Partager via

Analyse des machines sans agent

L’analyse de machine sans agent dans Microsoft Defender for Cloud améliore la posture de sécurité des machines connectées à Defender for Cloud.

L’analyse sans agent n’a pas besoin d’agents installés ni de connectivité réseau et n’affecte pas les performances des machines. Analyse des machines sans agent :

L’analyse sans agent est disponible dans les plans Defender for Cloud suivants :

Architecture de l’analyse sans agent

Voici le fonctionnement de l’analyse sans agent :

  1. Defender pour le cloud prend des instantanés de disques de machine virtuelle et procède à une analyse hors bande approfondie de la configuration du système d’exploitation et du système de fichiers stocké dans l’instantané.

    • L’instantané copié reste dans la même région que la machine virtuelle.
    • L’analyse n’affecte pas la machine virtuelle.

  2. Après obtention par Defender for Cloud des métadonnées nécessaires à partir du disque copié, ce service supprime immédiatement la capture instantanée copiée du disque et envoie les métadonnées aux moteurs Microsoft pertinents pour détecter les écarts de configuration et les menaces potentielles. Par exemple, dans l’évaluation des vulnérabilités, l’analyse est effectuée par la Gestion des vulnérabilités Defender.

  3. Les résultats d’analyse sont affichés par Defender pour le cloud, qui regroupe les résultats basés sur l’agent et les résultats sans agent dans la page Alertes de sécurité.

  4. Defender for Cloud analyse les disques dans un environnement d’analyse régional, volatile, isolé et hautement sécurisé. Les instantanés de disque et les données sans lien avec l’analyse ne sont pas stockés plus longtemps qu’il ne faut pour collecter les métadonnées, généralement quelques minutes.

Diagramme du processus de collecte des données du système d’exploitation via l’analyse sans agent.

Autorisations utilisées par l’analyse sans agent

Defender for Cloud utilisait des rôles et autorisations spécifiques pour effectuer une analyse sans agent.

Autorisations Azure

Le rôle intégré opérateur de scanner de VM dispose de permissions en lecture seule pour les disques VM requis pour le processus de création d’instantanés. Voici la liste détaillée des autorisations :

  • Microsoft.Compute/disks/read
  • Microsoft.Compute/disks/beginGetAccess/action
  • Microsoft.Compute/disks/diskEncryptionSets/read
  • Microsoft.Compute/virtualMachines/instanceView/read
  • Microsoft.Compute/virtualMachines/read
  • Microsoft.Compute/virtualMachineScaleSets/instanceView/read
  • Microsoft.Compute/virtualMachineScaleSets/read
  • Microsoft.Compute/virtualMachineScaleSets/virtualMachines/read
  • Microsoft.Compute/virtualMachineScaleSets/virtualMachines/instanceView/read

Lorsque la couverture des disques chiffrés CMK est activée, d’autres autorisations sont requises :

  • Microsoft.KeyVault/vaults/keys/read
  • Microsoft.KeyVault/vaults/keys/wrap/action
  • Microsoft.KeyVault/vaults/keys/unwrap/action

Autorisations AWS

Le rôle VmScanner est affecté au scanneur lorsque vous activez l’analyse sans agent. Ce rôle dispose de l’ensemble d’autorisations minimal pour créer et nettoyer des instantanés (délimités par balise), et vérifier l’état actuel de la machine virtuelle. Les autorisations détaillées sont les suivantes :

Attribut Valeur
SID VmScannerDeleteSnapshotAccess
Actions ec2:DeleteSnapshot
Conditions "StringEquals":{"ec2:ResourceTag/CreatedBy”:<br>"Microsoft Defender for Cloud"}
Ressources arn:aws:ec2:::snapshot/
Effet Autoriser
Attribut Valeur
SID VmScannerAccess
Actions ec2:ModifySnapshotAttribute
ec2:DeleteTags
ec2:CreateTags
ec2:CreateSnapshots
ec2:CopySnapshots
ec2 :CreateSnapshot
Conditions Aucun
Ressources arn:aws:ec2:::instance/
arn:aws:ec2:::snapshot/
arn:aws:ec2:::volume/
Effet Autoriser
Attribut Valeur
SID VmScannerVerificationAccess
Actions ec2:DescribeSnapshots
ec2:DescribeInstanceStatus
Conditions Aucun
Ressources *
Effet Autoriser
Attribut Valeur
SID VmScannerEncryptionKeyCreation
Actions kms :CreateKey
Conditions Aucun
Ressources *
Effet Autoriser
Attribut Valeur
SID VmScannerEncryptionKeyManagement
Actions kms:TagResource
kms:GetKeyRotationStatus
kms:PutKeyPolicy
kms:GetKeyPolicy
kms :CreateAlias
kms:ListResourceTags
Conditions générales Aucun
Ressources arn:aws:kms::${AWS::AccountId}: key/ <br> arn:aws:kms:*:${AWS::AccountId}:alias/DefenderForCloudKey
Effet Autoriser
Attribut Valeur
SID Utilisation de la clé de chiffrement du scanner VM
Actions kms:GenerateDataKeyWithoutPlaintext
kms :DescribeKey
kms:RetireGrant
kms:CreateGrant
kms:ReEncryptFrom
Conditions Aucun
Ressources arn:aws:kms::${AWS::AccountId}: key/
Effet Autoriser

Autorisations GCP

Pendant l’intégration, un personnalisé est créé avec les autorisations minimales requises pour obtenir l’état des instances et créer des captures instantanées.

En outre, des autorisations à un rôle GCP KMS existant sont accordées pour prendre en charge l’analyse des disques chiffrés avec CMEK. Ces rôles sont les suivants :

  • roles/MDCAgentlessScanningRole accordé au compte de service Defender pour le cloud avec les autorisations : compute.disks.createSnapshot, compute.instances.get
  • roles/cloudkms.cryptoKeyEncrypterDecrypter accordé à l’agent de service du moteur de calcul de Defender pour le cloud

Étapes suivantes

Activez l’analyse des machines sans agent..