Preparar-se para a desativação do agente do Log Analytics

O agente do Log Analytics, também conhecido como MMA (Microsoft Monitoring Agent), será desativado em agosto de 2024. Como resultado, o Defender para servidores e o Defender para SQL em planos de máquinas no Microsoft Defender para Nuvem serão atualizados, e os recursos que dependem do agente do Log Analytics serão reprojetados.

Este artigo resume os planos para a desativação do agente.

Preparação do Defender para servidores

O plano do Defender para servidores usa o agente do Log Analytics em GA (disponibilidade geral) e no AMA para alguns recursos (em versão prévia). Veja o que está acontecendo com esses recursos daqui para frente:

Para simplificar a integração, todos os recursos e as funcionalidades de segurança do Defender para Servidores serão fornecidos com um único agente (Microsoft Defender para Ponto de Extremidade), complementado pela verificação de computador sem agente, sem nenhuma dependência no agente do Log Analytics ou AMA.

• Os recursos do Defender para servidores, que são baseados na AMA, estão atualmente em versão prévia e não serão lançados em GA. 
• Os recursos na versão prévia que dependem do AMA permanecem com suporte até que uma versão alternativa do recurso seja fornecida, que vai depender da integração do Defender para Ponto de Extremidade ou do recurso de verificação de computador sem agente.
• Ao habilitar a integração do Defender para Ponto de Extremidade e o recurso de verificação de computador sem agente antes que a substituição ocorra, a implantação do Defender para servidores permanecerá atualizada e com suporte.

Funcionalidade do recurso

A tabela a seguir resume como os recursos do Defender para servidores serão fornecidos. A maioria dos recursos já está disponível em geral usando a integração do Defender para Ponto de Extremidade ou a verificação de computador sem agente. O restante dos recursos estará disponível em GA quando o MMA for desativado ou será preterido.

O benefício de 500 MB para ingestão de dados

Para preservar os 500 MB de permissão de ingestão gratuita de dados para os tipos de dados com suporte, você precisa migrar do MMA para o AMA.

Saiba mais sobre como implantar o AMA.

Para SQL Servers nos computadores, recomendamos migrar para o processo de provisionamento automático do AMA (agente do Azure Monitor) direcionado ao SQL Server.

Alterações na integração herdada do Plano 2 do Defender para servidores por meio do agente do Log Analytics

A abordagem herdada para integrar servidores ao Plano 2 do Defender para servidores com base no agente do Log Analytics e no uso de workspaces do Log Analytics também está definida:

• A experiência de integração para integração de novos computadores não Azure ao Defender para servidores usando agentes e workspaces do Log Analytics é removida das folhas Inventário e Introdução no portal do Defender para Nuvem.

• Para evitar a perda de cobertura de segurança nas máquinas afetadas conectadas a um workspace do Log Analytics, com a desativação do Agente:

• Se você integrou servidores que não são do Azure (locais e multinuvem) usando a abordagem herdada, agora você deve conectar esses computadores por meio de servidores habilitados para Azure Arc a assinaturas e conectores do Plano 2 do Defender para servidores do Azure. Saiba mais sobre como implantar computadores Arc em escala.

  • Se você usou a abordagem herdada para habilitar o Plano 2 do Defender para servidores em VMs do Azure selecionadas, recomendamos habilitar o Plano 2 do Defender para servidores nas assinaturas do Azure desses computadores. Você pode então excluir máquinas individuais da cobertura do Defender for Servers usando o Defender para servidores configuração por recurso.

Este é um resumo da ação necessária para cada um dos servidores integrados ao Plano 2 do Defender para servidores por meio da abordagem herdada:

Experiência de recomendações de proteção de ponto de extremidade – alterações e diretrizes de migração

As recomendações e a descoberta de ponto de extremidade são fornecidas atualmente pelos planos do CSPM básico do Defender para Nuvem e do Defender para servidores usando o agente do Log Analytics em GA ou na versão prévia por meio do AMA. Essa experiência será substituída por recomendações de segurança coletadas usando a verificação de computador sem agente.

