Běžné dotazy – Obecné dotazy

Microsoft Defender for Cloud vám pomůže předcházet hrozbám, zjišťovat je a reagovat na ně s lepším přehledem a kontrolou zabezpečení vašich prostředků. Poskytuje integrované bezpečnostní sledování a správu zásad ve vašich předplatných, pomáhá zjišťovat hrozby, kterých byste si jinak nevšimli, a spolupracuje s řadou řešení zabezpečení.

Defender for Cloud používá ke shromažďování a ukládání dat monitorovací komponenty. Podrobné podrobnosti najdete v tématu Shromažďování dat v programu Microsoft Defender for Cloud.

Microsoft Defender pro cloud je povolený s vaším předplatným Microsoft Azure a přístupný z webu Azure Portal. Pokud k němu chcete získat přístup, přihlaste se k portálu, vyberte Procházet a posuňte se na Defender for Cloud.

Defender for Cloud je zdarma na prvních 30 dnů. Veškeré využití nad rámec 30 dnů se automaticky účtuje podle cenového schématu. Další informace. Všimněte si, že kontrola malwaru v defenderu for Storage není zahrnutá zdarma v první 30denní zkušební verzi a bude se účtovat od prvního dne.

Microsoft Defender pro cloud monitoruje následující prostředky Azure:

• Virtuální počítače (včetně cloudových služeb)
• Virtual Machine Scale Sets
• Mnoho služeb Azure PaaS uvedených v přehledu produktů

Defender for Cloud také chrání místní prostředky a multicloudové prostředky, včetně Amazon AWS a Google Cloud.

Na stránce Přehled defenderu pro cloud se zobrazuje celkový stav zabezpečení vašeho prostředí rozdělený podle výpočetních prostředků, sítí, úložiště a dat a aplikací. Každý typ prostředku má indikátor, který ukazuje zjištěná ohrožení zabezpečení. Když vyberete každou dlaždici, zobrazí se seznam problémů se zabezpečením identifikovaných programem Defender for Cloud spolu s inventářem prostředků ve vašem předplatném.

Iniciativa zabezpečení definuje sadu ovládacích prvků (zásad), které se doporučují pro prostředky v rámci zadaného předplatného. V programu Microsoft Defender for Cloud přiřadíte iniciativy pro předplatná Azure, účty AWS a projekty GCP podle požadavků vaší společnosti na zabezpečení a typu aplikací nebo citlivosti dat v každém předplatném.

Zásady zabezpečení povolené v programu Microsoft Defender for Cloud řídí doporučení a monitorování zabezpečení. Další informace najdete v tématu Co jsou zásady zabezpečení, iniciativy a doporučení?

Pokud chcete upravit zásady zabezpečení, musíte být Správa istratorem zabezpečení nebo vlastníkem daného předplatného.

Informace o konfiguraci zásad zabezpečení najdete v tématu Nastavení zásad zabezpečení v programu Microsoft Defender for Cloud.

Microsoft Defender for Cloud analyzuje stav zabezpečení azure, multicloudu a místních prostředků. Při zjištění potenciálních ohrožení zabezpečení se vytvoří doporučení. Doporučení vás provedou procesem konfigurace potřebného řízení. Příklady:

• Zřizování antimalwaru, které pomáhá identifikovat a odebrat škodlivý software
• Skupiny zabezpečení sítě a pravidla pro řízení provozu do virtuálních počítačů
• Zřízení firewallu webových aplikací, které pomáhá bránit útokům, které cílí na vaše webové aplikace
• Nasazení chybějících aktualizací systému
• Adresování konfigurací operačního systému, které neodpovídají doporučeným směrnému plánu

Tady se zobrazují jenom doporučení, která jsou povolená v zásadách zabezpečení.

