Skanowanie maszyn bez agenta

Skanowanie maszyn bez agenta w Microsoft Defender dla Chmury poprawia stan zabezpieczeń maszyn połączonych z Defender dla Chmury.

Skanowanie bez agenta nie wymaga żadnych zainstalowanych agentów ani łączności sieciowej i nie ma wpływu na wydajność maszyny. Skanowanie maszyn bez agenta:

• Skanuje ustawienia wykrywania i reagowania w punktach końcowych (EDR): skanuje maszyny, aby ocenić, czy uruchomione jest rozwiązanie EDR i czy ustawienia są poprawne, jeśli maszyny są zintegrowane z Microsoft Defender dla Punktu Końcowego. Dowiedz się więcej
• Skanuje inwentarz oprogramowania: skanuj inwentarz oprogramowania przy użyciu zintegrowanego systemu zarządzania lukami Microsoft Defender.
• Skanuje pod kątem luk w zabezpieczeniach: Ocenianie maszyn pod kątem luk w zabezpieczeniach przy użyciu zintegrowanego narzędzia Defender Vulnerability Management.
• Skany w poszukiwaniu tajnych danych na maszynach: lokalizowanie tajnych danych w postaci zwykłego tekstu w środowisku obliczeniowym przy użyciu skanowania tajnych danych bez agenta.
• Skanuje pod kątem złośliwego oprogramowania: Skanuj maszyny pod kątem złośliwego oprogramowania i wirusów przy użyciu Programu antywirusowego Microsoft Defender.
• Skanuje maszyny wirtualne uruchomione jako węzły Kubernetes: Ocena luk w zabezpieczeniach i skanowanie złośliwego oprogramowania jest dostępne dla maszyn wirtualnych działających jako węzły Kubernetes, gdy usługa Defender for Servers (plan 2) lub plan usługi Defender for Containers jest włączony. Dostępne tylko w chmurach komercyjnych.

Skanowanie bez agenta jest dostępne w następujących planach usługi Defender dla Chmury:

• Zarządzanie stanem zabezpieczeń w chmurze (CSPM) w usłudze Defender.
• Defender for Servers (Plan 2).
• Skanowanie złośliwego oprogramowania jest dostępne tylko w usłudze Defender for Servers (plan 2).
• Skanowanie bez agenta jest dostępne dla maszyn wirtualnych platformy Azure, wystąpień obliczeniowych usług AWS EC2 i GCP połączonych z Defender for Cloud.

Architektura skanowania bez agenta

Oto jak działa skanowanie bez agenta:

1. Usługa Defender for Cloud tworzy migawki dysków maszyn wirtualnych (dysk systemowy i dysk danych) i wykonuje głęboką analizę konfiguracji systemu operacyjnego i systemu plików przechowywanego w migawce.

   • Skopiowana migawka pozostaje w tym samym regionie co maszyna wirtualna.
   • Skanowanie nie ma wpływu na maszynę wirtualną.

2. Gdy Defender dla Chmury uzyskuje niezbędne metadane z skopiowanego dysku, natychmiast usuwa skopiowaną migawkę dysku i wysyła metadane do odpowiednich mechanizmów firmy Microsoft w celu wykrywania luk w konfiguracji i potencjalnych zagrożeń. Na przykład w ocenie luk w zabezpieczeniach analiza jest wykonywana przez usługę Defender Vulnerability Management.

3. Defender dla Chmury wyświetla wyniki skanowania, konsolidując wyniki zarówno oparte na agencie, jak i bez agenta, na stronie alertów zabezpieczeń.

4. Defender dla Chmury analizuje dyski w środowisku skanowania, które jest regionalne, niestabilne, izolowane i wysoce bezpieczne. Migawki dysków i dane niepowiązane ze skanowaniem nie są przechowywane dłużej niż jest to konieczne do zebrania metadanych, zazwyczaj kilka minut.

Uprawnienia używane w skanowaniu bez agenta

Defender for Cloud używał określonych ról i uprawnień do przeprowadzania skanowania bez agenta.

• Na platformie Azure te uprawnienia są automatycznie dodawane do subskrypcji po włączeniu skanowania bez agenta.
• W usłudze AWS te uprawnienia są dodawane do stosu CloudFormation w łączniku platformy AWS.
• W narzędziu GCP te uprawnienia są dodawane do skryptu dołączania w łączniku GCP.

Uprawnienia platformy Azure

Wbudowany operator skanera maszyn wirtualnych roli ma uprawnienia tylko do odczytu dla dysków maszyn wirtualnych, które są wymagane w procesie migawek. Szczegółowa lista uprawnień to:

• Microsoft.Compute/disks/read
• Microsoft.Compute/disks/beginGetAccess/action
• Microsoft.Compute/disks/diskEncryptionSets/read
• Microsoft.Compute/virtualMachines/instanceView/read
• Microsoft.Compute/virtualMachines/read
• Microsoft.Compute/virtualMachineScaleSets/instanceView/read
• Microsoft.Compute/virtualMachineScaleSets/read
• Microsoft.Compute/virtualMachineScaleSets/virtualMachines/read
• Microsoft.Compute/virtualMachineScaleSets/virtualMachines/instanceView/read

Po włączeniu pokrycia dysków zaszyfrowanych za pomocą klucza CMK wymagane są więcej uprawnień:

• Microsoft.KeyVault/vaults/keys/read
• Microsoft.KeyVault/vaults/keys/wrap/action
• Microsoft.KeyVault/vaults/keys/unwrap/action

Uprawnienia platformy AWS

Rola VmScanner jest przypisywana do skanera podczas włączania skanowania bez agenta. Ta rola ma minimalny zestaw uprawnień do tworzenia i usuwania migawek (określone według tagu) oraz do sprawdzania bieżącego stanu VM. Szczegółowe uprawnienia to:

Uprawnienia GCP

Podczas dołączania tworzona jest nowa rola niestandardowa z minimalnymi uprawnieniami wymaganymi do uzyskania stanu wystąpień i tworzenia migawek.

Ponadto uprawnienia do istniejącej roli usługi KMS GCP są przyznawane w celu obsługi skanowania dysków zaszyfrowanych przy użyciu klucza CMEK. Istnieją następujące role:

• roles/MDCAgentlessScanningRole przyznane do konta usługi Defender dla Chmury z uprawnieniami: compute.disks.createSnapshot, compute.instances.get
• roles/cloudkms.cryptoKeyEncrypterDecrypter przyznane agentowi usługi silnika obliczeniowego usługi Defender for Cloud

Następne kroki

Włącz skanowanie maszyn bez agenta.