As recomendações de proteção de ponto de extremidade são construídas em dois estágios. O primeiro estágio é a descoberta de uma solução de detecção e resposta de ponto de extremidade. A segunda é a avaliação da configuração da solução. As tabelas a seguir fornecem detalhes das experiências atuais e novas para cada fase.

Saiba como gerenciar as novas recomendações de detecção e resposta de ponto de extremidade (sem agente).

Solução de detecção e resposta de ponto de extremidade – descoberta

Solução de detecção e resposta de ponto de extremidade – avaliação de configuração

Quais recomendações estão sendo preteridas?

A tabela a seguir resume o cronograma das recomendações que estão sendo preteridas e substituídas.

A experiência de novas recomendações com base na verificação de computador sem agente dará suporte ao sistema operacional Windows e Linux em computadores multinuvem.

Como a substituição funcionará?

• As recomendações atuais fornecidas pelo Agente do Log Analytics ou pelo AMA serão preteridas ao longo do tempo.
• Algumas dessas recomendações existentes serão substituídas por novas recomendações com base na verificação de computador sem agente.
• As recomendações atualmente em GA permanecem em vigor até que o agente do Log Analytics seja desativado.
• As recomendações que estão atualmente em versão prévia serão substituídas quando a nova recomendação estiver disponível na versão prévia.

O que está acontecendo com a classificação de segurança?

• As recomendações que estão atualmente em GA continuarão a afetar a pontuação segura. 
• As novas recomendações atuais e futuras estão localizadas no mesmo controle do Microsoft Cloud Security Benchmark, garantindo que não haja nenhum impacto duplicado na pontuação segura.

Como me preparar para as novas recomendações?

• Verifique se a verificação de computador sem agente está habilitada como parte do Plano 2 do Defender para servidores ou do GPSN do Defender.
• Se for adequado para seu ambiente, para melhor experiência, recomendamos remover recomendações preteridas quando a recomendação de GA de substituição estiver disponível. Para fazer isso, desabilite a recomendação na iniciativa interna do Defender para Nuvem no Azure Policy.

Experiência de Monitoramento de Integridade do Arquivo – alterações e diretrizes de migração

O Plano 2 do Microsoft Defender para Servidores agora oferece uma nova solução de FIM (Monitoramento de Integridade de arquivos) alimentada pela integração do MDE (Microsoft Defender para Ponto de Extremidade). Depois que o FIM alimentado pelo MDE for público, o FIM alimentado pela experiência AMA no portal do Defender para Nuvem será removido. Em novembro, o FIM, ativado pelo MMA, será preterido.

Migração do FIM por AMA

Se você usa o FIM por AMA simultaneamente:

• A integração de novas assinaturas ou servidores ao FIM com base em AMA e na extensão de controle de alterações, bem como a exibição de alterações, não estará mais disponível por meio do portal do Defender para Nuvem a partir de 30 de maio.

• Se quiser continuar consumindo eventos FIM coletados por AMA, você poderá se conectar manualmente ao workspace relevante e exibir alterações na tabela de Controle de Alterações com a seguinte consulta:

  ConfigurationChange
  
  | where TimeGenerated > ago(14d)
  
  | where ConfigChangeType in ('Registry', 'Files') 
  
  | summarize count() by Computer, ConfigChangeType
  

• Se quiser continuar integrando novos escopos ou configurando regras de monitoramento, você poderá usar manualmente as Regras de Conexão de Dados para configurar ou personalizar vários aspectos da coleta de dados.

• O Microsoft Defender para Nuvem recomenda desabilitar o FIM por AMA e integrar seu ambiente à nova versão do FIM com base no Defender para Ponto de Extremidade após o lançamento.

