Förbered för avveckling av Log Analytics-agenten

Log Analytics-agenten, även kallad Microsoft Monitoring Agent (MMA), går i pension i november 2024. Därför uppdateras Defender för servrar och Defender för SQL på datorplaner i Microsoft Defender för molnet, och funktioner som förlitar sig på Log Analytics-agenten kommer att göras om.

Den här artikeln sammanfattar planer för agentens tillbakadragning.

Förbereda Defender för servrar

Defender for Servers-planen använder Log Analytics-agenten i allmän tillgänglighet (GA) och i AMA för vissa funktioner (i förhandsversion). Här är vad som händer med de här funktionerna framöver:

För att förenkla registrering kommer alla säkerhetsfunktioner och funktioner i Defender för servrar att tillhandahållas med en enda agent (Microsoft Defender för Endpoint), kompletterad med agentlös datorgenomsökning, utan något beroende av Log Analytics-agenten eller AMA.

• Defender for Servers-funktioner, som är baserade på AMA, är för närvarande i förhandsversion och kommer inte att släppas i GA. 
• Funktioner i förhandsversionen som förlitar sig på AMA stöds fortfarande tills en alternativ version av funktionen tillhandahålls, som förlitar sig på Defender för Endpoint-integrering eller funktionen för agentlös datorgenomsökning.
• Genom att aktivera defender för endpoint-integrering och agentlös maskingenomsökning innan utfasningen äger rum är defender for servers-distributionen uppdaterad och stöds.

Funktionsfunktioner

I följande tabell sammanfattas hur funktionerna i Defender för servrar kommer att tillhandahållas. De flesta funktioner är redan allmänt tillgängliga med hjälp av Defender för Endpoint-integrering eller agentlös maskingenomsökning. Resten av funktionerna är antingen tillgängliga i GA när MMA dras tillbaka eller kommer att bli inaktuellt.

Automatisk etablering av Log Analytics-agent – utfasningsplan

Som en del av MMA-agentens tillbakadragning kommer även funktionen för automatisk etablering som tillhandahåller installation och konfiguration av agenten för MDC-kunder att bli inaktuell i två steg:

1. I slutet av september 2024 – automatisk etablering av MMA inaktiveras för kunder som inte längre använder funktionen, samt för nyligen skapade prenumerationer:

   • Befintliga prenumerationer som stänger av automatisk MMA-etablering efter slutet av september kommer inte längre att kunna aktivera funktionen efteråt.

• Automatisk etablering av nya prenumerationer kan inte längre aktiveras och inaktiveras automatiskt.

1. Slutet av november 2024 – funktionen inaktiveras för prenumerationer som ännu inte har stängt av den. Från och med nu kan det inte längre vara möjligt att aktivera funktionen för befintliga prenumerationer.

500 MB-förmånen för datainmatning

För att bevara 500 MB ledigt datainmatningsbidrag för de datatyper som stöds måste du migrera från MMA till AMA.

Läs mer om hur du distribuerar AMA.

För SQL-servrar på datorer rekommenderar vi att du migrerar till sql-serverinriktade azure monitoring agent (AMA) automatisk etableringsprocess.

Ändringar i äldre Defender for Servers Plan 2-registrering via Log Analytics-agenten

Den äldre metoden för att registrera servrar till Defender for Servers Plan 2 baserat på Log Analytics-agenten och använda Log Analytics-arbetsytor har också angetts för tillbakadragning:

• Onboarding-upplevelsen för registrering av nya datorer som inte är Azure-datorer till Defender för servrar med Log Analytics-agenter och arbetsytor tas bort från bladen Inventering och Komma igång i Defender för molnet-portalen.

• För att undvika att förlora säkerhetstäckningen på de berörda datorerna som är anslutna till en Log Analytics-arbetsyta, med agentens tillbakadragning:

• Om du registrerade icke-Azure-servrar (både lokalt och multimoln) med den äldre metoden bör du nu ansluta dessa datorer via Azure Arc-aktiverade servrar till Prenumerationer och anslutningsappar för Defender for Servers Plan 2 i Azure. Läs mer om att distribuera Arc-datorer i stor skala.

