當你在 適用於雲端的 Microsoft Defender 中調查安全建議時，你會查看受影響資源清單。 偶爾你會發現不該出現在清單上的資源，或是某個推薦出現在不該出現的範圍裡。 例如，適用於雲端的 Defender 可能不會追蹤修復流程，或推薦的方案不適用於特定訂閱。 你的組織可能會決定承擔與特定資源或建議相關的風險。
在這種情況下，請制定一項豁免規則以：
豁免資源 以使其從不良資源清單中移除，並避免對分數產生影響。 適用於雲端的 Defender 會將該資源列為 不適用 ，並顯示理由為 豁免 ，並依照你選擇的理由說明。
將訂用帳戶或管理群組設為排除，以避免建議影響您的安全分數或在該範圍中顯示。 豁免適用於現有資源以及你之後創建的資源。 適用於雲端的 Defender 會根據你為該範圍選定的理由標記出建議。
針對每個範圍，建立一條豁免規則以：
將特定建議標示為已緩解或風險已接受，適用於一或多個訂用帳戶，或管理群組。
將 一項或多項資源 標記為「 緩解 」或 「接受風險 」以符合特定建議。
每次訂閱的資源豁免限制為5,000資源。 如果你每個訂閱新增超過 5,000 個豁免，可能會在豁免頁面遇到負載問題。
Prerequisites
適用於雲端的 Defender豁免依賴Microsoft Cloud安全基準（MCSB）倡議。 建立豁免之前，必須先在訂用帳戶上指派 MCSB。
這很重要
若無MCSB指派：
- 有些入口網站功能可能無法如預期運作。
- 資源可能不會出現在合規檢視中。
- 免稅選項有時可能無法提供。
您可以為屬於預設 MCSB 倡議或其他內建監管標準的建議建立豁免。 MCSB的某些建議不支持豁免。 您可以在豁免 常見問題中找到這些建議清單。
權限：
要建立豁免，你需要以下權限：
- 在建立排除項目的範圍中，您必須具備擁有者或安全性管理員角色。
- 若要建立規則，您需有在 Azure 原則中編輯原則的權限。 詳情請參見Azure 原則中的
Azure RBAC 權限。 - 您必須在目標範圍內的所有方案指派上擁有豁免權限。 如果多個計畫含有建議，您必須在所有計畫中建立豁免權限。 即使只有一項提案缺少許可，也可能導致豁免失敗。
您需要以下基於角色的存取控制（RBAC）操作：
| Action | Description |
|---|---|
Microsoft.Authorization/policyExemptions/write |
建立豁免 |
Microsoft.Authorization/policyExemptions/delete |
刪除豁免 |
Microsoft.Authorization/policyExemptions/read |
查看豁免 |
Microsoft.Authorization/policyAssignments/exempt/action |
對連結的範疇執行豁免操作 |
備註
如果缺少任何這些動作，豁免 按鈕可能會被隱藏。 自訂角色對豁免作業的支援有限。
管理豁免時，請使用以下內建角色之一：
- 安全管理員 （推薦）
- Owner
- 貢獻者 （訂閱層級）
- 資源政策貢獻者
訂閱層級的權限不會向上繼承給管理群組。 如果原則指派位於管理群組層級，則需要在該層級指派角色。
若要管理特定資源的豁免，您需要在資源或資源群組層級執行所需的 RBAC 行動。 訂用帳戶範圍的角色指派可能無法提供足夠的存取權，以建立或刪除個別資源上的豁免。 確認你的職務分配涵蓋你想豁免的資源範圍。
當你在管理群組層級建立豁免時，確保
Microsoft Azure安全資源提供者 擁有必要的權限，方法是將該管理群組的 Reader 角色分配給它。 授予這個角色的方式和授予使用者權限一樣。
限制：
你不會為自訂推薦設立豁免。
預覽版建議可能不支援豁免。 請檢查推薦是否顯示預覽標籤。
如果你停用某個推薦，則其所有子推薦也會被排除。
以 Kusto 查詢語言 (KQL) 為基礎的建議會使用標準指派，且不會使用活動記錄中的 Azure 原則 豁免事件。 要判斷建議是基於 KQL 還是基於政策，請在入口網站開啟該建議並檢查 評估鍵 欄位。 以 KQL 為基礎的建議會顯示標準評量金鑰格式，且沒有相關的 Azure 原則定義連結。 基於政策的建議直接連結至底層的政策定義。
當你從 適用於雲端的 Defender 入口網站建立豁免時，適用於雲端的 Defender 會自動識別包含該建議的所有倡議，並自動建立該豁免。 如果你是透過 Azure 原則 API 建立豁免，則必須手動為每個倡議建立獨立豁免。 欲了解更多資訊，請參閱 豁免常見問題。
