Microsoft Defender for Cloud

Microsoft Defender for Cloud è una piattaforma unificata di gestione del livello di sicurezza del cloud (CSPM) e protezione dei workload. Monitora continuamente le risorse Azure, i server ibridi e gli ambienti multi-cloud (AWS, GCP) alla ricerca di configurazioni non sicure, minacce e vulnerabilità. Fornisce un elenco prioritizzato di raccomandazioni per rafforzare l'ambiente e rileva attivamente gli attacchi in corso.

Defender for Cloud opera su due pilastri principali. Cloud Security Posture Management (CSPM) valuta le configurazioni delle risorse rispetto alle best practice di sicurezza e ai framework di conformità, assegnando un Secure Score alla sottoscrizione. Cloud Workload Protection (CWP), abilitata tramite i piani Defender, aggiunge il rilevamento attivo delle minacce, l'analisi delle vulnerabilità e l'accesso just-in-time alle VM per proteggere i workload in esecuzione.

Il Secure Score è una metrica numerica (0-100) che riflette il livello di sicurezza della sottoscrizione. Ogni raccomandazione di sicurezza influisce sul punteggio; correggere prima le raccomandazioni con impatto maggiore migliora maggiormente il punteggio. I benchmark Microsoft mostrano che i clienti con Secure Score più elevati subiscono meno incidenti di sicurezza. Il dashboard del punteggio suddivide i risultati per area di controllo della sicurezza (identità, rete, dati e così via), aiutando a stabilire le priorità degli interventi correttivi.

Defender for Cloud offre un livello CSPM di base gratuito (sempre attivo) e piani Defender a pagamento per tipi specifici di risorse. I piani includono Defender for Servers (rilevamento delle minacce sugli endpoint per le VM), Defender for Containers (rilevamento delle minacce Kubernetes e analisi delle immagini), Defender for Databases (rilevamento di SQL injection e accessi anomali), Defender for Key Vault e altri. Ogni piano viene fatturato per risorsa.

Quando Defender for Cloud rileva una configurazione errata, crea una raccomandazione di sicurezza. Ogni raccomandazione include: una descrizione del problema, l'elenco delle risorse interessate, la gravità (Alta/Media/Bassa), l'aumento potenziale del Secure Score in caso di correzione e i passaggi per la correzione, con un pulsante Quick Fix per applicare con un clic le correzioni semplici. Le raccomandazioni sono associate al Microsoft Cloud Security Benchmark (MCSB).

Quando Defender for Cloud rileva una minaccia attiva, genera un avviso di sicurezza che descrive l'attacco, le risorse interessate e i passaggi consigliati per la risposta. Gli avvisi correlati dello stesso attacco vengono automaticamente raggruppati in un incidente di sicurezza, offrendo una visualizzazione unificata dell'evoluzione di un attacco (la kill chain) invece di decine di avvisi isolati. Gli avvisi possono essere inoltrati a Microsoft Sentinel, Logic Apps o tramite e-mail.

L'accesso Just-In-Time (JIT) alle VM (disponibile in Defender for Servers) blocca a livello NSG le porte di gestione come RDP (3389) e SSH (22) quando non sono in uso. Quando un amministratore necessita dell'accesso, lo richiede per un intervallo di tempo specifico (ad esempio, 3 ore), da un indirizzo IP di origine specifico, tramite Defender for Cloud. La regola NSG viene creata per tale intervallo e rimossa automaticamente al termine, eliminando la superficie di attacco costituita dalle porte di amministrazione sempre aperte.

I controlli adattivi delle applicazioni usano il machine learning per analizzare quali applicazioni sono in esecuzione nelle VM e generare una allowlist consigliata. È possibile esaminare e approvare l'elenco; Defender for Cloud crea quindi regole Windows AppLocker o regole di auditing Linux per segnalare o bloccare le applicazioni non incluse nell'insieme approvato. Si tratta di uno strumento efficace contro malware e ransomware che sfruttano software non approvato.

Defender for Cloud include una dashboard della conformità normativa che associa il livello di sicurezza a framework specifici come ISO 27001, SOC 2, PCI DSS, NIST SP 800-53 e CIS Benchmarks. Ogni controllo del framework è associato a una o più raccomandazioni di Defender for Cloud. Gli auditor possono visualizzare la dashboard per vedere quanti controlli sono superati e quali richiedono interventi correttivi, velocizzando notevolmente la raccolta delle evidenze di conformità.

Defender for Cloud estende la protezione oltre Azure, offrendo copertura di sicurezza per le risorse AWS e GCP tramite connettori cloud e per i server locali tramite l'agente Azure Arc. In questo modo si ottiene una visualizzazione unificata della sicurezza dell'intero ambiente ibrido e multi-cloud. Le raccomandazioni e il Secure Score includono anche le risorse non Azure, rendendo Defender for Cloud una piattaforma realmente unificata per la gestione della sicurezza.

Il flusso di lavoro tipico di Defender for Cloud è il seguente: Valutare — esaminare il Secure Score e aprire le raccomandazioni; Proteggere — correggere le raccomandazioni iniziando da quelle con il maggiore impatto; Difendere — abilitare i piani Defender per rilevare e contrastare le minacce in tempo reale. Questo ciclo iterativo migliora continuamente il livello di sicurezza e riduce nel tempo la probabilità e l'impatto degli incidenti di sicurezza.

Verifichi la propria comprensione dei concetti di Microsoft Azure Fundamentals (AZ-900) trattati in questa lezione.

In questa lezione ha appreso che: Defender for Cloud gestisce il livello di sicurezza CSPM tramite Secure Score e protegge dalle minacce attive tramite i piani Defender, l'accesso Just-In-Time alle VM chiude le porte di amministrazione e le apre solo su richiesta e la dashboard della conformità normativa associa il livello di sicurezza a framework come ISO 27001 e PCI DSS. Nella prossima lezione esamineremo Azure Key Vault per la gestione di segreti e certificati.