  • Om du använde den äldre metoden för att aktivera Defender för servrar plan 2 på valda virtuella Azure-datorer rekommenderar vi att du aktiverar Defender för servrar plan 2 på Azure-prenumerationer för dessa datorer. Du kan sedan undanta enskilda datorer från Defender for Servers-täckningen med hjälp av konfigurationen Defender för servrar per resurs.

Det här är en sammanfattning av den nödvändiga åtgärden för var och en av servrarna som registrerats i Defender för servrar plan 2 via den äldre metoden:

Rekommendationer för systemuppdatering och korrigeringar – vägledning om ändringar och migrering

Systemuppdateringar och korrigeringar är avgörande för att hålla dina datorers säkerhet och hälsa. Uppdateringar innehåller ofta säkerhetskorrigeringar för säkerhetsrisker som, om de lämnas ofixerade, kan utnyttjas av angripare.

Rekommendationer för systemuppdateringar har tidigare tillhandahållits av Defender för molnet Foundational CSPM och Defender for Servers-planer med Log Analytics-agenten. Den här upplevelsen har ersatts av säkerhetsrekommendationer som samlas in med Azure Update Manager och har skapats av två nya rekommendationer:

1. Datorer bör konfigureras för att regelbundet söka efter systemuppdateringar som saknas

2. Systemuppdateringar bör installeras på dina datorer (drivs av Azure Update Manager)

Lär dig hur du åtgärdar systemuppdateringar och korrigeringsrekommendationer på dina datorer.

Vilka rekommendationer ersätts?

I följande tabell sammanfattas tidsplanen för rekommendationer som är inaktuella och ersatta.

Hur gör jag för att förbereda för de nya rekommendationerna?

• Ansluta dina datorer som inte är Azure-datorer till Arc

• Kontrollera att inställningen för periodisk utvärderingsuppdatering är aktiverad på dina datorer. Du kan göra det på två sätt:

1. Åtgärda rekommendationen: Datorer bör konfigureras för att regelbundet söka efter saknade systemuppdateringar (drivs av Azure Update Manager).
2. Aktivera periodisk utvärdering i stor skala med Azure Policy.

• När domeen är över kan Update Manager hämta de senaste uppdateringarna till datorerna och du kan visa den senaste datorns efterlevnadsstatus.

Rekommendationer för slutpunktsskydd – vägledning för ändringar och migrering

Slutpunktsidentifiering och rekommendationer tillhandahölls tidigare av Defender för molnet Grundläggande CSPM och Defender for Servers-planer med Log Analytics-agenten i GA eller i förhandsversion via AMA. De här funktionerna har ersatts av säkerhetsrekommendationer som samlas in med hjälp av agentlös maskingenomsökning.

Rekommendationer för slutpunktsskydd skapas i två steg. Det första steget är identifiering av en identifiering och åtgärd på slutpunkt lösning. Den andra är utvärderingen av lösningens konfiguration. Följande tabeller innehåller information om de aktuella och nya upplevelserna för varje fas.

Lär dig hur du hanterar de nya identifiering och åtgärd på slutpunkt rekommendationerna (agentlösa).

Lösning för slutpunktsidentifiering och svar – identifiering

Lösning för slutpunktsidentifiering och svar – konfigurationsbedömning

Vilka rekommendationer är inaktuella?

I följande tabell sammanfattas tidsplanen för rekommendationer som är inaktuella och ersatta.

Den nya rekommendationsupplevelsen som baseras på agentlös maskingenomsökning stöder både Windows- och Linux-operativsystem på flera datorer.

Hur fungerar ersättningen?

