準備淘汰 Log Analytics 代理程式

Log Analytics 代理程式，也稱為 Microsoft Monitoring Agent (MMA)，已於 2024 年 11 月淘汰，如 適用於雲端的 Defender Log Analytics 代理程式淘汰計畫所述。 由於這次退休，適用於雲端的 Microsoft Defender 中的 Defender for Servers 與 Defender for SQL on Machine 計畫將進行更新，並重新設計依賴 Log Analytics 代理的功能。

本文總結了 Log Analytics 代理人（MMA）退休的計畫。

準備適用於伺服器的 Defender

Defender for Servers 方案在正式發行 (GA) 中使用 Log Analytics 代理程式，並在 AMA 中支援 Defender for Servers 代理程式和功能（預覽版）。 這些功能將進行下列變化：

為了簡化導入流程，您可以透過單一代理程式（Microsoft Defender for Endpoint）獲得所有 Defender for Servers 的安全功能與能力，並輔以無代理機器掃描，無需依賴 Log Analytics 代理或 Azure 監視器 代理（AMA）。

• 基於 AMA 的 Defender for Servers 功能目前仍處於預覽階段，不會在一般版釋出。
• 依賴 AMA 的預覽版功能會持續受到支援，直到提供功能的替代版本為止，此替代版本會依賴適用於端點的 Defender 整合或 Agent 機器掃描功能。
• 只要在淘汰之前啟用適用於端點的 Defender 整合和無代理程式機器掃描功能，您的適用於伺服器的 Defender 部署便會是最新版本且受到支援。

特色功能

下表總結了 Defender for Servers 功能是如何提供的。 大部分的功能已使用適用於端點的 Defender 整合或無代理程式機器掃描正式推出。 在下表中列出的適用於伺服器的 Defender 功能將會在 MMA 淘汰前於 GA 上提供，或將遭到棄用。

Log Analytics 代理程式自動佈建體驗 - 棄用方案

作為 MMA 代理退休的一部分，為 適用於雲端的 Defender 客戶提供代理安裝與設定的自動配置功能也將分兩階段棄用：

1. 至 2024 年 9 月底 ，不再使用 MMA 功能的客戶及新創建訂閱的自動配置將被停用：

   • 現有訂閱在九月底後關閉 MMA 自動配置，之後將無法再啟用此功能。

   • 對於新建立的訂閱，自動佈建功能將無法再啟用，並會自動停用。

2. 2024 年 11 月底 - 尚未關閉 MMA 自動配置的訂閱將被停用。 從那時起，現有訂閱就無法啟用 MMA 自動配置。

針對資料擷取的 500 MB 權益

若要保留所支援資料類型的 500 MB 免費資料擷取允許額度，您需要從 MMA 移轉至 AMA。

深入了解如何部署 AMA。

針對機器上的 SQL 伺服器，建議您移轉至 SQL Server 目標 Azure 監視器代理程式 (AMA) 的自動佈建程序。

使用 Log Analytics 代理程式對舊版 Defender for Servers Plan 2 上線流程所做的變更

Microsoft 正在淘汰將伺服器上線至 Defender for Servers Plan 2 的舊版做法；此做法使用 Log Analytics 代理程式和 Log Analytics 工作區。 退休包含以下變更：

• 使用記錄分析 Agent 和工作區將新的非 Azure 機器上線至適用於伺服器的 Defender 的上線體驗，會從適用於雲端入的 Defender 入口網站中的詳細清單和開始使用頁面移除。

