Förbered för avveckling av Log Analytics-agenten

Den Log Analytics agenten, även känd som Microsoft Monitoring Agent (MMA), gick i pension i november 2024 enligt Defender för molnet Log Analytics agentens pensionsplan. På grund av denna pensionering kommer Defender for Servers och Defender for SQL on machine-abonnemangen i Microsoft Defender för molnet att uppdateras, och funktioner som bygger på Log Analytics-agenten kommer att omdesignas.

Den här artikeln sammanfattar planerna för Log Analytics-agentens (MMA) pensionering.

Förbereda Defender för servrar

Defender for Servers-planen använder Log Analytics-agenten i den allmänt tillgängliga versionen (GA) och AMA för agent- och funktionsstöd för Defender for Servers (i förhandsversion). Här är vad som händer med de här funktionerna framöver:

För att förenkla onboarding får du alla Defender for Servers säkerhetsfunktioner och funktioner med en enda agent (Microsoft Defender för Endpoint), kompletterat med agentlös maskinskanning, utan beroende av Log Analytics-agenten eller Azure Monitor-agenten (AMA).

• Funktionerna i Defender för servrar, som baseras på AMA, är för närvarande i förhandsversion och kommer inte att bli allmänt tillgängliga.
• Funktioner i förhandsvisning som förlitar sig på AMA stöds fortfarande tills en alternativ version av funktionen tillhandahålls, vilket bygger på Defender for Endpoint-integrationen eller den agentlösa maskinskanningsfunktionen.
• Genom att aktivera integreringen med Defender for Endpoint och funktionen för agentlös genomsökning av datorer innan utfasningen sker, kommer din distribution av Defender for Servers att vara uppdaterad och stödjas.

Funktionalitet

Följande tabell sammanfattar hur funktioner i Defender for Servers tillhandahålls. De flesta funktioner är redan allmänt tillgängliga via integrationen med Defender for Endpoint eller agentlös genomsökning av datorer. De återstående funktionerna Defender for Servers som listas i tabellen nedan kommer antingen att finnas tillgängliga i GA när MMA pensioneras, eller så kommer de att tas ur bruk.

Upplevelsen för automatisk provisionering av Log Analytics-agent – utfasningsplan

Som en del av MMA-agentens pensionering kommer den automatiska provisioneringsfunktionen som möjliggör installation och konfiguration av agenten för Defender för molnet-kunder också att avskaffas i två steg:

1. I slutet av september 2024 – automatisk etablering av MMA inaktiveras för kunder som inte längre använder funktionen, samt för nyligen skapade prenumerationer:

   • Befintliga prenumerationer som stänger av automatisk MMA-etablering efter slutet av september kommer inte längre att kunna aktivera funktionen efteråt.

   • För nyligen skapade prenumerationer kan automatisk etablering inte längre aktiveras och inaktiveras automatiskt.

2. Slutet av november 2024 – MMA automatisk provisionering kommer att inaktiveras på prenumerationer som ännu inte har stängt av den. Från och med då är det inte längre möjligt att aktivera MMA-automatisk provisionering på befintliga prenumerationer.

500 MB-förmånen för datainmatning

För att behålla den kostnadsfria kvoten på 500 MB för de datatyper som stöds måste du migrera från MMA till AMA.

Läs mer om hur du distribuerar AMA.

För SQL-servrar på datorer rekommenderar vi att migrera till Azure Monitoring Agents (AMA) automatiska etableringsprocess för SQL-servrar.

Ändringar i den äldre Defender för serverplan 2-onboarding med hjälp av Log Analytics-agenten

Microsoft lägger ner den äldre metoden för att integrera servrar till Defender for Servers Plan 2, som använder Log Analytics-agenten och Log Analytics-arbetsytorna. Pensioneringen inkluderar följande förändringar:

• Upplevelsen för att registrera nya datorer utanför Azure i Defender for Servers med hjälp av Log Analytics-agenter och arbetsytor tas bort från sidorna Inventering och Komma igång i Defender för molnet-portalen.

• För att undvika att förlora säkerhetstäckningen på de berörda datorerna som ansluter till en Log Analytics Workspace, vidta följande åtgärder för agentens pensionering:

  • Om du anslöt servrar utanför Azure (både lokalt och i flera moln) genom att använda den äldre Log Analytics-agentbaserade anslutningen för datorer utanför Azure, anslut dessa datorer via servrar med Azure Arc till Azure-prenumerationer och anslutningsprogram med Defender for Servers Plan 2. För mer information om att distribuera maskiner i stor skala, se Azure Arc serverdistributionsalternativ.
  • Om du använde den äldre metoden för att aktivera Defender for Servers Plan 2 på utvalda Azure-VM:ar, aktivera Defender for Servers Plan 2 på Azure-prenumerationerna för dessa maskiner. Du kan sedan utesluta enskilda maskiner från Defender for Servers-täckningen genom att använda konfigurationen Defender for Servers per resurs.