• Aktuella rekommendationer från Log Analytics-agenten eller AMA kommer att bli inaktuella över tid.
• Några av dessa befintliga rekommendationer kommer att ersättas av nya rekommendationer baserat på agentlös maskingenomsökning.
• Rekommendationer för närvarande i GA finns kvar tills Log Analytics-agenten dras tillbaka.
• Rekommendationer som för närvarande är i förhandsversion kommer att ersättas när den nya rekommendationen är tillgänglig i förhandsversionen.

Vad händer med säker poäng?

• Rekommendationer som för närvarande är i allmän tillgänglighet kommer att fortsätta att påverka säkerhetspoängen. 
• Aktuella och kommande nya rekommendationer finns under samma Microsoft Cloud Security Benchmark-kontroll, vilket säkerställer att det inte finns någon duplicerad inverkan på säkerhetspoängen.

Hur gör jag för att förbereda för de nya rekommendationerna?

• Kontrollera att agentlös datorgenomsökning är aktiverad som en del av Defender for Servers Plan 2 eller Defender CSPM.
• Om det passar din miljö rekommenderar vi att du tar bort inaktuella rekommendationer när ersättningsrekommendationerna för allmän tillgänglighet blir tillgängliga. Det gör du genom att inaktivera rekommendationen i det inbyggda Defender för molnet-initiativet i Azure Policy.

Övervakning av filintegritet – vägledning för ändringar och migrering

Microsoft Defender för servrar Plan 2 erbjuder nu en ny FIM-lösning (File Integrity Monitoring) som drivs av Microsoft Defender för Endpoint(MDE) integrering. När FIM som drivs av MDE är offentligt tas DEN FIM som drivs av AMA-upplevelsen i Defender för molnet portalen bort. I november kommer FIM som drivs av MMA att bli inaktuellt.

Migrering från FIM via AMA

Om du för närvarande använder FIM via AMA:

• Registrering av nya prenumerationer eller servrar till FIM baserat på AMA och tillägget för ändringsspårning, samt visning av ändringar, kommer inte längre att vara tillgängligt via Defender för molnet-portalen från och med den 30 maj.

• Om du vill fortsätta använda FIM-händelser som samlas in av AMA kan du manuellt ansluta till relevant arbetsyta och visa ändringar i tabellen Ändringsspårning med följande fråga:

  ConfigurationChange
  
  | where TimeGenerated > ago(14d)
  
  | where ConfigChangeType in ('Registry', 'Files') 
  
  | summarize count() by Computer, ConfigChangeType
  

• Om du vill fortsätta registrera nya omfång eller konfigurera övervakningsregler kan du manuellt använda regler för dataanslutning för att konfigurera eller anpassa olika aspekter av datainsamling.

• Microsoft Defender för molnet rekommenderar att du inaktiverar FIM via AMA och registrerar din miljö till den nya FIM-versionen baserat på Defender för Endpoint när den släpps.

Inaktivera FIM över AMA

Om du vill inaktivera FIM via AMA tar du bort Azure Ändringsspårning-lösningen. Mer information finns i Ta bort ChangeTracking-lösningen.

Du kan också ta bort relaterade regler för filändringsspårning datainsamling (DCR). Mer information finns i Remove-AzDataCollectionRuleAssociation eller Remove-AzDataCollectionRule.

När du har inaktiverat insamlingen av filhändelser med någon av metoderna ovan:

• Nya händelser kommer att sluta samlas in i det valda omfånget.
• De historiska händelser som redan har samlats in lagras fortfarande på den relevanta arbetsytan under tabellen ConfigurationChange i avsnittet Ändringsspårning. Dessa händelser förblir tillgängliga på den relevanta arbetsytan enligt den kvarhållningsperiod som definierats i den här arbetsytan. Mer information finns i Så här fungerar kvarhållning och arkivering.

Migrering från FIM via Log Analytics Agent (MMA)

Om du för närvarande använder FIM via Log Analytics-agenten (MMA):

• Övervakning av filintegritet baserat på Log Analytics Agent (MMA) kommer att bli inaktuell i slutet av november 2024.

