Подготовка к прекращению поддержки агента Log Analytics

Агент Log Analytics, также известный как Microsoft Monitoring Agent (MMA), вышел на пенсию в ноябре 2024 года, как описано в пенсионном плане Defender для облака Log Analytics агента. В связи с этим уходом планы Defender for Servers и Defender for SQL on Machines в Microsoft Defender для облака будут обновлены, а функции, основанные на агенте Log Analytics, будут переработаны.

В этой статье изложены планы по выходу на пенсию агента Log Analytics (MMA).

Подготовьте Defender для серверов

План Defender for Servers использует агент Log Analytics в общедоступном режиме (GA) и в AMA для поддержки агентов и функций Defender for Servers (в предварительном просмотре). Вот что будет с этими функциями дальше:

Чтобы упростить подготовку к работе, все функции и возможности безопасности Microsoft Defender для серверов будут предоставляться с помощью единого агента (Microsoft Defender для конечной точки) в сочетании с сканированием компьютеров без использования агента, без какой-либо зависимости от агента Log Analytics или AMA.

• Функции Defender for Servers, основанные на AMA, в настоящее время доступны в рамках предварительной версии и не будут выпущены в общую доступность.
• Функции, доступные в рамках предварительной версии и использующие AMA, по-прежнему поддерживаются, пока не станет доступна альтернативная версия этой функции, использующая интеграцию с Defender for Endpoint или функцию безагентного сканирования компьютеров.
• Если включить интеграцию с Defender for Endpoint и функцию безагентного сканирования компьютеров до вывода из эксплуатации, ваше развертывание Defender for Servers будет актуальным и поддерживаемым.

Функциональные возможности

В следующей таблице приведены сведения о том, как будут предоставляться функции Defender для серверов. Большинство функций уже общедоступны при использовании интеграции Defender for Endpoint или безагентного сканирования компьютеров. Оставшиеся функции Defender for Servers, перечисленные в следующей таблице, либо будут доступны в Джорджии к моменту завершения игры в MMA, либо устарели.

Возможности автоматического развертывания агента Log Analytics — план прекращения поддержки

В рамках вывода из эксплуатации агента MMA возможность автоматического развертывания, обеспечивающая установку и настройку агента для клиентов MDC, также будет объявлена устаревшей в 2 этапа:

1. К концу сентября 2024 года автоматическое подключение MMA будет отключено для клиентов, которые больше не используют эту возможность, а также для вновь созданных подписок:

   • Существующие подписки, которые отключат автоматическое выделение MMA после конца сентября, впоследствии больше не смогут снова включить эту функцию.

   • Для вновь созданных подписок автоматическую подготовку ресурсов больше нельзя включить; она отключается автоматически.

2. Конец ноября 2024 года — автонастройка MMA будет отключена на подписках, которые ещё не отключили её. С этого момента уже невозможно включать автоматическое обеспечение MMA на существующих подписках.

Льгота 500 МБ на прием данных

Чтобы сохранить квоту в 500 МБ на бесплатную загрузку данных для поддерживаемых типов данных, необходимо перейти с MMA на AMA.

Узнайте больше о том, как развернуть AMA.

Для серверов SQL Server на компьютерах рекомендуется перейти на процесс автоматической подготовки агента мониторинга Azure (AMA), предназначенный для SQL Server.

Изменения в устаревшем способе подключения к Defender for Servers Plan 2 через агент Log Analytics

Устаревший подход к подключению серверов к Defender for Servers Plan 2 на основе агента Log Analytics и с использованием рабочих областей Log Analytics также выводится из эксплуатации:

• Интерфейс подключения новых компьютеров, не относящихся к Azure к Defender for Servers с помощью агентов Log Analytics и рабочих областей удален из разделов «Инвентарь» и «Начало работы» на портале Defender для облака.

• Чтобы избежать потери охвата средствами безопасности на затронутых компьютерах, подключенных к рабочей области Log Analytics, в связи с прекращением поддержки агента:

• Если вы адаптировали не-Azure серверы (как локальные, так и мультиоблачные) с использованием устаревшего агента Log Analytics onboarding для не-Azure машин, теперь вам следует подключить эти машины через серверы с поддержкой Azure Arc к подпискам и коннекторам Defender for Servers Plan 2 Azure. Для получения дополнительной информации смотрите опции развертывания сервера Azure Arc для масштабного развертывания машин Arc.

