你当前正在访问 Microsoft Azure Global Edition 技术文档网站。如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。

查看安全建议

在 Microsoft Defender for Cloud 中，资源和工作负载是根据 Azure 订阅、AWS 帐户和 GCP 项目中启用的内置和自定义安全性标准进行评估的。根据这些评估，安全性建议提供实际步骤来修正安全性问题，并提高安全性状况。

Defender for Cloud 主动利用动态引擎来评估环境中的风险，同时考虑恶意利用可能性，及其对组织业务的潜在影响。该引擎根据每个资源的风险因素对安全建议进行优先级排序，这些风险因素由环境上下文确定，包括资源的配置、网络连接和安全状况。

先决条件

注意

默认情况下，Defender for Cloud 中包含建议，但在环境中未启用 Defender CSPM 的情况下无法查看风险优先级。

请务必先查看与建议相关的所有详细信息，然后再尝试了解解决建议所需的过程。建议在解决建议之前先确保所有建议详细信息都正确无误。

查看建议的详细信息：

你可以执行许多操作来与建议进行交互。如果没有可用的选项，则该选项与建议无关。

浏览建议：

登录 Azure 门户。
导航到“Defender for Cloud”>“建议”。
选择一条建议。
在建议中，可以执行以下操作：
- 选择“打开查询”以使用 Azure Resource Graph 浏览器查询来查看有关受影响资源的详细信息。
- 选择“查看策略定义”以查看基础建议的 Azure Policy 条目（如果相关）。
在“执行操作”中：
- 修正 - 修正受影响资源的安全性问题时所需的手动步骤的说明。对于带有“修复”选项的建议，可以先选择“查看修正逻辑”，然后再为资源应用建议的修补程序。
- 分配所有者和截止日期：如果为建议打开了治理规则，则可以分配所有者和截止日期。
- 豁免：可以豁免建议中的资源，或者使用禁用规则禁用特定结果。
- 工作流自动化：设置逻辑应用以触发此建议。
在“结果”中，可以按严重性查看附属结果。
在 Graph 中，可以查看和调查用于风险优先级的所有上下文，包括攻击路径。你可以在攻击路径中选择一个节点，以查看所选节点的详细信息。
选择一个节点以查看其他详细信息。
选择见解。
在“漏洞”下拉菜单中，选择漏洞以查看详细信息。
（可选）选择打开漏洞页以查看相关的建议页。
修正建议。

Defender for Cloud 的建议页允许按标题对建议进行分组。要修正影响特定安全问题导致的多个资源的建议时，此功能非常有用。

按标题对建议进行分组：

Defender for Cloud 支持建议的治理规则，以指定建议所有者或操作的截止日期。治理规则有助于确保问责制和建议的 SLA。

深入了解配置治理规则。

管理分配给你的建议：

注意

更改预期完成日期不会更改建议的截止日期，但安全性合作伙伴可以看到你计划在指定日期前更新资源。

你可以使用 Azure Resource Graph 来编写 Kusto 查询语言 (KQL)，以在多个订阅中查询 Defender for Cloud 云安全态势数据。 Azure Resource Graph 通过查看、筛选、分组和排序数据，提供了跨云环境进行大规模查询的有效方法。

查看 Azure Resource Graph 中的建议：

登录 Azure 门户。
导航到“Defender for Cloud”>“建议”。
选择一条建议。
选择“打开查询”。
可以通过以下两种方式之一打开查询：
- 查询返回受影响的资源 - 返回受此建议影响的所有资源的列表。
- 查询返回的安全性结果 - 返回建议发现的所有安全性问题的列表。
选择“运行查询”。
查看结果。