• Microsoft Defender för molnet rekommenderar att du inaktiverar FIM över MMA och registrerar din miljö till den nya FIM-versionen baserat på Defender för Endpoint när den släpps.

Inaktivera FIM över MMA

Om du vill inaktivera FIM via MMA tar du bort Azure Ändringsspårning-lösningen. Mer information finns i Ta bort ChangeTracking-lösningen.

När du har inaktiverat samlingen med filhändelser:

• Nya händelser kommer att sluta samlas in i det valda omfånget.
• De historiska händelser som redan har samlats in lagras fortfarande på den relevanta arbetsytan under tabellen ConfigurationChange i avsnittet Ändringsspårning. Dessa händelser förblir tillgängliga på den relevanta arbetsytan enligt den kvarhållningsperiod som definierats i den här arbetsytan. Mer information finns i Så här fungerar kvarhållning och arkivering.

Baslinjeupplevelse

Funktionen för felkonfiguration av baslinjer på virtuella datorer är utformad för att säkerställa att dina virtuella datorer följer rekommenderade säkerhetsmetoder och organisationsprinciper. Felaktig konfiguration av baslinjer utvärderar konfigurationen av dina virtuella datorer mot de fördefinierade säkerhetsbaslinjerna och identifierar eventuella avvikelser eller felkonfigurationer som kan utgöra en risk för din miljö.

Datorinformation samlas in för utvärdering med Log Analytics-agenten (även kallad Microsoft Monitoring Agent (MMA).) MMA kommer att vara inaktuell i november 2024 och följande ändringar sker:

• Datorinformation samlas in med hjälp av Azure Policy-gästkonfigurationen.

• Följande Azure-principer är aktiverade med Azure Policy-gästkonfiguration:

  • "Windows-datorer bör uppfylla kraven för Säkerhetsbaslinjen för Azure-beräkning"

  • "Linux-datorer bör uppfylla kraven för Azure-beräkningssäkerhetsbaslinjen"

    Kommentar

    Om du tar bort dessa principer kommer du inte att kunna komma åt fördelarna med Azure Policy-gästkonfigurationstillägget.

• OS-rekommendationer baserade på beräkningssäkerhetsbaslinjer tas inte längre med i Defender för molnet grundläggande CSPM. De här rekommendationerna kommer att vara tillgängliga när du aktiverar Defender för servrar plan 2.

Gå igenom prissidan för Defender för molnet om du vill veta mer om prisinformation för Defender-servrar plan 2.

Rekommendationer som tillhandahålls av MCSB som inte ingår i Säkerhetsbaslinjerna för Windows- och Linux-beräkning fortsätter att vara en del av den kostnadsfria grundläggande CSPM.

Installera Azure Policy-gästkonfiguration

För att kunna fortsätta att ta emot baslinjeupplevelsen måste du aktivera Defender för servrar plan 2 och installera Azure Policy-gästkonfigurationen. Detta säkerställer att du fortsätter att få samma rekommendationer och härdningsvägledning som du har fått via baslinjeupplevelsen.

Beroende på din miljö kan du behöva utföra följande steg:

1. Granska supportmatrisen för Azure Policy-gästkonfigurationen.

2. Installera Azure Policy-gästkonfigurationen på dina datorer.

   • Azure-datorer: På Defender för molnet-portalen går du till sidan med rekommendationer och söker efter och väljer Gästkonfigurationstillägget ska installeras på datorer och åtgärdar rekommendationen.

   • (Endast virtuella Azure-datorer) Du måste tilldela hanterad identitet.

     • På Defender för molnet portalen går du till sidan med rekommendationer och söker efter och väljer Tillägg för gästkonfiguration för virtuella datorer ska distribueras med systemtilldelad hanterad identitet och åtgärda rekommendationen.

