Säkerhetsprinciper i Defender för molnet

Säkerhetsprinciper i Microsoft Defender för molnet definierar hur dina molnresurser utvärderas för säkerhet i Azure, Amazon Web Services (AWS) och Google Cloud Platform (GCP). En princip anger de standarder, kontroller och villkor som Defender för molnet använder för att utvärdera resurskonfigurationer och identifiera potentiella säkerhetsrisker.

Varje princip innehåller säkerhetsstandarder som definierar de kontroller och utvärderingslogik som tillämpas på din miljö. Defender för molnet utvärderar kontinuerligt dina resurser mot dessa standarder. När en resurs inte uppfyller en definierad kontroll genererar Defender för molnet en säkerhetsrekommendation som beskriver problemet och de åtgärder som krävs för att åtgärda det.

På så sätt kan Defender för molnet kontinuerligt utvärdera resurser och förbättra organisationens säkerhetsstatus.

Säkerhetsstandarder

Säkerhetsprinciper i Defender för molnet kan innehålla flera typer av standarder:

• Säkerhetsmått – inbyggda baslinjer som Microsoft Cloud Security Benchmark (MCSB) och prestandamått för molnleverantörer som definierar grundläggande metodtips.

• Regelefterlevnadsstandarder – Ramverk från bransch- och efterlevnadsprogram som är tillgängliga när du aktiverar en Defender för molnet-plan.

• Anpassade standarder – Organisationsdefinierade standarder som innehåller inbyggda eller anpassade rekommendationer för att anpassa Defender för molnutvärderingar med interna säkerhetsprinciper.

Läs mer om säkerhetsstandarder i Defender för molnet.

Säkerhetsrekommendationer

Säkerhetsrekommendationer är användbara insikter som genereras från utvärderingar mot säkerhetsstandarder. Varje rekommendation innehåller:

• En kort beskrivning av problemet
• Steg för reparation
• Berörda resurser
• Allvarlighetsgrad och riskfaktorer
• Kontext för attackväg (när det är tillgängligt)

Riskmodellen Defender för molnet prioriterar rekommendationer baserat på exponering, datakänslighet, lateral förflyttningspotential och exploaterbarhet.

Anpassade rekommendationer

Du kan skapa anpassade rekommendationer för att definiera din egen utvärderingslogik med hjälp av Kusto Query Language (KQL). Den här funktionen är tillgänglig för alla moln när Defender CSPM-planen är aktiverad.

Anpassade rekommendationer skapas inom en anpassad standard och kan även länkas till ytterligare standarder om det behövs. Varje rekommendation innehåller frågelogik, reparationssteg, allvarlighetsgrad och tillämpliga resurstyper. När du har skapat dem visas anpassade rekommendationer med inbyggda rekommendationer på instrumentpanelen för regelefterlevnad och bidrar till din övergripande säkerhetsstatusbedömning.

Läs mer om att skapa anpassade rekommendationer.

Example

MCSB innehåller flera kontroller som definierar förväntade säkerhetskonfigurationer. En av dessa kontroller är "Lagringskonton bör begränsa nätverksåtkomsten med hjälp av regler för virtuella nätverk".

Defender för molnet utvärderar kontinuerligt resurser. Om den hittar någon som inte uppfyller den här kontrollen markerar den dem som inkompatibla och utlöser en rekommendation. I det här fallet är vägledningen att härda Azure Storage-konton som inte skyddas med regler för virtuella nätverk.

Relaterat innehåll

• Läs mer om säkerhetsstandarder och MCSB.
• Lär dig hur du granskar säkerhetsrekommendationer.
• Lär dig hur du tilldelar och hanterar standarder för dina molnmiljöer.
• Övervaka och förbättra din efterlevnadsstatus på instrumentpanelen för regelefterlevnad.

Hållningsprinciper definierar vilka rekommendationer för säkerhetshållning som utvärderas och inom vilket område de gäller. Organisationer kan konfigurera policyer över olika miljöer för att anpassa rekommendationsutvärdering till deras affärs-, efterlevnads- och operativa krav.

Varför använda posture-policyer?

Hållningsprinciper hjälper organisationer att anpassa Microsofts standardsäkerhetsrekommendationer för att matcha deras specifika säkerhets-, efterlevnads- och operativa krav. Även om Microsoft-baslinjen ger en stark utgångspunkt behöver organisationer ofta ytterligare flexibilitet för att definiera vilka säkerhetsregler som ska utvärderas, anpassa regelparametrar eller justera rekommendationstäckning för olika miljöer.

