Verificação de máquina sem agente

A análise de máquinas sem agentes no Microsoft Defender for Cloud melhora a postura de segurança das máquinas ligadas ao Defender for Cloud.

A verificação sem agente não precisa de agentes instalados ou conectividade de rede e não afeta o desempenho da máquina. Digitalização de máquina sem agente:

• Analisa as definições de deteção e resposta de terminais (EDR): Analise as máquinas para avaliar se estão a executar uma solução EDR e se as definições estão corretas se as máquinas se integrarem com o Microsoft Defender for Endpoint. Mais informações
• Analisa o inventário de software: analise o seu inventário de software com a Gestão de Vulnerabilidades integrada do Microsoft Defender.
• Verifica vulnerabilidades: avalie as máquinas em busca de vulnerabilidades usando o Gerenciamento de vulnerabilidades integrado do Defender.
• Verifica segredos em máquinas: localize segredos de texto simples em seu ambiente de computação com a varredura de segredos sem agente.
• Verifica se há malware: analise as máquinas em busca de malware e vírus usando o Microsoft Defender Antivirus.
• Análises VMs executadas como nós do Kubernetes: a avaliação de vulnerabilidades e a verificação de malware estão disponíveis para VMs executadas como nós do Kubernetes quando o Defender for Servers Plan 2 ou o plano Defender for Containers está habilitado. Disponível apenas em nuvens comerciais.

A verificação sem agente está disponível nos seguintes planos do Defender for Cloud:

• Gestão de Postura de Segurança na Nuvem do Defender (CSPM).
• Plano 2 do Defensor de Servidores.
• A verificação de malware só está disponível no Defender for Servers Plan 2.
• A verificação sem agente está disponível para VMs do Azure, instâncias de computação do AWS EC2 e GCP conectadas ao Defender for Cloud.

Arquitetura de análise sem agente

Veja como funciona a verificação sem agente:

1. O Defender for Cloud tira instantâneos de discos de VM (raiz + disco de dados) e realiza uma análise profunda e fora de banda da configuração do sistema operacional e do sistema de arquivos armazenado no instantâneo.

   • O instantâneo copiado permanece na mesma região que a VM.
   • A verificação não afeta a VM.

2. Depois que o Defender for Cloud obtém os metadados necessários do disco copiado, ele exclui imediatamente o instantâneo copiado do disco e envia os metadados para mecanismos relevantes da Microsoft para detetar lacunas de configuração e ameaças potenciais. Por exemplo, na avaliação de vulnerabilidade, a análise é feita pelo Defender Vulnerability Management.

3. Defender for Cloud exibe os resultados da verificação, que consolida os resultados com base em agentes e sem agentes na página Alertas de segurança.

4. O Defender for Cloud analisa discos em um ambiente de varredura regional, volátil, isolado e altamente seguro. Os instantâneos de disco e os dados não relacionados à análise não são armazenados por mais tempo do que o necessário para recolher os metadados, geralmente por alguns minutos.

Permissões utilizadas na verificação sem agente

O Defender for Cloud usou funções e permissões específicas para executar verificações sem agente.

• No Azure, essas permissões são adicionadas automaticamente às suas assinaturas quando você habilita a verificação sem agente.
• Na AWS, essas permissões são adicionadas à pilha do CloudFormation no conector da AWS.
• No GCP, essas permissões são adicionadas ao script de integração no seu conector GCP.

Permissões do Azure

O papel interno operador de scanner de VM tem permissões de leitura apenas para discos de VM que são necessárias para o processo de snapshot. A lista detalhada de permissões é:

• Microsoft.Compute/disks/read
• Microsoft.Compute/disks/beginGetAccess/action
• Microsoft.Compute/disks/diskEncryptionSets/read
• Microsoft.Compute/virtualMachines/instanceView/read
• Microsoft.Compute/virtualMachines/read
• Microsoft.Compute/virtualMachineScaleSets/instanceView/read
• Microsoft.Compute/virtualMachineScaleSets/read
• Microsoft.Compute/virtualMachineScaleSets/virtualMachines/read
• Microsoft.Compute/virtualMachineScaleSets/virtualMachines/instanceView/read

Quando a cobertura para discos criptografados CMK está habilitada, mais permissões são necessárias:

• Microsoft.KeyVault/vaults/keys/read
• Microsoft.KeyVault/vaults/keys/wrap/action
• Microsoft.KeyVault/vaults/keys/unwrap/action

Permissões da AWS

A função VmScanner é atribuída ao scanner quando você habilita a verificação sem agente. Esta função tem o conjunto mínimo de permissões definido para criar e eliminar instantâneos (com escopo por tag) e verificar o estado atual da máquina virtual. As permissões detalhadas são:

Permissões do GCP

Durante a integração, uma nova função personalizada é criada com permissões mínimas necessárias para obter o status das instâncias e criar instantâneos.

Além disso, são concedidas permissões para uma função KMS existente do GCP para suportar a verificação de discos que estão criptografados com CMEK. As funções são:

• roles/MDCAgentlessScanningRole concedido à conta de serviço do Defender for Cloud com permissões: compute.disks.createSnapshot, compute.instances.get
• roles/cloudkms.cryptoKeyEncrypterDecrypter concedido ao agente de serviço da máquina de cálculo do Defender for Cloud

Próximos passos

Habilite a varredura de máquina sem agente.