer eller för en hanteringsgrupp.

• Markera en eller flera resurser som minimerade eller riskgodkända för en specifik rekommendation.

Resursundantaget är begränsat till 5 000 resurser per prenumeration. Om du lägger till fler än 5 000 undantag per prenumeration kan det uppstå belastningsproblem på undantagssidan.

Förutsättningar

Undantag i Defender för molnet baseras på initiativet Microsoft Cloud Security Benchmark (MCSB). MCSB måste tilldelas på prenumerationen innan du skapar undantag.

Du kan skapa undantag för rekommendationer som tillhör MCSB-standardinitiativet eller andra fördefinierade regelstandarder. Vissa rekommendationer i MCSB stöder inte undantag. Du hittar en lista över dessa rekommendationer i vanliga frågor och svar om undantag.

Behörigheter:

Om du vill skapa undantag behöver du följande behörigheter:

• Ägare eller säkerhetsadministratör för omfånget där du skapar undantaget.
• För att skapa en regel behöver du behörighet att redigera principer i Azure Policy. Mer information finns i Azure RBAC-behörigheter i Azure Policy.
• Du måste ha undantagsbehörighet för alla initiativtilldelningar i målomfånget. Om flera initiativ innehåller en rekommendation måste du skapa undantaget med behörigheter för alla. En behörighet som saknas på ett och samma initiativ kan leda till att undantaget misslyckas.

Du behöver följande rollbaserade åtgärder för åtkomstkontroll (RBAC):

• Behörigheter på prenumerationsnivå ärver inte uppåt till hanteringsgrupper. Om principtilldelningen är på hanteringsgruppsnivå behöver du rollen tilldelad på den nivån.

• Om du vill hantera undantag för specifika resurser behöver du nödvändiga RBAC-åtgärder på resurs- eller resursgruppsnivå. Rolltilldelningar med prenumerationsomfång kanske inte ger tillräcklig åtkomst för att skapa eller ta bort undantag för enskilda resurser. Kontrollera att rolltilldelningen täcker omfånget för den resurs som du vill undanta.

• När du skapar ett undantag på hanteringsgruppsnivå kontrollerar du att Microsoft Azure Security Resource Provider har nödvändiga behörigheter genom att tilldela den rollen Reader i hanteringsgruppen. Bevilja den här rollen på samma sätt som du beviljar användarbehörigheter.

Begränsningar:

• Du skapar inte undantag för anpassade rekommendationer.

• Förhandsgranskningsrekommendationer kanske inte stöder undantag. Kontrollera om rekommendationen visar en förhandsgranskningstagg .

• Om du inaktiverar en rekommendation undantar du även alla dess underrekommendationer.

• KQL-baserade rekommendationer (Kusto Query Language) använder standardtilldelningar och använder inte Azure Policy undantagshändelser i aktivitetsloggarna. Om du vill avgöra om en rekommendation är KQL-baserad eller principbaserad öppnar du rekommendationen i portalen och kontrollerar fältet Utvärderingsnyckel . KQL-baserade rekommendationer visar ett standardformat för utvärderingsnycklar och har ingen associerad Azure Policy definitionslänk. Principbaserade rekommendationer visar en direktlänk till den underliggande principdefinitionen.

• När du skapar ett undantag från Defender för molnet-portalen identifierar Defender för molnet alla initiativ som innehåller rekommendationen och skapar undantaget för alla automatiskt. Om du skapar undantaget via Azure Policy-API:et i stället måste du skapa ett separat undantag för varje initiativ manuellt. För mer information, se FAQ om undantag.

• När du tilldelar ett nytt initiativ som innehåller en rekommendation med ett befintligt undantag överförs inte undantaget till det nya initiativet. Skapa ett nytt undantag för rekommendationen under det nyligen tilldelade initiativet.

Definiera ett undantag

Vi rekommenderar att du skapar undantag i Defender för molnet-portalen. Undantag som skapas via Azure Policy-API:et kanske inte integreras fullt ut med Defender för molnet. De kan orsaka oväntade resultat, till exempel undantag som inte sprids över alla relevanta initiativ. Om du behöver använda API:et kan du läsa Azure Policy undantagsstruktur.

Så här skapar du en undantagsregel:

1. Logga in på Azure-portalen.

2. Gå till Defender för Cloud>Rekommendationer.

3. Välj en rekommendation.

4. Välj Undanta.

   

5. Välj omfånget för undantaget.

   • Om du väljer en hanteringsgrupp undantar Defender för molnet rekommendationen från alla prenumerationer i gruppen.
   • Om du skapar den här regeln för att undanta en eller flera resurser från rekommendationen väljer du Valda resurser och väljer relevanta resurser i listan.