Följande tabell sammanfattar vilken åtgärd som krävs för varje server som har anslutits till Defender for Servers Plan 2 med den äldre metoden:

Systemuppdateringar och patchrekommendationer – erfarenhet – ändringar och migrationsvägledning

Systemuppdateringar och korrigeringar är avgörande för att hålla dina datorers säkerhet och hälsa. Uppdateringar innehåller ofta säkerhetspatchar för sårbarheter som, om de lämnas oåtgärdade, kan utnyttjas av illasinnade aktörer.

Defender för molnet Foundational CSPM och Defender for Servers-planerna gav tidigare rekommendationer om systemuppdateringar genom att använda Log Analytics-agenten. Den tidigare Log Analytics-agentbaserade systemuppdateringsupplevelsen har ersatts av säkerhetsrekommendationer som samlas in med Azure uppdateringshanterare och byggs upp av två nya rekommendationer:

• Datorer bör konfigureras för att regelbundet söka efter systemuppdateringar som saknas

• Systemuppdateringar bör installeras på dina datorer (drivs av Azure uppdateringshanterare)

Lär dig hur du åtgärdar systemuppdateringar och rekommendationer om patchar på dina maskiner.

Vilka rekommendationer ersätts?

I följande tabell sammanfattas tidsplanen för rekommendationer som är inaktuella och ersatta.

Hur gör jag för att förbereda för de nya rekommendationerna?

• Anslut dina datorer som inte Azure till Arc.

• Kontrollera att inställningen för periodisk utvärderingsuppdatering är aktiverad på dina datorer. Du kan aktivera det på två sätt:

  • Åtgärda rekommendationen: Maskiner bör konfigureras för att periodiskt kontrollera efter saknade systemuppdateringar genom att använda Azure uppdateringshanterare.
  • Aktivera periodisk bedömning i stor skala med Azure Policy.

• När du har slutfört dessa steg kan Update Manager hämta de senaste uppdateringarna till maskinerna, och du kan se den senaste statusen för maskinens efterlevnad.

Upplevelsen för rekommendationer om slutpunktsskydd – vägledning om ändringar och migrering

Identifiering av slutpunkter och rekommendationer tillhandahölls tidigare av Defender för molnets grundläggande CSPM och Defender for Servers-planerna med Log Analytics-agenten i allmän tillgänglighet, eller i förhandsversion via AMA. De tidigare MMA- och AMA-baserade slutpunktsupptäckts- och rekommendationsupplevelserna har ersatts av säkerhetsrekommendationer som samlas in med agentfri maskinskanning.

Rekommendationer för slutpunktsskydd skapas i två steg. Det första steget är ändpunktsdetektering och upptäckt av responslösningar. Det andra steget är bedömning av lösningens konfiguration. Följande tabeller innehåller information om de aktuella och nya upplevelserna för varje fas.

Lär dig hur du hanterar de nya rekommendationerna för slutpunktsidentifiering och -åtgärd (utan agent).

Lösning för identifiering och svar på slutpunkter – upptäckt

Följande tabell jämför nuvarande och nya upptäcktserfarenheter för lösningar för endpoint-detektering och respons.

Lösning för slutpunktsidentifiering och svar – konfigurationsbedömning

Följande tabell jämför nuvarande och nya konfigurationsbedömningserfarenheter för lösningar för endpoint-detektering och respons.

Vilka rekommendationer håller på att fasas ut?

I följande tabell sammanfattas tidsplanen för rekommendationer som är inaktuella och ersatta.

Den nya rekommendationen för agentlöst slutpunktsskydd-upplevelsen, som bygger på agentlös datorskanning, har stöd för både Windows och Linux för multicloud-datorer.

Hur fungerar ersättningen?

• Aktuella rekommendationer från Log Analytics-agenten eller AMA kommer att bli inaktuella över tid.
• Några av dessa befintliga rekommendationer kommer att ersättas av nya rekommendationer baserade på agentfri datoravsökning.
• Rekommendationer som för närvarande är i GA förblir på plats tills Log Analytics-agenten tas ur bruk.
• Rekommendationer som för närvarande är i förhandsversion kommer att ersättas när den nya rekommendationen är tillgänglig i förhandsversionen.

Vad händer med Secure Score?