  • Если вы использовали устаревший подход для включения Defender для серверов плана 2 на выбранных виртуальных машинах Azure, рекомендуется включить Defender для серверов плана 2 в подписках Azure для этих компьютеров. Затем можно исключить отдельные компьютеры из покрытия Defender для серверов с помощью конфигурации Defender для серверов для каждого ресурса.

Следующая таблица суммирует необходимые действия для каждого сервера, подключенного к Defender for Servers Plan 2 с помощью устаревшего подхода:

Интерфейс рекомендаций по обновлению системы и пакетам исправлений — изменения и руководство по миграции

Обновления системы и исправления важны для обеспечения безопасности и работоспособности компьютеров. Обновления часто содержат исправления безопасности для уязвимостей, которые, если они остаются без исправления, являются эксплуатируемыми злоумышленниками.

Ранее рекомендации по обновлениям системы были предоставлены Defender для облака Foundational CSPM и планами Defender для серверов с помощью агента Log Analytics. Предыдущий опыт рекомендаций по обновлению систем на основе агентов Log Analytics был заменён рекомендациями по безопасности, собранными с помощью Диспетчер обновлений Azure и построенными из двух новых рекомендаций:

1. Компьютеры должны быть настроены для периодической проверки отсутствия обновлений системы

2. Системные обновления должны быть установлены на ваших компьютерах (с использованием Диспетчер обновлений Azure)

Узнайте, как устранять проблемы с обновлениями системы и исправлять рекомендации по установке патчей на ваших компьютерах.

Какие рекомендации заменяются?

В следующей таблице приводится сводка расписания устаревших рекомендаций и их замены.

Как мне подготовиться к новым рекомендациям?

• Подключение компьютеров, отличных от Azure, к Arc

• Убедитесь, что на компьютерах включен параметр периодического обновления оценки . Это можно сделать 2 способами:

1. Исправлена рекомендация. Компьютеры должны быть настроены для периодической проверки отсутствия обновлений системы (на базе Диспетчера обновлений Azure).
2. Включите периодическую оценку в большом масштабе с помощью Политика Azure.

• После завершения диспетчер обновлений может получить последние обновления на компьютерах и просмотреть последнее состояние соответствия компьютера.

Рекомендации по защите конечных точек — рекомендации по изменениям и миграции

Обнаружение конечных устройств и рекомендации ранее были доступны в рамках планов Microsoft Defender для облака Foundational CSPM и Defender for Servers с использованием агента Log Analytics на этапе общедоступности или через агент AMA в предварительной версии. Предыдущий опыт обнаружения и рекомендаций конечных точек на основе MMA/AMA был заменён рекомендациями по безопасности, собранными с помощью бесагентного сканирования машин.

Рекомендации по защите конечных точек создаются на двух этапах. Первый этап — обнаружение решений для обнаружения и реагирования на конечных точках. Второй этап — оценка конфигурации решения. В следующих таблицах приведены сведения о текущих и новых возможностях для каждого этапа.

Узнайте, как управлять новыми безагентными рекомендациями по обнаружению и нейтрализации атак на конечных точках.

Решение для обнаружения и реагирования на конечных точках — обнаружение

В следующей таблице сравниваются текущие и новые опыты обнаружения решений для обнаружения и реагирования на конечные точки.

Решение для обнаружения и реагирования конечных точек — оценка конфигурации

В следующей таблице сравниваются текущие и новые опыты оценки конфигураций для решений для обнаружения и реагирования на конечные точки.

Какие рекомендации помечаются как устаревшие?

В следующей таблице приводится сводка расписания устаревших рекомендаций и их замены.

Новые рекомендации по защите конечных точек без агентов, основанные на бесагентном сканировании, поддерживают как Windows, так и Linux ОС на мультиоблачных машинах.

Как будет работать замена?

• Текущие рекомендации, предоставляемые агентом Log Analytics или AMA, будут устарели с течением времени.
• Некоторые из этих существующих рекомендаций будут заменены новыми рекомендациями на основе сканирования без агента.
• Рекомендации, уже находящиеся в статусе общедоступности, будут действовать до тех пор, пока агент Log Analytics не будет выведен из эксплуатации.
• Рекомендации, которые в настоящее время находятся в предварительной версии, будут заменены, когда новая рекомендация доступна в предварительной версии.

Что происходит с оценкой безопасности?

Следующие пункты объясняют, как безопасный балл влияет при переходе от рекомендаций по защите конечных точек на основе MMA к безагентной защите.