Microsoft Defender for Cloud automaticky shromažďuje, analyzuje a zachytá data protokolů z vašich prostředků Azure, multicloudu a místních prostředků, sítě a partnerských řešení, jako jsou antimalware a brány firewall. Při zjištění ohrožení zabezpečení se vytvoří výstraha zabezpečení. Příklady zahrnují zjišťování následujících situací:

• Ohrožené virtuální počítače, které komunikují se známými IP adresami se zlými úmysly
• Pokročilý malware zjištěný pomocí zasílání zpráv o chybách systému Windows
• Útoky hrubou silou na virtuální počítače
• Výstrahy zabezpečení z integrovaných partnerských řešení zabezpečení, jako jsou antimalwarové nebo firewally webových aplikací

Microsoft Security Response Center (MSRC) provádí vybrané monitorování zabezpečení sítě a infrastruktury Azure a přijímá stížnosti na analýzu hrozeb a zneužití od třetích stran. Když služba MSRC uvědomí, že k zákaznickým datům přistupovala neoprávněná nebo neoprávněná strana nebo že použití Azure zákazníka nevyhovuje podmínkám přijatelného použití, upozorní zákazníka správce incidentů zabezpečení. K oznámení obvykle dochází odesláním e-mailu kontaktům zabezpečení zadaným v programu Microsoft Defender for Cloud nebo vlastníkovi předplatného Azure, pokud není zadaný kontakt zabezpečení.

Defender for Cloud je služba Azure, která nepřetržitě monitoruje Azure, multicloudové a místní prostředí zákazníka a používá analýzy k automatickému zjišťování široké škály potenciálně škodlivých aktivit. Tyto detekce se zobrazují jako výstrahy zabezpečení na řídicím panelu ochrany úloh.

Předplatná Azure můžou mít více správců s oprávněními ke změně nastavení cen. Pokud chcete zjistit, který uživatel provedl změnu, použijte protokol aktivit Azure.

Pokud informace o uživateli nejsou uvedené ve sloupci Událost iniciovaná sloupcem , prozkoumejte JSON události, kde najdete příslušné podrobnosti.

Někdy se doporučení zabezpečení zobrazí ve více než jedné iniciativě zásad. Pokud máte přiřazených více instancí stejného doporučení ke stejnému předplatnému a vytvoříte výjimku pro toto doporučení, ovlivní to všechny iniciativy, které máte oprávnění k úpravám.

Pokud se pokusíte vytvořit výjimku pro toto doporučení, zobrazí se jedna ze dvou následujících zpráv:

• Pokud máte potřebná oprávnění k úpravám obou iniciativ, uvidíte:

  Toto doporučení je součástí několika iniciativ zásad: [názvy iniciativ oddělených čárkou]. Výjimky se vytvoří na všech z nich.

• Pokud nemáte dostatečná oprávnění pro obě iniciativy, zobrazí se tato zpráva:

  Máte omezená oprávnění k použití výjimky pro všechny iniciativy zásad, výjimky se vytvoří pouze u iniciativ s dostatečnými oprávněními.

Tato obecně dostupná doporučení nepodporují výjimku:

• Všechny typy rozšířené ochrany před internetovými útoky by měly být povolené v pokročilých nastaveních zabezpečení dat spravované instance SQL.
• V nastaveních pokročilého zabezpečení dat serverů SQL by měly být povolené všechny typy pokročilé ochrany před hrozbami.
• Měly by se vynutit limity procesoru a paměti kontejneru.
• Image kontejnerů by se měly nasazovat jenom z důvěryhodných registrů.
• Vyhnete se eskalaci kontejneru s oprávněními.
• Kontejnery sdílející citlivé obory názvů hostitelů by se měly vyhnout
• Kontejnery by měly naslouchat pouze na povolených portech.
• Výchozí zásady filtru IP adres by měly být odepřít.
• Problémy s konfigurací EDR by se měly vyřešit na virtuálních počítačích.
• Řešení EDR by mělo být nainstalované na virtuálních počítačích.
• Na počítačích by se mělo povolit monitorování integrity souborů.
• U kontejnerů by se měl vynucovat kořenový systém souborů jen pro čtení.
• Zařízení IoT – Otevření portů na zařízení
• Zařízení IoT – Byly nalezeny zásady brány firewall pro výkon v jednom z řetězců.
• Zařízení IoT – Zjistilo se pravidlo brány firewall, které je v vstupním řetězci.
• Zařízení IoT – Bylo nalezeno pravidlo brány firewall s oprávněním k výkonu ve výstupním řetězci.
• Pravidlo filtru IP adres – velký rozsah IP adres
• Pro kontejnery by se měly vynucovat nejméně privilegované funkce Linuxu.
• Přepsání nebo zakázání profilu AppArmor kontejnerů by mělo být omezeno.
• Privilegované kontejnery by se měly vyhnout
• Vyhnete se spouštění kontejnerů jako uživatel root.
• Služby by měly naslouchat pouze na povolených portech.
• Sql Servery by měly mít zřízený správce Microsoft Entra.
• Použití hostitelských sítí a portů by mělo být omezeno
• Použití připojení svazků HostPath podu by mělo být omezeno na známý seznam, aby se omezil přístup k uzlům z ohrožených kontejnerů.

