Preparar a desativação do agente do Log Analytics

O agente do Log Analytics, também conhecido como Microsoft Monitoring Agent (MMA), será aposentado em novembro de 2024. Como resultado, os planos Defender for Servers e Defender for SQL em máquinas no Microsoft Defender for Cloud serão atualizados e os recursos que dependem do agente do Log Analytics serão redesenhados.

Este artigo resume os planos para a aposentadoria do agente.

Preparando o Defender para servidores

O plano do Defender for Servers usa o agente do Log Analytics em disponibilidade geral (GA) e no AMA para alguns recursos (em visualização). Veja o que está acontecendo com esses recursos no futuro:

Para simplificar a integração, todos os recursos e capacidades de segurança do Defender for Servers serão fornecidos com um único agente (Microsoft Defender for Endpoint), complementado pela verificação de máquina sem agente, sem qualquer dependência do agente do Log Analytics ou da AMA.

• Os recursos do Defender for Servers, que são baseados no AMA, estão atualmente em visualização e não serão lançados no GA. 
• Os recursos na visualização que dependem do AMA permanecem suportados até que uma versão alternativa do recurso seja fornecida, que dependerá da integração do Defender for Endpoint ou do recurso de verificação de máquina sem agente.
• Ao habilitar a integração do Defender for Endpoint e o recurso de verificação de máquina sem agente antes que a descontinuação ocorra, sua implantação do Defender for Servers estará atualizada e terá suporte.

Funcionalidade do recurso

A tabela a seguir resume como os recursos do Defender for Servers serão fornecidos. A maioria dos recursos já está disponível em geral usando a integração do Defender for Endpoint ou a verificação de máquina sem agente. O restante dos recursos estará disponível no GA quando o MMA for aposentado ou será preterido.

O benefício de 500 MB para ingestão de dados

Para preservar os 500 MB de permissão de ingestão de dados gratuitos para os tipos de dados suportados, você precisa migrar do MMA para o AMA.

Saiba mais sobre como implantar o AMA.

Para servidores SQL em máquinas, recomendamos migrar para o processo de autoprovisionamento do Azure Monitoring Agent (AMA) direcionado ao SQL Server.

Alterações na integração do Plano 2 do Defender for Servers herdado por meio do agente do Log Analytics

A abordagem herdada para integrar servidores ao Defender for Servers Plan 2 com base no agente do Log Analytics e usando espaços de trabalho do Log Analytics também está definida para desativação:

• A experiência de integração para integrar novas máquinas que não sejam do Azure ao Defender for Servers usando agentes e espaços de trabalho do Log Analytics é removida das folhas Inventário e Introdução no portal do Defender for Cloud.

• Para evitar perder a cobertura de segurança nas máquinas afetadas conectadas a um espaço de trabalho do Log Analytics, com a desativação do agente:

• Se você integrou servidores que não são do Azure (locais e multicloud) usando a abordagem herdada, agora deve conectar essas máquinas por meio de servidores habilitados para Azure Arc às assinaturas e conectores do Azure do Defender for Servers Plan 2. Saiba mais sobre como implantar máquinas Arc em escala.

  • Se você usou a abordagem herdada para habilitar o Defender for Servers Plan 2 em VMs do Azure selecionadas, recomendamos habilitar o Defender for Servers Plan 2 nas assinaturas do Azure para essas máquinas. Em seguida, você pode excluir máquinas individuais da cobertura do Defender for Servers usando a configuração por recurso do Defender for Servers.

Este é um resumo da ação necessária para cada um dos servidores integrados ao Defender for Servers Plan 2 por meio da abordagem herdada:

Experiência em recomendações de proteção de endpoint - alterações e orientações de migração

Atualmente, a descoberta e as recomendações de endpoint são fornecidas pelo Defender for Cloud Foundational CSPM e pelos planos do Defender for Servers usando o agente do Log Analytics no GA, ou em visualização via AMA. Essa experiência será substituída por recomendações de segurança que são coletadas usando a verificação de máquina sem agente.