• 若要避免連線到記錄分析工作區的受影響機器失去安全性涵蓋範圍，請對 Agent 淘汰採取下列動作：

  • 如果您先前是使用 適用於非 Azure 機器的舊版 Log Analytics 代理程式上線程序 來上線非 Azure 伺服器（包括內部部署和多重雲端環境中的伺服器），請使用已啟用 Azure Arc 的伺服器，將這些機器連線到 Defender for Servers 方案 2 的 Azure 訂用帳戶和連接器。 欲了解更多關於大規模部署機器的資訊，請參閱 Azure Arc 伺服器部署選項。
  • 如果你用舊有方式在特定 Azure 虛擬機啟用 Defender for Servers Plan 2，請在這些機器的 Azure 訂閱上啟用 Defender for Servers Plan 2。 接著你可以透過 Defender for Servers 的資源配置，將個別機器排除在 Defender for Servers 的覆蓋範圍之外。

下表總結了每台透過傳統方法接入 Defender for Servers Plan 2 的伺服器所需的操作：

系統更新與修補建議經驗 - 變更與遷移指引

系統更新和修補程式對於保持電腦的安全性和健康狀態至關重要。 更新通常包含可修補安全漏洞的安全性修補程式，而這些漏洞如果未修補，就可能被惡意人士利用。

適用於雲端的 Defender 基礎 CSPM 與 Defender for Servers 方案先前透過 Log Analytics 代理程式提供系統更新建議。 先前基於 Log Analytics agent 的系統更新建議體驗已被使用 Azure 更新管理員 收集的安全建議所取代，這些建議由兩個新建議組成：

• 電腦應設定為定期檢查是否遺漏系統更新

• 系統更新應安裝在您的電腦上 (由 Azure 更新管理員提供支援)

了解如何在機器上補救系統更新和修補程式建議。

哪些建議正在被取代？

下表摘要說明即將淘汰和取代的建議時程表。

如何為新建議做好準備？

• 把你的非 Azure 機器連接到 Arc。

• 請確定在您的機器上啟用了定期評量更新設定。 你可以用兩種方式啟用：

  • 修正建議：機器應透過 Azure 更新管理員 定期檢查系統更新缺失。
  • 啟用透過 Azure 原則 進行的大規模定期評估。

• 完成這些步驟後，更新管理員可以取得機器的最新更新，並查看最新的機器合規狀態。

端點保護建議體驗 - 變更和移轉指導

端點探索和建議先前已由適用於雲端的 Defender 基礎 CSPM 和適用於伺服器的 Defender 方案使用 Log Analytics 代理程式正式推出，或透過 AMA 提供預覽版。 過去基於 MMA 和 AMA 的端點發現與推薦經驗，已被利用無代理機器掃描收集的安全建議所取代。

端點保護建議由兩個階段組成。 第一階段是 端點偵測與回應解決方案的發現。 第二階段是 評估 解決方案的配置。 下表提供每個階段目前和新體驗的詳細資料。

了解如何管理新的端點偵測和回應建議 (無代理程式)。

端點偵測和回應解決方案 - 探索

下表比較了目前與新的端點偵測與回應解決方案發現經驗。

端點偵測和回應解決方案 - 組態評量

下表比較了目前及新建的端點偵測與回應解決方案的配置評估經驗。

哪些建議將會淘汰？

下表摘要說明即將淘汰和取代的建議時程表。

這項以無代理程式機器掃描為基礎的新無代理程式端點保護建議體驗，支援多雲端機器上的 Windows 和 Linux 作業系統。

取代的運作方式？

• Log Analytics 代理程式或 AMA 所提供的目前建議將會逐步淘汰。
• 其中一些現有的建議將會取代為根據無代理程式機器掃描的新建議。
• 目前正式推出的建議會保留到 Log Analytics 代理程式淘汰為止。
• 當預覽版中提供新的建議時，將會取代目前的預覽版建議。

安全分數會受到什麼影響？

以下要點說明在從以 MMA 為基礎的端點保護建議轉換為無代理程式的端點保護建議期間，安全分數會如何受到影響。

• 目前已正式推出的建議將繼續影響安全分數。
• 目前及即將推出的新建議都集中在 Microsoft Cloud 安全基準管理之下，確保安全分數不會有重複影響。

如何為新建議做好準備？

為準備新的無代理端點保護建議，請採取以下步驟：

• 確保已啟用無代理程式機器掃描，作為 Defender for Servers Plan 2 或 Defender Cloud Security Posture Management 的一部分。
• 如果適合您的環境，請在替代 GA 建議可用後移除已棄用的建議。 若要這樣做，請在 Azure 原則內建適用於雲端的 Defender 方案中停用建議。

