Изучение рекомендаций по обеспечению безопасности

Просмотрите рекомендации и убедитесь, что все сведения верны перед их разрешением.

1. Войдите на портал Azure.

2. Перейдите в Defender для облака>Рекомендации.

3. Выберите рекомендацию.

Общие сведения о приоритете риска

Microsoft Defender для облака проактивно использует динамический механизм, который оценивает риски в вашей среде, принимая во внимание потенциал эксплуатации и потенциальное влияние на бизнес вашей организации. Подсистема определяет рекомендации по безопасности на основе факторов риска каждого ресурса, которые определяются контекстом среды, включая конфигурацию ресурса, сетевые подключения и состояние безопасности.

Когда Defender для облака выполняет оценку рисков, связанных с безопасностью, подсистема определяет наиболее важные риски безопасности, различая их от менее рискованных проблем. Затем рекомендации сортируются на основе их уровня риска, что позволяет решать проблемы безопасности, которые представляют непосредственные угрозы с наибольшим потенциалом использования в вашей среде.

Каковы факторы риска?

Defender для облака использует контекст среды, включая конфигурацию ресурса, сетевые подключения и состояние безопасности для оценки рисков потенциальных проблем безопасности. Таким образом, он определяет наиболее значительные риски безопасности, отличая их от менее рискованных проблем. Затем рекомендации сортируются на основе их уровня риска.

Этот механизм оценки рисков рассматривает основные факторы риска, такие как:

• Интернет-экспозиция: доступны ли ресурсы из Интернета
• Чувствительность данных: наличие чувствительных или конфиденциальных данных
• Боковое перемещение: потенциал для злоумышленников для перемещения между ресурсами
• Пути атаки: является ли проблема безопасности частью потенциальных сценариев атак.

Уровни риска и вычисление

Defender для облака использует подсистему приоритета риска с учетом контекста, чтобы вычислить уровень риска каждой рекомендации по безопасности. Уровень риска определяется факторами риска каждого ресурса, например конфигурацией, сетевыми подключениями и состоянием безопасности. Уровень риска вычисляется на основе потенциального влияния проблемы безопасности, категории риска и пути атаки, из-за которой проблема безопасности является частью.

Рекомендации классифицируются по пяти категориям на основе их уровня риска:

• Критическое: рекомендации, указывающие на критически важную уязвимость безопасности, которую злоумышленник может использовать для получения несанкционированного доступа к системам или данным.
• Высокий уровень: рекомендации, которые указывают на потенциальный риск безопасности, который следует своевременно решать, но не может потребовать немедленного внимания.
• Средний: рекомендации, указывающие относительно незначительные проблемы безопасности, которые можно устранить в удобном режиме.
• Низкий: рекомендации, указывающие относительно незначительные проблемы безопасности, которые можно устранить в удобном режиме.
• Не оценено: рекомендации, которые еще не были оценены. Это может быть связано с тем, что ресурс не охватывается планом CSPM Defender, который является предварительным условием для уровня риска.

Сведения о панели мониторинга рекомендаций

На странице рекомендаций можно просмотреть следующие сведения о приоритетах риска:

• Заголовок: заголовок рекомендации
• Затронутый ресурс: ресурс, к которому применяется рекомендация
• Уровень риска: эксплуатируемость и влияние бизнес-проблем, связанных с безопасностью, учитывая контекст экологических ресурсов, такие как воздействие Интернета, конфиденциальные данные, боковое перемещение и многое другое
• Факторы риска: экологические факторы ресурса, затронутые рекомендацией, которая влияет на эксплуатируемость и влияние на бизнес-проблему безопасности.
• Пути атаки: количество путей атаки, часть которых составляет рекомендация, основанная на поиске всех потенциальных путей атаки с помощью поисковой системы безопасности.
• Владелец: человек, которому назначена рекомендация
• Состояние: текущее состояние рекомендации (неназначенная, вовремя, просроченная)
• Аналитика: информация, связанная с рекомендацией, например, если она находится в предварительной версии, если она может быть отклонена, если есть доступный вариант исправления.