6. Ange ett namn.

7. (Valfritt) Ange ett förfallodatum.

8. Välj kategorin för undantaget:

   • Resolved through third-party service (mitigated) – om du använder dig av en icke-Microsoft-tjänst för åtgärdande som Defender för molnet inte spårar.

   Anmärkning

   När du undantar en resurs som mildrad räknas den som hälsosam. Du får inte poäng för åtgärden, men Defender för molnet drar inte av poäng för att lämna den ohälsosam, så undantagna resurser sänker inte din poäng.

   • Risk accepteras (undantag) – om du bestämmer dig för att acceptera risken för att inte mildra denna rekommendation.

9. Ange en beskrivning.

10. Välj Skapa.

    

När du har skapat undantaget

Ett undantag kan ta upp till 24 timmar att träda i kraft. Defender för molnet utvärderar resurser var 12:e till 24:e timme. När undantaget träder i kraft:

• Rekommendationen eller resurserna påverkar inte din säkerhetspoäng.

• Om du undantar specifika resurser listar Defender för molnet dem på fliken Ej tillämpligt på sidan med rekommendationsinformation.

• Om du undantar en rekommendation döljer Defender för molnet den som standard på sidan Rekommendationer . Detta beror på att standardfiltret rekommendationsstatus exkluderar Inte tillämpliga rekommendationer. Samma beteende inträffar om du undantar alla rekommendationer i en säkerhetskontroll.

Förstå hur undantagstypen påverkar rekommendationsstatusen

Den undantagstyp som du väljer avgör hur undantaget påverkar rekommendationen och säkerhetspoängen:

• Minimerade undantag: Undantagna resurser räknas som felfria. Säkerhetspoängen ökar.
• Undantag: Undantagna resurser undantas från beräkningen av säkerhetspoäng. Resurser räknas inte in i säkerhetspoängen men kan fortfarande förekomma i rekommendationer.

Kontrollera att undantaget fungerar

Om rekommendationen fortfarande visar resurser som ohälsosamma efter 24 timmar, se Lösa ett undantag som inte uppdaterar rekommendationsstatusen för detaljerade instruktioner.

Nästa steg

Relaterat innehåll

• Hantera falska positiva säkerhetsrekommendationer för Defender för Lagring

Undantag hjälper säkerhetsteam att fokusera på de risker som kräver åtgärder samtidigt som de upprätthåller en styrd dokumentation av fynd som inte kräver åtgärd. Använd ett undantag när ett fynd har granskats och bedömts vara falskt positivt, täckts av en annan kontroll, tillfälligt skjutits upp eller accepterats som risk. Varje undantag registrerar sitt omfang, matchande villkor, motivering och granskningsperiod, vilket hjälper din organisation att minska operativt brus utan att förlora synlighet eller ansvar.

Varför ska du använda undantag?

Undantag ger ett strukturerat alternativ till att informellt undertrycka ett säkerhetsfynd. De hjälper organisationer:

• Fokusera resurser för sanering på säkerhetsfynd som kräver åtgärder.
• Tillämpa ett dokumenterat riskbeslut konsekvent inom det relevanta omfånget.
• Minska repetitivt arbete genom att hantera undantag via centraliserade regler.
• Dokumentera motiveringen och den stödjande kontext som behövs för styrning, revision och efterlevnad.
• Omvärdera accepterade risker med hjälp av utgångsdatum och livscykelgranskning.
• Bevara säkerhetskontexten för undantagna fynd i undersöknings- och attackvägsupplevelser.

Användningsfall

Skapa ett undantag efter att en identifiering har genererats och granskats, och din organisation fastställer att åtgärd inte krävs för tillfället. Vanliga scenarier är:

• Fyndet är falskt positivt.
• Organisationen granskade och accepterade risken.
• En tredjepartskontrollfunktion minskar risken.
• En alternativ åtgärd finns redan på plats.
• Åtgärd skjuts upp av en dokumenterad affärsmässig eller teknisk anledning.

Ta bort en regel eller skapa ett undantag?

Både rekommendationspolicyer och undantag låter dig kontrollera rekommendationsbeteendet, men de tjänar olika styrningssyften. Använd en policyändring när en rekommendation inte bör utvärderas för ett specifikt område. Använd ett undantag när rekommendationen fortfarande är gällande, men åtgärd tillfälligt inte krävs och bör följas upp för styrning, revision eller efterlevnad.

Innan du börjar

Verifiera att en miljö hanteras i Defender

Undantag skapade i Defender gäller endast tillgångar som tillhör miljöer som hanteras i Defender. Du kan verifiera förvaltningsplatsen på något av följande sätt:

• Utifrån rekommendationserfarenheten, granska egenskapen Hanteras i och bekräfta att värdet är Defender.