• Рекомендации, которые сейчас находятся в статусе общедоступности (GA), по-прежнему будут влиять на оценку безопасности.
• Текущие и будущие новые рекомендации относятся к одному и тому же элементу управления Microsoft Cloud Security Benchmark, что исключает двойное влияние на оценку безопасности.

Как мне подготовиться к новым рекомендациям?

Чтобы подготовиться к новым рекомендациям по защите конечных точек без агентов, предпринимайте следующие действия:

• Убедитесь, что безагентное сканирование машин включено в рамках Defender for Servers Plan 2 или Defender CSPM.
• Если это подходит для вашей среды, то для оптимальной работы мы рекомендуем удалить устаревшие рекомендации, когда заменяющая их рекомендация станет общедоступной. Для этого отключите рекомендацию во встроенной инициативе Defender для облака в Политика Azure.

Мониторинг целостности файлов — обзор изменений и рекомендации по миграции

План Microsoft Defender для серверов, план 2, теперь включает новое решение для мониторинга целостности файлов (FIM) на базе интеграции с Microsoft Defender для конечной точки (MDE). Как только FIM на базе MDE станет общедоступен, опыт FIM на базе AMA из портала Defender для облака будет удалён. В ноябре FIM на основе MMA будет выведен из эксплуатации.

Миграция из FIM через AMA

Если вы используете FIM в настоящее время через AMA:

• Подключение новых подписок или серверов к FIM на основе AMA и расширения отслеживания изменений, а также просмотр изменений больше не будет доступно через портал Defender для облака начиная с 30 мая.

• Если вы хотите продолжить использование событий FIM, собранных AMA, можно вручную подключиться к соответствующей рабочей области и просмотреть изменения в таблице Отслеживание изменений со следующим запросом:

  ConfigurationChange
  
  | where TimeGenerated > ago(14d)
  
  | where ConfigChangeType in ('Registry', 'Files') 
  
  | summarize count() by Computer, ConfigChangeType
  

• Если вы хотите продолжить подключение новых областей или настроить правила мониторинга, вы можете вручную использовать правила подключения к данным для настройки или настройки различных аспектов сбора данных.

• Microsoft Defender для облака рекомендует отключить FIM с использованием AMA и после ее выпуска подключить вашу среду к новой версии FIM на основе Defender for Endpoint.

Отключить FIM через AMA

Чтобы отключить FIM через AMA, удалите решение Azure Отслеживание изменений. Дополнительные сведения см. в разделе Удаление решения ChangeTracking.

В качестве альтернативы можно удалить связанные правила сбора данных (DCR) для отслеживания изменений файлов. Дополнительные сведения см. в разделе Remove-AzDataCollectionRuleAssociation или Remove-AzDataCollectionRule.

После отключения коллекции событий файлов с помощью одного из описанных выше методов:

• Новые события перестанут собираться в выбранной области.
• Исторические события, которые уже были собраны, сохраняются в соответствующей рабочей области в таблице ConfigurationChange в разделе Отслеживание изменений. Эти события останутся доступными в соответствующей рабочей области в соответствии с периодом хранения, определенным в этой рабочей области. Дополнительные сведения см. в статье о работе хранения и архивации.

Переход с FIM с использованием агента Log Analytics (MMA)

Если вы используете FIM в агенте Log Analytics (MMA):

• Мониторинг целостности файлов на основе агента Log Analytics (MMA) будет устарел в конце ноября 2024 года.

• Microsoft Defender для облака рекомендует отключить FIM на основе MMA и после выпуска новой версии FIM на основе Defender for Endpoint подключить к ней вашу среду.

Отключите FIM через MMA

Чтобы отключить FIM через MMA, удалите решение «Отслеживание изменений в Azure». Дополнительные сведения см. в разделе Удаление решения ChangeTracking.

После отключения коллекции событий файлов:

• Новые события перестанут собираться в выбранной области.
• Исторические события, которые уже были собраны, сохраняются в соответствующей рабочей области в таблице ConfigurationChange в разделе Отслеживание изменений. Эти события останутся доступными в соответствующей рабочей области в соответствии с периодом хранения, определенным в этой рабочей области. Дополнительные сведения см. в статье о работе хранения и архивации.

Изменения базового опыта и рекомендации по миграции

Функция выявления отклонений от базовых конфигураций для виртуальных машин предназначена для того, чтобы ваши виртуальные машины соответствовали лучшим практикам безопасности и политикам организации. Проверка конфигурации на соответствие предопределённым базовым показателям безопасности оценивает конфигурацию ваших виртуальных машин и выявляет любые отклонения или ошибки конфигурации, которые могут представлять риск для вашей среды.