檔案完整性監視體驗 - 變更和移轉指導

Defender for Servers Plan 2 現提供一款由 Defender for Endpoint（MDE）整合驅動的新檔案完整性監控（FIM）解決方案。 當 FIM powered by MDE 正式推出後，適用於雲端的 Defender 的 FIM powered by AMA 入口網站體驗將被移除。 在 11 月，由 MMA 所支援的 FIM 將被取代。

從基於 AMA 的 FIM 移轉

如果您目前使用基於 AMA 的 FIM：

• 自 5 月 30 日起，您無法再根據 AMA 和變更追蹤擴充功能為 FIM 新訂閱或伺服器加入，也無法透過 適用於雲端的 Defender 入口網站查看變更。

• 如果您想要繼續取用 AMA 所收集的 FIM 事件，您可以手動連線到相關的工作區，並使用以下查詢來檢視變更追蹤資料表中的變更：

  ConfigurationChange
  
  | where TimeGenerated > ago(14d)
  
  | where ConfigChangeType in ('Registry', 'Files') 
  
  | summarize count() by Computer, ConfigChangeType
  

• 如果您想要繼續加入新的範圍或設定監視規則，您可以手動使用資料連線規則來設定或自訂資料收集的各個層面。

• 適用於雲端的 Defender 建議在 AMA 上停用 FIM，並在發布時將環境導入基於 Defender for Endpoint 的新 FIM 版本。

停用基於 AMA 的 FIM

若要停用基於 AMA 的 FIM，請移除 Azure 變更追蹤解決方案。 如需詳細資訊，請參閱移除變更追蹤解決方案。

或者，您可以移除相關的檔案變更追蹤資料收集規則 (DCR)。 如需詳細資訊，請參閱 Remove-AzDataCollectionRuleAssociation 或 Remove-AzDataCollectionRule。

在你使用上述方法之一停用檔案事件收集後：

• 選取範圍內不再收集新事件。
• 已收集的歷程記錄事件仍會儲存在變更追蹤區段的 ConfigurationChange 資料表底下的相關工作區中。 這些活動依據工作區定義的保留期間，仍可在相關工作區中提供。 如需詳細資訊，請參閱保留和封存的運作方式。

從基於 Log Analytics 代理程式 (MMA) 的 FIM 移轉

如果您目前使用基於 Log Analytics 代理程式 (MMA) 的 FIM：

• 基於 Log Analytics 代理程式 (MMA) 的檔案完整性監視將於 2024 年 11 月底被取代。

• 適用於雲端的 Defender 建議停用透過 MMA 提供的 FIM，並在以 Defender for Endpoint 為基礎的新 FIM 版本發佈後，將您的環境導入至該版本。

停用基於 MMA 的 FIM

若要停用基於 MMA 的 FIM，請移除 Azure 變更追蹤解決方案。 如需詳細資訊，請參閱移除變更追蹤解決方案。

在您停用檔案事件收集之後：

• 系統將停止在所選範圍中收集新的事件。
• 已收集的歷程記錄事件仍會儲存在變更追蹤區段的 ConfigurationChange 資料表底下的相關工作區中。 這些活動依據工作區定義的保留期間，仍可在相關工作區中提供。 如需詳細資訊，請參閱保留和封存的運作方式。

基線經驗變更與遷移指引

虛擬機的基準錯誤設定功能有助於確保虛擬機遵循安全最佳實務與組織政策。 Baselines 錯誤配置會將您的虛擬機與預先設定的安全基準進行檢查，並識別任何可能對環境造成風險的偏差或設定錯誤。