As recomendações de proteção de endpoint são construídas em dois estágios. O primeiro estágio é a descoberta de uma solução de deteção e resposta de endpoint. O segundo é a avaliação da configuração da solução. As tabelas a seguir fornecem detalhes das experiências atuais e novas para cada etapa.

Saiba como gerenciar as novas recomendações de deteção e resposta de endpoint (sem agente).

Solução de deteção e resposta de endpoint - descoberta

Solução de deteção e resposta de endpoint - avaliação de configuração

Que recomendações estão a ser preteridas?

A tabela a seguir resume o cronograma para recomendações que estão sendo preteridas e substituídas.

A nova experiência de recomendações baseada na verificação de máquinas sem agente suporta sistemas operacionais Windows e Linux em máquinas multicloud.

Como funcionará a substituição?

• As recomendações atuais fornecidas pelo Log Analytics Agent ou pelo AMA serão preteridas ao longo do tempo.
• Algumas dessas recomendações existentes serão substituídas por novas recomendações baseadas na varredura de máquinas sem agente.
• As recomendações atualmente em GA permanecem em vigor até que o agente do Log Analytics se aposente.
• As recomendações que estão atualmente em pré-visualização serão substituídas quando a nova recomendação estiver disponível na pré-visualização.

O que está acontecendo com a pontuação segura?

• As recomendações que estão atualmente em AG continuarão a afetar a pontuação segura. 
• As novas recomendações atuais e futuras estão localizadas sob o mesmo controle do Microsoft Cloud Security Benchmark, garantindo que não haja impacto duplicado na pontuação segura.

Como me preparo para as novas recomendações?

• Certifique-se de que a verificação de máquina sem agente esteja habilitada como parte do Defender for Servers Plan 2 ou do Defender CSPM.
• Se adequado para o seu ambiente, para melhor experiência, recomendamos que você remova as recomendações preteridas quando a recomendação de GA de substituição estiver disponível. Para fazer isso, desative a recomendação na iniciativa interna do Defender for Cloud na Política do Azure.

Experiência em monitoramento de integridade de arquivos - alterações e diretrizes de migração

O Microsoft Defender for Servers Plan 2 agora oferece uma nova solução de monitoramento de integridade de arquivos (FIM) alimentada pela integração do Microsoft Defender for Endpoint (MDE). Assim que o FIM powered by MDE for público, a experiência FIM powered by AMA no portal Defender for Cloud será removida. Em novembro, o FIM powered by MMA será preterido.

Migração da FIM sobre AMA

Se você usa atualmente FIM sobre AMA:

• A integração de novas assinaturas ou servidores no FIM com base no AMA e na extensão de controle de alterações, bem como a visualização de alterações, não estarão mais disponíveis no portal do Defender for Cloud a partir de 30 de maio.

• Se quiser continuar consumindo eventos FIM coletados pela AMA, você pode se conectar manualmente ao espaço de trabalho relevante e exibir as alterações na tabela Controle de Alterações com a seguinte consulta:

  ConfigurationChange
  
  | where TimeGenerated > ago(14d)
  
  | where ConfigChangeType in ('Registry', 'Files') 
  
  | summarize count() by Computer, ConfigChangeType
  

• Se quiser continuar a integrar novos escopos ou configurar regras de monitoramento, você pode usar manualmente as Regras de Conexão de Dados para configurar ou personalizar vários aspetos da coleta de dados.

• O Microsoft Defender for Cloud recomenda desativar o FIM sobre AMA e integrar seu ambiente à nova versão do FIM baseada no Defender for Endpoint após o lançamento.

Desativando a MIF sobre AMA

Para desabilitar o FIM sobre AMA, remova a solução de Controle de Alterações do Azure. Para obter mais informações, consulte Remover a solução ChangeTracking.

