Поделиться через

управление состоянием безопасности облака (CSPM);

  • Статья

Одним из основных функций Microsoft Defender для облака является управление безопасностью в облаке (CSPM). CSPM предоставляет подробные сведения о состоянии безопасности ресурсов и рабочих нагрузок и предлагает рекомендации по обеспечению защиты, которые помогут повысить уровень безопасности.

Defender для облака постоянно оценивает ресурсы по стандартам безопасности, определенным для ваших подписок Azure, учетных записей Amazon Web Service (AWS) и проектов Google Cloud Platform (GCP). Defender для облака проблемы с рекомендациями по безопасности на основе этих оценок.

По умолчанию при включении Defender для облака в подписке Azure стандарт соответствия требованиям Microsoft Cloud Security Benchmark (MCSB) включен и предоставляет рекомендации по защите сред с несколькими облаками. Defender для облака предоставляет агрегированную оценку безопасности на основе некоторых рекомендаций MCSB. Более высокий показатель указывает на более низкий уровень риска.

Планы CSPM

Defender для облака предлагает два варианта плана CSPM:

  • Foundational CSPM — бесплатный план, включенный по умолчанию для подписок и учетных записей, которые подключены к Defender для облака.

  • CSPM Defender — платный план, который предоставляет дополнительные возможности за пределами базового плана CSPM. Эта версия плана предлагает более сложные функции защиты, такие как состояние безопасности ИИ, анализ пути атаки, определение приоритетов и многое другое.

Доступность плана

Дополнительные сведения о ценах НА CSPM в Defender.

В следующей таблице перечислены все планы и их доступность в облаке.

Функция Базовый CSPM CSPM в Defender Доступность в облаках
Рекомендации по безопасности Azure, AWS, GCP, локальная среда, Docker Hub, JFrog Artifactory
Инвентаризация активов Azure, AWS, GCP, локальная среда, Docker Hub, JFrog Artifactory
Оценка безопасности Azure, AWS, GCP, локальная среда, Docker Hub, JFrog Artifactory
Визуализация данных и создание отчетов с помощью книг Azure Azure, AWS, GCP, локальная среда
Экспорт данных Azure, AWS, GCP, локальная среда
Автоматизация рабочих процессов Azure, AWS, GCP, локальная среда
Средства для исправления Azure, AWS, GCP, локальная среда, Docker Hub, JFrog Artifactory
Microsoft Cloud Security Benchmark Azure, AWS, GCP
Управление безопасностью искусственного интеллекта - Azure, AWS
Сканирование уязвимостей виртуальной машины без агента - Azure, AWS, GCP
Сканирование секретов виртуальных машин без агента - Azure, AWS, GCP
Анализ пути атаки - Azure, AWS, GCP, Docker Hub, JFrog Artifactory
Определение приоритетов риска - Azure, AWS, GCP, Docker Hub, JFrog Artifactory
Поиск рисков с помощью обозревателя безопасности - Azure, AWS, GCP, Docker Hub, JFrog Artifactory
Сопоставление кода с облаком для контейнеров - GitHub, Azure DevOps2 , Docker Hub, JFrog Artifactory
Сопоставление кода с облаком для IaC - Azure DevOps2, Docker Hub, JFrog Artifactory
PR-аннотации - GitHub, Azure DevOps2
Анализ воздействия в Интернете - Azure, AWS, GCP, Docker Hub, JFrog Artifactory
Управление внешними атаками - Azure, AWS, GCP, Docker Hub, JFrog Artifactory
Управление разрешениями (CIEM) - Azure, AWS, GCP, Docker Hub, JFrog Artifactory
Оценки соответствия нормативным требованиям - Azure, AWS, GCP, , Docker Hub, JFrog Artifactory
Интеграция ServiceNow - Azure, AWS, GCP
Защита критически важных ресурсов - Azure, AWS, GCP
Управление для стратегического исправления проблем в масштабе - Azure, AWS, GCP, Docker Hub, JFrog Artifactory
Управление состоянием безопасности данных (DSPM), сканирование конфиденциальных данных - Azure, AWS, GCP1
Безагентное обнаружение для Kubernetes - Azure, AWS, GCP
Пользовательские рекомендации - Azure, AWS, GCP, Docker Hub, JFrog Artifactory
Оценка уязвимостей контейнеров без агента от кода до облака - Azure, AWS, GCP, Docker Hub, JFrog Artifactory
Управление безопасностью API (предварительная версия) - Лазурный
Панель мониторинга безопасности службы Azure Kubernetes (предварительная версия) - Лазурный

1. Обнаружение конфиденциальных данных GCP поддерживает только облачное хранилище. 2: Возможности безопасности DevOps, такие как контекстуализация от кода до облака, поддерживающая исследователь безопасности, пути атаки и аннотации запросов на вытягивание для уязвимостей "Инфраструктура как код", доступны только при включении платного плана CSPM Defender. Дополнительные сведения о поддержке безопасности DevOps и предварительных требованиях.