Följande punkter förklarar hur Secure Score påverkas under övergången från MMA-baserade till agentlösa rekommendationer för slutpunktsskydd.

• Rekommendationer som för närvarande är i allmän tillgänglighet kommer att fortsätta att påverka säkerhetspoängen.
• Aktuella och kommande nya rekommendationer finns under samma Microsoft Cloud Security Benchmark-kontroll, vilket säkerställer att det inte finns någon duplicerad inverkan på säkerhetspoängen.

Hur gör jag för att förbereda för de nya rekommendationerna?

För att förbereda dig för de nya rekommendationerna om skydd mot agentlösa endpoints, vidta följande åtgärder:

• Säkerställ att agentlös maskinskanning är aktiverad som en del av Defender for Servers Plan 2 eller Defender Cloud Security Posture Management.
• Om det passar din miljö, ta bort föråldrade rekommendationer när ersättningsrekommendationen för GA blir tillgänglig. Det gör du genom att inaktivera rekommendationen i det inbyggda Defender för molnet-initiativet i Azure Policy.

Övervakning av filintegritet – vägledning för ändringar och migrering

Defender for Servers Plan 2 erbjuder nu en ny File Integrity Monitoring (FIM)-lösning som drivs av Defender for Endpoint (MDE)-integration. När FIM som drivs av MDE blir allmänt tillgängligt kommer portalupplevelsen i Defender för molnet för FIM som drivs av AMA att tas bort. I november kommer FIM som drivs av MMA att fasas ut.

Migrering från FIM via AMA

Om du för närvarande använder FIM via AMA:

• Du kan inte längre ta in nya prenumerationer eller servrar i FIM baserat på AMA och ändringsspårningstillägget eller visa ändringar via Defender för molnet-portalen från och med den 30 maj.

• Om du vill fortsätta använda FIM-händelser som samlas in av AMA kan du manuellt ansluta till relevant arbetsyta och visa ändringar i tabellen Ändringsspårning med följande fråga:

  ConfigurationChange
  
  | where TimeGenerated > ago(14d)
  
  | where ConfigChangeType in ('Registry', 'Files') 
  
  | summarize count() by Computer, ConfigChangeType
  

• Om du vill fortsätta registrera nya omfång eller konfigurera övervakningsregler kan du manuellt använda regler för dataanslutning för att konfigurera eller anpassa olika aspekter av datainsamling.

• Defender för molnet rekommenderar att inaktivera FIM över AMA och att du introducerar din miljö till den nya FIM-versionen baserad på Defender for Endpoint vid lansering.

Inaktivera FIM via AMA

Om du vill inaktivera FIM via AMA tar du bort Azure Ändringsspårning-lösningen. Mer information finns i Ta bort ChangeTracking-lösningen.

Alternativt kan du ta bort de relaterade datainsamlingsreglerna (DCR) för spårning av filändringar. Mer information finns i Remove-AzDataCollectionRuleAssociation eller Remove-AzDataCollectionRule.

Efter att du inaktiverat insamlingen av filhändelser genom att använda någon av metoderna ovan:

• Nya händelser slutar samlas in på det valda teleskopet.
• De historiska händelser som redan har samlats in lagras fortfarande på den relevanta arbetsytan under tabellen ConfigurationChange i avsnittet Ändringsspårning. Dessa händelser förblir tillgängliga i relevant arbetsyta enligt den lagringsperiod som definieras i denna arbetsplats. Mer information finns i Så här fungerar kvarhållning och arkivering.

Migrera från FIM via Log Analytics Agent (MMA)

Om du för närvarande använder FIM via Log Analytics-agenten (MMA):

• Övervakning av filintegritet baserat på Log Analytics Agent (MMA) kommer att bli inaktuell i slutet av november 2024.

• Defender för molnet rekommenderar att du inaktiverar FIM via MMA och ansluter din miljö till den nya FIM-versionen baserad på Defender for Endpoint när den lanseras.

Inaktivera FIM över MMA

Om du vill inaktivera FIM via MMA tar du bort Azure Ändringsspårning-lösningen. Mer information finns i Ta bort ChangeTracking-lösningen.

När du har inaktiverat samlingen med filhändelser:

• Nya händelser slutar samlas in på det valda teleskopet.
• De historiska händelser som redan har samlats in lagras fortfarande på den relevanta arbetsytan under tabellen ConfigurationChange i avsnittet Ändringsspårning. Dessa händelser förblir tillgängliga i relevant arbetsyta enligt den lagringsperiod som definieras i denna arbetsplats. Mer information finns i Så här fungerar kvarhållning och arkivering.