Страница рекомендаций в службе "Управление экспозицией" предоставляет приоритетный список действий безопасности, предназначенных для улучшения состояния облачной безопасности путем устранения уязвимостей, неправильной настройки и предоставления секретов. Эти рекомендации ранжируются по эффективному риску, помогая группам безопасности сосредоточиться на наиболее критически важных угрозах.

1. Войдите на портал Microsoft Defender.

2. Перейдите на вкладку Управление экспозицией>Рекомендации>Облако.

   

3. Примените такие фильтры, как:

   • Уязвимый актив: фильтрация по активам, подверженным угрозам
   • Факторы риска активов: фильтрация по определенным условиям риска
   • Среда: фильтрация по Azure, AWS или GCP
   • Рабочая нагрузка: фильтрация по определенным типам рабочей нагрузки
   • Зрелость рекомендаций. Фильтрация по уровню готовности рекомендаций

4. В левой части страницы можно просмотреть рекомендации по категориям безопасности:

   • Все рекомендации. Полный список рекомендаций по безопасности
   • Ошибки конфигурации: проблемы безопасности, связанные с конфигурацией
   • Уязвимости: уязвимости программного обеспечения, требующие исправлений
   • Открытые секреты: учетные данные и секреты, которые могут быть скомпрометированы

   Замечание

   При выборе фильтра категории безопасности список рекомендаций и сводные карточки обновляются, чтобы отображать только рекомендации из этой категории.

Сводные карточки рекомендаций

Для каждого представления на странице отображаются сводные карточки, предоставляющие краткий обзор состояния облачной безопасности:

• Оценка безопасности в облаке. Показывает общую работоспособность облачной безопасности на основе рекомендаций по безопасности в вашей среде.
• Журнал показателей: отслеживает изменения оценки безопасности за последние 7 дней, помогая выявлять тенденции и улучшение мер
• Рекомендации по уровню риска: суммирует количество активных рекомендаций по безопасности, классифицированных по серьезности (критические, высокие, средние, низкие)
• Как вычисляется уровень риска: объясняет, как объединяются оценки серьезности и факторы риска для конкретного ресурса, чтобы определить общий уровень риска для каждой рекомендации.

Представления рекомендаций

Портал Defender предоставляет два различных способа просмотра и взаимодействия с рекомендациями:

Рекомендация по виду отображения активов

В этом представлении отображается список всех рекомендаций, организованных отдельными активами, упорядоченными по уровню риска. Каждая строка представляет одну рекомендацию, влияющую на определенный ресурс.

При выборе строки рекомендаций откроется боковая панель:

• Обзор. Общие сведения о рекомендации, включая его описание, сведения о предоставленном ресурсе и другие важные особенности рекомендаций
• Действия по исправлению. Рекомендации по устранению проблемы с безопасностью
• Предварительная версия карты: отображает все связанные пути атаки, проходящие через ресурс, агрегированные по типу целевого узла. Вы можете:
  • Нажмите на агрегированный путь, чтобы раскрыть все связанные атаки и дополнительные траектории.
  • Выберите конкретный путь для просмотра подробной визуализации
• Связанные инициативы: инициативы безопасности и платформы соответствия требованиям, связанные с рекомендацией
• Дополнительные вкладки могут отображаться для конкретных рекомендаций с соответствующими контекстными сведениями

Просмотр заголовка рекомендаций

Это представление объединяет рекомендации по заголовку, показывающее консолидированный список, упорядоченный по уровню риска. Каждая строка представляет все экземпляры конкретной рекомендации в вашей среде.

При выборе агрегированной строки рекомендаций откроется боковая панель:

• Обзор. Общие сведения, включая описание рекомендаций, распределение на уровне риска между затронутыми ресурсами, состоянием управления и другими соответствующими сведениями
• Действия по исправлению. Рекомендации по устранению проблемы с безопасностью
• Обнаруженные активы: список всех ресурсов, затронутых этой рекомендацией
• Связанные инициативы: инициативы безопасности и платформы соответствия требованиям, связанные с рекомендацией
• Дополнительные вкладки могут отображаться для конкретных рекомендаций с соответствующими контекстными сведениями

Альтернативные пути доступа к рекомендациям:

• Облачная инфраструктура>Обзор>Состояние> безопасностиРекомендации по> безопасностиПросмотр рекомендаций
• Управление экспозицией>Инициативы>Cloud Security>Страница "Открыть инициативу>"Вкладка "Рекомендации по безопасности"

Общие сведения о приоритете рисков на портале Defender

Интерфейс управления экспозицией на портале Defender предоставляет расширенные возможности определения приоритетов риска, которые помогают группам безопасности сосредоточиться на наиболее критически важных угрозах. Подсистема оценки динамических рисков Microsoft Defender для Облака оценивает риски в вашей среде, учитывая потенциал эксплуатации и потенциальное влияние бизнеса на вашу организацию.