Genom att använda posture-policys kan säkerhetsteam tillämpa striktare krav på mycket känsliga miljöer, lägga till organisationsspecifika eller efterlevnadsdrivna regler och minska onödigt brus i miljöer med lägre risk. Detta hjälper till att säkerställa att rekommendationerna är i linje med affärsprioriteringar, regulatoriska skyldigheter och den säkerhetsnivå som förväntas för varje miljö, vilket resulterar i mer relevanta och handlingsbara resultat.

Innan du börjar

Kontrollera att en miljö hanteras i Defender

Principer som skapats i Defender gäller endast för miljöer som hanteras i Defender. Du kan verifiera förvaltningsplatsen på något av följande sätt:

• Utifrån rekommendationsupplevelsen, granska egenskapen Hanteras i och bekräfta att värdet är Defender.

• Från molnmiljöhantering öppnar du sidan Miljöhantering och bekräftar att den tillämpliga miljön hanteras i Defender.

Om en miljö hanteras i Azure kan du koppla miljön till Defender och fortsätta hantera posture-policys via Defender eller fortsätta hantera den tillämpliga konfigurationen i Azure.

Plans

Posture policies är endast tillgängliga för miljöer som har en kvalificerande Microsoft Defender-plan aktiverad.

• Endast miljöer med en aktiv kvalificerad plan kan väljas som ett principomfång.
• Miljöer utan aktiverade berättigande abonnemang är inte tillgängliga för policytilldelning.
• Om inga planer är aktiverade i hela organisationen är funktionen för rekommendationsprinciper inte tillgänglig.

Permissions

Microsoft Defender enhetlig rollbaserad åtkomstkontroll (RBAC) kontrollerar åtkomsten till rekommendationspolicys:

För att delegera policyhantering, gå till System>Behörigheter>Microsoft Defender XDR>Roller i Microsoft Defender-portalen och skapa eller uppdatera en roll med nödvändiga behörigheter och omfattning.

Förstå olika typer av policyer

Defender-portalen inkluderar en Microsoft-hanterad baslinjepolicy och stöder anpassade rekommendationspolicys.

MDC:s grundläggande policy

MDC Baseline Policy är en Microsoft-administrerad policy som tillhandahåller en rekommenderad uppsättning säkerhetsregler baserade på Microsoft säkerhetsforskning, hotintelligens och bästa praxis. Den är utformad för att hjälpa organisationer att stärka sin säkerhetsställning genom att identifiera och minska vanliga attackvägar, felkonfigurationer och utnyttjbara sårbarheter.

Till skillnad från efterlevnadsfokuserade ramverk som främst är utformade för att uppfylla regulatoriska krav, fokuserar MDC Baseline Policy på att förbättra säkerhetsresultat och minska risker. Den ger omedelbart värde för säkerhetsstatusen med minimal konfiguration och fungerar som den rekommenderade startpunkten för de flesta organisationer.

Viktiga egenskaper för MDC:s grundpolicy:

• Microsoft hanterar och uppdaterar kontinuerligt policyinnehållet för att spegla utvecklande hot, säkerhetsforskning och bästa praxis.
• Policyn hanteras av Microsoft och erbjuder medvetet begränsad anpassning. Organisationer kan ändra regelparametrar, ändra tilldelningsomfattningen, redigera regelparametrar och aktivera eller inaktivera policyn, men den underliggande uppsättningen av Microsoft-rekommenderade säkerhetskontroller underhålls av Microsoft.
• Policyn kan inte tas bort och kan endast inaktiveras när det inte krävs. Att hålla policyn tillgänglig säkerställer att organisationer enkelt kan återaktivera Microsoft:s rekommenderade säkerhetsbaslinje utan att behöva återskapa eller konfigurera om den.

Standardtilldelning

För att hjälpa organisationer att omedelbart få säkerhetsnytta tilldelas MDC Baseline Policy som standard till alla anslutna miljöer.

• Befintliga anslutna miljöer inkluderas automatiskt i policyomfånget.
• Nyanslutna miljöer tilldelas automatiskt policyn.
• Organisationer kan ändra tilldelningen och begränsa policyn till utvalda miljöer vid behov.

Skapa en anpassad policy

Gå till Exposure Management> och välj sedan Skapa policy.

