雲端安全態勢管理（CSPM）是 適用於雲端的 Microsoft Defender 的核心功能之一。 CSPM 持續提供雲端資產與工作負載安全狀態的可視化，提供可行的指導，以提升您在 Azure、AWS 及 GCP 中的安全態勢。
適用於雲端的 Defender 持續根據您的 Azure 訂閱、Amazon Web Services（AWS）帳號及 Google Cloud Platform （GCP）專案所定義的安全標準，評估您的雲端基礎架構。 適用於雲端的 Defender 會發出安全性建議，以協助您識別和減少雲端設定錯誤和安全性風險。
針對 適用於 PostgreSQL 的 Azure 資料庫 靈活伺服器，Defender CSPM 持續根據 PostgreSQL 安全最佳實務評估伺服器層級及資料庫層級的配置。 評估可識別網路安全、稽核及營運韌性等議題。 若 Defender CSPM 已啟用，評估會提供風險優先建議，無需其他設定。
啟用基礎CSPM後，Microsoft Cloud安全基準（MCSB）標準會提供建議，協助保護您的多雲環境。 以某些 MCSB 建議為基礎的安全 分數 可協助您監視雲端合規性。 較高的分數表示識別的風險等級較低。
CSPM 方案
適用於雲端的 Defender 提供兩種 CSPM 方案：
- 基礎CSPM （免費）：免費提供。
- Defender CSPM（付費）：提供基礎CSPM計畫之外的額外功能，包括用於雲端可視化與合規監控的先進CSPM工具。 此計畫提供先進的安全態勢功能，如 AI 安全態勢、攻擊路徑分析及風險優先排序。
方案可用性
Defender CSPM 支援多種部署模型與雲端環境：
- 商業雲端：在所有 Azure 商業區域提供。
- Government clouds：可在 Azure Government 和 Azure Government Secret 中使用。
- 多雲：支援 Azure、AWS 及 GCP 環境。
- 混合式：透過 Azure Arc 連接的本地資源。
- DevOps：GitHub、Azure DevOps 和 GitLab 整合。
- 外部登錄檔：Docker Hub 與 JFrog Artifactory 連接器支援部分基礎 CSPM 與 Defender CSPM 功能。 Defender for Containers 也支援部分容器映像功能。 關於計畫專屬可用性，請參閱外部登錄檔功能及 Defender for Containers 功能存取模式。
關於特定區域可用性及政府雲端支援細節，請參閱 雲端環境支援矩陣。
方案定價
Defender CSPM 的帳單是根據您訂閱或連接器中啟用的特定資源來計算。
- 請參閱 適用於雲端的 Defender 定價 ，並使用 成本計算器 估算成本。
- 進階的 DevOps 安全態勢功能（拉取請求註解、程式碼到雲端映射、攻擊路徑分析及安全探訪器）需要付費的 Defender CSPM 方案。 免費方案提供基本的 Azure DevOps 建議。 詳情請參見 DevOps 安全功能。
- 本文中的 Azure 與 AWS 可計費資源表涵蓋了無伺服器保護與無伺服器容器的資源類型、啟用需求及計費生效日期。
Azure 雲端安全態勢管理
Defender CSPM 提供 Azure 基礎設施、運算、資料及應用程式工作負載的雲端安全態勢管理。 了解如何在您的 Azure 訂閱上啟用 Defender CSPM。
Azure 可計費資源
Defender CSPM 保護所有 Azure 工作負載，但計費僅適用於下表中列出的特定資源：
| 服務 | 資源類型 | 排除項目 |
|---|---|---|
| Compute | 虛擬機、虛擬機縮放集、經典虛擬機 | 解除配置的 VM，Databricks VM |
| 儲存體 | 儲存帳戶 | 沒有 blob 容器或檔案分享的帳號 |
| Databases | SQL 伺服器，適用於 PostgreSQL 的 Azure 資料庫 彈性伺服器，適用於 MySQL 的 Azure 資料庫 彈性伺服器，Synapse 工作區 | - |
| 無伺服器保護 1 | 功能應用程式、Web 應用程式 | - |
| 無伺服器容器 2 | Azure 容器應用程式 （ACA）， Azure 容器執行個體 （ACI） | - |
1 為了保護功能應用程式與 Web Apps 並開始計費此功能，請在 Defender CSPM 中啟用無伺服器保護。 帳單於2026年4月1日生效。