   • (Endast virtuella Azure-datorer) Valfritt: Du kan aktivera gästkonfigurationsagenten (förhandsversion) om du vill skapa azure policy-gästkonfigurationen automatiskt i hela prenumerationen.

     • Så här aktiverar du gästkonfigurationsagenten:
       1. Logga in på Azure-portalen.
       2. Gå till Miljöinställningar>Dina prenumerationsinställningar>och övervakning.
       3. Välj Gästkonfiguration.
       4. Växla gästkonfigurationsagenten (förhandsversion) till På.
       5. Välj Fortsätt.

   • GCP och AWS: Azure Policy-gästkonfiguration installeras automatiskt när du ansluter ditt GCP-projekt, eller så ansluter du dina AWS-konton med Automatisk konfiguration av Azure Arc aktiverat för att Defender för molnet.

   • Lokala datorer: Azure Policy-gästkonfigurationen är aktiverad som standard när du registrerar lokala datorer som Azure Arc-aktiverade datorer eller virtuella datorer.

När du har slutfört de steg som krävs för att installera Azure Policy-gästkonfigurationen får du automatiskt åtkomst till baslinjefunktionerna baserat på Azure Policy-gästkonfigurationen. Detta säkerställer att du fortsätter att få samma rekommendationer och härdningsvägledning som du har fått via baslinjeupplevelsen.

Ändringar i rekommendationer

Med utfasningen av MMA kommer följande MMA-baserade rekommendationer att vara inaktuella:

• Datorer bör konfigureras på ett säkert sätt
• Automatisk etablering av Log Analytics-agenten ska vara aktiverad för prenumerationer

De inaktuella rekommendationerna ersätts med följande rekommendationer för gästkonfigurationsbasen för Azure Policy:

• Säkerhetsrisker i säkerhetskonfigurationen på dina Windows-datorer bör åtgärdas (drivs av gästkonfiguration)
• Säkerhetsrisker i säkerhetskonfigurationen på dina Linux-datorer bör åtgärdas (drivs av gästkonfiguration)
• Gästkonfigurationstillägget ska installeras på datorer

Duplicerade rekommendationer

När du aktiverar Defender för molnet i en Azure-prenumeration aktiveras Microsofts molnsäkerhetsmått (MCSB), inklusive beräkningssäkerhetsbaslinjer som utvärderar kompatibilitet för datoroperativsystem, som standardstandard för efterlevnad. Kostnadsfri grundläggande hantering av molnsäkerhetsstatus (CSPM) i Defender för molnet ger säkerhetsrekommendationer baserat på MCSB.

Om en dator kör både MMA och Azure Policy-gästkonfigurationen visas dubbletter av rekommendationer. Dupliceringen av rekommendationer sker eftersom båda metoderna körs samtidigt och genererar samma rekommendationer. Dessa dubbletter påverkar din efterlevnad och säkerhetspoäng.

Som en lösning kan du inaktivera MMA-rekommendationerna, "Datorer ska konfigureras på ett säkert sätt" och "Automatisk etablering av Log Analytics-agenten ska aktiveras på prenumerationer" genom att gå till sidan Regelefterlevnad i Defender för molnet.

När du har hittat rekommendationen bör du välja de relevanta datorerna och undanta dem.

Några av baslinjekonfigurationsreglerna som drivs av gästkonfigurationsverktyget för Azure Policy är mer aktuella och ger bredare täckning. Därför kan övergången till baslinjers funktionskraft i Azure Policy-gästkonfigurationen påverka din efterlevnadsstatus eftersom de innehåller kontroller som kanske inte har utförts tidigare.

Frågerekommendationer

När MMA tas ur bruk frågar Defender för molnet inte längre rekommendationer via log analysarbetsytans information. I stället använder Defender för molnet nu Azure Resource Graph för API och portalfrågor för att fråga efter rekommendationsinformation.