Log Analytics 代理程式（亦稱為 Microsoft Monitoring 代理或 MMA）於 2024 年 11 月退役，以下變更適用：

• 機器資訊是透過使用 Azure 原則 的訪客設定來收集的。

• 以下 Azure 原則會透過 Azure 原則來賓設定來加以啟用：

  • 「Windows 機器應符合 Azure 計算安全性基準的需求」
  • 「Linux 機器應符合 Azure 計算安全性基準的需求」

  備註

  如果你移除這些政策，就會失去 Azure 原則 訪客設定擴充功能的存取權。

• 適用於雲端的 Defender 基礎 CSPM 不再包含基於運算安全基準的作業系統建議。 這些建議可在啟用 Defender for Servers Plan 2 時取得。

想了解 Defender for Servers Plan 2 的定價，請參考 適用於雲端的 Defender 的定價頁面。 您也可以 使用適用於雲端的 Defender 成本計算機來預估成本。

MCSB 提供的建議，且不屬於 Windows 和 Linux 計算安全基準，仍是免費基礎 CSPM 的一部分。

安裝 Azure 原則來賓設定

為了持續獲得基準體驗，你需要啟用 Defender for Servers Plan 2，並安裝 Azure 原則 訪客設定。 當你啟用 Defender for Servers Plan 2 並安裝 Azure 原則 訪客配置時，你就能確保持續獲得與基礎經驗相同的建議與強化指引。

根據你的環境，你可能需要採取以下步驟：

1. 檢閱 Azure 原則來賓設定的支援矩陣。

2. 在您的機器上安裝 Azure 原則來賓設定。

   • Azure 機器：在「適用於雲端的 Defender」入口網站的建議頁面上，搜尋並選取 [應該在機器上安裝來賓設定延伸模組]，然後選取 [補救建議]。

   • （僅限 Azure 虛擬機）您必須指派一個受管理身份。

     • 在「適用於雲端的 Defender」入口網站的建議頁面上，搜尋並選取 [虛擬機器的來賓設定延伸模組應使用系統指派的受控識別來部署]，然後選取 [補救建議]。

   • （僅限 Azure 虛擬機）可選：若要自動配置整個訂閱的 Azure 原則 訪客配置，您可以啟用訪客配置代理（預覽版）。

     • 啟用訪客配置代理：

       1. 登入 Azure 入口網站。

       2. 瀏覽至 [環境設定]>[您的訂用帳戶]>[設定與監視]。

       3. 選取 [來賓設定]。

          

       4. 將來賓設定代理程式 (預覽) 切換為 [開啟]。

          

       5. 選取繼續。

   • GCP 和 AWS：當您連接 GCP 專案，或將啟用了 Azure Arc 自動佈建的 AWS 帳戶連接到「適用於雲端的 Defender」時，會自動安裝 Azure 原則來賓設定。

   • 內部部署機器：當您將內部部署機器以已啟用 Azure Arc 的機器或 VM 的形式來上線時，Azure 原則來賓設定預設為啟用。

完成安裝 Azure 原則 訪客設定的必要步驟後，你會自動取得基於 Azure 原則 訪客配置的基線功能存取權。 當你安裝 Azure 原則 訪客配置時，你確保持續獲得與基線經驗相同的建議與強化指引。

建議的變更

隨著 MMA 的淘汰，以下基於 MMA 的建議將被淘汰：

• 應該已安全地設定機器
• 應該在訂用帳戶上啟用 Log Analytics 代理程式的自動佈建

已棄用的建議已被以下 Azure 原則 訪客配置建議取代：

• 應補救您的 Windows 機器上安全性設定中的弱點 (由來賓設定提供支援)
• 應補救 Linux 機器上安全性設定的弱點 (由來賓設定提供)
• 應該在機器上安裝來賓設定延伸模組

