Questions courantes sur Defender pour serveurs

Oui. Il est désormais possible de gérer Defender pour serveurs sur des ressources spécifiques au sein de votre abonnement, ce qui vous offre un contrôle complet sur votre stratégie de protection. Grâce à cette fonctionnalité, vous pouvez configurer des ressources spécifiques avec des configurations personnalisées qui diffèrent des paramètres configurés au niveau de l’abonnement. Découvrez plus d’informations sur l’activation de Defender pour serveurs au niveau de la ressource. Toutefois, quand vous activez Microsoft Defender pour serveurs sur un projet GCP ou un compte AWS connecté, toutes les machines connectées sont protégées par Defender pour serveurs.

Si vous disposez déjà d’une licence pour Microsoft Defender pour point de terminaison pour les serveurs, vous n’aurez pas à payer pour cette partie de votre licence Plan 1 ou 2 de Microsoft Defender pour serveurs.

Pour demander votre remise, contactez l’équipe du support technique Defender pour le cloud via le Portail Azure en créant une demande de support dans le centre d’aide et de support.

1. Connectez-vous au portail Azure.

2. Sélectionnez Support et résolution des problèmes

   

3. Sélectionnez Aide + Support.

4. Sélectionnez Créer une demande de support.

5. Entrez les informations suivantes :

   

6. Cliquez sur Suivant.

7. Sélectionnez Suivant.

8. Sous l’onglet Détails supplémentaires, entrez le nom de votre organisation client, l’ID de locataire, le nombre de licences Microsoft Defender pour point de terminaison pour serveurs achetées, la date d’expiration du Microsoft Defender pour point de terminaison pour les licences de serveurs achetées et tous les autres champs obligatoires.

9. Sélectionnez Suivant.

10. Sélectionnez Create (Créer).

Quand vous activez Defender pour serveurs sur un abonnement, toutes les machines sont facturées en fonction de l’état d’alimentation.

Machines virtuelles Azure :

Machines Azure Arc :

Defender pour serveurs Plan 1 ne dépend pas de Log Analytics. Quand vous activez Defender pour serveurs (plan 2) au niveau de l’abonnement, Defender pour le cloud active automatiquement le plan sur vos espaces de travail Log Analytics par défaut. Si vous utilisez un espace de travail personnalisé, veillez à activer le plan sur l’espace de travail. Voici des informations supplémentaires :

• Si vous activez Defender pour serveurs pour un abonnement et pour un espace de travail personnalisé connecté, vous n’êtes pas facturé pour les deux. Le système identifie les machines virtuelles uniques.
• Si vous activez Defender pour serveurs sur les espaces de travail avec plusieurs abonnements :
  • Pour l’agent Log Analytics, les machines connectées de l’ensemble des abonnements sont facturées, notamment les abonnements pour lesquels le plan Defender pour serveurs n’est pas activé.
  • Pour l’agent Azure Monitor, la facturation et la couverture des fonctionnalités pour Defender pour serveurs dépendent uniquement du plan activé dans l’abonnement.

Vous pouvez activer Microsoft Defender pour les serveurs au niveau de l’espace de travail Log Analytics, mais seuls les serveurs qui fournissent des rapports à cet espace de travail seront protégés et facturés et ces serveurs ne bénéficieront pas de certains avantages, tels que l’Microsoft Defender pour point de terminaison, l’évaluation des vulnérabilités et l’accès juste-à-temps aux machines virtuelles.

Lorsque Defender pour serveurs Plan 2 est activé, vous obtenez 500 Mo d’ingestion de données gratuites par jour. Le quota concerne spécifiquement les types de données de sécurité qui sont directement collectées par Defender pour le cloud.

Ce quota correspond à un tarif journalier dont la moyenne est calculée pour tous les nœuds. Votre limite quotidienne totale gratuite est égale à [nombre de machines] x 500 Mo. Aucun supplément n’est facturé si le total ne dépasse pas la limite quotidienne totale gratuite, même si certaines machines envoient 100 Mo et d’autres 800 Mo.

La facturation de Defender pour le cloud est étroitement liée à la facturation de Log Analytics. Microsoft Defender pour serveurs fournit une allocation de 500 Mo par nœud par jour pour les machines du sous-ensemble de types de données de sécurité suivant :

• SecurityAlert
• SecurityBaseline
• SecurityBaselineSummary
• SecurityDetection
• SecurityEvent
• WindowsFirewall
• SysmonEvent
• ProtectionStatus
• Update et UpdateSummary lorsque la solution Update Management n’est pas en cours d’exécution sur l’espace de travail ou lorsque le ciblage de solution est activé.

Si l’espace de travail est au niveau tarifaire hérité par nœud, les allocations de Defender pour le cloud et de Log Analytics sont combinées et appliquées conjointement à toutes les données ingérées facturables.

Oui. Vous êtes facturé pour toutes les machines protégées par Defender pour serveurs dans les abonnements Azure, les comptes AWS connectés ou les projets GCP connectés. Le terme machines s’applique aux machines virtuelles Azure, aux instances Azure Virtual Machine Scale Sets et aux serveurs avec Azure Arc. Les machines sur lesquelles Log Analytics n’est pas installé sont couvertes par des protections qui ne dépendent pas de l’agent Log Analytics.