Skapandeprocessen omfattar tre huvudbeslut:

Efter att policyn har skapats kör Microsoft Defender tillämpliga säkerhetsbedömningar. Nya eller uppdaterade rekommendationer genereras när tillgångar inom det valda området inte uppfyller policykraven. Policyhantering och uppdateringar av rekommendationer sker inte omedelbart.

Efterlevnadsprinciper

Microsoft stödjer rekommendationer relaterade till efterlevnad och kopplar rekommendationer till vanliga regelverk, såsom HIPAA, PCI DSS, ISO 27001 och NIST. Rekommendationspolicys innehåller dock inga standardpolicys för specifika efterlevnadsramverk.

Detta tillvägagångssätt hjälper till att hålla policyhanteringen smidig genom att undvika en stor uppsättning fördefinierade efterlevnadspolicys som kanske inte är relevanta för din organisation. Istället kan organisationer skapa riktade efterlevnadsinriktade policys genom att välja rekommendationer anpassade till de regelverk de följer. Detta ger flexibilitet att skapa efterlevnadspolicys anpassade till specifika krav samtidigt som onödig komplexitet och administrativ belastning minskas.

För att skapa en efterlevnadsinriktad policy:

1. Skapa en ny policy.
2. Tilldela policyn till de miljöer som krävs för att uppfylla det valda efterlevnadsramverket och regulatoriska krav.
3. Filtrera regler efter önskat regelverk.
4. Välj alla regler.

För mer information, se Tilldela regulatoriska standarder för efterlevnad.

Regelhantering

Använd Rule Management när du behöver förstå hur en specifik rekommendation konfigureras och tillämpas i hela organisationen. Denna vy förenklar administrationen genom att erbjuda en enda plats för att följa regeltilldelningar, förstå policyrelationer och hantera regelkonfigurationer utan att behöva navigera genom flera policyer.

Förstå effekten av en policy

Hållningsprinciper avgör vilka säkerhetskontroller som utvärderas för utvalda tillgångar. När en tillgång inte uppfyller kraven som definierats av en aktiverad policy, genererar Microsoft Defender en rekommendation för att hjälpa till att åtgärda den identifierade säkerhetsluckan.

Om flera policyer gäller för samma tillgång genereras en rekommendation när tillgången inte uppfyller kraven för minst en tillämplig policy. När policyutvärderingar skiljer sig åt har det mest restriktiva utfallet företräde.

Övergång till Defender

Organisationer kan fortsätta att hantera posture-policys och säkerhetsstandarder från både Azure-portalen och Microsoft Defender-portalen under övergången till Managed in Defender.

Rekommendationerna utvärderas mot alla tillämpliga policykällor och dyker konsekvent upp i båda portalerna. Detta ger en enda rekommendationskö och förhindrar att dubbletter av rekommendationer genereras när samma säkerhetskrav konfigureras på flera platser.

Ägarskap för policy

Policyägarskapet ligger kvar hos portalen där policyn eller standarden skapades:

• Säkerhetsstandarder och policyer skapade i Azure fortsätter att hanteras i Azure.
• Policyer som skapas i Defender hanteras från sidan Posture policies i Microsoft Defender.
• Policydefinitioner synkroniseras eller kopieras inte mellan Azure och Defender.
• Rekommendationer genererade av Azure- och Defender-konfigurationer finns i båda stödda upplevelserna.

Hantera rekommendationer

Använd informationen från Policykälla i en rekommendation för att:

• Förstå om rekommendationen drivs av Azure, Defender eller båda.
• Navigera till rätt vy för policyhantering.
• Uppdatera, inaktivera eller ta bort policykonfigurationen som ansvarar för rekommendationen.

Bästa praxis för befintliga miljöer

Microsoft rekommenderar att man hanterar posture-policys i Defender när det är möjligt och att Azure-säkerhetspolicys endast används för scenarier som för närvarande inte stöds i Defender, såsom policyer som kräver en Deny-effekt eller anpassade rekommendationer.

För att minska operativ belastning och undvika överlappande policyhantering, inaktivera Azure-säkerhetsstandarder som inte längre krävs för miljöer som hanteras via Defender.

För scenarier som kräver endast Azure-funktioner, skapa dedikerade Azure-säkerhetsstandarder som endast innehåller dessa kontroller. Detta tillvägagångssätt gör det möjligt för organisationer att centralisera rekommendationshanteringen i Defender samtidigt som de fortsätter använda Azure-policys för funktioner som inte har motsvarande Defender-upplevelse.