Рекомендации на портале Defender автоматически определяются на основе эффективного риска, который учитывает несколько контекстных факторов для каждого ресурса и его среды. Этот подход на основе рисков гарантирует, что группы безопасности могут решать наиболее важные проблемы безопасности в первую очередь, делая усилия по исправлению более эффективными и эффективными.

Фильтрация и приоритет на основе рисков

Портал Defender предлагает расширенные возможности фильтрации, которые позволяют сосредоточиться на рекомендациях на основе факторов риска:

• Доступные ресурсы: фильтрация по ресурсам, которые имеют прямое воздействие на угрозы, такие как ресурсы, подключенные к Интернету, или ресурсы с уязвимыми конфигурациями
• Факторы риска активов: целевые условия риска, такие как конфиденциальность данных, потенциал бокового перемещения или критическое воздействие инфраструктуры
• Разбивка на уровне риска: просмотр рекомендаций, классифицированных по критическим, высоким, средним и низким уровням риска
• Интеграция пути атаки. Сосредоточьтесь на рекомендациях, которые являются частью определенных путей атаки

Вычисление рисков в управлении экспозицией

Единый интерфейс управления экспозицией вычисляет уровни риска с помощью подсистемы с учетом контекста, которая считает:

• Контекст среды: конфигурация ресурсов, топология сети и состояние безопасности
• Факторы эксплуатируемости: как легко злоумышленник может воспользоваться уязвимостью
• Влияние на бизнес: потенциальные последствия, если проблема безопасности была использована
• Поверхность атаки: уровень уязвимости ресурса к потенциальным угрозам
• Анализ узкого места: является ли ресурс критической точкой в потенциальных маршрутах атаки

Уровни риска на портале Defender

Рекомендации на портале Defender классифицируются на пять уровней риска:

• Критическое: наиболее серьезные проблемы с безопасностью с немедленной эксплуатируемостью и высоким уровнем влияния на бизнес, требующие срочного внимания
• Высокий: значительные риски безопасности, которые должны быть решены быстро, но могут не требовать немедленного действия.
• Средний: умеренные проблемы безопасности, которые можно решить в рамках регулярного обслуживания безопасности
• Низкий: незначительные проблемы безопасности, которые можно устранить в удобном режиме во время обычных операций
• Не оценено: рекомендации, которые не были оценены рисками, как правило, из-за ограничений покрытия ресурсов

Расширенные сведения о рекомендациях

Каждая рекомендация на портале Defender предоставляет полный контекст риска:

• Сводка по оценке рисков: общий расчет рисков и факторы, влияющие на них
• Сопоставление поверхностей атак: визуальное представление о том, как ресурс связан с потенциальными сценариями атак
• Корреляция инициатив: подключение к более широким инициативам безопасности и платформам соответствия требованиям
• Связи CVE: ссылки на соответствующие общие уязвимости и воздействия при необходимости
• Исторический контекст: тенденции и изменения уровней риска с течением времени

Вы можете взаимодействовать с рекомендациями несколькими способами. Если параметр недоступен, это означает, что это не относится к рекомендации.

1. Войдите на портал Azure.

2. Перейдите в Defender для облака>Рекомендации.

3. Выберите рекомендацию.

4. В Предпримите действия:

   • Исправление. Описание действий вручную, необходимых для устранения проблемы безопасности в затронутых ресурсах. Для рекомендаций с параметром «Исправление» вы можете выбрать Просмотр логики исправления перед применением предлагаемого исправления к вашим ресурсам.
   • Владелец рекомендаций и дата выполнения. Если включить правило управления для рекомендации, можно назначить владельца и дату выполнения.
   • Исключение. Вы можете исключить ресурсы из рекомендации или отключить определенные результаты с помощью правил отключения.
   • Автоматизация рабочих процессов: настройте приложение логики для активации с помощью рекомендации.

