Оценка безопасности в Defender для облака

Оценка безопасности в Microsoft Defender для Облака поможет улучшить состояние облачной безопасности. Оценка безопасности объединяет результаты безопасности в одну оценку, чтобы вы могли оценить текущую ситуацию безопасности. Чем выше оценка, тем ниже идентифицированный уровень риска.

При включении Defender для облака в подписке стандарт microsoft cloud security benchmark (MCSB) по умолчанию применяется в подписке. Начинается оценка ресурсов в области по стандарту MCSB.

MCSB выдает рекомендации на основе результатов оценки. Только встроенные рекомендации из MCSB влияют на оценку безопасности. В настоящее время приоритет риска не влияет на оценку безопасности.

Просмотр оценки безопасности

При просмотре панели мониторинга Defender для облака Обзор можно просмотреть оценку безопасности для всех сред. На панели мониторинга отображается оценка безопасности в виде процентного значения и содержатся базовые значения.

Мобильное приложение Azure показывает оценку безопасности в процентах. Коснитесь его, чтобы просмотреть сведения, объясняющие оценку.

Изучите состояние безопасности

Страница состояния безопасности в Defender для облака показывает оценку безопасности для сред в целом и для каждой среды отдельно.

На этой странице вы увидите подписки, учетные записи и проекты, влияющие на общую оценку, сведения о неработоспособных ресурсах и соответствующие рекомендации. Вы можете фильтровать по средам, таким как Azure, Amazon Web Services (AWS), Google Cloud Platform (GCP) и Azure DevOps. Затем вы можете выполнить детализацию по каждой подписке Azure, учетной записи AWS и проекту GCP.

Вычисление оценки безопасности

На странице рекомендаций в Defender для облака на вкладке "Рекомендации по оценке безопасности" показано, как элементы управления соответствием в MCSB вносят свой вклад в общую оценку безопасности.

Defender для облака вычисляет каждый элемент управления каждые восемь часов для каждой подписки Azure или для каждого облачного соединителя AWS или GCP.

Пример оценок для элемента управления

В следующем примере рассматриваются рекомендации по оценке безопасности для уязвимостей исправления.

В этом примере показаны следующие поля в рекомендациях.

Поле	Сведения
Исправление уязвимостей	Группировка рекомендаций по обнаружению и устранению известных уязвимостей.
Максимальная оценка	Максимальное количество точек, которые можно получить, выполнив все рекомендации в элементе управления. Максимальная оценка для элемента управления обозначает его относительную важность для каждой среды. Используйте значения в этом столбце, чтобы определить, какие проблемы необходимо сначала выполнить.
Текущая оценка	Текущая оценка для этого элемента управления. Текущая оценка = [оценка за один ресурс] × [число работоспособных ресурсов] Каждый элемент управления влияет на общую оценку. В этом примере элемент управления вносит 3,33 пункта в текущую общую оценку.
Возможное увеличение оценки	Количество нераспределенных баллов, доступных в этом элементе управления. При исправлении всех рекомендаций в этом элементе управления оценка увеличивается на 4%. Возможное увеличение оценки = [оценка за одни ресурс] × [число неработоспособных ресурсов]
Статистика	Дополнительные сведения для каждой рекомендации, например: - Рекомендация по предварительной версии. Эта рекомендация влияет на оценку безопасности, только если она общедоступна. - Исправление. Устранение этой проблемы. - Принудительное применение. Автоматическое развертывание политики для устранения этой проблемы всякий раз, когда кто-то создает несоответствующий ресурс. - Запрет. Запретить создание новых ресурсов с помощью этой проблемы.

Уравнения вычисления оценки

Вот как вычисляются оценки.

Элемент управления безопасностью

Уравнение для определения оценки для элемента управления безопасностью:

Текущая оценка для каждого элемента управления — это мера состояния ресурсов в этом элементе управления. Каждый отдельный элемент управления безопасностью способствует оценке безопасности. Каждый ресурс, затронутый рекомендацией в элементе управления, способствует текущей оценке элемента управления. Оценка безопасности не включает ресурсы, найденные в предварительных версиях рекомендаций.