Här är två exempelfrågor som du kan använda:

• Fråga efter alla regler som inte är felfria för en specifik resurs

  Securityresources 
  | where type == "microsoft.security/assessments/subassessments" 
  | extend assessmentKey=extract(@"(?i)providers/Microsoft.Security/assessments/([^/]*)", 1, id) 
  | where assessmentKey == '1f655fb7-63ca-4980-91a3-56dbc2b715c6' or assessmentKey ==  '8c3d9ad0-3639-4686-9cd2-2b2ab2609bda' 
  | parse-where id with machineId:string '/providers/Microsoft.Security/' * 
  | where machineId  == '{machineId}'
  

• Alla regler som inte är felfria och mängden om datorer som inte är felfria för varje

  securityresources 
  | where type == "microsoft.security/assessments/subassessments" 
  | extend assessmentKey=extract(@"(?i)providers/Microsoft.Security/assessments/([^/]*)", 1, id) 
  | where assessmentKey == '1f655fb7-63ca-4980-91a3-56dbc2b715c6' or assessmentKey ==  '8c3d9ad0-3639-4686-9cd2-2b2ab2609bda' 
  | parse-where id with * '/subassessments/' subAssessmentId:string 
  | parse-where id with machineId:string '/providers/Microsoft.Security/' * 
  | extend status = tostring(properties.status.code) 
  | summarize count() by subAssessmentId, status
  

Förbereda Defender för SQL på datorer

Du kan lära dig mer om Defender för SQL Server på datorernas Utfasningsplan för Log Analytics-agenten.

Om du använder den aktuella processen för automatisk avetablering av Log Analytics-agenten/Azure Monitor-agenten bör du migrera till den nya Azure Monitoring Agent för SQL Server på datorernas automatiska etableringsprocess. Migreringsprocessen är sömlös och ger kontinuerligt skydd för alla datorer.

Migrera till den SQL-serverriktade AMA-processen för automatisk avetablering

1. Logga in på Azure-portalen.

2. Sök efter och välj Microsoft Defender för molnet.

3. På menyn Defender för molnet väljer du Miljöinställningar.

4. Välj relevant prenumeration.

5. Under planen Databaser väljer du Åtgärd krävs.

   

6. I popup-fönstret väljer du Aktivera.

   

7. Välj Spara.

När den SQL-serverriktade AMA-processen för automatisk avetablering har aktiverats bör du inaktivera log analytics-agenten/automatisk konfiguration av Azure Monitor-agenten och avinstallera MMA på alla SQL-servrar:

Så här inaktiverar du Log Analytics-agenten:

1. Logga in på Azure-portalen.

2. Sök efter och välj Microsoft Defender för molnet.

3. På menyn Defender för molnet väljer du Miljöinställningar.

4. Välj relevant prenumeration.

5. Under databasplanen väljer du Inställningar.

6. Växla Log Analytics-agenten till Av.

   

7. Välj Fortsätt.

8. Välj Spara.

Migreringsplanering

Vi rekommenderar att du planerar agentmigrering i enlighet med dina affärskrav. Tabellen sammanfattar vår vägledning.

MMA-migrering

MMA-migreringsupplevelsen är ett verktyg som hjälper dig att migrera från MMA till AMA. Upplevelsen innehåller en stegvis guide som hjälper dig att migrera dina datorer från MMA till AMA.

Med det här verktyget kan du:

• Migrera servrar från den äldre registreringen via loganalysarbetsytan.
• Se till att prenumerationerna uppfyller alla förutsättningar för att få alla fördelar med Defender for Servers Plan 2.
• Migrera till FIM:s nya version via MDE.

1. Logga in på Azure-portalen.

2. Gå till inställningarna för Microsoft Defender för molnet> Miljö.

3. Välj MMA-migrering.

   

4. Välj Vidta åtgärd för någon av de tillgängliga åtgärderna:

   

Tillåt att upplevelsen läser in och följer stegen för att slutföra migreringen.

Gå vidare