Microsoft Defender for Cloud

Microsoft Defender for Cloud is een uniform platform voor cloudbeveiligingspostuurbeheer (CSPM) en workloadbeveiliging. Het controleert voortdurend je Azure-resources, hybride servers en multicloudomgevingen (AWS, GCP) op onveilige configuraties, bedreigingen en kwetsbaarheden. Het biedt een geprioriteerde lijst met aanbevelingen om je omgeving beter te beveiligen en detecteert actieve aanvallen.

Defender for Cloud werkt volgens twee hoofdpijlers. Cloud Security Posture Management (CSPM) beoordeelt je resourceconfiguraties aan de hand van aanbevolen beveiligingsmethoden en compliancekaders en kent een Secure Score toe aan je abonnement. Cloud Workload Protection (CWP) — ingeschakeld via Defender-plannen — voegt actieve bedreigingsdetectie, het scannen op kwetsbaarheden en just-in-time-toegang tot VM's toe om actieve workloads te beschermen.

De Secure Score is een numerieke metriek (0-100) die het beveiligingspostuur van je abonnement weerspiegelt. Elke beveiligingsaanbeveling heeft invloed op de score; door aanbevelingen met een grotere impact te herstellen, verbetert je score sterker. Uit benchmarks van Microsoft blijkt dat klanten met een hogere Secure Score minder beveiligingsincidenten ervaren. Het scoredashboard splitst de score uit per gebied van beveiligingscontroles (identiteit, netwerk, gegevens enzovoort), zodat je herstelwerkzaamheden kunt prioriteren.

Defender for Cloud heeft een gratis fundamentele CSPM-laag (altijd ingeschakeld) en betaalde Defender-abonnementen voor specifieke resourcetypen. De abonnementen omvatten Defender for Servers (detectie van endpointbedreigingen voor VM's), Defender for Containers (detectie van Kubernetes-bedreigingen en het scannen van installatiekopieën), Defender for Databases (detectie van SQL-injecties en afwijkende toegang), Defender for Key Vault en andere. Elk abonnement wordt per resource gefactureerd.

Wanneer Defender for Cloud een verkeerde configuratie detecteert, maakt het een beveiligingsaanbeveling. Elke aanbeveling bevat: een beschrijving van het probleem, de lijst met betrokken resources, de ernst (Hoog/Gemiddeld/Laag), de mogelijke verhoging van de Secure Score na herstel en herstelstappen met een knop Snelle oplossing voor herstel met één klik van eenvoudige problemen. Aanbevelingen zijn gekoppeld aan de Microsoft Cloud Security Benchmark (MCSB).

Wanneer Defender for Cloud een actieve bedreiging detecteert, genereert het een beveiligingswaarschuwing waarin de aanval, de betrokken resources en aanbevolen responsstappen worden beschreven. Gerelateerde waarschuwingen van dezelfde aanvalscampagne worden automatisch samengevoegd in een beveiligingsincident. Zo krijgt u een uniform overzicht van het verloop van een aanval (de kill chain) in plaats van tientallen afzonderlijke waarschuwingen. Waarschuwingen kunnen worden doorgestuurd naar Microsoft Sentinel, Logic Apps of e-mail.

Just-In-Time (JIT)-toegang tot VM's (beschikbaar in Defender for Servers) beveiligt beheerpoorten zoals RDP (3389) en SSH (22) op NSG-niveau wanneer deze niet worden gebruikt. Wanneer een beheerder toegang nodig heeft, vraagt die via Defender for Cloud toegang aan voor een specifiek tijdvenster (bijvoorbeeld 3 uur) en vanaf een specifiek bron-IP-adres. De NSG-regel wordt voor dat tijdvenster gemaakt en daarna automatisch verwijderd. Hierdoor wordt het aanvalsoppervlak van altijd geopende beheerpoorten geëlimineerd.

Adaptieve toepassingsbesturing gebruikt machine learning om te analyseren welke toepassingen op uw VM's worden uitgevoerd en een aanbevolen toestemmingslijst te genereren. U controleert de lijst en keurt deze goed. Vervolgens maakt Defender for Cloud Windows AppLocker-regels of Linux-controlelogica om toepassingen die niet in de goedgekeurde verzameling staan te markeren of te blokkeren. Dit is een krachtig hulpmiddel tegen malware en ransomware die misbruik maken van niet-goedgekeurde software.

Defender for Cloud bevat een dashboard voor naleving van regelgeving dat uw beveiligingspositie koppelt aan specifieke kaders, zoals ISO 27001, SOC 2, PCI DSS, NIST SP 800-53 en CIS Benchmarks. Elke controle in het kader is gekoppeld aan een of meer aanbevelingen van Defender for Cloud. Auditors kunnen het dashboard bekijken om te zien hoeveel controles slagen en voor welke controles herstel nodig is. Hierdoor kan bewijsmateriaal voor naleving aanzienlijk sneller worden verzameld.

Defender for Cloud gaat verder dan Azure en biedt via cloudconnectors beveiligingsdekking voor resources in AWS en GCP en via de Azure Arc-agent voor on-premises servers. Hierdoor krijgt u één beveiligingsoverzicht voor hybride omgevingen en omgevingen met meerdere clouds. Aanbevelingen en Secure Score omvatten ook niet-Azure-resources, waardoor dit een echt uniform platform voor beveiligingsbeheer is.

De gebruikelijke werkstroom van Defender for Cloud is: Beoordelen — controleer de Secure Score en open aanbevelingen; Beveiligen — herstel aanbevelingen, te beginnen met de aanbevelingen met de grootste impact; Beschermen — schakel Defender-abonnementen in om bedreigingen in realtime te detecteren en erop te reageren. Deze iteratieve cyclus verbetert uw beveiligingspositie voortdurend en verkleint na verloop van tijd de kans op en de impact van beveiligingsincidenten.

In deze les hebt u geleerd dat Defender for Cloud positiebeheer voor CSPM biedt via Secure Score en actieve bescherming tegen bedreigingen via Defender-abonnementen, dat just-in-time-toegang tot VM's beheerpoorten sluit en deze alleen op aanvraag opent en dat het dashboard voor naleving van regelgeving uw beveiligingspositie koppelt aan kaders zoals ISO 27001 en PCI DSS. Hierna verkennen we Azure Key Vault voor het beheer van geheimen en certificaten.