Bästa praxis för nya prenumerationer

Nya Azure-prenumerationer ärver Azure-säkerhetsstandarder som standard. När du använder Microsoft Defender som den primära posturehanteringsupplevelsen, granska Azure-standarderna som tilldelats nyskapade prenumerationer och inaktivera alla standarder du inte tänker hantera från Azure.

Så länge Azure-standarder är aktiverade kan de fortsätta att generera rekommendationer tillsammans med Defender-hanterade policys. Rekommendationer presenteras som en enda rekommendationsupplevelse, och fältet Policy source-fältet kan användas för att identifiera om en rekommendation kommer från en Azure-säkerhetsstandard, en Defender-posturepolicy eller båda.

Grundläggande CSPM

Microsoft Defender inkluderar inte en gratis grundläggande CSPM-plan. Istället erbjuder den en enda Defender CSPM-plan, vilket är ett erbjudande mot betalning och den rekommenderade Microsoft-upplevelsen för posturehantering.

Organisationer som vill fortsätta få säkerhetsstatusrekommendationer i miljöer som hanteras av Defender måste aktivera Defender CSPM, även om de fortsätter att hantera policyer och säkerhetsstandarder från Azure-portalen.

Organisationer som tidigare förlitade sig på Azure Foundational CSPM måste aktivera Defender CSPM för att fortsätta ta emot säkerhetsstatusrekommendationer, även om policy- och säkerhetsstandardhantering finns kvar i Azure-portalen. Utan Defender CSPM genereras inte posture-rekommendationer för miljöer som hanteras i Defender.

Limitations

Följande begränsningar gäller för hantering av posture-policyer i Microsoft Defender-portalen:

• Endast Azure-miljöer stöds.
• Befintliga Azure-policys fortsätter att följas men migreras inte automatiskt till Defender-portalen.
• Skapande av anpassade rekommendationer stöds för närvarande inte i Defender. Anpassade rekommendationer kan fortsätta att hanteras i Azure, och de resulterande rekommendationerna är synliga både i Azure och Defender.
• Defender posture-principer stöder för närvarande endast auditeringsbaserad utvärdering av rekommendationer. Policyeffekter som Deny stöds inte i Defender och måste fortsätta hanteras via Azure Policy.
• Uppdateringar av rekommendationer är inte omedelbara och kräver ytterligare handläggningstid. Microsoft fortsätter att förbättra hanteringstider inom upplevelsen för posturhantering.

Varför använda policyhantering i Microsoft Defender?

Azure fortsätter att stödja sina befintliga policykonfigurationsfunktioner, medan Microsoft Defender erbjuder en enhetlig upplevelse för hantering av säkerhetsstatus över moln-, endpoint-, identitets- och andra Defender-hanterade arbetsbelastningar. Detta gör det möjligt för säkerhetsteam att hantera krav för säkerhetsstatus, rekommendationer, exponeringsinsikter och relaterade styrningsbeslut från en enda plats.

Organisationer kan överföra hantering av posturepolicyer till Microsoft Defender och dra nytta av följande:

• Top-down policyhantering: Definiera säkerhetskrav centralt och tillämpa dem konsekvent i de miljöer som kräver dem.
• Minskad administrativ belastning: Återanvändbara policys minskar repetitiv konfiguration och förenklar hållningshantering över miljöer.
• Flexibla säkerhetsområden: Tillämpa policyer över Defender-hanterade miljöer utan att vara begränsade till Azure-resurshierarkigränser.
• Microsoft-hanterad baslinje: Börja med MDC Baseline Policy, som fokuserar på att förbättra säkerhetsläget och minska exponeringen, och lägg sedan till anpassade policys endast där affärs-, säkerhets- eller efterlevnadskrav skiljer sig åt.
• Granulära säkerhetsbehörigheter: Använd Microsoft Defender unified RBAC för att separera läs- och hanteringsbehörigheter och delegera policyhantering till specifika säkerhetsteam.
• Arbetsbelastningsövergripande styrning: Hantera posture-krav genom en gemensam upplevelse över moln, endpoint, identitet och andra stödda Defender-arbetsbelastningar.
• Förbättrad rekommendationsbearbetning: Policy- och rekommendationsbearbetningstider är optimerade för Defender-upplevelsen och fortsätter att förbättras.

Relaterat innehåll

• Microsoft Defender enhetlig rollbaserad åtkomstkontroll (RBAC)
• Hantera hållningspolicyer