Kontrola doporučení zabezpečení

V Programu Microsoft Defender pro cloud se prostředky a úlohy posuzují na základě předdefinovaných a vlastních standardů zabezpečení povolených v předplatných Azure, účtech AWS a projektech GCP. Na základě těchto posouzení doporučení zabezpečení poskytují praktické kroky k nápravě problémů se zabezpečením a zlepšení stavu zabezpečení.

Defender for Cloud proaktivně využívá dynamický modul, který vyhodnocuje rizika ve vašem prostředí a bere v úvahu potenciál zneužití a potenciální obchodní dopad na vaši organizaci. Modul upřednostňuje doporučení zabezpečení na základě rizikových faktorů jednotlivých prostředků, které jsou určeny kontextem prostředí, včetně konfigurace prostředku, síťových připojení a stavu zabezpečení.

Požadavky

• Ve svém prostředí musíte povolit csPM v programu Defender.

Kontrola podrobností o doporučení

Než se pokusíte porozumět procesu potřebnému k vyřešení doporučení, je důležité si projít všechny podrobnosti související s doporučením. Před vyřešením doporučení doporučujeme zajistit správnost všech podrobností doporučení.

Kontrola podrobností o doporučení:

1. Přihlaste se k portálu Azure.

2. Přejděte do programu Defender for Cloud>Recommendations.

3. Vyberte doporučení.

4. Na stránce doporučení si projděte podrobnosti:

   • Úroveň rizika – zneužitelnost a obchodní dopad základního problému zabezpečení s ohledem na kontext zdrojů životního prostředí, jako je například vystavení internetu, citlivá data, laterální pohyb a další.
   • Rizikové faktory – environmentální faktory prostředku ovlivněného doporučením, které ovlivňují zneužitelnost a obchodní dopad základního problému zabezpečení. Mezi příklady rizikových faktorů patří ohrožení internetu, citlivá data, potenciál laterálního pohybu.
   • Prostředek – název ovlivněného prostředku.
   • Stav – stav doporučení. Například nepřiřazeno, včas, po termínu.
   • Popis – stručný popis problému se zabezpečením.
   • Cesty útoku – počet cest útoku.
   • Rozsah – ovlivněné předplatné nebo prostředek
   • Aktuálnost – interval aktuálnosti doporučení.
   • Datum poslední změny – datum poslední změny tohoto doporučení
   • Závažnost – závažnost doporučení (vysoká, střední nebo nízká). Další podrobnosti najdete níže.
   • Vlastník – osoba přiřazená k tomuto doporučení.
   • Termín splnění – Přiřazené datum, kterým musí být doporučení vyřešeno.
   • Taktiky a techniky – taktiky a techniky mapované na MITRE ATT&CK.

Prozkoumání doporučení

K interakci s doporučeními můžete provádět mnoho akcí. Pokud není dostupná možnost, není pro doporučení relevantní.

Prozkoumání doporučení:

1. Přihlaste se k portálu Azure.

2. Přejděte do programu Defender for Cloud>Recommendations.

3. Vyberte doporučení.

4. V doporučení můžete provést následující akce:

   • Výběrem možnosti Otevřít dotaz zobrazíte podrobné informace o ovlivněných prostředcích pomocí dotazu Azure Resource Graph Exploreru.

   • Výběrem možnosti Zobrazit definici zásad zobrazíte položku Azure Policy pro podkladové doporučení (pokud je to relevantní).

5. V akci:

   • Náprava: Popis ručních kroků potřebných k nápravě problému se zabezpečením u ovlivněných prostředků. U doporučení s možností Opravit můžete před použitím navrhované opravy u prostředků vybrat logiku zobrazit nápravu.

   • Přiřadit vlastníka a termín splnění: Pokud máte pro doporučení zapnuté pravidlo zásad správného řízení, můžete přiřadit vlastníka a termín splnění.

   • Výjimka: Prostředky můžete z doporučení vyloučit nebo zakázat konkrétní zjištění pomocí pravidel zákazu.

   • Automatizace pracovního postupu: Nastavte aplikaci logiky, která se má s tímto doporučením aktivovat.

   

6. V nástroji Findings můžete zkontrolovat přidružená zjištění podle závažnosti.

   

7. V Graphu můžete zobrazit a prozkoumat veškerý kontext, který se používá pro stanovení priority rizik, včetně cest útoku. Pokud chcete zobrazit podrobnosti vybraného uzlu, můžete vybrat uzel v cestě útoku.

   

8. Výběrem uzlu zobrazíte další podrobnosti.

   

9. Vyberte Přehledy.

10. V rozevírací nabídce ohrožení zabezpečení vyberte ohrožení zabezpečení, abyste zobrazili podrobnosti.

    

11. (Volitelné) Výběrem možnosti Otevřít stránku ohrožení zabezpečení zobrazte přidruženou stránku doporučení.

12. Opravte doporučení.

Seskupení doporučení podle názvu

Stránka doporučení Defenderu pro cloud umožňuje seskupit doporučení podle názvu. Tato funkce je užitečná, když chcete napravit doporučení, které má vliv na více prostředků způsobených konkrétním problémem se zabezpečením.