• Från molnmiljöhantering öppnar du sidan Miljöhantering och bekräftar att den tillämpliga miljön hanteras i Defender.

Om en upptäckt påverkar tillgångar som hanteras i Azure har du två alternativ:

• Koppla miljön till Defender och fortsätt hantera undantag via Defender.
• Skapa undantaget i Azure.

Permissions

Microsoft Defender enhetlig rollbaserad åtkomstkontroll (RBAC) kontrollerar åtkomst till undantag:

För att delegera undantagshantering, gå till System>Behörigheter>Microsoft Defender XDR>Roller i Microsoft Defender-portalen och skapa eller uppdatera en roll med nödvändiga behörigheter och omfattning.

Skapa ett undantag

Gå till Exponeringshantering>Policyer>Undantag, och välj sedan Skapa undantag. Skapandeprocessen omfattar fyra beslut:

Efter att undantaget har lämnats in behandlar Microsoft Defender undantaget och uppdaterar matchande fynd. Förändringar i status för fynd, exponeringsberäkningar och relaterade posturmått kanske inte återspeglas omedelbart.

Skapa ett undantag från en rekommendation

Du kan också skapa ett undantag direkt från en rekommendation. När Defender startas från en rekommendation förifylls undantagsvillkoren automatiskt baserat på den valda rekommendationen för att minska konfigurationsarbetet och säkerställa att undantaget riktar sig mot den avsedda identifieringen:

Vad innebär förifyllt?

• Undantagsvillkoret sätts automatiskt till Enligt rekommendation och baseras på den rekommendation som undantaget skapades från. Detta villkor kan inte ändras under skapandeflödet.
• Omfattningen fylls automatiskt i med de tillgångar som valts när undantaget skapades. Du kan ytterligare förfina, begränsa eller utöka omfattningen vid behov innan du lämnar in undantagsansökan.

Om urvalet inkluderar både Defender-managed och Azure-managed tillgångar gäller Defender-undantaget endast för de Defender-förvaltade tillgångarna. Hantera de återstående tillgångarna i Azure eller flytta den relevanta miljön till Defender-hantering.

Hantera livscykeln för undantag

Använd sidan för undantagsregler för att granska organisationens beslut om undantag och hantera beslutens livscykel.

• Redigera en regel när dess omfattning, matchande villkor, motivering, ägare eller granskningsperiod ändras.
• Ta bort en regel när undantaget inte längre är giltigt och matchande fynd bör återgå till aktiv åtgärdsspårning.
• Gå igenom regler som håller på att löpa ut innan den godkända riskperioden löper ut.
• Granska utgångna regler som dokumentation över tidigare beslut och avgör om en ny bedömning krävs.

När ett undantag tas bort eller når sitt utgångsdatum omvärderar Microsoft Defender automatiskt de berörda fynden. Alla fynd som fortfarande behöver åtgärdas återgår till ett Active-tillstånd och bidrar återigen till säkerhetsstatus- och riskberäkningar. Resultat som inte längre är tillämpliga förblir opåverkade.

Förstå effekten av ett undantag

När ett undantag är aktivt markeras matchande fynd som Undantaget. Undantaget ändrar hur fyndet behandlas, men det tar inte bort fyndet, dess stödjande bevis eller dess relation till andra säkerhetssignaler.

Undantagna fynd finns kvar under hela Microsoft Defender-utredningen och i detaljvyer. Beroende på de aktuella filtren kan undantagna resultat vara dolda som standard. För att granska dem, uppdatera statusfiltret för att inkludera Undantagna fynd.

Poängpåverkan

Undantagna resultat utesluts från de tillämpliga säkerhetspoängberäkningarna så länge undantaget är aktivt. Effekten på poäng beror på undantagets omfattning och produktupplevelsen.

Angreppsvägar

Att undanta en rekommendation från undantag tar inte bort den från tillhörande attackvägar. Microsoft Defender fortsätter att inkludera rekommendationen i attackvägsanalysen och identifierar den tydligt som undantagen. Detta hjälper säkerhetsteam att förstå den potentiella effekten av den accepterade risken, behålla insyn i hur rekommendationen bidrar till den totala exponeringen och ompröva undantaget om säkerhetsläget eller affärskraven förändras.

Befintliga Azure-undantag och övergången till Defender

Detta avsnitt är främst relevant för organisationer som historiskt hanterat rekommendationer och undantag i Azure och nu håller på att ställa om sina miljöer till att bli Managed in Defender. Under denna övergång bevarar Microsoft befintliga Azure-undantagskonfigurationer samtidigt som Defender etableras som den centrala platsen för att hantera nya undantagsbeslut.