2 為了保護 Azure 容器應用程式 和 Azure 容器執行個體 並開始為此功能計費，請啟用 Defender CSPM 中的 Serverless Containers 元件。 啟用 登錄檔存取 以全面覆蓋無伺服器容器。 帳單於2026年7月1日生效。
Azure 功能與能力
下表總結了基礎CSPM與Defender CSPM中可用的Azure功能：
| Feature | 基礎 CSPM | Defender CSPM |
|---|---|---|
| 資產庫存 | 
|
|
| 資料匯出 |
|
|
| 使用 Azure Workbooks 進行資料視覺化與報告 |
|
|
| Microsoft 雲端安全性基準 |
|
|
| 安全分數 |
|
|
| 安全性建議 |
|
|
| 補救工具 |
|
|
| 工作流程自動化 |
|
|
| 無代理程式碼到雲端容器弱點評量 | - |
|
| Kubernetes 的無代理程式探索 | - |
|
| 無代理程式 VM 秘密掃描 | - |
|
| 無代理程式的 VM 弱點掃描 | - |
|
| AI 安全性態勢管理 | - |
|
| API 安全性態勢管理 | - |
|
| 攻擊路徑分析 | - |
|
| Azure Kubernetes Service 安全性儀錶板 （預覽） | - |
|
| 重要資產保護 | - |
|
| 自訂建議 | - |
|
| 資料安全態勢管理 (DSPM)，敏感資料掃描 | - |
|
| 無伺服器容器工作負載的發現與態勢 | - |
|
| 透過治理大規模推動補救 | - |
|
| 因特網曝光分析 | - |
|
| 外部受攻擊面管理 | - |
|
| 法規遵循評估 | - |
|
| 使用安全性總管進行風險搜捕 | - |
|
| 風險優先順序 (部分機器翻譯) | - |
|
| 無伺服器保護 | - |
|
AWS 雲端安全態勢管理
Defender CSPM 連接亞馬遜網路服務（AWS）帳號，提供雲端安全態勢管理、安全評估、漏洞掃描及風險脈絡分析。 了解如何將您的 AWS 帳號與 適用於雲端的 Defender 連結，並檢視 AWS 的前置條件。
AWS 可計費資源
下表列出啟用 Defender CSPM on AWS 連接器時的可計費資源與排除項目：
| 服務 | 資源類型 | 排除項目 |
|---|---|---|
| Compute | EC2 實例 | 已解除配置的 VM |
| 儲存體 | S3 貯體 | – |
| Databases | RDS 執行個體 | – |
| 無伺服器保護 3 | AWS Lambda 函式 | – |
| 無伺服器容器 4 | AWS Fargate 上的 Amazon ECS | – |
3 為了保護 AWS Lambda 功能並開始計費，請啟用 Defender CSPM 中的無伺服器保護。 帳單於2026年4月1日生效。 一個可計費資源代表八個 AWS Lambda 函式。
4 為了保護 AWS Fargate 工作負載上的 Amazon ECS 並開始計費，請啟用 Defender CSPM 中的 Serverless Containers 元件。 啟用 登錄檔存取 以全面覆蓋無伺服器容器。 帳單於2026年7月1日生效。 一個可計費資源相當於兩個在 AWS Fargate 上執行的 Amazon ECS 工作負載。
AWS 的功能與能力
下表總結了基礎CSPM與Defender CSPM中AWS的功能：
| Feature | 基礎 CSPM | Defender CSPM |
|---|---|---|
| 資產庫存 |
|
|
| 資料匯出 |
|
|
| 使用 Azure Workbooks 進行資料視覺化與報告 |
|
|
| Microsoft 雲端安全性基準 |
|
|
| 安全分數 |
|
|
| 安全性建議 |
|
|
| 補救工具 |
|
|
| 工作流程自動化 |
|
|
| 無代理程式碼到雲端容器弱點評量 | - |
|
| Kubernetes 的無代理程式探索 | - |
|
| 無代理程式 VM 秘密掃描 | - |
|
| 無代理程式的 VM 弱點掃描 | - |
|
| AI 安全性態勢管理 | - |
|
| 攻擊路徑分析 | - |
|
| AWS CloudTrail 擷取（預覽版） | - |
|
| 重要資產保護 | - |
|
| 自訂建議 | - |
|
| 資料安全態勢管理 (DSPM)，敏感資料掃描 | - |
|
| 無伺服器容器工作負載的發現與態勢 | - |
|
| 透過治理大規模推動補救 | - |
|
| 因特網曝光分析 | - |
|
| 外部受攻擊面管理 | - |