В следующем примере максимальный показатель 6 делится на 78, так как это сумма работоспособных и неработоспособных ресурсов. Итак, 6 /78 = 0,0769. Умножение на число здоровых ресурсов (4) приводит к текущему счету: 0,0769 * 4 = 0,31.

Отдельная подписка или соединитель

Уравнение для определения оценки безопасности для одной подписки или соединителя:

Это же уравнение для соединителя, а просто подписка на слово, замененная соединителем слова.

Несколько подписок и соединителей

Уравнение для определения оценки безопасности для нескольких подписок и соединителей:

Объединенная оценка для нескольких подписок и соединителей включает вес для каждой подписки и соединителя. Defender для Облака определяет относительные весовые значения для подписок и соединителей на основе линейной весовой модели, используя объединенное количество работоспособных и неработоспособных ресурсов для каждой подписки (за исключением ресурсов, которые находятся в статусе «Неприменимо»). Текущая оценка для каждой подписки и соединителя вычисляется так же, как для одной подписки или соединителя, а затем применяется его вес (см. уравнение). Если у подписки или соединителя нет оценок (ни работоспособных, ни неработоспособных ресурсов) для данного контроля, он исключается при подсчете оценки для этой подписки или соединителя. В этом случае ни текущие, ни максимальные потенциальные баллы, связанные с элементом управления, не учитываются в оценке данной подписки. Агрегированная оценка безопасности, показанная в пользовательском интерфейсе, не является простой арифметической средней по процентам подписки или количеству элементов управления; это взвешенная сумма, охватывающая все подписки. Таким образом, номера ресурсов для каждого элемента управления, отображаемые в пользовательском интерфейсе, нельзя использовать для ручной повторной компиляции общей оценки безопасности в нескольких подписках.

При просмотре нескольких подписок и соединителей оценка безопасности оценивает все ресурсы во всех включенных политиках и группах. Группирование показывает, как они влияют на максимальную оценку каждого элемента управления безопасностью.

Улучшение оценки безопасности

MCSB состоит из ряда элементов управления соответствием. Каждый элемент управления содержит логически связанную группу рекомендаций по безопасности и отражает уязвимые для атак области.

Чтобы понять, насколько хорошо ваша организация защищает каждую уязвимую область, просмотрите баллы для каждого элемента управления безопасностью. Оценка улучшается только при исправлении всех рекомендаций.

Чтобы получить все возможные баллы для элемента управления безопасностью, все ваши ресурсы должны соответствовать всем рекомендациям по безопасности для этого элемента управления безопасностью. Например, Defender для облака содержит несколько рекомендаций по защите портов управления. Вам нужно исправить их все, чтобы сделать разницу в оценке безопасности.

Вы можете улучшить оценку безопасности с помощью любого из следующих методов:

• Выполните рекомендации по безопасности из списка. Каждую рекомендацию можно исправить отдельно для каждого ресурса вручную или сразу для нескольких ресурсов с помощью параметра Исправление (если он доступен).
• Принудительное применение или запрет рекомендаций по улучшению оценки и обеспечение того, чтобы пользователи не создавали ресурсы, которые негативно влияют на оценку.

Элементы управления оценкой безопасности

В следующей таблице перечислены элементы управления безопасностью в Microsoft Defender для облака. Для каждого элемента управления можно увидеть максимальное количество точек, которые можно добавить в оценку безопасности, если устранить все рекомендации, перечисленные в элементе управления, для всех ресурсов.

Отслеживайте свою оценку безопасности

Общую оценку безопасности и оценку для каждой подписки можно найти на портале Azure или программно, как описано в следующих разделах:

Получение оценки безопасности на портале

Defender для облака отображает оценку на портале Azure. При выборе плитки оценки безопасности на странице обзора вы перейдете на выделенную страницу оценки безопасности, где отображается оценка по подписке. Выберите одну подписку, чтобы просмотреть подробный список приоритетных рекомендаций и потенциальный эффект, который их исправление будет иметь на оценку подписки.

