Freigeben über

Computerüberprüfung ohne Agent

Die agentlose Computerüberprüfung in Microsoft Defender for Cloud verbessert den Sicherheitsstatus von Computern, die mit Defender for Cloud verbunden sind.

Die agentlose Überprüfung benötigt keine installierten Agents oder Netzwerkkonnektivität und wirkt sich nicht auf die Computerleistung aus. Agentlose Computerüberprüfung:

Agentloses Scanning ist in den folgenden Defender for Cloud-Plänen verfügbar:

Architektur des agentlosen Scans

So funktioniert die agentenlose Überprüfung:

  1. Defender for Cloud erstellt Momentaufnahmen von VM-Datenträgern und führt eine tiefgehende, Out-of-Band-Analyse der Betriebssystemkonfiguration und des in der Momentaufnahme gespeicherten Dateisystems durch.

    • Die kopierte Momentaufnahme verbleibt in derselben Region wie der virtuelle Computer.
    • Die Überprüfung wirkt sich nicht auf den virtuellen Computer aus.

  2. Nachdem Defender for Cloud die erforderlichen Metadaten vom kopierten Datenträger abgerufen hat, löscht es sofort die kopierte Momentaufnahme des Datenträgers und sendet die Metadaten an relevante Microsoft-Engines, um Konfigurationslücken und potenzielle Bedrohungen zu analysieren. In der Sicherheitsrisikobewertung erfolgt die Analyse beispielsweise durch die Microsoft Defender-Sicherheitsrisikoverwaltung.

  3. Defender for Cloud zeigt Überprüfungsergebnisse an, wobei sowohl die agentbasierten als auch die agentlosen Ergebnisse auf der Seite „Sicherheitswarnungen“ konsolidiert werden.

  4. Defender for Cloud analysiert Datenträger in einer Überprüfungsumgebung, die regional, veränderlich, isoliert und hochgradig sicher ist. Schnappschüsse von Datenträgern und Daten, die nicht mit der Überprüfung zusammenhängen, werden nur so lange gespeichert, wie es nötig ist, um die Metadaten zu erfassen – in der Regel einige Minuten.

Diagramm des Prozesses zum Sammeln von Betriebssystemdaten durch agentenloses Scannen.

Berechtigungen, die bei der agentlosen Überprüfung verwendet werden

Defender for Cloud hat bestimmte Rollen und Berechtigungen verwendet, um agentlose Überprüfungen durchzuführen.

Azure-Berechtigungen

Die integrierte Rolle VM Scanner Operator verfügt über schreibgeschützte Berechtigungen für VM-Datenträger, die für den Momentaufnahmeprozess erforderlich sind. Im Folgenden sehen Sie die detaillierte Liste der Berechtigungen:

  • Microsoft.Compute/disks/read
  • Microsoft.Compute/disks/beginGetAccess/action
  • Microsoft.Compute/disks/diskEncryptionSets/read
  • Microsoft.Compute/virtualMachines/instanceView/read
  • Microsoft.Compute/virtualMachines/read
  • Microsoft.Compute/virtualMachineScaleSets/instanceView/read
  • Microsoft.Compute/virtualMachineScaleSets/read
  • Microsoft.Compute/virtualMachineScaleSets/virtualMachines/read
  • Microsoft.Compute/virtualMachineScaleSets/virtualMachines/instanceView/read

Wenn die Abdeckung für CMK-verschlüsselte Datenträger aktiviert ist, sind weitere Berechtigungen erforderlich:

  • Microsoft.KeyVault/vaults/keys/read
  • Microsoft.KeyVault/vaults/keys/wrap/action
  • Microsoft.KeyVault/vaults/keys/unwrap/action

AWS-Berechtigungen

Die Rolle VmScanner wird dem Prüfer zugewiesen, wenn Sie die Überprüfung ohne Agent aktivieren. Diese Rolle verfügt über die minimale Berechtigung zum Erstellen und Bereinigen von Momentaufnahmen (nach Tag gefiltert) und zum Überprüfen des aktuellen Zustands der VM. Die ausführlichen Berechtigungen sind:

Attribut Wert
SID VmScannerDeleteSnapshotAccess
Aktionen ec2:DeleteSnapshot
Bedingungen "StringEquals":{"ec2:ResourceTag/CreatedBy”:<br>"Microsoft Defender for Cloud"}
Ressourcen arn:aws:ec2:::snapshot/
Auswirkung Allow
Attribut Wert
SID VmScannerAccess
Aktionen ec2:ModifySnapshotAttribute
ec2:DeleteTags
ec2:CreateTags
ec2:CreateSnapshots
ec2:CopySnapshots
ec2:CreateSnapshot
Bedingungen Keine
Ressourcen arn:aws:ec2:::instance/
arn:aws:ec2:::snapshot/
arn:aws:ec2:::volume/
Auswirkung Allow
Attribut Wert
SID VmScannerVerificationAccess
Aktionen ec2:DescribeSnapshots
ec2:DescribeInstanceStatus
Bedingungen Keine
Ressourcen *
Auswirkung Allow
Attribut Wert
SID VmScannerEncryptionKeyCreation
Aktionen kms:CreateKey
Bedingungen Keine
Ressourcen *
Auswirkung Allow
Attribut Wert
SID VmScannerEncryptionKeyManagement
Aktionen kms:TagResource
kms:GetKeyRotationStatus
kms:PutKeyPolicy
kms:GetKeyPolicy
kms:CreateAlias
kms:ListResourceTags
Bedingungen Keine
Ressourcen arn:aws:kms::${AWS::AccountId}: key/ <br> arn:aws:kms:*:${AWS::AccountId}:alias/DefenderForCloudKey
Auswirkung Allow
Attribut Wert
SID VmScannerVerschlüsselungsschlüsselVerwendung
Aktionen kms:GenerateDataKeyWithoutPlaintext
kms:DescribeKey
kms:RetireGrant
kms:CreateGrant
kms:ReEncryptFrom
Bedingungen Keine
Ressourcen arn:aws:kms::${AWS::AccountId}: key/
Auswirkung Allow

GCP-Berechtigungen

Während des Onboardings wird eine neue benutzerdefinierte Rolle mit minimalen Berechtigungen erstellt, um Instanzzustände zu erhalten und Momentaufnahmen zu erstellen.

Zusätzlich werden Berechtigungen für eine vorhandene GCP-KMS-Rolle erteilt, um die Überprüfung von Datenträgern, die mit CMEK verschlüsselt sind, zu unterstützen. Die Rollen lauten:

  • roles/MDCAgentlessScanningRole für das Dienstkonto von Defender for Cloud mit den Berechtigungen: compute.disks.createSnapshot, compute.instances.get
  • roles/cloudkms.cryptoKeyEncrypterDecrypter für den Compute-Engine-Dienst-Agent von Defender for Cloud

Nächste Schritte

Aktivieren der Computerüberprüfung ohne Agent.