Máquinas virtuais do Azure
Habilitar o JIT em suas VMs de máquinas virtuais do Azure
Você pode habilitar o JIT em uma VM nas páginas de máquinas virtuais do Azure da portal do Azure.
Dica
Se uma VM já tem o JIT habilitado, a página de configuração dela mostra que o JIT está habilitado. Você pode usar o link para abrir a página de acesso à VM JIT no Defender para Nuvem para exibir e alterar as configurações.
No portal do Azure, pesquise e selecione Máquinas virtuais.
Selecione as máquinas virtuais que deseja proteger com JIT.
No menu à esquerda, selecione Configuração.
Em Acesso Just-In-Time selecione Habilitar política Just-In-Time.
Por padrão, o acesso just-in-time para a VM usa estas configurações:
- Máquinas do Windows
- Porta RDP: 3389
- Acesso máximo permitido: três horas
- Endereços IP de origem permitidos: todos
- Máquinas do Linux
- Porta SSH: 22
- Acesso máximo permitido: três horas
- Endereços IP de origem permitidos: todos
Para editar um desses valores ou adicionar mais portas à sua configuração de JIT, use a página just-in-time do Microsoft Defender para Nuvem:
No menu do Defender para Nuvem, selecione acesso just-in-time à VM.
Na guia Configuradas, clique com o botão direito do mouse na VM à qual deseja adicionar uma porta e selecione Editar.
Em Configuração de acesso JIT à VM, você pode editar as configurações existentes de uma porta já protegida ou pode adicionar uma nova porta personalizada.
Ao terminar de editar as portas, selecione Salvar.
Solicitar acesso a uma VM habilitada para JIT na página conectar da máquina virtual do Azure
Quando uma VM tem um JIT habilitado, você precisa solicitar acesso para se conectar a ele. Você pode solicitar acesso em qualquer uma das maneiras com suporte, independentemente de como você habilitou o JIT.
Para solicitar acesso de máquinas virtuais do Azure:
No portal do Azure, abra a página de máquinas virtuais.
Selecione a VM à qual você deseja se conectar e abra a página conectar.
O Azure verifica se o JIT está habilitado nessa VM.
Se o JIT não estiver habilitado para a VM, você será solicitado a habilitá-lo.
Se o JIT estiver habilitado, selecione Solicitar acesso para passar uma solicitação de acesso com o IP solicitante, o intervalo de tempo e as portas que foram configuradas para essa VM.
Observação
Depois que uma solicitação for aprovada para uma VM protegida pelo Firewall do Azure, o Defender para Nuvem fornecerá ao usuário os detalhes de conexão apropriados (o mapeamento de porta da tabela DNAT) a ser usada para se conectar à VM.
PowerShell
Ativar JIT nas suas VMs usando PowerShell
Para habilitar o acesso just-in-time à VM do PowerShell, use o cmdlet oficial do PowerShell do Microsoft Defender para Nuvem Set-AzJitNetworkAccessPolicy.
Exemplo – habilitar o acesso just-in-time à VM em uma VM específica com as seguintes regras:
- Fechar as portas 22 e 3389.
- Definir uma janela de tempo máximo de 3 horas para cada, de modo que possam ser abertas por solicitação aprovada.
- Permitir que o usuário que está solicitando acesso controle os endereços IP de origem
- Permitir que o usuário que está solicitando acesso estabelecer uma sessão com êxito mediante uma solicitação de acesso Just-In-Time aprovada.
Os comandos do PowerShell a seguir criam essa configuração de JIT:
Atribuir uma variável que contenha a regras de acesso Just-In-Time à VM para uma VM:
$JitPolicy = (@{
id="/subscriptions/SUBSCRIPTIONID/resourceGroups/RESOURCEGROUP/providers/Microsoft.Compute/virtualMachines/VMNAME";
ports=(@{
number=22;
protocol="*";
allowedSourceAddressPrefix=@("*");
maxRequestAccessDuration="PT3H"},
@{
number=3389;
protocol="*";
allowedSourceAddressPrefix=@("*");
maxRequestAccessDuration="PT3H"})})
Inserir a regra de acesso Just-In-Time à VM em uma matriz:
$JitPolicyArr=@($JitPolicy)
Configurar a regra de acesso Just-In-Time à VM na VM selecionada:
Set-AzJitNetworkAccessPolicy -Kind "Basic" -Location "LOCATION" -Name "default" -ResourceGroupName "RESOURCEGROUP" -VirtualMachine $JitPolicyArr
Use o parâmetro-Name para especificar uma VM. Por exemplo, para estabelecer a configuração de JIT para duas VMs diferentes, VM1 e VM2, use: Set-AzJitNetworkAccessPolicy -Name VM1 e Set-AzJitNetworkAccessPolicy -Name VM2.
Solicitar acesso a uma VM habilitada para JIT usando PowerShell
No exemplo a seguir, é possível ver uma solicitação de acesso Just-In-Time à VM para uma VM específica da porta 22, para um endereço IP específico e por um período de tempo específico:
Execute os seguintes comandos no PowerShell:
Configurar as propriedades de acesso de solicitação da VM:
$JitPolicyVm1 = (@{
id="/subscriptions/SUBSCRIPTIONID/resourceGroups/RESOURCEGROUP/providers/Microsoft.Compute/virtualMachines/VMNAME";
ports=(@{
number=22;
endTimeUtc="2020-07-15T17:00:00.3658798Z";
allowedSourceAddressPrefix=@("IPV4ADDRESS")})})
Insira os parâmetros de solicitação de acesso da VM em uma matriz:
$JitPolicyArr=@($JitPolicyVm1)
Enviar o acesso da solicitação (use a ID do recurso que você recebeu na etapa 1)
Start-AzJitNetworkAccessPolicy -ResourceId "/subscriptions/SUBSCRIPTIONID/resourceGroups/RESOURCEGROUP/providers/Microsoft.Security/locations/LOCATION/jitNetworkAccessPolicies/default" -VirtualMachine $JitPolicyArr
Saiba mais na documentação do cmdlet do PowerShell.
API REST
Habilitar o JIT em suas VMs usando a API REST
O recurso de acesso à VM Just-In-Time pode ser usado por meio da API do Microsoft Defender para Nuvem. Use esta API para obter informações sobre VMs configuradas, adicionar novos, solicitar o acesso a uma VM e mais.
Saiba mais em políticas de acesso à rede JIT.
Solicitar acesso a VM habilitada para JIT usando a API REST
O recurso de acesso à VM Just-In-Time pode ser usado por meio da API do Microsoft Defender para Nuvem. Use esta API para obter informações sobre VMs configuradas, adicionar novos, solicitar o acesso a uma VM e mais.
Saiba mais em políticas de acesso à rede JIT.
Auditar a atividade de acesso JIT no Defender para Nuvem
Você pode obter informações sobre as atividades de VM usando a pesquisa de logs. Para exibir os logs:
