Подготовка к прекращению поддержки агента Log Analytics

Агент Log Analytics, также известный как Microsoft Monitoring Agent (MMA), ушел в отставку в ноябре 2024 года. В результате планы Defender для серверов и Defender для SQL на компьютерах в Microsoft Defender для облака будут обновлены, а функции, использующие агент Log Analytics, будут изменены.

В этой статье приведены планы выхода агента на пенсию.

Подготовьте Defender для серверов

План Defender для серверов использует агент Log Analytics в общедоступной версии (GA) и AMA для некоторых функций Defender для серверов (на этапе предварительной версии). Вот что будет с этими функциями дальше:

Чтобы упростить подготовку к работе, все функции и возможности безопасности Microsoft Defender для серверов будут предоставляться с помощью единого агента (Microsoft Defender для конечной точки) в сочетании с сканированием компьютеров без использования агента, без какой-либо зависимости от агента Log Analytics или AMA.

• Функции Defender for Servers, основанные на AMA, в настоящее время доступны в рамках предварительной версии и не будут выпущены в общую доступность.
• Функции, доступные в рамках предварительной версии и использующие AMA, по-прежнему поддерживаются, пока не станет доступна альтернативная версия этой функции, использующая интеграцию с Defender for Endpoint или функцию безагентного сканирования компьютеров.
• Если включить интеграцию с Defender for Endpoint и функцию безагентного сканирования компьютеров до вывода из эксплуатации, ваше развертывание Defender for Servers будет актуальным и поддерживаемым.

Функциональные возможности

В следующей таблице приведены сведения о том, как будут предоставляться функции Defender для серверов. Большинство функций уже общедоступны при использовании интеграции Defender for Endpoint или безагентного сканирования компьютеров. Остальные функции либо станут общедоступными к тому моменту, когда использование MMA будет прекращено, либо будут объявлены устаревшими.

Возможности автоматического развертывания агента Log Analytics — план прекращения поддержки

В рамках вывода из эксплуатации агента MMA возможность автоматического развертывания, обеспечивающая установку и настройку агента для клиентов MDC, также будет объявлена устаревшей в 2 этапа:

1. К концу сентября 2024 года автоматическое подключение MMA будет отключено для клиентов, которые больше не используют эту возможность, а также для вновь созданных подписок:

   • Существующие подписки, которые отключат автоматическое выделение MMA после конца сентября, впоследствии больше не смогут снова включить эту функцию.

   • Для вновь созданных подписок автоматическую подготовку ресурсов больше нельзя включить; она отключается автоматически.

2. Конец ноября 2024 года — функция будет отключена для подписок, для которых её ещё не отключили. Начиная с этого момента, включить эту функцию для существующих подписок больше невозможно.

Льгота 500 МБ на прием данных

Чтобы сохранить квоту в 500 МБ на бесплатную загрузку данных для поддерживаемых типов данных, необходимо перейти с MMA на AMA.

Узнайте больше о том, как развернуть AMA.

Для серверов SQL Server на компьютерах рекомендуется перейти на процесс автоматической подготовки агента мониторинга Azure (AMA), предназначенный для SQL Server.

Изменения в устаревшем способе подключения к Defender for Servers Plan 2 через агент Log Analytics

Устаревший подход к подключению серверов к Defender for Servers Plan 2 на основе агента Log Analytics и с использованием рабочих областей Log Analytics также выводится из эксплуатации:

• Интерфейс подключения новых компьютеров, не относящихся к Azure к Defender for Servers с помощью агентов Log Analytics и рабочих областей удален из разделов «Инвентарь» и «Начало работы» на портале Defender для облака.

• Чтобы избежать потери охвата средствами безопасности на затронутых компьютерах, подключенных к рабочей области Log Analytics, в связи с прекращением поддержки агента:

• Если вы подключили серверы, отличные от Azure (как локальные, так и многооблачные) с помощью устаревшего подхода, теперь необходимо подключить эти компьютеры с помощью серверов с поддержкой Azure Arc к Defender for Server Plan 2 подписок и соединителей Azure. Подробнее о развертывании машин Arc в больших масштабах.

  • Если вы использовали устаревший подход для включения Defender для серверов плана 2 на выбранных виртуальных машинах Azure, рекомендуется включить Defender для серверов плана 2 в подписках Azure для этих компьютеров. Затем можно исключить отдельные компьютеры из покрытия Defender для серверов с помощью конфигурации Defender для серверов для каждого ресурса.

Ниже приведено краткое описание требуемых действий для каждого сервера, подключенного к Defender for Servers Plan 2 с использованием устаревшего метода:

Интерфейс рекомендаций по обновлению системы и пакетам исправлений — изменения и руководство по миграции

Обновления системы и исправления важны для обеспечения безопасности и работоспособности компьютеров. Обновления часто содержат исправления безопасности для уязвимостей, которые, если они остаются без исправления, являются эксплуатируемыми злоумышленниками.

Ранее рекомендации по обновлениям системы были предоставлены Defender для облака Foundational CSPM и планами Defender для серверов с помощью агента Log Analytics. Эта возможность заменена рекомендациями по безопасности, собранными с помощью Диспетчера обновлений Azure и созданными из 2 новых рекомендаций:

1. Компьютеры должны быть настроены для периодической проверки отсутствия обновлений системы

2. Системные обновления должны быть установлены на ваших компьютерах (с использованием Диспетчер обновлений Azure)

Узнайте, как устранять проблемы с обновлениями системы и исправлять рекомендации по установке патчей на ваших компьютерах.

Какие рекомендации заменяются?

В следующей таблице приводится сводка расписания устаревших рекомендаций и их замены.

Как мне подготовиться к новым рекомендациям?

• Подключение компьютеров, отличных от Azure, к Arc

• Убедитесь, что на компьютерах включен параметр периодического обновления оценки . Это можно сделать 2 способами:

1. Исправлена рекомендация. Компьютеры должны быть настроены для периодической проверки отсутствия обновлений системы (на базе Диспетчера обновлений Azure).
2. Включите периодическую оценку в большом масштабе с помощью Политика Azure.

• После завершения диспетчер обновлений может получить последние обновления на компьютерах и просмотреть последнее состояние соответствия компьютера.

Рекомендации по защите конечных точек — рекомендации по изменениям и миграции

Обнаружение конечных устройств и рекомендации ранее были доступны в рамках планов Microsoft Defender для облака Foundational CSPM и Defender for Servers с использованием агента Log Analytics на этапе общедоступности или через агент AMA в предварительной версии. Эти функции были заменены рекомендациями по безопасности, полученными с помощью безагентного сканирования компьютеров.

Рекомендации по защите конечных точек создаются на двух этапах. Первым этапом является обнаружение решения обнаружение и нейтрализация атак на конечные точки. Второй — оценка конфигурации решения. В следующих таблицах приведены сведения о текущих и новых возможностях для каждого этапа.

Узнайте, как управлять новыми безагентными рекомендациями по обнаружению и нейтрализации атак на конечных точках.

Решение для обнаружения и реагирования на конечных точках — обнаружение

Решение для обнаружения и реагирования конечных точек — оценка конфигурации

Какие рекомендации помечаются как устаревшие?

В следующей таблице приводится сводка расписания устаревших рекомендаций и их замены.

Функция новых рекомендаций, основанная на безагентном сканировании компьютеров, поддерживает ОС Windows и Linux для компьютеров в мультиоблачных средах.

Как будет работать замена?

• Текущие рекомендации, предоставляемые агентом Log Analytics или AMA, будут устарели с течением времени.
• Некоторые из этих существующих рекомендаций будут заменены новыми рекомендациями на основе сканирования без агента.
• Рекомендации, уже находящиеся в статусе общедоступности, будут действовать до тех пор, пока агент Log Analytics не будет выведен из эксплуатации.
• Рекомендации, которые в настоящее время находятся в предварительной версии, будут заменены, когда новая рекомендация доступна в предварительной версии.

Что происходит с оценкой безопасности?

• Рекомендации, которые сейчас находятся в статусе общедоступности (GA), по-прежнему будут влиять на оценку безопасности.
• Текущие и будущие новые рекомендации относятся к одному и тому же элементу управления Microsoft Cloud Security Benchmark, что исключает двойное влияние на оценку безопасности.

Как мне подготовиться к новым рекомендациям?

• Убедитесь, что безагентное сканирование машин включено в рамках Defender for Servers Plan 2 или Defender CSPM.
• Если это подходит для вашей среды, то для оптимальной работы мы рекомендуем удалить устаревшие рекомендации, когда заменяющая их рекомендация станет общедоступной. Для этого отключите рекомендацию во встроенной инициативе Defender для облака в Политика Azure.

Мониторинг целостности файлов — обзор изменений и рекомендации по миграции

План Microsoft Defender для серверов, план 2, теперь включает новое решение для мониторинга целостности файлов (FIM) на базе интеграции с Microsoft Defender для конечной точки (MDE). После того как FIM на базе MDE станет общедоступным, возможность FIM на базе AMA в портале Defender для облака будет удалена. В ноябре FIM на основе MMA будет выведен из эксплуатации.

Миграция из FIM через AMA

Если вы используете FIM в настоящее время через AMA:

• Подключение новых подписок или серверов к FIM на основе AMA и расширения отслеживания изменений, а также просмотр изменений больше не будет доступно через портал Defender для облака начиная с 30 мая.

• Если вы хотите продолжить использование событий FIM, собранных AMA, можно вручную подключиться к соответствующей рабочей области и просмотреть изменения в таблице Отслеживание изменений со следующим запросом:

  ConfigurationChange
  
  | where TimeGenerated > ago(14d)
  
  | where ConfigChangeType in ('Registry', 'Files') 
  
  | summarize count() by Computer, ConfigChangeType
  

• Если вы хотите продолжить подключение новых областей или настроить правила мониторинга, вы можете вручную использовать правила подключения к данным для настройки или настройки различных аспектов сбора данных.

• Microsoft Defender для облака рекомендует отключить FIM с использованием AMA и после ее выпуска подключить вашу среду к новой версии FIM на основе Defender for Endpoint.

Отключить FIM через AMA

Чтобы отключить FIM через AMA, удалите решение Azure Отслеживание изменений. Дополнительные сведения см. в разделе Удаление решения ChangeTracking.

В качестве альтернативы можно удалить связанные правила сбора данных (DCR) для отслеживания изменений файлов. Дополнительные сведения см. в разделе Remove-AzDataCollectionRuleAssociation или Remove-AzDataCollectionRule.

После отключения коллекции событий файлов с помощью одного из описанных выше методов:

• Новые события перестанут собираться в выбранной области.
• Исторические события, которые уже были собраны, сохраняются в соответствующей рабочей области в таблице ConfigurationChange в разделе Отслеживание изменений. Эти события останутся доступными в соответствующей рабочей области в соответствии с периодом хранения, определенным в этой рабочей области. Дополнительные сведения см. в статье о работе хранения и архивации.

Переход с FIM с использованием агента Log Analytics (MMA)

Если вы используете FIM в агенте Log Analytics (MMA):

• Мониторинг целостности файлов на основе агента Log Analytics (MMA) будет устарел в конце ноября 2024 года.

• Microsoft Defender для облака рекомендует отключить FIM на основе MMA и после выпуска новой версии FIM на основе Defender for Endpoint подключить к ней вашу среду.

Отключите FIM через MMA

Чтобы отключить FIM через MMA, удалите решение «Отслеживание изменений в Azure». Дополнительные сведения см. в разделе Удаление решения ChangeTracking.

После отключения коллекции событий файлов:

• Новые события перестанут собираться в выбранной области.
• Исторические события, которые уже были собраны, сохраняются в соответствующей рабочей области в таблице ConfigurationChange в разделе Отслеживание изменений. Эти события останутся доступными в соответствующей рабочей области в соответствии с периодом хранения, определенным в этой рабочей области. Дополнительные сведения см. в статье о работе хранения и архивации.

Базовый пользовательский опыт

Функция выявления отклонений от базовых конфигураций для виртуальных машин предназначена для того, чтобы ваши виртуальные машины соответствовали лучшим практикам безопасности и политикам организации. Проверка конфигурации на соответствие предопределённым базовым показателям безопасности оценивает конфигурацию ваших виртуальных машин и выявляет любые отклонения или ошибки конфигурации, которые могут представлять риск для вашей среды.

Сведения о компьютере собираются для оценки с помощью агента Log Analytics (также известного как агент Microsoft Monitoring Agent (MMA)). MMA будет объявлена устаревшей в ноябре 2024 года, и произойдут следующие изменения:

• Сведения о машине будут собираться с помощью гостевой конфигурации Политика Azure.

• Следующие политики Azure включены с помощью гостевой конфигурации Политика Azure:

  • "Компьютеры Windows должны соответствовать требованиям базовых показателей безопасности вычислений Azure"

  • "Компьютеры Linux должны соответствовать требованиям к базовой системе безопасности вычислений Azure"

    Note

    Если вы удалите эти политики, вы не сможете воспользоваться преимуществами расширения гостевой конфигурации Политика Azure.

• Рекомендации для операционных систем, основанные на базовых параметрах безопасности вычислительных ресурсов, больше не будут включаться в базовый CSPM в Defender для облака. Эти рекомендации будут доступны после включения Defender для серверов, план 2.

Просмотрите страницу с ценами на Defender для облака, чтобы узнать сведения о ценах на план 2 Defender for Servers. Вы также можете оценить затраты с помощью калькулятора затрат Defender для облака.

Рекомендации, предоставляемые MCSB, которые не являются частью базовых показателей безопасности вычислений Windows и Linux, будут по-прежнему частью бесплатного базового CSPM.

Установка гостевой конфигурации Политика Azure

Чтобы продолжать пользоваться базовыми возможностями, необходимо включить план Defender for Servers Plan 2 и установить гостевую конфигурацию Политика Azure. Это позволит вам и дальше получать те же рекомендации и указания по усилению защиты, которые вы получали в рамках базового сценария.

В зависимости от среды может потребоваться выполнить следующие действия.

1. Просмотрите матрицу поддержки гостевой конфигурации Политика Azure.

2. Установите гостевую конфигурацию Политика Azure на компьютерах.

   • Компьютеры Azure: на портале Defender для облака на странице рекомендаций найдите и выберите На компьютерах должно быть установлено расширение Guest Configuration, а затем устраните рекомендацию.

   • (Только виртуальные машины Azure) Необходимо назначить управляемое удостоверение.

     • На портале Defender для облака на странице рекомендаций найдите и выберите расширение гостевой конфигурации виртуальных машин должно быть развернуто с помощью управляемого удостоверения, назначаемого системой, и исправьте рекомендацию.

   • (Только для виртуальных машин Azure) Необязательно: чтобы автоматически подготовить гостевую конфигурацию Политика Azure во всей вашей подписке, можно включить агент Guest Configuration (предварительная версия).

     • Чтобы включить агент гостевой конфигурации, выполните следующие действия.
       1. Войдите на портал Azure.
       2. Перейдите в раздел «Параметры среды»>Ваша подписка>Настройки и мониторинг.
       3. Выберите гостевую конфигурацию.
       4. Переключите агент гостевой конфигурации (предварительная версия) на Вкл.
       5. Выберите Продолжить.

   • GCP и AWS: гостевая конфигурация Политика Azure устанавливается автоматически, когда вы подключаете свой проект GCP или подключаете свои учетные записи AWS с включенной автоподготовкой Azure Arc к Microsoft Defender для облака.

   • Локальные машины: Гостевая конфигурация Политика Azure включается по умолчанию, когда вы подключаете локальные машины в качестве машин с поддержкой Azure Arc или виртуальных машин.

После выполнения необходимых действий для установки гостевой конфигурации Политика Azure вы автоматически получите доступ к базовым возможностям, предоставляемым гостевой конфигурацией Политика Azure. Это позволит вам и дальше получать те же рекомендации и указания по усилению защиты, которые вы получали в рамках базового сценария.

Изменения рекомендаций

При отключении MMA следующие рекомендации на основе MMA будут нерекомендуемыми:

• Компьютеры должны быть настроены в безопасном режиме
• Для подписок должна быть включена автоматическая подготовка агента Log Analytics

Устаревшие рекомендации будут заменены следующими базовыми рекомендациями для гостевой конфигурации Политика Azure:

• Уязвимости в конфигурации безопасности на компьютерах Windows должны быть устранены (на основе гостевой конфигурации)
• Уязвимости в конфигурации безопасности на компьютерах Linux должны быть устранены (на основе гостевой конфигурации)
• На компьютерах должно быть установлено расширение "Гостевая конфигурация"

Повторяющиеся рекомендации

При включении Defender для облака в подписке Azure в качестве стандарта соответствия требованиям по умолчанию включен тест безопасности облака Майкрософт (MCSB), включая базовые показатели безопасности вычислений, которые оценивают соответствие ОС компьютера. Бесплатные базовые возможности Cloud Security Posture Management (CSPM) в Defender для облака формируют рекомендации по безопасности на основе MCSB.

