Microsoft Defender for Cloud

Microsoft Defender for Cloud to ujednolicona platforma do zarządzania stanem zabezpieczeń w chmurze (CSPM) i ochrony obciążeń. Nieustannie monitoruje zasoby platformy Azure, serwery hybrydowe i środowiska wielochmurowe (AWS, GCP) pod kątem błędnych konfiguracji zabezpieczeń, zagrożeń i luk w zabezpieczeniach. Udostępnia uporządkowaną według priorytetów listę zaleceń dotyczących wzmacniania środowiska oraz aktywnie wykrywa trwające ataki.

Defender for Cloud działa w ramach dwóch głównych filarów. Cloud Security Posture Management (CSPM) ocenia konfiguracje zasobów względem najlepszych praktyk bezpieczeństwa i struktur zgodności, przypisując subskrypcji wartość Secure Score. Cloud Workload Protection (CWP) — włączana za pomocą planów Defender — zapewnia aktywne wykrywanie zagrożeń, skanowanie pod kątem luk w zabezpieczeniach oraz dostęp just-in-time do maszyn wirtualnych w celu ochrony działających obciążeń.

Secure Score to wskaźnik liczbowy (0–100) odzwierciedlający stan zabezpieczeń subskrypcji. Każde zalecenie dotyczące bezpieczeństwa ma wpływ na wynik; usunięcie przyczyn zaleceń o większym wpływie poprawia wynik w większym stopniu. Analizy porównawcze firmy Microsoft pokazują, że klienci z wyższymi wartościami Secure Score doświadczają mniejszej liczby incydentów bezpieczeństwa. Pulpit wyników dzieli wynik według obszarów kontroli zabezpieczeń (tożsamość, sieć, dane itd.), pomagając ustalać priorytety działań naprawczych.

Defender for Cloud oferuje bezpłatną podstawową warstwę CSPM (zawsze włączoną) oraz płatne plany Defender dla określonych typów zasobów. Plany obejmują Defender for Servers (wykrywanie zagrożeń dla punktów końcowych maszyn wirtualnych), Defender for Containers (wykrywanie zagrożeń w Kubernetes i skanowanie obrazów), Defender for Databases (wykrywanie wstrzyknięć SQL i nietypowego dostępu), Defender for Key Vault oraz inne. Każdy plan jest rozliczany za zasób.

Gdy Defender for Cloud wykryje błędną konfigurację, tworzy zalecenie dotyczące zabezpieczeń. Każde zalecenie zawiera: opis problemu, listę zasobów, których dotyczy, ważność (Wysoka/Średnia/Niska), potencjalny wzrost wyniku Secure Score po usunięciu problemu oraz instrukcje naprawy z przyciskiem Quick Fix umożliwiającym naprawę prostych problemów jednym kliknięciem. Zalecenia są mapowane na Microsoft Cloud Security Benchmark (MCSB).

Gdy Defender for Cloud wykryje aktywne zagrożenie, generuje alert dotyczący zabezpieczeń opisujący atak, zasoby, których dotyczy, oraz zalecane działania. Powiązane alerty z tej samej kampanii ataku są automatycznie korelowane w ramach incydentu dotyczącego zabezpieczeń, co zapewnia ujednolicony widok przebiegu ataku (łańcucha ataku), zamiast dziesiątek odizolowanych alertów. Alerty można kierować do Microsoft Sentinel, Logic Apps lub poczty e-mail.

Dostęp JIT (Just-In-Time) do maszyn wirtualnych (dostępny w Defender for Servers) blokuje na poziomie NSG porty zarządzania, takie jak RDP (3389) i SSH (22), gdy nie są używane. Gdy administrator potrzebuje dostępu, żąda go przez Defender for Cloud na określony przedział czasu (np. 3 godziny) i z określonego źródłowego adresu IP. Reguła NSG jest tworzona na ten czas, a następnie automatycznie usuwana, co eliminuje powierzchnię ataku związaną ze stale otwartymi portami administracyjnymi.

Adaptacyjne mechanizmy kontroli aplikacji wykorzystują uczenie maszynowe do analizowania aplikacji uruchomionych na maszynach wirtualnych i generowania zalecanej listy dozwolonych aplikacji. Użytkownik przegląda i zatwierdza tę listę, a Defender for Cloud tworzy reguły Windows AppLocker lub reguły audytowania systemu Linux, aby oznaczać lub blokować aplikacje spoza zatwierdzonego zestawu. To skuteczne narzędzie do ochrony przed złośliwym oprogramowaniem i ransomware wykorzystującym niezatwierdzone oprogramowanie.

Defender for Cloud zawiera pulpit nawigacyjny zgodności z przepisami, który mapuje stan zabezpieczeń na konkretne standardy, takie jak ISO 27001, SOC 2, PCI DSS, NIST SP 800-53 i CIS Benchmarks. Każda kontrola w ramach standardu jest mapowana na co najmniej jedno zalecenie usługi Defender for Cloud. Audytorzy mogą wyświetlić pulpit nawigacyjny, aby sprawdzić, ile kontroli spełnia wymagania i które wymagają naprawy, co znacznie przyspiesza gromadzenie dowodów zgodności.

Defender for Cloud wykracza poza platformę Azure, zapewniając za pośrednictwem łączników chmurowych ochronę zasobów AWS i GCP, a także ochronę serwerów lokalnych za pośrednictwem agenta Azure Arc. Zapewnia to pojedynczy, ujednolicony widok zabezpieczeń środowisk hybrydowych i wielochmurowych. Zalecenia i Secure Score obejmują również zasoby spoza platformy Azure, dzięki czemu jest to rzeczywiście ujednolicona platforma do zarządzania zabezpieczeniami.

Typowy przepływ pracy w Defender for Cloud wygląda następująco: Oceń — przejrzyj Secure Score i otwórz zalecenia; Zabezpiecz — usuń problemy wskazane w zaleceniach, zaczynając od tych o największym wpływie; Chroń — włącz plany Defender, aby wykrywać zagrożenia i reagować na nie w czasie rzeczywistym. Ten iteracyjny cykl stale poprawia stan zabezpieczeń oraz z czasem zmniejsza prawdopodobieństwo wystąpienia incydentów i ich wpływ.

Sprawdź swoją wiedzę na temat zagadnień Microsoft Azure Fundamentals (AZ-900) omówionych w tej lekcji.

W tej lekcji poznali Państwo następujące zagadnienia: Defender for Cloud zapewnia zarządzanie stanem zabezpieczeń CSPM za pomocą Secure Score oraz aktywną ochronę przed zagrożeniami za pomocą planów Defender, dostęp JIT do maszyn wirtualnych zamyka porty administracyjne i otwiera je tylko na żądanie, a pulpit nawigacyjny zgodności z przepisami mapuje stan zabezpieczeń na standardy takie jak ISO 27001 i PCI DSS. Następnie omówimy Azure Key Vault do zarządzania wpisami tajnymi i certyfikatami.