Desabilitar o FIM por AMA

Para desabilitar o FIM por AMA, remova a solução de Controle de Alterações do Azure. Para obter mais informações, consulte Remover solução de controle de alterações.

Como alternativa, você pode remover as DCRs (regras de coleta de dados) de controle de alterações de arquivo relacionadas. Para obter mais informações, consulte Remove-AzDataCollectionRuleAssociation ou Remove-AzDataCollectionRule.

Depois de desabilitar a coleção de eventos de arquivo usando um dos métodos acima:

• Novos eventos deixarão de ser coletados no escopo selecionado.
• Os eventos históricos que já foram coletados permanecem armazenados no workspace relevante na tabela ConfigurationChange na seção Controle de Alterações. Esses eventos permanecerão disponíveis no workspace relevante de acordo com o período de retenção definido neste workspace. Para obter mais informações, consulte Como a retenção e o arquivamento funcionam.

Migração do FIM por meio do Agente do Log Analytics (MMA)

Se você atualmente usa o FIM por meio do Agente do Log Analytics (MMA):

• O Monitoramento de Integridade do Arquivo com base no Agente do Log Analytics (MMA) será preterido no final de novembro de 2024.

• O Microsoft Defender para Nuvem recomenda desabilitar o FIM por meio do MMA e integrar seu ambiente à nova versão do FIM com base no Defender para Ponto de Extremidade após o lançamento.

Desabilitar o FIM por meio do MMA

Para desabilitar o FIM por meio do MMA, remova a solução de Controle de Alterações do Azure. Para obter mais informações, consulte Remover solução de controle de alterações.

Depois de desabilitar a coleção de eventos de arquivo:

• Novos eventos deixarão de ser coletados no escopo selecionado.
• Os eventos históricos que já foram coletados permanecem armazenados no workspace relevante na tabela ConfigurationChange na seção Controle de Alterações. Esses eventos permanecerão disponíveis no workspace relevante de acordo com o período de retenção definido neste workspace. Para obter mais informações, consulte Como a retenção e o arquivamento funcionam.

Experiência de linha de base

O recurso de configuração incorreta de linhas de base em VMs foi projetado para garantir que suas VMs estejam em conformidade com as melhores práticas de segurança e políticas organizacionais. A configuração incorreta de linhas de base avalia a configuração de suas VMs em relação às linhas de base de segurança predefinidas e identifica quaisquer desvios ou configurações incorretas que podem representar um risco para seu ambiente.

As informações do computador são coletadas para avaliação usando o agente do Log Analytics – também conhecido como Microsoft Monitoring Agent (MMA). O MMA está previsto para ser preterido em novembro de 2024, e as seguintes alterações ocorrerão:

• As informações do computador serão coletadas usando a configuração de convidado do Azure Policy.

• As seguintes políticas do Azure estão habilitadas com a configuração de convidado do Azure Policy:

  • "Os computadores Windows devem atender aos requisitos da linha de base de segurança de computação do Azure"
  • "Os computadores Linux devem atender aos requisitos da linha de base de segurança de computação do Azure"

  Observação

  Se você remover essas políticas, não será possível acessar os benefícios da extensão de configuração de convidado do Azure Policy.

• As recomendações do sistema operacional com base nas linhas de base de segurança de computação não serão mais incluídas no GPSN fundamental do Defender para Nuvem. Essas recomendações estarão disponíveis quando você Habilitar o Plano 2 do Defender para servidores.

Examine a Página de preços do Defender para Nuvem para saber mais sobre as informações de preços do Plano 2 do Defender para servidores.

As recomendações fornecidas pelo MCSB que não fazem parte das linhas de base de segurança de computação do Windows e Linux continuarão a fazer parte do GPSN fundamental gratuito.

Instalar a configuração de convidado do Azure Policy

Para continuar recebendo a experiência de linha de base, você precisa habilitar o Plano 2 do Defender para servidores e instalar a configuração de convidado do Azure Policy. Isso garantirá que você continue recebendo as mesmas recomendações e orientações de proteção que você vem recebendo por meio da experiência de linha de base.