當你指派一個包含已有豁免的建議的新倡議時，該豁免不會帶到新的倡議上。 在新指派的倡議下，為該建議設立新的豁免。
定義排除項目
我們建議在 適用於雲端的 Defender 入口網站建立豁免。 透過 Azure 原則 API 建立的豁免條款可能無法完全整合於 適用於雲端的 Defender。 它們可能帶來意想不到的結果，例如豁免條款無法在所有相關倡議中廣泛傳播。 如果你需要使用 API，請參考 Azure 原則豁免結構。
建立排除規則：
登入 Azure 入口網站。
請前往適用於雲端的 Defender>建議。
選擇建議。
選取 [豁免]。
選取排除項目的範圍。
- 若您選取管理群組，適用於雲端的 Defender 會將該建議從該群組中的所有訂用帳戶排除。
- 如果你建立此規則以豁免一個或多個資源，請選擇「 精選資源 」並從列表中選擇相關資源。
輸入名稱。
（可選）設定一個有效期限。
選取排除類別：
- 透過協力廠商服務解決 (已緩解) – 如果您針對適用於雲端的 Defender 未追蹤的補救使用非 Microsoft 服務。
備註
當你將某項資源豁免並視作已緩和時，它將被視為健康。 你不會因為修復獲得點數，但 適用於雲端的 Defender 也不會因為資源狀態不健康而扣分，因此被豁免的資源不會影響你的總分。
- 風險已接受（豁免） ——如果您決定接受不採取措施來降低此建議所帶來的風險。
輸入描述。
選取 ，創建。
在你設置例外之後
豁免可能需要長達24小時才能生效。 適用於雲端的 Defender 每 12 到 24 小時評估一次資源。 豁免生效後：
推薦或資源不會影響你的安全分數。
如果你豁免特定資源，適用於雲端的 Defender 會在推薦詳情頁面的 「不適用 」標籤中列出。
如果你豁免了推薦，適用於雲端的 Defender 預設會隱藏在 推薦 頁面。 這是因為預設 的推薦狀態 篩選器排除 了「不適用 的建議」。 如果你在安全控制中豁免所有建議，也會發生同樣的行為。
了解免稅類型如何影響推薦狀態
您選擇的免除類型決定了該免除對推薦與安全分數的影響：
- 已緩解豁免：豁免的資源會計為良好。 安全分數提升。
- 放棄豁免：豁免的資源不計入安全分數計算。 資源不計入安全分數，但可能仍會出現在推薦中。
備註
預覽推薦不會影響安全分數，無論是否有豁免狀態。
確認豁免是否有效
如果建議在24小時後仍顯示資源不健康，請參閱「 解決未更新建議狀態的豁免 」以了解詳細步驟。
後續步驟
相關內容
這很重要
此功能目前已在 Microsoft Defender 入口網站公開預覽中。 欲了解更多資訊，請參閱 Microsoft Azure 預覽版補充使用條款。
豁免可協助安全性團隊專注處理需要採取行動的風險，同時妥善記錄無須補救的發現。 當發現經審查並確定為假陽性、由其他控制組涵蓋、暫時延後或被接受為風險時，請使用豁免。 每個豁免都記錄其範圍、相符條件、理由說明及審查期間，幫助您的組織在不失去能見度或問責性的情況下降低營運噪音。
為什麼要使用豁免？
豁免提供了一種結構化的替代方案，可取代非正式地隱藏安全性發現。 他們可協助各個組織：
- 將修復資源集中於需要採取行動的安全性發現項目。
- 在相關範圍內，持續應用有文件記錄的風險決策。
- 透過集中式規則管理例外，減少重複性工作。
- 記錄治理、稽核與合規所需的正當理由與支持背景。
- 透過有效期限與生命週期回顧重新評估已接受的風險。
- 在調查與攻擊路徑體驗中，保留已豁免發現項目的安全性脈絡。
應用案例
在產生並審查發現後，組織認定目前不需要修復，再建立豁免。 常見情況包括：
- 此判定為假陽性。
- 該組織審查並接受此風險。
- 第三方控制項已因應此風險。
- 已存在替代的風險緩解措施。
- 修復因有書面紀錄的商業或技術原因而延後。
要移除規則還是建立豁免？
推薦政策與豁免都允許你控制推薦行為，但它們服務於不同的治理目的。 當建議不應該針對特定範疇評估時，請使用政策變更。 當建議仍然有效，但暫時不需要修復時，請使用豁免，並應為治理、審計或合規目的進行追蹤。
| Action | 其功能是什麼 | 在以下時機加以選擇 |
|---|---|---|
| 從原則中移除該規則 | 阻止規則產生針對所選政策範疇的建議與發現。 該範圍內的資產將不再依規則進行評估。 | 該建議與所選範圍無關，且絕不應適用於該範圍。 這是一項長期政策決策，定義了應評估哪些安全控管。 深入了解在 Teams 中管理態勢原則。 |