Så fungerar ägarskap för undantag

Microsoft Defender och Azure kan samexistera under övergångsperioden. Även om undantagsreglerna fortfarande ägs av portalen där de ursprungligen skapades, är rekommendationsstatusen konsistent över alla upplevelser.

• Undantagsregler skapade i Azure fortsätter att hanteras i Azure.
• Undantagsregler som skapas i Defender hanteras från sidan Undantagsregler i Defender.
• Definitioner av undantagsregeln synkroniseras eller kopieras inte mellan Azure och Defender.
• Både Azure- och Defender-undantag påverkar motsvarande rekommendationer.
• Rekommendationsstatus och undantagsstatus förblir konsekventa oavsett vilken portal som äger undantagsregeln.

Befintliga Azure-undantag

När en miljö blir Managed in Defender fortsätter Microsoft att respektera undantagsregler som tidigare skapades i Azure.

• Befintliga Azure-undantag fortsätter att påverka rekommendationers status och beräkningar av säkerhetsstatus.
• Säkerhetsteam kan fortsätta att redigera eller ta bort dessa undantag i Azure.
• Dessa Azure-skapade undantag visas inte som hanterbara undantagsregler i Defender.

Detta tillvägagångssätt gör det möjligt för organisationer att gå över till Defender utan att störa befintliga riskacceptansbeslut eller kräva omedelbar migrering av historiska undantagsregler.

Skapa nya undantag

Efter att en miljö blivit Managed i Defender måste nya undantag för det omfånget skapas i Defender. Nya Azure-undantag kan inte skapas för dessa omfattningar via den portal som stöds.

Denna ägarmodell ger säkerhetsteam centraliserad kontroll över nya undantagsbeslut samtidigt som befintliga Azure-konfigurationer bevaras. Det förhindrar också att team skapar nya, konkurrerande regler för samma Defender-hanterade omfattning i olika portaler.

Limitations

Följande begränsningar gäller för hantering av undantag i Microsoft Defender-portalen:

• Befintliga Azure-undantag fortsätter att respekteras efter att en miljö hanterats i Defender, men de migreras inte automatiskt till Defender-portalen.
• Bearbetning, statusuppdateringar, omräkning av poäng och statusöverföring över portaler är inte omedelbara och kräver ytterligare handläggningstid.

Varför använda undantagshantering i Microsoft Defender?

Organisationer som väljer att hantera sin molnsäkerhetsstatus i Microsoft Defender kan dra nytta av en centraliserad undantagshanteringsupplevelse integrerad direkt i hela exponeringshanteringsflödet. Azure fortsätter att stödja undantagshantering, medan Defender erbjuder en enhetlig upplevelse för organisationer som vill hantera säkerhetsstatusen över alla arbetsbelastningar och relaterade beslut från en enda plats.

• Flexibla scopes: Defender gör det möjligt för organisationer att skapa undantag över stödda miljöer och tillgångar, vilket ger mer flexibilitet vid val av scope än traditionell Azure-hierarkibaserad scoping.
• Minskad administrativ belastning: Centraliserade och återanvändbara undantagsregler hjälper till att minska antalet undantag som behöver skapas och underhållas över flera Azure-prenumerationer, hanteringsgrupper och omfattningar.
• Granulära säkerhetsbehörigheter: Microsoft Defender XDR enhetlig RBAC gör det möjligt för organisationer att separera läs- och hanteringsbehörigheter samt delegera undantagshantering till specifika säkerhetsteam utan att enbart förlita sig på Azure:s administrativa roller.
• Livscykelstyrning genom design: Även om Azure också stödjer undantagshantering, erbjuder Defender en mer säkerhetsfokuserad styrningsupplevelse. Undantag inkluderar granskningsperioder och obligatoriska utgångsdatum, vilket gör det lättare att följa upp tillfälliga riskacceptansbeslut under revisioner och efterlevnadsbedömningar. Säkerhetsteam kan enkelt identifiera undantag som närmar sig utgång, granska utgångna undantag och periodvis omvärdera accepterade risker.
• Snabbare hantering av undantag: Undantag skapade i Defender återspeglas vanligtvis i rekommendationsstatus, poängberäkningar och relaterade erfarenheter snabbare än motsvarande undantag i Azure. Microsoft fortsätter att förbättra effektiviteten i bearbetningen för att ytterligare minska den tid som krävs för att undantagsändringar ska träda i kraft.

Relaterat innehåll

• Microsoft Defender enhetlig rollbaserad åtkomstkontroll (RBAC)
• Hantera principer för enhetshälsa