Microsoft Defender for Cloud

Microsoft Defender for Cloud er en samlet plattform for administrasjon av sikkerhetsstatus i skyen (CSPM) og beskyttelse av arbeidsbelastninger. Den overvåker kontinuerlig Azure-ressurser, hybrids servere og miljøer med flere skyleverandører (AWS, GCP) for sikkerhetsfeilkonfigurasjoner, trusler og sårbarheter. Plattformen gir en prioritert liste over anbefalinger for å styrke miljøet og oppdager aktivt angrep som pågår.

Defender for Cloud fungerer på tvers av to hovedpilarer. Cloud Security Posture Management (CSPM) evaluerer ressurskonfigurasjonene dine opp mot anbefalte sikkerhetsrutiner og samsvarsrammeverk, og tilordner abonnementet en Secure Score. Cloud Workload Protection (CWP) – aktivert gjennom Defender-planer – legger til aktiv trusselregistrering, sårbarhetsskanning og just-in-time-tilgang til VM-er for å beskytte arbeidsbelastninger som kjører.

Secure Score er et numerisk mål (0–100) som gjenspeiler sikkerhetsstatusen til abonnementet ditt. Hver sikkerhetsanbefaling har en innvirkning på poengsummen, og hvis du utbedrer anbefalinger med stor innvirkning, forbedres poengsummen mer. Microsofts referansemålinger viser at kunder med høyere Secure Score opplever færre sikkerhetshendelser. Poengsumsoversikten bryter resultatet ned etter sikkerhetskontrollområde (identitet, nettverk, data og så videre), slik at du kan prioritere utbedringstiltak.

Defender for Cloud har et gratis grunnleggende CSPM-nivå (alltid aktivert) og betalte Defender-planer for bestemte ressurstyper. Planene omfatter Defender for Servers (trusseldeteksjon for endepunkter på virtuelle maskiner), Defender for Containers (trusseldeteksjon i Kubernetes og skanning av avbildninger), Defender for Databases (deteksjon av SQL-injeksjon og unormal tilgang), Defender for Key Vault og flere andre. Hver plan faktureres per ressurs.

Når Defender for Cloud oppdager en feilkonfigurering, oppretter tjenesten en sikkerhetsanbefaling. Hver anbefaling inneholder en beskrivelse av problemet, en liste over berørte ressurser, alvorlighetsgraden (høy/middels/lav), den mulige økningen i Secure Score hvis problemet utbedres, samt trinn for utbedring med en Quick Fix-knapp for å utføre enkle utbedringer med ett klikk. Anbefalingene er knyttet til Microsoft Cloud Security Benchmark (MCSB).

Når Defender for Cloud oppdager en aktiv trussel, genererer tjenesten et sikkerhetsvarsel som beskriver angrepet, de berørte ressursene og anbefalte tiltak. Relaterte varsler fra samme angrepskampanje korreleres automatisk til en sikkerhetshendelse, slik at De får en samlet oversikt over utviklingen i angrepet (kill chain) i stedet for dusinvis av isolerte varsler. Varsler kan sendes videre til Microsoft Sentinel, Logic Apps eller e-post.

Just-In-Time (JIT)-tilgang til virtuelle maskiner (tilgjengelig i Defender for Servers) låser administrasjonsporter som RDP (3389) og SSH (22) på NSG-nivå når de ikke er i bruk. Når en administrator trenger tilgang, ber vedkommende om tilgang i et bestemt tidsvindu (for eksempel 3 timer), fra en bestemt kilde-IP-adresse, via Defender for Cloud. NSG-regelen opprettes for dette tidsvinduet og fjernes automatisk etterpå, slik at angrepsflaten som følge av alltid åpne administrasjonsporter elimineres.

Adaptive Application Controls bruker maskinlæring til å analysere hvilke applikasjoner som kjører på de virtuelle maskinene, og genererer en anbefalt tillatelsesliste. De går gjennom og godkjenner listen, og Defender for Cloud oppretter Windows AppLocker-regler eller Linux-revisjonsregler for å varsle om eller blokkere applikasjoner som ikke finnes i det godkjente settet. Dette er et effektivt verktøy mot skadevare og løsepengevirus som utnytter programvare som ikke er godkjent.

Defender for Cloud inkluderer et instrumentbord for forskriftsmessig samsvar som knytter sikkerhetsstillingen til bestemte rammeverk, for eksempel ISO 27001, SOC 2, PCI DSS, NIST SP 800-53 og CIS Benchmarks. Hver kontroll i rammeverket er knyttet til én eller flere anbefalinger i Defender for Cloud. Revisorer kan se instrumentbordet for å se hvor mange kontroller som er bestått, og hvilke som krever utbedring. Dette gjør innsamlingen av samsvarsbevis betydelig raskere.

Defender for Cloud går utover Azure og gir sikkerhetsdekning for ressurser i AWS og GCP gjennom skytilkoblinger, og for lokale servere via Azure Arc-agenten. Dette gir én samlet sikkerhetsvisning på tvers av hybride miljøer og miljøer med flere skyer. Anbefalinger og Secure Score omfatter også ressurser som ikke er i Azure, noe som gjør tjenesten til en reelt enhetlig plattform for sikkerhetsadministrasjon.

Den typiske arbeidsflyten i Defender for Cloud er: Vurder — gå gjennom Secure Score og åpne anbefalinger; Sikre — utbedre anbefalingene, og start med dem som har størst effekt; Beskytt — aktiver Defender-planer for å oppdage og håndtere trusler i sanntid. Denne iterative syklusen forbedrer sikkerhetsstillingen kontinuerlig og reduserer sannsynligheten for og konsekvensene av sikkerhetshendelser over tid.

I denne leksjonen lærte De at Defender for Cloud tilbyr CSPM-administrasjon av sikkerhetsstillingen via Secure Score og aktiv trusselbeskyttelse via Defender-planer, at Just-In-Time-tilgang til virtuelle maskiner stenger administrasjonsporter og åpner dem bare på forespørsel, og at instrumentbordet for forskriftsmessig samsvar knytter sikkerhetsstillingen til rammeverk som ISO 27001 og PCI DSS. Neste gang utforsker vi Azure Key Vault for håndtering av hemmeligheter og sertifikater.