Como alternativa, você pode remover as regras de coleta de dados (DCR) de controle de alterações de arquivo relacionadas. Para obter mais informações, consulte Remove-AzDataCollectionRuleAssociation ou Remove-AzDataCollectionRule.

Depois de desativar a coleção de eventos de arquivo usando um dos métodos acima:

• Novos eventos deixarão de ser coletados no escopo selecionado.
• Os eventos históricos que já foram coletados permanecem armazenados no espaço de trabalho relevante na tabela ConfigurationChange na seção Controle de Alterações . Esses eventos permanecerão disponíveis no espaço de trabalho relevante de acordo com o período de retenção definido neste espaço de trabalho. Para obter mais informações, consulte Como a retenção e o arquivamento funcionam.

Migração do FIM sobre o Log Analytics Agent (MMA)

Se você usa atualmente o FIM sobre o Log Analytics Agent (MMA):

• O monitoramento da integridade de arquivos com base no Log Analytics Agent (MMA) será preterido no final de novembro de 2024.

• O Microsoft Defender for Cloud recomenda desativar o FIM sobre MMA e integrar seu ambiente à nova versão do FIM baseada no Defender for Endpoint após o lançamento.

Desativando a MIF sobre o MMA

Para desabilitar o FIM sobre MMA, remova a solução de Controle de Alterações do Azure. Para obter mais informações, consulte Remover a solução ChangeTracking.

Depois de desativar a coleção de eventos de arquivo:

• Novos eventos deixarão de ser coletados no escopo selecionado.
• Os eventos históricos que já foram coletados permanecem armazenados no espaço de trabalho relevante na tabela ConfigurationChange na seção Controle de Alterações . Esses eventos permanecerão disponíveis no espaço de trabalho relevante de acordo com o período de retenção definido neste espaço de trabalho. Para obter mais informações, consulte Como a retenção e o arquivamento funcionam.

Experiência inicial

O recurso de configuração incorreta de linhas de base em VMs foi projetado para garantir que suas VMs adiram às práticas recomendadas de segurança e às políticas organizacionais. A configuração incorreta das linhas de base avalia a configuração de suas VMs em relação às linhas de base de segurança predefinidas e identifica quaisquer desvios ou configurações incorretas que possam representar um risco para seu ambiente.

As informações da máquina são coletadas para avaliação usando o agente do Log Analytics (também conhecido como agente de monitoramento da Microsoft (MMA)). O MMA está programado para ser preterido em novembro de 2024, e as seguintes mudanças ocorrerão:

• As informações da máquina serão coletadas usando a configuração de convidado da Política do Azure.

• As seguintes políticas do Azure são habilitadas com a configuração de convidado do Azure Policy:

  • "As máquinas Windows devem atender aos requisitos da linha de base de segurança de computação do Azure"
  • "As máquinas Linux devem atender aos requisitos da linha de base de segurança de computação do Azure"

  Nota

  Se você remover essas políticas, não poderá acessar os benefícios da extensão de configuração de convidado da Política do Azure.

• As recomendações do sistema operacional baseadas em linhas de base de segurança de computação não serão mais incluídas no CSPM básico do Defender for Cloud. Essas recomendações estarão disponíveis quando você ativar o Plano 2 do Defender for Servers.

Consulte a página de preços do Defender for Cloud para saber mais sobre as informações de preços do Plano 2 do Defender Servers.

As recomendações fornecidas pelo MCSB que não fazem parte das linhas de base de segurança computacional do Windows e Linux continuarão a fazer parte do CSPM básico gratuito.

Instalar a configuração de convidado da Política do Azure

Para continuar recebendo a experiência da linha de base, você precisa habilitar o Plano 2 do Defender for Servers e instalar a configuração de convidado da Política do Azure. Isso garantirá que você continue a receber as mesmas recomendações e orientações de proteção que tem recebido através da experiência inicial.

Dependendo do seu ambiente, talvez seja necessário seguir as seguintes etapas:

1. Analise a matriz de suporte para a configuração de convidado da Política do Azure.

2. Instale a configuração de convidado da Política do Azure em suas máquinas.

   • Máquinas do Azure: no portal do Defender for Cloud, na página de recomendações, procure e selecione a extensão Configuração de Convidado deve ser instalada em máquinas e corrija a recomendação.

   • (Somente VMs do Azure) Você deve Atribuir identidade gerenciada.

     • No portal do Defender for Cloud, na página de recomendações, pesquise e selecione A extensão Configuração de Convidado das máquinas virtuais deve ser implantada com identidade gerenciada atribuída ao sistema e corrija a recomendação.

   • (Somente VMs do Azure) Opcional: para provisionar automaticamente a configuração de convidado da Política do Azure em toda a sua assinatura, você pode habilitar o agente de Configuração de Convidado (visualização).

     • Para habilitar o agente de Configuração de Convidado:
       1. Inicie sessão no portal do Azure.
       2. Navegue até Configurações de>ambiente Suas configurações de assinatura>& Monitoramento.
       3. Selecione Configuração do convidado.
       4. Alterne o agente de Configuração de Convidado (visualização) para Ativado.
       5. Selecione Continuar.

   • GCP e AWS: a configuração de convidado do Azure Policy é instalada automaticamente quando você conecta seu projeto GCP ou conecta suas contas da AWS com o provisionamento automático do Azure Arc habilitado ao Defender for Cloud.

   • Máquinas locais: a configuração de convidado da Política do Azure é habilitada por padrão quando você integra máquinas locais como VMs ou máquinas habilitadas para Azure Arc.

Depois de concluir as etapas necessárias para instalar a configuração de convidado da Política do Azure, você obterá automaticamente acesso aos recursos de linha de base com base na configuração de convidado da Política do Azure. Isso garantirá que você continue a receber as mesmas recomendações e orientações de proteção que tem recebido através da experiência inicial.

Alterações às recomendações

Com a preterição do MMA, as seguintes recomendações baseadas em MMA devem ser preteridas:

• As máquinas devem ser configuradas de forma segura
• O provisionamento automático do agente do Log Analytics deve ser habilitado em assinaturas

As recomendações preteridas serão substituídas pelas seguintes recomendações de base de configuração de convidado da Política do Azure:

• As vulnerabilidades na configuração de segurança em suas máquinas Windows devem ser corrigidas (alimentadas pela Configuração de convidado)
• Vulnerabilidades na configuração de segurança em suas máquinas Linux devem ser corrigidas (alimentado pela Configuração de convidado)
• A extensão Configuração do Convidado deve ser instalada em máquinas

Recomendações duplicadas

Quando você habilita o Defender for Cloud em uma assinatura do Azure, o benchmark de segurança na nuvem da Microsoft (MCSB), incluindo linhas de base de segurança de computação que avaliam a conformidade do sistema operacional da máquina, é habilitado como um padrão de conformidade padrão. O CSPM (gerenciamento básico de postura de segurança na nuvem) gratuito no Defender for Cloud faz recomendações de segurança com base no MCSB.

Se uma máquina estiver executando o MMA e a configuração de convidado da Política do Azure, você verá recomendações duplicadas. A duplicação de recomendações ocorre porque ambos os métodos estão sendo executados ao mesmo tempo e produzindo as mesmas recomendações. Essas duplicatas afetarão sua Conformidade e Pontuação de Segurança.

Como solução alternativa, você pode desativar as recomendações do MMA, "As máquinas devem ser configuradas com segurança" e "O provisionamento automático do agente do Log Analytics deve ser habilitado em assinaturas", navegando até a página Conformidade regulatória no Defender for Cloud.

Depois de localizar a recomendação, você deve selecionar as máquinas relevantes e isentá-las.

Algumas das regras de configuração de linha de base fornecidas pela ferramenta de configuração de convidado da Política do Azure são mais atuais e oferecem uma cobertura mais ampla. Como resultado, a transição para o poder do recurso Linhas de Base pela configuração de convidado da Política do Azure pode afetar seu status de conformidade, pois eles incluem verificações que podem não ter sido executadas anteriormente.

Recomendações de consulta

Com a aposentadoria do MMA, o Defender for Cloud não consulta mais recomendações por meio das informações do espaço de trabalho do Log Analytic. Em vez disso, o Defender for Cloud agora usa o Azure Resource Graph for API e consultas de portal para consultar informações de recomendação.

Aqui estão 2 consultas de exemplo que você pode usar:

• Consultar todas as regras não íntegras para um recurso específico

  Securityresources 
  | where type == "microsoft.security/assessments/subassessments" 
  | extend assessmentKey=extract(@"(?i)providers/Microsoft.Security/assessments/([^/]*)", 1, id) 
  | where assessmentKey == '1f655fb7-63ca-4980-91a3-56dbc2b715c6' or assessmentKey ==  '8c3d9ad0-3639-4686-9cd2-2b2ab2609bda' 
  | parse-where id with machineId:string '/providers/Microsoft.Security/' * 
  | where machineId  == '{machineId}'
  

• Todas as regras insalubres e a quantidade se máquinas insalubres para cada uma

  securityresources 
  | where type == "microsoft.security/assessments/subassessments" 
  | extend assessmentKey=extract(@"(?i)providers/Microsoft.Security/assessments/([^/]*)", 1, id) 
  | where assessmentKey == '1f655fb7-63ca-4980-91a3-56dbc2b715c6' or assessmentKey ==  '8c3d9ad0-3639-4686-9cd2-2b2ab2609bda' 
  | parse-where id with * '/subassessments/' subAssessmentId:string 
  | parse-where id with machineId:string '/providers/Microsoft.Security/' * 
  | extend status = tostring(properties.status.code) 
  | summarize count() by subAssessmentId, status
  

Preparando o Defender para SQL em máquinas

Você pode saber mais sobre o plano de substituição do agente do Defender for SQL Server em máquinas do Log Analytics.

Se você estiver usando o processo atual de autoprovisionamento do agente do Log Analytics/agente do Azure Monitor, deverá migrar para o novo processo de autoprovisionamento do Agente de Monitoramento do Azure para SQL Server em máquinas. O processo de migração é contínuo e fornece proteção contínua para todas as máquinas.

Migrar para o processo de autoprovisionamento AMA direcionado ao SQL Server

1. Inicie sessão no portal do Azure.

2. Procure e selecione Microsoft Defender para a Cloud.

3. No menu do Defender for Cloud, selecione Configurações do ambiente.

4. Selecione a subscrição relevante.

5. No plano Bancos de dados, selecione Ação necessária.

   

6. Na janela pop-up, selecione Ativar.

   

7. Selecione Guardar.

Depois que o processo de provisionamento automático AMA direcionado ao SQL Server estiver habilitado, você deverá desabilitar o processo de autoprovisionamento do agente do Log Analytics/agente do Azure Monitor e desinstalar o MMA em todos os servidores SQL:

Para desativar o agente do Log Analytics:

1. Inicie sessão no portal do Azure.

2. Procure e selecione Microsoft Defender para a Cloud.

3. No menu do Defender for Cloud, selecione Configurações do ambiente.

4. Selecione a subscrição relevante.

5. No plano Banco de dados, selecione Configurações.

6. Alterne o agente do Log Analytics para Desativado.

   

7. Selecione Continuar.

8. Selecione Guardar.

Planeamento da migração

Recomendamos que você planeje a migração do agente de acordo com seus requisitos de negócios. A tabela resume as nossas orientações.

Próximo passo