Оценка безопасности отображается в следующих расположениях на страницах портала Azure Defender для Облака:

• На плитке в Обзоре Microsoft Defender для облака (главная панель мониторинга):

  

• На выделенной странице оценки безопасности вы увидите оценку безопасности для подписки и групп управления:

  

  

  Примечание.

  Все группы управления, для которых у вас нет достаточных разрешений, будут отображать свой балл как "Ограниченный".

• В верхней части страницы рекомендаций :

  

Получение оценки безопасности из REST API

Вы можете получить доступ к своей оценке через API безопасной оценки. Методы этого API позволяют гибко выполнять запросы к данным и создавать собственные механизмы создания отчетов об оценках безопасности за разные периоды. Например, вы можете использовать API оценки безопасности для получения оценки для определенной подписки. Кроме того, API Secure Score Controls можно использовать для отображения элементов управления безопасностью и текущего балла ваших подписок.

Примеры инструментов, созданных на основе API оценки безопасности, см. в области оценки безопасности нашего сообщества GitHub.

Получите свою оценку безопасности из Azure Resource Graph

Azure Resource Graph предоставляет мгновенный доступ к сведениям о ресурсах в облачных средах с надежными возможностями фильтрации, группировки и сортировки. Это быстрый и эффективный способ запросить сведения по подпискам Azure программно или с помощью портала Azure. Узнайте больше об Azure Resource Graph.

Чтобы получить доступ к оценке безопасности для нескольких подписок с помощью Azure Resource Graph:

1. На портале Azure откройте обозреватель Azure Resource Graph.

   

2. Введите запрос Kusto (используя приведенные ниже примеры для получения рекомендаций).

   • Этот запрос возвращает идентификатор подписки, текущую оценку в точках и в процентах, а также максимальную оценку для подписки.

     SecurityResources 
     | where type == 'microsoft.security/securescores' 
     | extend current = properties.score.current, max = todouble(properties.score.max)
     | project subscriptionId, current, max, percentage = ((current / max)*100)
     

   • Этот запрос возвращает состояние всех элементов управления безопасностью. Для каждого элемента управления вы получаете количество неисправных ресурсов, текущую оценку и максимальную оценку.

     SecurityResources 
     | where type == 'microsoft.security/securescores/securescorecontrols'
     | extend SecureControl = properties.displayName, unhealthy = properties.unhealthyResourceCount, currentscore = properties.score.current, maxscore = properties.score.max
     | project SecureControl , unhealthy, currentscore, maxscore
     

3. Выберите Запустить запрос.

Отслеживайте свою оценку безопасности с течением времени

Отчет об оценке безопасности в динамике на странице рабочей книги

Страница книг Defender для Облака содержит готовый отчет для визуального отслеживания показателей подписок, элементов управления безопасностью и т. д. Дополнительные сведения см. в разделе "Создание расширенных интерактивных отчетов Defender для облачных данных".

Панели мониторинга Power BI Pro

Если вы являетесь пользователем Power BI с учетной записью Pro, вы можете использовать панель мониторинга Power BI для отслеживания оценки безопасности с течением времени и изучения любых изменений.

Панель мониторинга содержит следующие два отчета, которые помогут вам проанализировать состояние безопасности:

• Сводка по ресурсам — предоставляет сводные данные о работоспособности ресурсов.

• Сводка по оценке безопасности предоставляет сводные данные о ходе оценки. Используйте диаграмму "Оценка безопасности по подпискам с течением времени", чтобы просмотреть изменения в оценке. Если вы заметили резкое изменение вашей оценки, проверьте таблицу "Обнаруженные изменения, которые могут повлиять на вашу оценку безопасности" на предмет изменений, которые могли стать причиной этого. В этой таблице представлены удаленные ресурсы, новые развернутые ресурсы и ресурсы, для которых изменился статус безопасности в одной из рекомендаций.