| 建立豁免 | 保持規則有效並持續評估發現，但將符合的發現標示為 豁免 ，適用於核准範圍及審查期間。 | 該發現有效，但補救暫時被延後或視為例外。 豁免保留了治理、稽核與合規需求的可見性、理由、所有權及審查追蹤。 |
開始之前
確認環境在 Defender 中已被管理
Defender 建立的豁免僅適用於屬於 Defender 管理環境的資產。 您可以透過以下任一方式驗證管理位置：
從建議體驗中檢視管理於 屬性，並確認其值為 Defender。
從雲端環境管理開啟雲端環境管理頁面，確認適用的環境已由 Defender 管理。
如果發現影響到在 Azure 中管理的資產，您有兩個選擇：
- 將環境連接到 Defender，並持續透過 Defender 管理豁免。
- 在 Azure 中建立豁免。
Permissions
Microsoft Defender 統一角色基礎存取控制（RBAC）控制對豁免事項的存取：
| 角色或權限 | 存取 |
|---|---|
| 全域管理員或安全管理員 | 可檢視、建立、編輯及刪除所有現有與未來範圍的豁免，包括租用戶範圍的豁免。 |
| 暴露管理 (管理) | 可以為分配給使用者的範圍建立、編輯及刪除豁免。 規則中包含的每個範疇都需要「Manage」權限。 |
| 曝險管理（讀取） | 可以查看指派範圍的豁免，但無法建立、編輯或刪除它們。 |
如要委派豁免管理，請在 Microsoft Defender 入口網站中前往系統>權限 >Microsoft Defender 全面偵測回應>角色，並建立或更新具有必要權限與範圍的角色。
建立豁免
前往暴露管理>原則>豁免，然後選取建立豁免。 建立流程包含四項主要決策：
| 建立區段 | 您所定義的內容 | 主要指引 |
|---|---|---|
| 細節與範圍 | 豁免名稱及適用的環境或資產。 | 請使用最狹窄的範圍來代表核准的風險決策。 只能選擇由 Defender 管理的環境和資產。 只有全域管理員與安全管理員能建立適用於 所有連接環境的豁免。 |
| Conditions | 豁免適用的發現，例如具體建議、建議類別或風險標準。 | 仔細檢視狀況是靜態還是動態。 動態條件可自動適用於符合定義標準的未來發現，例如所有具有 低 風險等級的建議。 |
| 理由與期間 | 商業理由、支持證據及豁免期限。 | 記錄接受風險的原因、任何補償控制措施及相關證據。 使用有明確審查或到期日的時限豁免。 |
| 審查與創建 | 提交前的完整豁免配置。 | 驗證所選範圍與受影響的發現，以確保豁免範圍不會比已核准的業務決策更廣。 |
豁免提交後，Microsoft Defender 會處理該豁免，並更新相符的發現。 發現項目狀態、暴露計算及相關態勢指標的變更可能不會立即反映。
從建議建立豁免
你也可以直接從建議中建立豁免。 當從建議啟動時，Defender 會根據所選建議自動預先填入豁免條件，以減少配置工作量並確保豁免針對預期結果：
什麼是預先填入的內容？
- 豁免條件會自動設為依建議，且以建立豁免時所依據的建議為準。 此條件無法在建立流程期間變更。
- 該範圍會自動填入在建立豁免時所選的資產。 在提交豁免前，您可以進一步細化、縮小或擴大範圍。
若選擇同時包含 Defender 管理與 Azure 管理的資產，則 Defender 豁免僅適用於支援的 Defender 管理資產。 管理剩餘資產於 Azure，或將相關環境移至 Defender 管理。
Tip
如果你的目標是豁免所有目前有特定建議的資產，請在建立豁免前切換到依建議標題檢視。 這使得審查所有受影響資產並對整個建議集套用一致的豁免決定變得更容易。
管理豁免生命週期
請使用 豁免規則 頁面檢視組織的豁免決策並管理其生命週期。
- 當規則範圍、匹配條件、理由、擁有權或審查期間變更時，請編輯規則。
- 當例外不再有效且相符的發現應恢復為主動修復追蹤時，刪除規則。
- 在核准風險期結束前，先檢視到期的規則。
- 檢視過期的規則項目作為過去決策的歷史證據，並判斷是否需要重新評估。
備註
若同一推薦有多個豁免，該建議將持續豁免，直到最後一個有效豁免到期或移除，無論該豁免是在 Azure 還是 Microsoft Defender 中建立。
當豁免被刪除或到期時，Microsoft Defender 會自動重新評估受影響的結果。 任何仍需要補救的發現，都會回到使用中狀態，並再次納入態勢與風險計算。 不再適用的發現不會受到影響。
了解豁免的效果
當豁免生效時，匹配的發現會被標記為 豁免。 豁免改變了該發現的處理方式，但不會移除該發現本身、其支持證據，或其與其他安全訊號的關聯。
豁免的發現在 Microsoft Defender 調查及深入分析過程中仍可查閱。 依據目前的篩選條件，豁免的發現項目可能預設隱藏。 要檢視這些資料，請更新狀態篩選器，以包含 豁免 發現項目。
分數影響
豁免結果在豁免有效期間不計入適用的安全分數計算。 對分數的影響取決於豁免範圍及產品體驗。
攻擊路徑
豁免建議並不會將其從相關攻擊路徑中移除。 Microsoft Defender 持續將該建議納入攻擊路徑分析，並明確標示為豁免。 這有助於資安團隊了解已接受風險的潛在影響，維持對建議如何影響整體曝險的可視性，並在安全態勢或業務需求改變時重新評估豁免。
現有的 Azure 豁免與轉用 Defender
本節主要與過去在 Azure 中管理建議與豁免事項、現正將環境轉換為在 Defender 中管理的組織相關。 在此過渡期間，Microsoft 保留現有的 Azure 豁免設定，同時將 Defender 建立為管理新豁免決策的核心平台。
豁免所有權的運作方式
Microsoft Defender 與 Azure 在過渡期間可以共存。 雖然豁免規則仍由最初建立這些規則的入口網站擁有，但推薦狀態在不同體驗之間保持一致。
- 在 Azure 中建立的豁免規則仍可在 Azure 中管理。
- 在 Defender 中建立的豁免規則由 Defender 的豁免規則頁面管理。
- 豁免規則的定義不會在 Azure 和 Defender 之間同步或複製。
- Azure 和 Defender 的豁免都會影響相應的建議。
- 無論哪個入口網站擁有豁免規則，推薦狀態與豁免狀態均保持一致。
現有的 Azure 豁免
當環境成為由 Defender 管理時，Microsoft 仍持續遵守先前在 Azure 建立的豁免規則。
- 現有的 Azure 豁免條款持續影響建議狀態與態勢計算。
- 安全團隊仍可在 Azure 中編輯或移除這些豁免。
- 這些 Azure 建立的豁免在 Defender 中不會顯示為可管理的豁免規則。
此做法可讓組織移轉至 Defender，而不會中斷現有的風險接受決策，也不需要立即遷移歷史豁免規則。
新增豁免
環境變成由 Defender 管理後，該範圍的新豁免必須在 Defender 中建立。 無法透過支援的入口網站體驗為這些範圍建立新的 Azure 豁免。
這種所有權模式讓安全團隊能集中控制新的豁免決策，同時保留現有的 Azure 設定。 同時也防止團隊在不同入口網站為同一 Defender 管理範圍創建新的競爭規則。
局限性
以下限制適用於 Microsoft Defender 入口網站中的豁免管理：
- 現有的 Azure 豁免在環境於 Defender 中受到管理後仍然有效，但不會自動遷移至 Defender 入口網站。
- 處理、狀態更新、分數重新計算以及跨門戶狀態傳播並非即時進行，且需要額外處理時間。
為什麼要在 Microsoft Defender 中使用豁免管理？
選擇在 Microsoft Defender 管理雲端態勢的組織，可以受益於直接整合到整個暴險管理工作流程中的集中式豁免管理體驗。 Azure 會繼續支援豁免管理，而 Defender 則為希望從單一位置管理所有工作負載安全性態勢及相關決策的組織，提供統一體驗。
- 彈性範圍：Defender 允許組織跨支援的環境和資產建立豁免，提供比傳統以 Azure 階層為基礎的範圍界定方式更靈活的範圍選擇。
- 降低行政負擔：集中且可重複使用的豁免規則有助於減少在多個 Azure 訂閱、管理群組及範圍間建立與維護的豁免數量。
- 細緻的安全權限：Microsoft Defender 全面偵測回應 統一 RBAC 讓組織能夠分開讀取與管理權限，並將豁免管理委派給特定安全團隊，而無需僅依賴 Azure 管理角色。
- 生命週期治理內建於設計中：雖然 Azure 也支援豁免管理，但 Defender 提供更注重安全性的治理體驗。 豁免包括審查期間及強制到期日，使臨時風險接受決策更容易追蹤、審查及驗證，尤其是在審計與合規評估期間。 資安團隊能輕鬆識別即將到期的豁免，審查過期豁免，並定期重新評估可接受的風險。
- 加速豁免處理：Defender 建立的豁免通常比 Azure 中同等豁免更快反映在推薦狀態、分數計算及相關體驗上。 Microsoft 持續提升處理效率，以進一步縮短豁免變更生效所需的時間。