Pokud chcete zjistit, proč se doporučení pořád generují, ověřte v zásadách podmíněného přístupu vícefaktorového ověřování následující možnosti konfigurace:

• Účty jste zahrnuli do oddílu Uživatelé zásad podmíněného přístupu vícefaktorového ověřování (nebo některé ze skupin v oddílu Skupiny ).
• ID aplikace Azure Management (797f4846-ba00-4fd7-ba43-dac1f8f63013) nebo všechny aplikace jsou součástí části Aplikace zásad podmíněného přístupu vícefaktorového ověřování.
• ID aplikace Azure Management není vyloučené v části Aplikace zásad podmíněného přístupu vícefaktorového ověřování.
• Podmínka OR se používá pouze s vícefaktorovým ověřováním nebo podmínkou AND se používá s vícefaktorovým ověřováním.
• Zásady podmíněného přístupu vynucující vícefaktorové ověřování prostřednictvím silných stránek ověřování se v současné době v našem vyhodnocení nepodporují.

Doporučení pro MFA v Defenderu pro Cloud nepodporují nástroje MFA třetích stran (například DUO).

Pokud doporučení nejsou pro vaši organizaci relevantní, zvažte jejich označení jako "zmírněné", jak je popsáno v tématu Vyloučení prostředků a doporučení z vašeho skóre zabezpečení. Doporučení můžete také zakázat.

Doporučení pro MFA v programu Defender for Cloud odkazují na role Azure RBAC a role správců klasického předplatného Azure. Ověřte, že žádný z účtů nemá některou z těchto rolí.

Doporučení MFA v programu Defender for Cloud v současné době nepodporují účty PIM. Můžete tyto účty přidat do zásad podmíněného přístupu do části Uživatelé nebo Skupiny.

Možnost vyloučit některé účty, které nepoužívají vícefaktorové ověřování, je k dispozici v nových doporučeních ve verzi Preview:

• Účty s oprávněními vlastníka k prostředkům Azure by měly být povolené vícefaktorové ověřování
• Účty s oprávněním k zápisu prostředků Azure by měly být povolené vícefaktorové ověřování.
• Účty s oprávněními ke čtení u prostředků Azure by měly být povolené vícefaktorové ověřování

Pokud chcete vyloučit účty, postupujte takto:

1. Vyberte doporučení MFA přidružené k účtu, který není v pořádku.
2. Na kartě Účty vyberte účet, který chcete vyloučit.
3. Vyberte tlačítko se třemi tečkami a pak vyberte Účet pro vyloučení.
4. Vyberte obor a důvod výjimky.

Pokud chcete zjistit, které účty jsou vyloučené, přejděte pro každé doporučení do vyloučených účtů .

Ochrana identit a přístupu v Defenderu pro cloud má určitá omezení:

• Doporučení identit nejsou dostupná pro předplatná s více než 6 000 účty. V těchto případech jsou tyto typy předplatných uvedené na kartě Nepoužitelné.
• Doporučení identit nejsou k dispozici pro agenty pro správu partnera CSP (Cloud Solution Provider).
• Doporučení identit neidentifikují účty spravované pomocí systému PIM (Privileged Identity Management). Pokud používáte nástroj PIM, můžou se zobrazit nepřesné výsledky v ovládacím prvku Správa přístupu a oprávnění .
• Doporučení identit nepodporují zásady podmíněného přístupu Microsoft Entra s zahrnutými rolemi adresáře místo uživatelů a skupin.

Seznam AMI s předinstalovaným agentem SSM najdete na této stránce v dokumentaci AWS.

V případě jiných operačních systémů by měl být agent SSM nainstalován ručně pomocí následujících pokynů:

• Instalace agenta SSM pro hybridní prostředí (Windows)
• Instalace agenta SSM pro hybridní prostředí (Linux)

Ke zjišťování prostředků AWS jsou potřeba následující oprávnění IAM:

Ano. Pokud chcete vytvářet, upravovat nebo odstraňovat cloudové konektory Defenderu pro cloud pomocí rozhraní REST API, podívejte se na podrobnosti o rozhraní API Připojení orů.

Defender for Cloud podporuje a kontroluje všechny dostupné oblasti ve veřejném cloudu GCP.

Při přípravě prostředí pro scénáře BCDR, kdy u cílového prostředku dochází k výpadku nebo jiné havárii, je odpovědností organizace předejít ztrátě dat vytvořením záloh podle pokynů z Azure Event Hubs, pracovního prostoru služby Log Analytics a Logic Apps.

Pro každou aktivní automatizaci doporučujeme vytvořit identickou (zakázanou) automatizaci a uložit ji do jiného umístění. Pokud dojde k výpadku, můžete tyto automatizace zálohování povolit a udržovat normální operace.

Přečtěte si další informace o provozní kontinuitě a zotavení po havárii pro Azure Logic Apps.

Za povolení průběžného exportu nejsou žádné náklady. V závislosti na vaší konfiguraci můžou vzniknout náklady na příjem a uchovávání dat v pracovním prostoru služby Log Analytics.

Mnoho upozornění se poskytuje jenom v případě, že jste povolili plány Defenderu pro vaše prostředky. Dobrým způsobem, jak zobrazit náhled výstrah, které dostanete do exportovaných dat, je zobrazit upozornění zobrazená na stránkách Defenderu pro cloud na webu Azure Portal.

Přečtěte si další informace o cenách pracovního prostoru služby Log Analytics.

Přečtěte si další informace o cenách služby Azure Event Hubs.

Obecné informace o cenách defenderu pro cloud najdete na stránce s cenami.

Ne. Průběžný export je vytvořený pro streamování událostí:

• Upozornění přijatá před povolením exportu se neexportují.
• Doporučení se posílají vždy, když se stav dodržování předpisů prostředku změní. Například když se prostředek změní ze stavu v pořádku na není v pořádku. Stejně jako u upozornění se doporučení pro prostředky, které nezměnily stav, protože jste povolili export, neexportují.
• Skóre zabezpečení na bezpečnostní prvek nebo předplatné se odešle, když se skóre ovládacího prvku zabezpečení změní o 0,01 nebo více.
• Stav dodržování právních předpisů se odešle, když se stav dodržování předpisů prostředku změní.

Různá doporučení mají různé intervaly vyhodnocení dodržování předpisů, které můžou být v rozsahu od několika minut po několik dní. Množství času, které trvá, aby se doporučení zobrazovala ve vašich exportech, se tedy liší.

Pokud chcete získat příklad dotazu na doporučení, otevřete doporučení v defenderu pro cloud, vyberte Otevřít dotaz a pak vyberte Dotaz vracející zjištění zabezpečení.

Průběžný export může být užitečný při přípravě na scénáře BCDR, kdy u cílového prostředku dochází k výpadku nebo jiné havárii. Je ale zodpovědností organizace předejít ztrátě dat tím, že vytváří zálohy podle pokynů ze služby Azure Event Hubs, pracovního prostoru služby Log Analytics a aplikace logiky.

Další informace najdete ve službě Azure Event Hubs – geografické zotavení po havárii.

Nedoporučujeme programově aktualizovat více plánů v jednom předplatném současně (prostřednictvím rozhraní REST API, šablon ARM, skriptů atd.). Pokud používáte rozhraní API Microsoft.Security/pricings nebo jakékoli jiné programové řešení, měli byste mezi každou žádost vložit zpoždění 10 až 15 sekund.

Další kroky

Další informace o novinkách v Defenderu pro cloud