   

5. В результатах можно просмотреть связанные результаты по серьезности.

   

6. В Graph вы можете просматривать и исследовать весь контекст, используемый для приоритизации рисков, включая пути атаки. Узел можно выбрать в пути атаки, чтобы просмотреть сведения о выбранном узле.

   

7. Чтобы просмотреть дополнительные сведения, выберите узел.

   

8. Выберите Insights.

9. Чтобы просмотреть сведения, выберите уязвимость в раскрывающемся меню.

   

10. (Необязательно) Чтобы просмотреть связанную страницу рекомендаций, нажмите кнопку "Открыть страницу уязвимости".

11. Исправьте рекомендацию.

На портале Defender можно взаимодействовать с рекомендациями несколькими способами с помощью интерфейса управления экспозицией. Выбрав рекомендацию на вкладке"Рекомендации > экспозицией", вы можете ознакомиться с подробными> и принять меры.

Применение фильтров и наборов фильтров, таких как предоставленный ресурс, факторы риска активов, среда, рабочая нагрузка, зрелость рекомендаций и другие.

В области навигации слева можно просмотреть все рекомендации или просмотреть по определенной категории.

Существуют отдельные представления для типов проблем:

• Неправильные конфигурации
• Уязвимые места
• Открытые секреты

Для каждого представления вы увидите оценку безопасности облака, историю оценки, рекомендации по уровню риска и как вычисляется риск.

Интеграция Defender для Облака на портале Defender также позволяет получить доступ к улучшенным облачным рекомендациям через единый интерфейс:

Основные улучшения в опыте облачных рекомендаций включают:

• Факторы риска для каждого ресурса: оценка более широкого контекста воздействия каждой рекомендации для обоснованных решений
• Оценка на основе рисков: новая оценка, которая взвешивает рекомендации на основе серьезности, контекста активов и потенциального влияния
• Расширенные данные: основные данные рекомендаций из рекомендаций Azure, обогащенные дополнительными полями и возможностями из управления экспозицией
• Приоритеты по критическим вопросам: большее внимание уделяется критическим проблемам, которые представляют собой самый высокий риск для вашей организации.

Унифицированный интерфейс гарантирует контекстуализацию рекомендаций по безопасности облака в более широком ландшафте безопасности, что обеспечивает более информированное принятие решений и эффективные рабочие процессы исправления.

Групповые рекомендации по названию

Вы можете группировать рекомендации по заголовку с помощью страницы рекомендаций Defender для облака. Эта функция полезна, если требуется устранить рекомендацию, которая влияет на несколько ресурсов из-за конкретной проблемы безопасности.

1. Войдите на портал Azure.

2. Перейдите в Defender для облака>Рекомендации.

3. Выберите группу по названию.

   

Управляйте назначенными рекомендациями

Defender for Cloud поддерживает правила управления рекомендациями. Вы можете назначить ответственного за выполнение рекомендации или указать срок выполнения. Вы можете обеспечить подотчетность с помощью правил управления, которые также поддерживают соглашение об уровне обслуживания (SLA) для рекомендаций.

• Рекомендации отображаются как «Вовремя» до истечения их срока действия. Затем они меняются на Просрочено.
• Если рекомендация не классифицируется как просроченная, она не влияет на оценку безопасности Майкрософт.
• Вы также можете применить льготный период, чтобы просроченные рекомендации не влияли на оценку безопасности.

Узнайте больше о настройке правил управления.

Чтобы просмотреть все назначенные рекомендации, выполните следующее:

1. Войдите на портал Azure.

2. Перейдите в Defender для облака>Рекомендации.

3. Выберите Добавить фильтр>Владелец.

4. Выберите запись пользователя.

5. Выберите Применить.

6. В результатах рекомендаций просмотрите рекомендации, включая затронутые ресурсы, факторы риска, пути атаки, даты выполнения и состояние.

7. Выберите рекомендацию для дальнейшего просмотра.