Dependendo do seu ambiente, talvez seja necessário executar as seguintes etapas:

1. Examine a matriz de suporte da configuração de convidado do Azure Policy.

2. Instale a configuração de convidado do Azure Policy em seus computadores.

   • Computadores do Azure: no portal do Defender para Nuvem, na página de recomendações, pesquise e selecione A extensão configuração de convidado deve ser instalada nos computadores e corrija a recomendação.

   • (Somente VMs do Azure) Você deve atribuir uma identidade gerenciada.

     • No portal do Defender para Nuvem, na página de recomendações, pesquise e selecione A extensão de Configuração de Convidado das máquinas virtuais deve ser implantada com a identidade gerenciada atribuída pelo sistema e Corrija a recomendação.

   • (Somente VMs do Azure) Opcional: para provisionar automaticamente a configuração de convidado do Azure Policy em toda a sua assinatura, você pode habilitar o agente de Configuração de convidado (versão prévia).

     • Para habilitar o agente de Configuração de convidado:
       1. Entre no portal do Azure.
       2. Navegue até as Configurações de ambiente>Sua assinatura>Configurações e monitoramento.
       3. Em Configurações, selecione Configuração de convidado.
       4. Alterne o agente de Configuração de convidado (versão prévia) para Ativado.
       5. Selecione Continuar.

   • GCP e AWS: a configuração de convidado do Azure Policy é instalada automaticamente quando você Conecta o seu projeto do GCP ou Conecta suas contas do AWS com o provisionamento automático do Azure Arc habilitado, para o Defender para Nuvem.

   • Computadores locais: a configuração de convidado do Azure Policy é habilitada por padrão quando você integra computadores locais como máquinas ou VMs habilitadas para Azure Arc.

Depois de concluir as etapas necessárias para instalar a configuração de convidado do Azure Policy, você obterá automaticamente acesso aos recursos de linha de base com base na configuração de convidado do Azure Policy. Isso garantirá que você continue recebendo as mesmas recomendações e orientações de proteção que você vem recebendo por meio da experiência de linha de base.

Alterações nas recomendações

Com a substituição do MMA, as seguintes recomendações baseadas no MMA serão preteridas:

• Os computadores devem ser configurados com segurança
• O provisionamento automático do agente do Log Analytics deve ser habilitado em assinaturas

As recomendações preteridas serão substituídas pelas seguintes recomendações de base de configuração de convidado do Azure Policy:

• É preciso corrigir as vulnerabilidades da configuração de segurança dos computadores Windows (com auxílio da Configuração de Convidado)
• É preciso corrigir as vulnerabilidades da configuração de segurança dos computadores Linux (com auxílio da Configuração de Convidado)
• A extensão de Configuração de Convidado deve ser instalada nos computadores

Recomendações duplicadas

Quando você habilita o Defender para Nuvem em uma assinatura do Azure, o Microsoft Cloud Security Benchmark (MCSB), incluindo linhas de base de segurança de computação que avaliam a conformidade do sistema operacional do computador, é habilitado como um padrão de conformidade. O gerenciamento da postura de segurança na nuvem (GPSN) grátis no Defender para Nuvem faz recomendações de segurança com base no MCSB.

Se um computador estiver executando a configuração de convidado do MMA e do Azure Policy, você verá recomendações duplicadas. A duplicação de recomendações ocorre porque ambos os métodos estão em execução ao mesmo tempo e produzem as mesmas recomendações. Essas duplicatas afetarão a sua Classificação de segurança e conformidade.

Como uma solução alternativa, você pode desabilitar as recomendações do MMA, "As máquinas devem ser configuradas com segurança" e "O provisionamento automático do agente do Log Analytics deve ser habilitado nas assinaturas", navegando até a página de conformidade regulatória no Defender para Nuvem.

