Microsoft Defender for Cloud

Microsoft Defender for Cloud — это унифицированная платформа управления состоянием безопасности облака (CSPM) и защиты рабочих нагрузок. Она непрерывно отслеживает ресурсы Azure, гибридные серверы и мультиоблачные среды (AWS, GCP) на наличие неправильных настроек безопасности, угроз и уязвимостей. Платформа предоставляет приоритизированный список рекомендаций по усилению защиты среды и активно обнаруживает текущие атаки.

Defender for Cloud работает в рамках двух основных направлений. Управление состоянием безопасности облака (CSPM) оценивает конфигурации ресурсов по рекомендациям лучших практик безопасности и нормативным требованиям, присваивая подписке показатель Secure Score. Защита облачных рабочих нагрузок (CWP) — включаемая с помощью планов Defender — добавляет активное обнаружение угроз, сканирование уязвимостей и своевременный доступ к VM для защиты работающих нагрузок.

Secure Score — это числовой показатель (0–100), отражающий состояние безопасности подписки. Каждая рекомендация по безопасности влияет на показатель; устранение рекомендаций с большим влиянием сильнее повышает оценку. Согласно сравнительным данным Microsoft, клиенты с более высоким Secure Score сталкиваются с меньшим количеством инцидентов безопасности. Панель показателя распределяет результаты по областям элементов управления безопасностью (удостоверения, сеть, данные и т. д.), помогая расставлять приоритеты при устранении проблем.

Defender для Cloud предоставляет бесплатный базовый уровень CSPM (всегда включённый) и платные планы Defender для определённых типов ресурсов. В планы входят Defender для Servers (обнаружение угроз на конечных точках для VM), Defender для Containers (обнаружение угроз в Kubernetes и сканирование образов), Defender для Databases (обнаружение внедрения SQL и аномального доступа), Defender для Key Vault и другие. Каждый план оплачивается за ресурс.

Когда Defender для Cloud обнаруживает неправильную настройку, он создаёт рекомендацию по безопасности. Каждая рекомендация содержит описание проблемы, список затронутых ресурсов, уровень серьёзности (высокий/средний/низкий), возможное увеличение показателя безопасности после устранения проблемы и инструкции по устранению с кнопкой Быстрое исправление для устранения простых проблем одним нажатием. Рекомендации сопоставляются с Microsoft Cloud Security Benchmark (MCSB).

Когда Defender для Cloud обнаруживает активную угрозу, он создаёт оповещение системы безопасности с описанием атаки, затронутых ресурсов и рекомендуемых действий. Связанные оповещения из одной кампании атаки автоматически объединяются в инцидент безопасности, предоставляя единое представление о развитии атаки (цепочке уничтожения), а не множество изолированных оповещений. Оповещения можно перенаправлять в Microsoft Sentinel, Logic Apps или по электронной почте.

Доступ к VM точно в срок (Just-In-Time, JIT) (доступен в Defender для Servers) блокирует порты управления, такие как RDP (3389) и SSH (22), на уровне NSG, когда они не используются. Когда администратору требуется доступ, он запрашивает его на определённый период (например, 3 часа) с определённого исходного IP-адреса через Defender для Cloud. Правило NSG создаётся на этот период и автоматически удаляется после его окончания, устраняя поверхность атаки, связанную с постоянно открытыми портами администрирования.

Адаптивное управление приложениями использует машинное обучение, чтобы анализировать приложения, запущенные на ваших VM, и формировать рекомендуемый список разрешённых приложений. Вы проверяете и утверждаете этот список, а Defender для Cloud создаёт правила Windows AppLocker или правила аудита Linux, чтобы отмечать или блокировать приложения, не входящие в утверждённый набор. Это эффективный инструмент защиты от вредоносных программ и программ-вымогателей, использующих неодобренное программное обеспечение.

Defender для Cloud включает панель мониторинга соответствия нормативным требованиям, которая сопоставляет состояние безопасности с определёнными стандартами, такими как ISO 27001, SOC 2, PCI DSS, NIST SP 800-53 и CIS Benchmarks. Каждый элемент управления в стандарте сопоставлен с одной или несколькими рекомендациями Defender для Cloud. Аудиторы могут просматривать панель мониторинга, чтобы узнать, сколько элементов управления выполнено и какие требуют устранения проблем, что значительно ускоряет сбор подтверждений соответствия.

Defender для Cloud выходит за пределы Azure и обеспечивает защиту ресурсов AWS и GCP с помощью облачных соединителей, а также локальных серверов через агент Azure Arc. Это предоставляет единое представление о безопасности гибридных и мультиоблачных средах. Рекомендации и показатель безопасности также охватывают ресурсы, не относящиеся к Azure, что превращает платформу в действительно единую платформу управления безопасностью.

Типичный рабочий процесс Defender для Cloud выглядит так: оценка — просмотр показателя безопасности и открытие рекомендаций; защита — устранение проблем, начиная с наиболее важных; оборона — включение планов Defender для обнаружения угроз и реагирования на них в реальном времени. Этот итеративный цикл постоянно улучшает состояние безопасности и со временем снижает вероятность и последствия инцидентов безопасности.

Проверьте, насколько хорошо Вы усвоили концепции Microsoft Azure Fundamentals (AZ-900) из этого урока.

В этом уроке Вы узнали, что Defender для Cloud управляет состоянием CSPM с помощью показателя безопасности и обеспечивает защиту от активных угроз с помощью планов Defender, доступ к VM точно в срок закрывает порты администрирования и открывает их только по запросу, а панель мониторинга соответствия нормативным требованиям сопоставляет состояние безопасности с такими стандартами, как ISO 27001 и PCI DSS. Далее мы рассмотрим Azure Key Vault для управления секретами и сертификатами.