Seskupení doporučení podle názvu:

1. Přihlaste se k portálu Azure.

2. Přejděte do programu Defender for Cloud>Recommendations.

3. Vyberte Seskupovat podle názvu.

   

Správa doporučení přiřazených vám

Defender for Cloud podporuje pravidla zásad správného řízení pro doporučení, která určují vlastníka doporučení nebo termín splnění pro akci. Pravidla zásad správného řízení pomáhají zajistit odpovědnost a smlouvu SLA pro doporučení.

• Doporučení jsou uvedená včas, dokud se nepředá termín splnění, když se změní na Po splatnosti.
• Před překročením doporučení doporučení nemá doporučení vliv na skóre zabezpečení.
• Můžete také použít období odkladu, během kterého doporučení po uplynutí lhůty nebudou mít vliv na skóre zabezpečení.

Přečtěte si další informace o konfiguraci pravidel zásad správného řízení.

Správa doporučení přiřazených vám:

1. Přihlaste se k portálu Azure.

2. Přejděte do programu Defender for Cloud>Recommendations.

3. Vyberte Přidat vlastníka filtru>.

4. Vyberte položku uživatele.

5. Vyberte Použít.

6. Ve výsledcích doporučení zkontrolujte doporučení, včetně ovlivněných prostředků, rizikových faktorů, cest útoku, termínů splnění a stavu.

7. Vyberte doporučení, abyste ho mohli dále zkontrolovat.

8. V části Provést akci>Změnit vlastníka a termín splnění vyberte Upravit přiřazení a v případě potřeby změňte vlastníka doporučení a termín splnění.

   • Ve výchozím nastavení dostane vlastník prostředku týdenní e-mail se seznamem doporučení přiřazených k nim.
   • Pokud vyberete nové datum nápravy, v odůvodnění zadejte důvody nápravy do tohoto data.
   • V nastavení e-mailových oznámení můžete:
     • Přepište výchozí týdenní e-mail vlastníkovi.
     • Upozorněte vlastníky týdně se seznamem otevřených nebo pohlcených úkolů.
     • Upozorněte přímého nadřízený vlastníka pomocí otevřeného seznamu úkolů.

9. Zvolte Uložit.

Kontrola doporučení v Azure Resource Graphu

Pomocí Azure Resource Graphu můžete napsat dotazovací jazyk Kusto (KQL) k dotazování na data stavu zabezpečení cloudu v programu Defender pro více předplatných. Azure Resource Graph nabízí efektivní způsob, jak dotazovat v cloudových prostředích zobrazením, filtrováním, seskupováním a řazením dat.

Kontrola doporučení v Azure Resource Graphu:

1. Přihlaste se k portálu Azure.

2. Přejděte do programu Defender for Cloud>Recommendations.

3. Vyberte doporučení.

4. Vyberte Otevřít dotaz.

5. Dotaz můžete otevřít jedním ze dvou způsobů:

   • Dotaz vracející ovlivněný prostředek – vrátí seznam všech prostředků ovlivněných tímto doporučením.
   • Dotaz vracející zjištění zabezpečení – vrátí seznam všech problémů se zabezpečením nalezených doporučením.

6. Vyberte spustit dotaz.

   

7. Zkontrolujte výsledky.

Jak jsou doporučení klasifikovaná?

Každé doporučení zabezpečení z Defenderu pro cloud má přiřazené jedno ze tří hodnocení závažnosti:

• Vysoká závažnost: Tato doporučení by se měla okamžitě vyřešit, protože značí kritickou chybu zabezpečení, kterou by mohl útočník zneužít k získání neoprávněného přístupu k vašim systémům nebo datům. Mezi příklady doporučení s vysokou závažností patří zjištění nechráněných tajných kódů na počítači, příliš omezující příchozí pravidla NSG, clustery umožňující nasazení imagí z nedůvěryhodných registrů a neomezený veřejný přístup k účtům úložiště nebo databázím.

• Střední závažnost: Tato doporučení označují potenciální bezpečnostní riziko, které by se mělo řešit včas, ale nemusí vyžadovat okamžitou pozornost. Příkladem doporučení střední závažnosti můžou být kontejnery, které sdílejí citlivé obory názvů hostitele, webové aplikace nepoužívají spravované identity, počítače s Linuxem nevyžadují klíče SSH během ověřování a nepoužívané přihlašovací údaje zůstanou v systému po 90 dnech nečinnosti.

• Nízká závažnost: Tato doporučení značí relativně malý problém se zabezpečením, který je možné vyřešit při usnadnění. Mezi příklady doporučení s nízkou závažností může patřit potřeba zakázat místní ověřování ve prospěch Microsoft Entra ID, problémy se stavem vašeho řešení ochrany koncových bodů, osvědčené postupy, které se nedodržují skupin zabezpečení sítě nebo nesprávně nakonfigurovaná nastavení protokolování, která by mohla znesnadnit detekci bezpečnostních incidentů a reagovat na ně.

Interní zobrazení organizace se samozřejmě můžou lišit podle klasifikace konkrétního doporučení od Microsoftu. Proto je vždy vhodné pečlivě zkontrolovat každé doporučení a zvážit jeho potenciální dopad na stav zabezpečení, než se rozhodnete, jak ho řešit.

Příklad

V tomto příkladu se na této stránce s podrobnostmi o doporučení zobrazuje 15 ovlivněných prostředků:

Když otevřete podkladový dotaz a spustíte ho, Azure Resource Graph Explorer vrátí stejné ovlivněné prostředky pro toto doporučení.

Další krok