Förändringar i grundläggande erfarenheter och migrationsvägledning

Funktionen för grundläggande felkonfiguration på VM:er hjälper till att säkerställa att dina VM:ar följer säkerhetspraxis och organisatoriska policyer. Baselines felkonfiguration kontrollerar dina VM:ar mot fördefinierade säkerhetsbaslinjer och identifierar eventuella avvikelser eller felkonfigurationer som kan utgöra en risk för din miljö.

Log Analytics-agenten (även känd som Microsoft Monitoring-agenten eller MMA) gick i pension i november 2024, och följande ändringar gäller:

• Maskininformation samlas in genom att använda Azure Policy-gästkonfigurationen.

• Följande Azure-principer är aktiverade med Azure Policy-gästkonfiguration:

  • "Windows-datorer bör uppfylla kraven för Säkerhetsbaslinjen för Azure-beräkning"
  • "Linux-datorer bör uppfylla kraven för Azure-beräkningssäkerhetsbaslinjen"

  Anmärkning

  Om du tar bort dessa policys förlorar du tillgången till fördelarna med Azure Policy-tillägget för gästkonfiguration.

• Defender för molnet grundläggande CSPM inkluderar inte längre OS-rekommendationer baserade på baslinjer för beräkningssäkerhet. Dessa rekommendationer finns tillgängliga när du aktiverar Defender for Servers Plan 2.

För att lära dig mer om prissättningen för Defender for Servers Plan 2, titta på prissidan för Defender för molnet. Du kan också beräkna kostnader med kostnadskalkylatorn för Defender för molnet.

Rekommendationer som MCSB ger och som inte ingår i Windows och Linux beräkningssäkerhetsbaslinjer fortsätter att vara en del av den kostnadsfria grundläggande CSPM.

Installera Azure Policy-gästkonfiguration

För att fortsätta få den grundläggande upplevelsen behöver du aktivera Defender for Servers Plan 2 och installera Azure Policy-gästkonfigurationen. När du aktiverar Defender for Servers Plan 2 och installerar Azure Policy-gästkonfigurationen säkerställer du att du fortsätter att få samma rekommendationer och härdningsvägledning som du fick genom grundupplevelsen.

Beroende på din miljö kan du behöva vidta följande steg:

1. Granska supportmatrisen för gästkonfiguration för Azure Policy.

2. Installera Azure Policy-gästkonfigurationen på dina datorer.

   • Azure-datorer: I Defender för moln-portalen, på sidan med rekommendationer, söker du efter och väljer Gästkonfigurationstillägget ska installeras på datorer och åtgärdar rekommendationen.

   • (Endast Azure VMs) Du måste tilldela en hanterad identitet.

     • I portalen Defender för molnet, på sidan Rekommendationer, söker du efter och väljer Guest Configuration-tillägget för virtuella datorer ska distribueras med systemtilldelad hanterad identitet och åtgärdar du rekommendationen.

   • (Endast Azure VMs) Valfritt: För att autoprovisionera Azure Policy-gästkonfigurationen för hela din prenumeration kan du aktivera Guest Configuration Agent (förhandsvisning).

     • För att aktivera Guest Configuration Agent:

       1. Logga in på Azure-portalen.

       2. Gå till Miljöinställningar>Din prenumeration>Inställningar och övervakning.

       3. Välj Gästkonfiguration.

          

       4. Växla gästkonfigurationsagenten (förhandsversion) till På.

          

       5. Välj Fortsätt.

   • GCP och AWS: Gästkonfiguration för Azure Policy installeras automatiskt när du ansluter ditt GCP-projekt eller ansluter dina AWS-konton till Defender för molnet med automatisk Azure Arc-etablering aktiverad.

   • Lokala datorer: Azure Policy-gästkonfigurationen är aktiverad som standard när du registrerar lokala datorer som Azure Arc-aktiverade datorer eller virtuella datorer.

När du har slutfört de nödvändiga stegen för att installera Azure Policy-gästkonfigurationen får du automatiskt tillgång till de grundläggande funktionerna baserade på Azure Policy-gästkonfigurationen. När du installerar Azure Policy-gästkonfigurationen säkerställer du att du fortsätter att få samma rekommendationer och härdningsvägledning som du fick genom grundupplevelsen.