重複的建議

當您在 Azure 訂用帳戶上啟用「適用於雲端的 Defender」時，Microsoft 雲端安全性基準 (MCSB) (包括評估機器作業系統合規性的計算安全性基準) 會作為預設合規性標準來加以啟用。 「適用於雲端的 Defender」中的免費基礎雲端安全性態勢管理 (CSPM) 會根據 MCSB 來提出安全性建議。

如果機器同時執行 MMA 和 Azure 原則 訪客配置，你會看到重複的推薦。 推薦重複發生是因為兩種方法同時執行並產生相同的推薦。 這些重複內容會影響你的合規性與安全分數。

為避免 MMA 和 Azure 原則 來賓設定同時執行時出現重複的建議，你可以前往 適用於雲端的 Defender 的法規合規性頁面，停用 MMA 建議 Machines should be configured securely 和 Auto provisioning of the Log Analytics agent should be enabled on subscriptions。

找到建議後，選擇相關機器並將它們排除。

Azure 原則來賓設定工具提供支援的一些基準設定規則更新且提供更廣泛的涵蓋範圍。 因此，改用由 Azure 原則 客體設定提供支援的 Baselines 功能，可能會影響您的合規性狀態，因為其中包含先前可能未執行過的檢查。

查詢建議

隨著 MMA 的退役，適用於雲端的 Defender 不再透過 Log Analytics 工作空間資訊查詢推薦。 取而代之的是，適用於雲端的 Defender 現在使用 Azure Resource Graph 進行 API 和入口網站查詢，以查詢推薦資訊。

以下是您可以使用的兩項範例查詢：

• 查詢特定資源的所有異常規則

  Securityresources 
  | where type == "microsoft.security/assessments/subassessments" 
  | extend assessmentKey=extract(@"(?i)providers/Microsoft.Security/assessments/([^/]*)", 1, id) 
  | where assessmentKey == '1f655fb7-63ca-4980-91a3-56dbc2b715c6' or assessmentKey ==  '8c3d9ad0-3639-4686-9cd2-2b2ab2609bda' 
  | parse-where id with machineId:string '/providers/Microsoft.Security/' * 
  | where machineId  == '{machineId}'
  

• 所有不健康規則，以及每項規則對應的不健康機器數量

  securityresources 
  | where type == "microsoft.security/assessments/subassessments" 
  | extend assessmentKey=extract(@"(?i)providers/Microsoft.Security/assessments/([^/]*)", 1, id) 
  | where assessmentKey == '1f655fb7-63ca-4980-91a3-56dbc2b715c6' or assessmentKey ==  '8c3d9ad0-3639-4686-9cd2-2b2ab2609bda' 
  | parse-where id with * '/subassessments/' subAssessmentId:string 
  | parse-where id with machineId:string '/providers/Microsoft.Security/' * 
  | extend status = tostring(properties.status.code) 
  | summarize count() by subAssessmentId, status
  

規劃您的 Log Analytics 代理遷移

遷移規劃矩陣

根據您的業務需求規劃代理人遷移。 以下遷移規劃表總結了相關指引。

利用MMA的遷移經驗

MMA 移轉體驗是一個可協助您從 MMA 移轉到 AMA 的工具。 此體驗提供了逐步指南，可協助您將機器從 MMA 移轉至 AMA。

透過利用 MMA 遷移體驗，你可以：

• 透過 Log Analytics 工作區，將伺服器從舊版上線方式遷移過來。
• 請確定訂用帳戶符合所有必要條件，以接收「適用於伺服器的 Defender」方案 2 的所有權益。
• 透過 MDE 移轉至 FIM 的新版本。

1. 登入 Azure 入口網站。

2. 請前往 適用於雲端的 Defender>環境設定。

3. 選取 [MMA 移轉]。

   

4. 針對其中一個可用的動作選取 [採取動作]：

   

允許體驗載入並遵循步驟來完成移轉。

後續步驟