Depois de localizar a recomendação, você deve selecionar os computadores relevantes e isentá-los.

Algumas das regras de configuração de linha de base alimentadas pela ferramenta de configuração de convidado do Azure Policy são mais atuais e oferecem uma cobertura mais ampla. Como resultado, a transição para o recurso Linhas de Base da plataforma de configuração de convidado do Azure Policy pode afetar seu status de conformidade, pois ela inclui verificações que podem não ter sido executadas anteriormente.

Recomendações de consulta

Com a desativação do MMA, o Defender para Nuvem não consulta mais as recomendações por meio das informações do workspace do Log Analytics. Em vez disso, o Defender para Nuvem agora usa o Azure Resource Graph para API e consultas de portal para consultar informações de recomendação.

Veja a seguir 2 consultas de exemplo que você pode usar:

• Consultar todas as regras de não íntegro para um recurso específico

  Securityresources 
  | where type == "microsoft.security/assessments/subassessments" 
  | extend assessmentKey=extract(@"(?i)providers/Microsoft.Security/assessments/([^/]*)", 1, id) 
  | where assessmentKey == '1f655fb7-63ca-4980-91a3-56dbc2b715c6' or assessmentKey ==  '8c3d9ad0-3639-4686-9cd2-2b2ab2609bda' 
  | parse-where id with machineId:string '/providers/Microsoft.Security/' * 
  | where machineId  == '{machineId}'
  

• Todas as regras de não íntegro e o valor se houver computadores não íntegros para cada

  securityresources 
  | where type == "microsoft.security/assessments/subassessments" 
  | extend assessmentKey=extract(@"(?i)providers/Microsoft.Security/assessments/([^/]*)", 1, id) 
  | where assessmentKey == '1f655fb7-63ca-4980-91a3-56dbc2b715c6' or assessmentKey ==  '8c3d9ad0-3639-4686-9cd2-2b2ab2609bda' 
  | parse-where id with * '/subassessments/' subAssessmentId:string 
  | parse-where id with machineId:string '/providers/Microsoft.Security/' * 
  | extend status = tostring(properties.status.code) 
  | summarize count() by subAssessmentId, status
  

Preparação do Microsoft Defender para SQL em computadores

Você pode saber mais sobre o plano de substituição do Defender para SQL Server em computadores do agente do Log Analytics.

Se você estiver usando o atual processo de provisionamento automático do agente do Log Analytics/Azure Monitor, deverá migrar para o novo Agente de Monitoramento do Azure para SQL Server no processo de provisionamento automático de computadores. O processo de migração é contínuo e fornece proteção contínua para todas as máquinas.

Migrar para o processo de provisionamento automático do AMA direcionado ao SQL Server

1. Entre no portal do Azure.

2. Pesquise pelo Microsoft Defender para Nuvem e selecione-o.

3. No menu do Defender para Nuvem, selecione Configurações de ambiente.

4. Selecione a assinatura relevante.

5. No plano Bancos de dados, selecione Ação necessária.

   

6. Na janela pop-up, selecione Habilitar.

   

7. Selecione Salvar.

Depois que o processo de provisionamento automático do AMA direcionado ao SQL Server for habilitado, você deverá desabilitar o processo de provisionamento automático do agente do Log Analytics/agente do Azure Monitor e desinstalar o MMA em todos os servidores SQL:

Para desabilitar o agente do Log Analytics:

1. Entre no portal do Azure.

2. Pesquise pelo Microsoft Defender para Nuvem e selecione-o.

3. No menu do Defender para Nuvem, selecione Configurações de ambiente.

4. Selecione a assinatura relevante.

5. No plano Banco de dados, selecione Configurações.

6. Coloque o agente do Log Analytics como Desativado.

   

7. Selecione Continuar.

8. Selecione Salvar.

Planejamento da migração

Recomendamos que você planeje a migração do agente de acordo com seus requisitos de negócios. A tabela resume nossas diretrizes.

Próxima etapa