Freigeben über

Umsetzen von Empfehlungen zur Gastkonfiguration

  • Artikel

Hinweis

Da der Log Analytics-Agent (auch als MMA bezeichnet) im November 2024 außer Betrieb genommen wird, werden alle derzeit davon abhängigen Funktionen von Defender for Servers, einschließlich der auf dieser Seite beschriebenen Funktionen, vor dem Datum der Außerbetriebnahme entweder über die Microsoft Defender for Endpoint-Integration oder über die agentlose Überprüfung verfügbar sein. Weitere Informationen zur Roadmap für die einzelnen Features, die derzeit auf dem Log Analytics-Agent basieren, finden Sie in dieser Ankündigung.

Defender for Cloud bewertet Fehlkonfigurationen in Bezug auf Baselines für virtuelle Computer (VMs), die mit Ihrem Abonnement verbunden sind. Dabei werden Ihre VMs anhand vordefinierter Sicherheitsbaselines bewertet, und es werden eventuelle Abweichungen oder Fehlkonfigurationen ermittelt, die potenzielle Risiken darstellen könnten. Indem Sie dafür sorgen, dass Ihre VMs den Best Practices in Bezug auf Sicherheit und den Organisationsrichtlinien entsprechen, können Sie eine robuste und sichere Computingumgebung aufrechterhalten.

Computerinformationen werden über die Azure Policy-Gastkonfiguration gesammelt, und die Bewertung basiert auf Microsoft-Benchmarks, die verschiedene Compliance-Benchmarks und -Vorschriften abdecken, beispielsweise CIS, STIG und mehr. Die Azure Policy-Gastkonfiguration aktiviert die folgenden Richtlinien für Ihr Abonnement:

Hinweis

Wenn Sie diese Richtlinien entfernen, können Sie nicht auf die Vorteile der Azure Policy-Gastkonfigurationserweiterung zugreifen.

Voraussetzungen

Wichtig

Beachten Sie, dass zusätzliche, von der Azure Policy-Gastkonfiguration bereitgestellte Funktionen außerhalb des Defender for Cloud-Portals nicht in Defender for Cloud enthalten sind und den Preisrichtlinien für Azure Policy-Gastkonfigurationen unterliegen. Beispielsweise Wartungsrichtlinien und benutzerdefinierten Richtlinien. Weitere Informationen finden Sie auf der Seite Azure Policy-Gastkonfiguration – Preise.

Überprüfen und Umsetzen von Empfehlungen zur Gastkonfiguration

Wenn die Azure Policy-Gastkonfiguration in Ihr Abonnement integriert ist, beginnt Defender for Cloud mit der Bewertung Ihrer VMs anhand der Sicherheitsbaselines. Je nach Umgebung können bei Feststellung von Fehlkonfigurationen die folgenden Empfehlungen auf der Seite mit Empfehlungen angezeigt werden:

So überprüfen und korrigieren Sie dies:

  1. Melden Sie sich beim Azure-Portal an.

  2. Navigieren Sie zu Defender for Cloud> Empfehlungen**.

  3. Suchen Sie nach einer der Empfehlungen, und wählen Sie sie aus.

  4. Überprüfen Sie die Empfehlung.

  5. Korrigieren Sie die Empfehlung.

Hinweis

Während des Prozesses zur Ablösung des Log Analytics-Agents, auch als Microsoft Monitoring Agent (MMA) bezeichnet, kann es sein, dass sie doppelte Empfehlungen für denselben Computer erhalten. Dies liegt daran, dass der MMA und die Azure Policy-Gastkonfiguration beide denselben Computer bewerten. Um dies zu vermeiden, können Sie den MMA auf dem Computer deaktivieren.

Abfragen von Empfehlungen mit API

Defender for Cloud verwendet Azure Resource Graph für API- und Portalabfragen, um Empfehlungsinformationen zu erhalten. Sie können diese Ressourcen verwenden, um eigene Abfragen zum Abrufen von Informationen zu erstellen.

Informationen zum Überprüfen von Empfehlungen in Azure Resource Graph erhalten Sie hier.

Hier zwei Beispielabfragen, die Sie verwenden können:

  • Abfragen aller fehlerhaften Regeln für eine bestimmte Ressource

    Securityresources 
| where type == "microsoft.security/assessments/subassessments" 
| extend assessmentKey=extract(@"(?i)providers/Microsoft.Security/assessments/([^/]*)", 1, id) 
| where assessmentKey == '1f655fb7-63ca-4980-91a3-56dbc2b715c6' or assessmentKey ==  '8c3d9ad0-3639-4686-9cd2-2b2ab2609bda' 
| parse-where id with machineId:string '/providers/Microsoft.Security/' * 
| where machineId  == '{machineId}'

  • Alle fehlerhaften Regeln und die fehlerhaften Computer der Regeln

    securityresources 
| where type == "microsoft.security/assessments/subassessments" 
| extend assessmentKey=extract(@"(?i)providers/Microsoft.Security/assessments/([^/]*)", 1, id) 
| where assessmentKey == '1f655fb7-63ca-4980-91a3-56dbc2b715c6' or assessmentKey ==  '8c3d9ad0-3639-4686-9cd2-2b2ab2609bda' 
| parse-where id with * '/subassessments/' subAssessmentId:string 
| parse-where id with machineId:string '/providers/Microsoft.Security/' * 
| extend status = tostring(properties.status.code) 
| summarize count() by subAssessmentId, status

Wenn Sie erfahren möchten, wie Sie ausführlichere Abfragen erstellen, finden Sie Informationen unter Azure Resource Graph-Abfragesprache.

Hinweis

Während des Prozesses zur Ablösung des Log Analytics-Agents, auch als Microsoft Monitoring Agent (MMA) bezeichnet, kann es sein, dass sie doppelte Empfehlungen für denselben Computer erhalten. Dies liegt daran, dass der MMA und die Azure Policy-Gastkonfiguration beide denselben Computer bewerten. Um dies zu vermeiden, können Sie den MMA auf dem Computer deaktivieren.

Nächster Schritt

Lesen Sie die Empfehlungen zur Härtung von Docker-Hosts