Сведения о компьютере собираются для оценки с помощью агента Log Analytics (также известного как агент Microsoft Monitoring Agent (MMA)). MMA будет объявлена устаревшей в ноябре 2024 года, и произойдут следующие изменения:

• Сведения о машине будут собираться с помощью гостевой конфигурации Политика Azure.

• Следующие политики Azure включены с помощью гостевой конфигурации Политика Azure:

  • "Компьютеры Windows должны соответствовать требованиям базовых показателей безопасности вычислений Azure"

  • "Компьютеры Linux должны соответствовать требованиям к базовой системе безопасности вычислений Azure"

    Note

    Если вы удалите эти политики, вы не сможете воспользоваться преимуществами расширения гостевой конфигурации Политика Azure.

• Рекомендации для операционных систем, основанные на базовых параметрах безопасности вычислительных ресурсов, больше не будут включаться в базовый CSPM в Defender для облака. Эти рекомендации будут доступны после включения Defender для серверов, план 2.

Просмотрите страницу с ценами на Defender для облака, чтобы узнать сведения о ценах на план 2 Defender for Servers. Вы также можете оценить затраты с помощью калькулятора затрат Defender для облака.

Рекомендации, предоставляемые MCSB, которые не являются частью базовых показателей безопасности вычислений Windows и Linux, будут по-прежнему частью бесплатного базового CSPM.

Установка гостевой конфигурации Политика Azure

Чтобы продолжать пользоваться базовыми возможностями, необходимо включить план Defender for Servers Plan 2 и установить гостевую конфигурацию Политика Azure. Включение Defender for Servers Plan 2 и установка гостевой конфигурации Политика Azure гарантирует, что вы продолжите получать те же рекомендации и рекомендации по усилению, что и в базовом опыте.

В зависимости от среды может потребоваться выполнить следующие действия.

1. Просмотрите матрицу поддержки гостевой конфигурации Политика Azure.

2. Установите гостевую конфигурацию Политика Azure на компьютерах.

   • Компьютеры Azure: на портале Defender для облака на странице рекомендаций найдите и выберите На компьютерах должно быть установлено расширение Guest Configuration, а затем устраните рекомендацию.

   • (Только виртуальные машины Azure) Необходимо назначить управляемое удостоверение.

     • На портале Defender для облака на странице рекомендаций найдите и выберите расширение гостевой конфигурации виртуальных машин должно быть развернуто с помощью управляемого удостоверения, назначаемого системой, и исправьте рекомендацию.

   • (Только для виртуальных машин Azure) Необязательно: чтобы автоматически подготовить гостевую конфигурацию Политика Azure во всей вашей подписке, можно включить агент Guest Configuration (предварительная версия).

     • Чтобы включить агент гостевой конфигурации, выполните следующие действия.
       1. Войдите на портал Azure.
       2. Перейдите в раздел «Параметры среды»>Ваша подписка>Настройки и мониторинг.
       3. Выберите гостевую конфигурацию.
       4. Переключите агент гостевой конфигурации (предварительная версия) на Вкл.
       5. Выберите Продолжить.

   • GCP и AWS: гостевая конфигурация Политика Azure устанавливается автоматически, когда вы подключаете свой проект GCP или подключаете свои учетные записи AWS с включенной автоподготовкой Azure Arc к Microsoft Defender для облака.

   • Локальные машины: Гостевая конфигурация Политика Azure включается по умолчанию, когда вы подключаете локальные машины в качестве машин с поддержкой Azure Arc или виртуальных машин.

После выполнения необходимых действий для установки гостевой конфигурации Политика Azure вы автоматически получите доступ к базовым возможностям, предоставляемым гостевой конфигурацией Политика Azure. Установка гостевой конфигурации Политика Azure гарантирует, что вы продолжите получать те же рекомендации и рекомендации по усилению, что и в базовом опыте.