Ändringar i rekommendationer

Med avskrivningen av MMA kommer följande MMA-baserade rekommendationer att tas bort:

• Datorer bör konfigureras på ett säkert sätt
• Automatisk etablering av Log Analytics-agenten ska vara aktiverad för prenumerationer

De föråldrade rekommendationerna ersätts av följande rekommendationer baserade på gästkonfiguration i Azure Policy:

• Säkerhetsrisker i säkerhetskonfigurationen på dina Windows-datorer bör åtgärdas (drivs av gästkonfiguration)
• Säkerhetsrisker i säkerhetskonfigurationen på dina Linux-datorer bör åtgärdas (drivs av gästkonfiguration)
• Gästkonfigurationstillägget ska installeras på datorer

Duplicerade rekommendationer

När du aktiverar Defender för molnet i en Azure-prenumeration aktiveras Microsofts molnsäkerhetsmått (MCSB), inklusive beräkningssäkerhetsbaslinjer som utvärderar kompatibilitet för datoroperativsystem, som standardstandard för efterlevnad. Kostnadsfri grundläggande hantering av molnsäkerhetsstatus (CSPM) i Defender för molnet ger säkerhetsrekommendationer baserat på MCSB.

Om en maskin kör både MMA- och Azure Policy-gästkonfigurationen ser du dubbletter av rekommendationer. Duplicering av rekommendationer sker eftersom båda metoderna körs samtidigt och ger samma rekommendationer. Dessa dubbletter påverkar din efterlevnad och Secure Score.

För att undvika dubbla rekommendationer medan både MMA- och Azure Policy-gästkonfigurationen körs kan du inaktivera MMA-rekommendationerna Machines should be configured securely genom Auto provisioning of the Log Analytics agent should be enabled on subscriptions att gå till sidan för regelefterlevnad i Defender för molnet.

När du hittar rekommendationen, välj de relevanta maskinerna och undanta dem.

Några av baslinjekonfigurationsreglerna som drivs av gästkonfigurationsverktyget för Azure Policy är mer aktuella och ger bredare täckning. Som ett resultat kan övergången till Baselines-funktionen som drivs av Azure Policy-gästkonfiguration påverka din efterlevnadsstatus eftersom de inkluderar kontroller som kanske inte har utförts tidigare.

Frågerekommendationer

Med MMA:s pensionering söker Defender för molnet inte längre rekommendationer via Log Analytics-arbetsytinformationen. Istället använder Defender för molnet nu Azure Resource Graph för API- och portalfrågor för att söka rekommendationsinformation.

Här är två exempelfrågor som du kan använda:

• Hämta alla ohälsosamma regler för en specifik resurs

  Securityresources 
  | where type == "microsoft.security/assessments/subassessments" 
  | extend assessmentKey=extract(@"(?i)providers/Microsoft.Security/assessments/([^/]*)", 1, id) 
  | where assessmentKey == '1f655fb7-63ca-4980-91a3-56dbc2b715c6' or assessmentKey ==  '8c3d9ad0-3639-4686-9cd2-2b2ab2609bda' 
  | parse-where id with machineId:string '/providers/Microsoft.Security/' * 
  | where machineId  == '{machineId}'
  

• Alla ohälsosamma regler och antalet ohälsosamma datorer för var och en

  securityresources 
  | where type == "microsoft.security/assessments/subassessments" 
  | extend assessmentKey=extract(@"(?i)providers/Microsoft.Security/assessments/([^/]*)", 1, id) 
  | where assessmentKey == '1f655fb7-63ca-4980-91a3-56dbc2b715c6' or assessmentKey ==  '8c3d9ad0-3639-4686-9cd2-2b2ab2609bda' 
  | parse-where id with * '/subassessments/' subAssessmentId:string 
  | parse-where id with machineId:string '/providers/Microsoft.Security/' * 
  | extend status = tostring(properties.status.code) 
  | summarize count() by subAssessmentId, status
  

Planera migreringen av Log Analytics-agenten

Migrationsplaneringsmatris

Planera agentmigrering enligt ditt företags behov. Följande tabell för migrationsplanering sammanfattar vägledningen.

Använd MMA-migreringsupplevelsen

MMA-migreringsupplevelsen är ett verktyg som hjälper dig att migrera från MMA till AMA. Upplevelsen innehåller en stegvis guide som hjälper dig att migrera dina datorer från MMA till AMA.

Genom att använda MMA-migreringsfunktionen kan du:

• Migrera servrar från den äldre onboarding via Log Analytics-arbetsområdet.
• Se till att prenumerationerna uppfyller alla förutsättningar för att få alla fördelar med Defender for Servers Plan 2.
• Migrera till FIM:s nya version via MDE.

1. Logga in på Azure-portalen.

2. Gå till Defender för molnet>Miljöinställningar.

3. Välj MMA-migrering.

   

4. Välj Vidta åtgärd för någon av de tillgängliga åtgärderna:

   

Tillåt att upplevelsen läser in och följer stegen för att slutföra migreringen.

Nästa steg