Интеграции

Microsoft Defender для облака теперь имеет встроенные интеграции, помогающие использовать партнерские системы для эффективного управления и отслеживания билетов, событий и взаимодействия с клиентами. Вы можете отправить рекомендации в партнерскую систему обработки заявок и назначить команду ответственной за исправление.

Интеграция упрощает процесс реагирования на инциденты и улучшает возможности управления инцидентами безопасности. Вы можете более эффективно отслеживать, определять приоритеты и устранять инциденты безопасности.

Вы можете выбрать, какую систему билетов следует интегрировать. Для предварительной версии поддерживается только интеграция ServiceNow. Дополнительные сведения о настройке интеграции ServiceNow см. в разделе "Интеграция ServiceNow с Microsoft Defender для облака (предварительная версия)".

Планирование цен

  • Ознакомьтесь с страницей цен на Defender для облака, чтобы узнать о ценах CSPM Defender. Вы также можете оценить затраты с помощью калькулятора затрат Defender для облака.

  • Возможности безопасности DevOps, такие как аннотации запросов на вытягивание, сопоставление кода с облаком, анализ пути атаки и инструмент облачной безопасности, доступны только с помощью платного плана CSPM Defender. Бесплатный базовый план управления конфигурацией безопасности предоставляет рекомендации по Azure DevOps. Дополнительные сведения о функциях, предоставляемых функциями безопасности Azure DevOps.

  • Для подписок, использующих планы Defender CSPM и Defender для контейнеров, бесплатная оценка уязвимостей вычисляется на основе бесплатных проверок изображений, предоставляемых с помощью плана Defender для контейнеров, как указано на странице с ценами на Microsoft Defender для облака. Вы также можете оценить затраты с помощью калькулятора затрат Defender для облака.

  • CSPM Defender защищает все многооблачные рабочие нагрузки, но выставление счетов применяется только к определенным ресурсам. В следующих таблицах перечислены оплачиваемые ресурсы, если CSPM Defender включен в подписках Azure, учетных записях AWS или проектах GCP.

    Служба Azure Типы ресурсов Исключения
    Службы вычислений Microsoft.Compute/virtualMachines
    Microsoft.Compute/virtualMachineScaleSets/virtualMachines
    Microsoft.classicСompute/virtualMachines    		 — освобожденные виртуальные машины
    — виртуальные машины Databricks
    Хранилище Microsoft.Storage/storageAccounts (хранилища аккаунтов) Учетные записи хранения без контейнеров больших двоичных объектов или общих папок
    Базы данных Microsoft.Sql/servers
    Microsoft.DBforPostgreSQL/servers
    Microsoft.DBforMySQL/servers;
    Microsoft.Sql/managedInstances
    Microsoft.DBforMariaDB/servers;
    Microsoft.Synapse/workspaces    		 ---
    Служба AWS Типы ресурсов Исключения
    Службы вычислений Экземпляры EC2 Освобожденные виртуальные машины
    Хранилище Контейнеры S3 ---
    Базы данных Экземпляры RDS ---
    Служба GCP Типы ресурсов Исключения
    Службы вычислений 1. Экземпляры Вычислений Google
    2. Группа экземпляров Google    		 Экземпляры с нерабоходными состояниями
    Хранилище Контейнеры хранилища — Контейнеры из классов: "nearline", "coldline", "archive"
    - Контейнеры из регионов, отличных от: европа-запад1, us-east1, us-west1, us-central1, us-east4, asia-south1, northamerica-северо-восток11
    Базы данных Облачные экземпляры SQL ---

Поддержка облака Azure

Для получения сведений о коммерческом и национальном облачном охвате ознакомьтесь с функциями, поддерживаемыми в облачных средах Azure.

Следующие шаги