Следующие шаги

• Сведения о различных элементах рекомендации
• Узнайте, как исправить рекомендации
• Ознакомьтесь с инструментами на основе GitHub для программной работы с оценкой безопасности

Оценка безопасности облака на портале Defender

Оценка безопасности облака (на основе рисков) — это оценка состояния облачной безопасности. Оценка позволяет объективно оценивать и отслеживать состояние облачной безопасности и измерять усилия по устранению рисков.

Оценка безопасности облака вводит факторы риска активов и критичность активов в вычисление, что делает оценку более точной и позволяет разумно расставлять приоритеты рекомендаций высокого уровня риска. 

Модель оценки безопасности облака

Оценка безопасности облака основана на количестве и уровне риска открытых рекомендаций в Defender для облака. Чтобы улучшить оценку, сосредоточьтесь на рекомендациях с более высоким уровнем риска, так как они вносят наибольший вклад в оценку.

Формула оценки безопасности облака

Оценка Cloud Secure Составляет от 0 до 100, а 100 — это оптимальное состояние безопасности. Оценка — это агрегирование выбранной оценки активов.

Чтобы вычислить оценку окружающей среды для данной организации в любой области, формула оценивает риск активов (сочетание вероятности и влияния). Для каждого ресурса формула вычисляет взвешенный средний уровень риска рекомендаций по этому ресурсу, учитывая факторы риска актива (например, воздействие в Интернете, конфиденциальность данных и т. д.), а также критически важное значение актива для организации.

Условные обозначения (формула оценки Cloud Secure)

• n = количество ресурсов
• Критичность = критически важное значение актива для организации
• Rec. Low = Рекомендации с низким уровнем риска
• Rec. Средний = Рекомендации с средним уровнем риска
• Rec. High = Рекомендации с высоким уровнем риска
• Rec. Критическое = рекомендации с критическим уровнем риска

Доступ к оценке безопасности облака (портал Защитника)

Оценки безопасности объединяются в единое решение Microsoft Security, предоставляя единую точку входа для получения представления о состоянии удостоверений, устройств, облачных приложений, данных и инфраструктуры. Оценка безопасности облака — это компонент облачной защиты в этом более широком наборе.

Пути навигации к оценке облачной безопасности (инициатива облака)

• Управление экспозицией>Оценка безопасности> Просмотр облачной инициативы
• Управление экспозицией>Инициативы> Просмотр инициативы облака
• Облачная инфраструктура>Обзор> карточка с главными метриками или виджет Состояние безопасности> для просмотра инициативы в облаке

Панель мониторинга инициатив

Перейдите кинициативам> для консолидированного представления состояния облачной безопасности. Эта панель мониторинга агрегирует:

• Основные инициативы и их относительный статус
• Недавняя история показателей безопасности и уязвимости (тренды за 14 дней)
• Аналитика между доменами (SaaS, конечная точка, облако, удостоверение, защита от программ-шантажистов)
• Показатели конкретной рабочей нагрузки для отслеживания темпов исправления

Откройте страницу инициативы облачных технологий

1. Перейдите кинициативам>.
2. Выберите Cloud Security.
3. На боковой панели выберите страницу открытой инициативы.
4. Просмотрите элементы панели мониторинга обзора:
   • Текущая оценка безопасности облака
   • Тенденция оценки безопасности с течением времени
   • Оценка безопасности по среде (Azure, AWS, GCP) для быстрого сравнения с несколькими облаками
   • Оценка безопасности по рабочей нагрузке для выделения различий между основными категориями рабочих нагрузок
   • Сводка рекомендаций
   • Наиболее распространенные рекомендации по критичности, на которых следует сосредоточить усилия на исправлении, чтобы обеспечить наибольшее влияние на оценку и снижение риска.

Контекст оценки безопасности Майкрософт

Оценка безопасности Майкрософт — это более широкая унифицированная концепция, охватывая несколько доменов безопасности. На этой странице основное внимание уделяется оценке облачной безопасности (управление безопасностью облака в Defender для облака). Другие оценки безопасности Майкрософт отображаются на порталах безопасности Майкрософт.

Типы оценки безопасности

Следующие шаги

• Сведения о различных элементах рекомендации