Изменения рекомендаций

При отключении MMA следующие рекомендации на основе MMA будут нерекомендуемыми:

• Компьютеры должны быть настроены в безопасном режиме
• Для подписок должна быть включена автоматическая подготовка агента Log Analytics

Устаревшие рекомендации будут заменены следующими базовыми рекомендациями для гостевой конфигурации Политика Azure:

• Уязвимости в конфигурации безопасности на компьютерах Windows должны быть устранены (на основе гостевой конфигурации)
• Уязвимости в конфигурации безопасности на компьютерах Linux должны быть устранены (на основе гостевой конфигурации)
• На компьютерах должно быть установлено расширение "Гостевая конфигурация"

Повторяющиеся рекомендации

При включении Defender для облака в подписке Azure в качестве стандарта соответствия требованиям по умолчанию включен тест безопасности облака Майкрософт (MCSB), включая базовые показатели безопасности вычислений, которые оценивают соответствие ОС компьютера. Бесплатные базовые возможности Cloud Security Posture Management (CSPM) в Defender для облака формируют рекомендации по безопасности на основе MCSB.

Если на машине одновременно используются MMA и гостевая конфигурация Политика Azure, вы увидите дублирующиеся рекомендации. Дублирование рекомендаций происходит из-за того, что оба метода выполняются одновременно и создают одни и те же рекомендации. Эти повторяющиеся данные повлияют на соответствие требованиям и оценку безопасности.

Чтобы избежать дублирования рекомендаций при работе как гостевой конфигурации MMA, так и Политика Azure, вы можете отключить рекомендации по MMA «Машины должны быть настроены безопасно» и «Автоматическое предоставление агента Log Analytics должно быть включено на подписках», перейдя на страницу нормативного соответствия в Defender для облака.

После того как вы нашли рекомендацию, следует выбрать соответствующие компьютеры и исключить их.

Некоторые правила базовой конфигурации, реализованные с помощью средства гостевой конфигурации Политика Azure, являются более актуальными и обеспечивают более широкий охват. В результате переход на функцию Baselines, работающую на основе гостевой конфигурации Политика Azure, может повлиять на ваш статус соответствия, поскольку она включает проверки, которые ранее могли не выполняться.

Рекомендации по запросам

После прекращения поддержки MMA Defender для облака больше не запрашивает рекомендации, используя сведения о рабочей области Log Analytics. Вместо этого Defender для облака теперь использует Azure Resource Graph для API и запросов портала для запроса сведений о рекомендациях.

Ниже приведены 2 примера запросов, которые можно использовать:

• Запрос всех неработоспособных правил для определенного ресурса

  Securityresources 
  | where type == "microsoft.security/assessments/subassessments" 
  | extend assessmentKey=extract(@"(?i)providers/Microsoft.Security/assessments/([^/]*)", 1, id) 
  | where assessmentKey == '1f655fb7-63ca-4980-91a3-56dbc2b715c6' or assessmentKey ==  '8c3d9ad0-3639-4686-9cd2-2b2ab2609bda' 
  | parse-where id with machineId:string '/providers/Microsoft.Security/' * 
  | where machineId  == '{machineId}'
  

• Все неработоспособные правила и количество неработоспособных компьютеров для каждого правила

  securityresources 
  | where type == "microsoft.security/assessments/subassessments" 
  | extend assessmentKey=extract(@"(?i)providers/Microsoft.Security/assessments/([^/]*)", 1, id) 
  | where assessmentKey == '1f655fb7-63ca-4980-91a3-56dbc2b715c6' or assessmentKey ==  '8c3d9ad0-3639-4686-9cd2-2b2ab2609bda' 
  | parse-where id with * '/subassessments/' subAssessmentId:string 
  | parse-where id with machineId:string '/providers/Microsoft.Security/' * 
  | extend status = tostring(properties.status.code) 
  | summarize count() by subAssessmentId, status
  

Планируйте миграцию агента Log Analytics

Матрица планирования миграции

Рекомендуется планировать миграцию агента в соответствии с вашими бизнес-требованиями. Следующая таблица планирования миграции резюмирует наши рекомендации.

Используйте опыт миграции MMA

Интерфейс миграции MMA — это средство, которое помогает выполнить миграцию из MMA в AMA. Этот интерфейс содержит пошаговое руководство, которое поможет вам перевести ваши компьютеры с MMA на AMA.

С опытом миграции в MMA вы можете:

• Перенесите серверы с устаревшего метода подключения через рабочую область Log Analytics.
• Убедитесь, что подписки соответствуют всем предварительным условиям, чтобы получить все преимущества плана 2 Defender для серверов.
• Перейдите на новую версию FIM через MDE.

1. Войдите на портал Azure.

2. Перейдите к Microsoft Defender для облака>параметрам среды.

3. Выберите миграцию MMA.

   

4. Выберите Выполнить действие, а затем одно из доступных действий:

   

Дождитесь загрузки интерфейса и следуйте инструкциям, чтобы завершить миграцию.

Дальнейшие действия