Если на машине одновременно используются MMA и гостевая конфигурация Политика Azure, вы увидите дублирующиеся рекомендации. Дублирование рекомендаций происходит из-за того, что оба метода выполняются одновременно и создают одни и те же рекомендации. Эти повторяющиеся данные повлияют на соответствие требованиям и оценку безопасности.

В качестве временного решения можно отключить рекомендации MMA «Компьютеры должны быть безопасно настроены» и «Автоматическое развертывание агента Log Analytics должно быть включено для подписок», перейдя на страницу «Соответствие нормативным требованиям» в Defender для облака.

После того как вы нашли рекомендацию, следует выбрать соответствующие компьютеры и исключить их.

Некоторые правила базовой конфигурации, реализованные с помощью средства гостевой конфигурации Политика Azure, являются более актуальными и обеспечивают более широкий охват. В результате переход на функцию Baselines, работающую на основе гостевой конфигурации Политика Azure, может повлиять на ваш статус соответствия, поскольку она включает проверки, которые ранее могли не выполняться.

Рекомендации по запросам

После прекращения поддержки MMA Defender для облака больше не запрашивает рекомендации, используя сведения о рабочей области Log Analytics. Вместо этого Defender для облака теперь использует Azure Resource Graph для API и запросов портала для запроса сведений о рекомендациях.

Ниже приведены 2 примера запросов, которые можно использовать:

• Запрос всех неработоспособных правил для определенного ресурса

  Securityresources 
  | where type == "microsoft.security/assessments/subassessments" 
  | extend assessmentKey=extract(@"(?i)providers/Microsoft.Security/assessments/([^/]*)", 1, id) 
  | where assessmentKey == '1f655fb7-63ca-4980-91a3-56dbc2b715c6' or assessmentKey ==  '8c3d9ad0-3639-4686-9cd2-2b2ab2609bda' 
  | parse-where id with machineId:string '/providers/Microsoft.Security/' * 
  | where machineId  == '{machineId}'
  

• Все неработоспособные правила и количество неработоспособных компьютеров для каждого правила

  securityresources 
  | where type == "microsoft.security/assessments/subassessments" 
  | extend assessmentKey=extract(@"(?i)providers/Microsoft.Security/assessments/([^/]*)", 1, id) 
  | where assessmentKey == '1f655fb7-63ca-4980-91a3-56dbc2b715c6' or assessmentKey ==  '8c3d9ad0-3639-4686-9cd2-2b2ab2609bda' 
  | parse-where id with * '/subassessments/' subAssessmentId:string 
  | parse-where id with machineId:string '/providers/Microsoft.Security/' * 
  | extend status = tostring(properties.status.code) 
  | summarize count() by subAssessmentId, status
  

Планирование миграции

Рекомендуется планировать миграцию агента в соответствии с вашими бизнес-требованиями. В таблице приведены наши рекомендации.

Процесс миграции MMA

Интерфейс миграции MMA — это средство, которое помогает выполнить миграцию из MMA в AMA. Этот интерфейс содержит пошаговое руководство, которое поможет вам перевести ваши компьютеры с MMA на AMA.

С помощью этого средства можно:

• Перенесите серверы с устаревшего метода подключения через рабочую область Log Analytics.
• Убедитесь, что подписки соответствуют всем предварительным условиям, чтобы получить все преимущества плана 2 Defender для серверов.
• Перейдите на новую версию FIM через MDE.

1. Войдите на портал Azure.

2. Перейдите к Microsoft Defender для облака>параметрам среды.

3. Выберите миграцию MMA.

   

4. Выберите Выполнить действие, а затем одно из доступных действий:

   

Дождитесь загрузки интерфейса и следуйте инструкциям, чтобы завершить миграцию.

Следующий шаг