Sdílet prostřednictvím

Kontrola počítačů bez agentů

  • Článek

Kontrola počítačů bez agentů v Programu Microsoft Defender for Cloud zlepšuje stav zabezpečení počítačů připojených k Defenderu pro cloud.

Kontrola bez agentů nepotřebuje nainstalované agenty ani síťové připojení a nemá vliv na výkon počítače. Kontrola počítačů bez agentů:

Kontrola bez agentů je k dispozici v následujících plánech Defenderu pro cloud:

Architektura kontroly bez agentů

Tady je postup, jak funguje kontrola bez agentů:

  1. Defender for Cloud vytváří snímky disků virtuálních počítačů a provádí vzdálenou analýzu konfigurace operačního systému a systému souborů uložených ve snímku.

    • Zkopírovaný snímek zůstane ve stejné oblasti jako virtuální počítač.
    • Kontrola nemá vliv na virtuální počítač.

  2. Jakmile Defender for Cloud získá potřebná metadata z zkopírovaného disku, okamžitě odstraní zkopírovaný snímek disku a odešle metadata relevantním modulům Microsoftu, aby zjistil mezery v konfiguraci a potenciální hrozby. Například při posouzení ohrožení zabezpečení provádí analýza správa ohrožení zabezpečení v programu Defender.

  3. Defender for Cloud zobrazuje výsledky kontroly, které konsolidují výsledky založené na agentech i bez agentů na stránce Výstrahy zabezpečení.

  4. Defender for Cloud analyzuje disky ve skenovacím prostředí, které je regionální, nestálé, izolované a vysoce zabezpečené. Snímky disků a data nesouvisející s kontrolou se neukládají déle, než je nutné ke shromažďování metadat, obvykle několik minut.

Diagram procesu shromažďování dat operačního systému prostřednictvím kontroly bez agentů

Oprávnění používaná kontrolou bez agentů

Defender for Cloud používal konkrétní role a oprávnění k provádění kontroly bez agentů.

Oprávnění Azure

Operátor skeneru virtuálních počítačů předdefinované role má oprávnění jen pro čtení pro disky virtuálních počítačů, které jsou potřeba pro proces snímku. Podrobný seznamoprávněních

  • Microsoft.Compute/disks/read
  • Microsoft.Compute/disks/beginGetAccess/action
  • Microsoft.Compute/disks/diskEncryptionSets/read
  • Microsoft.Compute/virtualMachines/instanceView/read
  • Microsoft.Compute/virtualMachines/read
  • Microsoft.Compute/virtualMachineScaleSets/instanceView/read
  • Microsoft.Compute/virtualMachineScaleSets/read
  • Microsoft.Compute/virtualMachineScaleSets/virtualMachines/read
  • Microsoft.Compute/virtualMachineScaleSets/virtualMachines/instanceView/read

Pokud je povolené pokrytí šifrovaných disků CMK, použijí se další oprávnění:

  • Microsoft.KeyVault/vaults/keys/read
  • Microsoft.KeyVault/vaults/keys/wrap/action
  • Microsoft.KeyVault/vaults/keys/unwrap/action

Oprávnění AWS

Role VmScanner je přiřazena skeneru při povolení kontroly bez agentů. Tato role má minimální nastavená oprávnění k vytváření a čištění snímků (vymezených značkou) a k ověření aktuálního stavu virtuálního počítače. Podrobná oprávnění jsou:

Atribut Hodnota
SID VmScannerDeleteSnapshotAccess
Akce ec2:DeleteSnapshot
Podmínky "StringEquals":{"ec2:ResourceTag/CreatedBy”:<br>"Microsoft Defender for Cloud"}
Zdroje informací arn:aws:ec2::snapshot/
Účinnost Povolit
Atribut Hodnota
SID VmScannerAccess
Akce ec2:ModifySnapshotAttribute
ec2:DeleteTags
ec2:CreateTags
ec2:CreateSnapshots
ec2:CopySnapshots
ec2:CreateSnapshot
Podmínky Nic
Zdroje informací arn:aws:ec2::instance/
arn:aws:ec2::snapshot/
arn:aws:ec2:::volume/
Účinnost Povolit
Atribut Hodnota
SID VmScannerVerificationAccess
Akce ec2:DescribeSnapshots
ec2:DescribeInstanceStatus
Podmínky Nic
Zdroje informací *
Účinnost Povolit
Atribut Hodnota
SID VmScannerEncryptionKeyCreation
Akce kms:CreateKey
Podmínky Nic
Zdroje informací *
Účinnost Povolit
Atribut Hodnota
SID VmScannerEncryptionKeyManagement
Akce kms:TagResource
kms:GetKeyRotationStatus
kms:PutKeyPolicy
kms:GetKeyPolicy
kms:CreateAlias
kms:ListResourceTags
Podmínky Nic
Zdroje informací arn:aws:kms::${AWS::AccountId}: key/ <br> arn:aws:kms:*:${AWS::AccountId}:alias/DefenderForCloudKey
Účinnost Povolit
Atribut Hodnota
SID VmScannerEncryptionKeyUsage
Akce kms:GenerateDataKeyWithoutPlaintext
kms:DescribeKey
Kms:RetireGrant
kms:CreateGrant
kms:ReEncryptFrom
Podmínky Nic
Zdroje informací arn:aws:kms::${AWS::AccountId}: klíč/
Účinnost Povolit

Oprávnění GCP

Během onboardingu se vytvoří nová vlastní role s minimálními oprávněními potřebnými k získání stavu instancí a vytváření snímků.

Kromě toho jsou udělena oprávnění k existující roli GCP KMS pro podporu skenování disků, které jsou šifrované pomocí CMEK. Jedná se o následující role:

  • role/MDCAgentlessScanningRole udělený účtu služby Defender for Cloud s oprávněními: compute.disks.createSnapshot, compute.instances.get
  • role /cloudkms.cryptoKeyEncrypterDecrypterDecrypter udělený agentovi služby výpočetního stroje v programu Defender for Cloud

Další kroky

Povolte kontrolu počítačů bez agentů.