|
| 法規遵循評估 | - |
|
| 使用安全性總管進行風險搜捕 | - |
|
| 風險優先順序 (部分機器翻譯) | - |
|
| 無伺服器保護 | - |
|
GCP 雲端安全態勢管理
Defender CSPM 連接 Google Cloud Platform（GCP）專案，提供 GCP 環境的雲端安全態勢管理與漏洞評估。 了解如何將您的 GCP 專案與 適用於雲端的 Defender 連結，並檢視 GCP 的前置條件。
GCP 可計費資源
下表列出啟用 Defender CSPM 於 GCP 專案時可計費資源與排除項目：
| 服務 | 資源類型 | 排除項目 |
|---|---|---|
| Compute | 計算實例，實例群組 | 非運行實例 |
| 儲存體 | 儲存桶 | 近線、冷線、歸檔類別及不支援的區域 |
| Databases | 雲端 SQL 實例 | – |
GCP 的功能與能力
下表總結了基礎CSPM與Defender CSPM中可用的GCP功能：
| Feature | 基礎 CSPM | Defender CSPM |
|---|---|---|
| 資產庫存 |
|
|
| 資料匯出 |
|
|
| 使用 Azure Workbooks 進行資料視覺化與報告 |
|
|
| Microsoft 雲端安全性基準 |
|
|
| 安全分數 |
|
|
| 安全性建議 |
|
|
| 補救工具 |
|
|
| 工作流程自動化 |
|
|
| 無代理程式碼到雲端容器弱點評量 | - |
|
| Kubernetes 的無代理程式探索 | - |
|
| 無代理程式 VM 秘密掃描 | - |
|
| 無代理程式的 VM 弱點掃描 | - |
|
| AI 安全性態勢管理 | - |
|
| 攻擊路徑分析 | - |
|
| 重要資產保護 | - |
|
| 自訂建議 | - |
|
| 資料安全態勢管理 (DSPM)，敏感資料掃描 | - |
5 |
| 外部受攻擊面管理 | - |
|
| 透過治理大規模推動補救 | - |
|
| 因特網曝光分析 | - |
|
| 法規遵循評估 | - |
|
| 使用安全性總管進行風險搜捕 | - |
|
| 風險優先順序 (部分機器翻譯) | - |
|
5 GCP 敏感資料發現 僅支援雲端儲存。
Azure Arc 雲端安全性態勢管理
適用於雲端的 Defender 將雲端安全態勢管理擴展至透過 Azure Arc 連接的本地及混合資源。了解如何將本地機器連接到 Azure Arc，並檢視混合式入職的前置條件。 使用 Foundational CSPM 查看 資產庫存中啟用的 Arc 資源，評估其安全配置，並檢視 安全建議 與 安全分數。
下列基礎 CSPM 功能支援已啟用 Arc 的資源：
| Feature | 基礎 CSPM | Defender CSPM |
|---|---|---|
| 資產庫存 |
|
|
| 資料匯出 |
|
|
| 使用 Azure Workbooks 進行資料視覺化與報告 |
|
|
| 安全分數 |
|
|
| 安全性建議 |
|
|
| 補救工具 |
|
|
| 工作流程自動化 |
|
|
| Arc 連接叢集的容器登錄檔漏洞評估 | - |
|
容器登錄檔漏洞評估需要登錄檔存取權限，且也可透過 Defender for Containers 取得。
Defender CSPM 為支援的 Arc 資源新增了進階態勢管理功能。 可用性取決於資源類型及連接環境。 有關支援的 Arc 情境與雲端可用性，請參閱 雲端環境支援矩陣。
DevOps 雲端安全態勢管理
DevOps 雲端安全態勢管理功能提供程式碼到雲端情境化、拉取請求註解、安全探索器風險搜尋及攻擊路徑分析，應用於 DevOps 環境。
關於功能可用性、前置條件、完整功能矩陣及權限要求，請參見 DevOps 安全性的支援與前提條件。 你也可以直接進入 Azure DevOps 或外部登錄檔需求。
整合與外部態勢
適用於雲端的 Defender 與合作夥伴系統及外部安全平台整合，實現統一的安全態勢與事件回應。
- 外部攻擊面管理（EASM）：發現雲端及本地環境中面向網際網路的資產與安全風險。
- ServiceNow 整合：將 適用於雲端的 Defender 的建議與 ServiceNow 整合，用於自動化工單與事件管理（預覽版）。
Azure 雲端支援
關於商業及全國性的雲端覆蓋，請參閱 Azure 雲端環境支援矩陣。
下一步
- 觀看 使用 Microsoft Defender 進行雲端安全態勢管理
- 了解 安全標準與建議
- 了解 安全分數