Чтобы внести изменения в назначение, выполните следующие действия.

1. Перейдите к Take action>Изменить владельца и дату выполнения.

2. Выберите "Изменить назначение" , чтобы изменить владельца рекомендации или дату выполнения.

3. Если выбрать новую дату исправления, укажите, почему исправление должно быть завершено по этой дате в обоснование.   

4. Выберите Сохранить.

   Замечание

   При изменении ожидаемой даты завершения срок выполнения рекомендации не изменяется, но партнеры по безопасности могут видеть, что планируется обновить ресурсы по указанной дате.

По умолчанию владелец ресурса получает еженедельное сообщение электронной почты, отображающее все рекомендации, назначенные им.

Вы также можете использовать параметр "Задать уведомления электронной почты ", чтобы:

• Переопределите установленную по умолчанию еженедельную электронную почту владельца.
• Уведомляйте владельцев еженедельно со списком открытых или просроченных задач.
• Уведомите прямого руководителя владельца об открытом списке задач.

Просмотр рекомендаций в Azure Resource Graph

Вы можете использовать Azure Resource Graph, чтобы написать запрос на языке запросов Kusto (KQL) для анализа данных о безопасности в облаке из Defender по нескольким подпискам. Azure Resource Graph позволяет эффективно запрашивать данные в разных облачных средах, просматривая, фильтруя, группирование и сортировку данных.

1. Войдите на портал Azure.

2. Перейдите в Defender для облака>Рекомендации.

3. Выберите рекомендацию.

4. Выберите Открыть запрос.

5. Запрос можно открыть одним из двух способов:

   • Запрос, возвращающий затронутый ресурс: возвращает список всех ресурсов, влияющих на рекомендацию.
   • Запрос, возвращающий результаты безопасности: возвращает список всех проблем безопасности, обнаруженных рекомендацией.

6. Выберите выполнить запрос.

   

7. Проверка результатов.

Как классифицируются рекомендации?

Каждая рекомендация безопасности в Defender для Cloud получает одну из трех оценок серьезности.

Высокая степень тяжести

Рекомендуется немедленно обратиться к этим рекомендациям. Они указывают на то, что существует критическая уязвимость безопасности, которую злоумышленник может использовать для получения несанкционированного доступа к системам или данным.

Примеры рекомендаций высокого уровня серьезности:

• Незащищенные секреты на компьютере.
• Слишком либеральные правила безопасности для входящего сетевого трафика.
• Кластеры, позволяющие развертывать образы из ненадежных реестров.
• Неограниченный общедоступный доступ к учетным записям хранения или базам данных.

Средняя степень тяжести

Эти рекомендации указывают на потенциальный риск безопасности. Мы рекомендуем своевременно решить эти рекомендации, но они могут не требовать немедленного внимания.

Ниже приведены примеры рекомендаций по средней серьезности.

• Контейнеры, использующие конфиденциальные пространства имен узлов.
• Веб-приложения, которые не используют управляемые удостоверения.
• Компьютеры Linux, не требующие ключей SSH во время проверки подлинности.
• Неиспользуемые учетные данные остаются в системе через 90 дней бездействия.

Низкий уровень серьезности

Эти рекомендации указывают на относительно незначительные проблемы безопасности, которые можно устранить в удобном режиме.

Ниже приведены примеры рекомендаций с низкой степенью серьезности.

• Использование локальной проверки подлинности вместо идентификатора Microsoft Entra.
• Проблемы со работоспособностью решения для защиты конечных точек.
• Пользователи не следуют лучшим практикам с сетевыми группами безопасности.
• Неправильно настроенные параметры ведения журнала, которые могут усложнить обнаружение и реагирование на инциденты безопасности.

Внутренние политики организации могут отличаться от классификации майкрософт конкретной рекомендации. Мы рекомендуем всегда тщательно проверять каждую рекомендацию и учитывать её потенциальное влияние на состояние безопасности, прежде чем решить, как действовать.

Пример

В этом примере на странице сведений о рекомендациях показаны 15 затронутых ресурсов:

При открытии и запуске базового запроса Обозреватель ресурсов Azure возвращает те же затронутые ресурсы для этой рекомендации.