Auparavant, Microsoft Defender pour point de terminaison était approvisionné par l’agent Log Analytics. Lorsque nous avons étendu la prise en charge de manière à inclure Windows Server 2019 et Linux, nous avons également ajouté une extension pour effectuer l’intégration automatique.

Defender pour le cloud déploie automatiquement l’extension sur les machines exécutant :

• Windows Server 2019 et Windows Server 2022
• Windows Server 2012 R2 et 2016 si l’intégration de la solution unifiée MDE est activée
• Windows 10 sur Azure Virtual Desktop.
• D’autres versions de Windows Server si Defender pour le cloud ne reconnaît pas la version du système d’exploitation (par exemple, lorsqu’une image de machine virtuelle personnalisée est utilisée). Dans ce cas, Microsoft Defender pour point de terminaison continue d’être approvisionné par l’agent Log Analytics.
• Linux.

Si vous avez activé l’intégration, mais que vous ne voyez toujours pas l’extension en cours d’exécution sur vos machines :

1. Vous devez attendre au moins 12 heures pour savoir s’il y a vraiment un problème à examiner.
2. Si, au bout de 12 heures, l’extension n’apparaît toujours pas en cours d’exécution sur vos machines, vérifiez que vous avez rempli les prérequis de l’intégration.
3. Vérifiez que vous avez activé le plan Microsoft Defender pour les serveurs pour les abonnements associés aux machines que vous examinez.
4. Si vous avez déplacé votre abonnement Azure entre locataires Azure, certaines étapes préparatoires manuelles sont obligatoires avant que Defender pour le cloud déploie Defender sur un point de terminaison. Pour plus d’informations, contactez le support technique Microsoft.

Les licences pour Defender for Endpoint pour les serveurs sont incluses dans Microsoft Defender pour serveurs.

Nombre L’intégration de Defender pour point de terminaison dans Defender pour serveurs vous offre également une protection contre les programmes malveillants sur vos machines.

• Sur Windows Server 2012 R2 avec l’intégration de la solution unifiée Defender pour point de terminaison activée, Defender pour serveurs déploie Microsoft Defender Antivirus en mode actif.
• Sur les systèmes d’exploitation Windows Server plus récents, l’antivirus Microsoft Defender fait partie du système d’exploitation et sera activé en mode actif.
• Sur Linux, Defender pour serveurs déploie Defender pour point de terminaison, y compris le composant anti-programme malveillant, et définit le composant en mode passif.

Pour plus d’informations sur le basculement à partir d’une solution de point de terminaison non Microsoft, accédez à la documentation Microsoft Defender for Endpoint : Vue d’ensemble de la migration.

Defender pour les serveurs Plan 1 et Plan 2 offrent les fonctionnalités de Microsoft Defender pour point de terminaison Plan 2.

Aucune option de mise en œuvre n’est disponible à l’heure actuelle. Les contrôles d’application adaptatifs sont destinés à fournir des alertes de sécurité si une application autre que celles que vous avez définies comme sécurisées s’exécute. Ils offrent un large éventail d’avantages (Quels sont les avantages des contrôles d’application adaptatifs ?) et sont personnalisables, comme indiqué sur cette page.

Microsoft Defender pour serveurs comprend l’analyse des vulnérabilités de vos machines. Vous n’avez pas besoin d’une licence Qualys ni même de compte Qualys : tout est traité de manière fluide dans Defender pour le cloud. Pour plus d’informations sur ce scanneur et pour savoir comment le déployer, consultez Solution intégrée d’évaluation des vulnérabilités Qualys de Defender pour le cloud.

Pour qu’aucune alerte ne soit générée lorsque Defender pour le cloud déploie le scanneur, la liste d’autorisation recommandée des contrôles d’application adaptatifs comprend le scanneur pour toutes les machines.

La vue de l’inventaire répertorie vos ressources connectées Defender pour le cloud du point de vue de la gestion de la situation de sécurité cloud (CSPM). Les filtres affichent uniquement les ressources avec des recommandations actives.

Par exemple, si vous avez accès à huit abonnements, mais que seulement sept ont actuellement des recommandations, le filtre Type de ressource = Abonnements montre uniquement les sept abonnements ayant des recommandations actives :

Les ressources analysées par Defender pour le cloud ne nécessitent pas toutes des agents. Par exemple, Defender pour le cloud n’a pas besoin que des agents surveillent les comptes Stockage Azure ou les ressources PaaS telles que les disques, Logic Apps, Data Lake Analysis et Event Hubs.

Lorsque la tarification ou l’analyse de l’agent ne sont pas pertinentes pour une ressource, rien n’est indiqué dans les colonnes de cet inventaire.

Les recommandations de renforcement du réseau adaptatif sont uniquement prises en charge sur les ports spécifiques suivants (pour UDP et TCP) :

13, 17, 19, 22, 23, 53, 69, 81, 111, 119, 123, 135, 137, 138, 139, 161, 162, 389, 445, 512, 514, 593, 636, 873, 1433, 1434, 1900, 2049, 2301, 2323, 2381, 3268, 3306, 3389, 4333, 5353, 5432, 5555, 5800, 5900, 5900, 5985, 5986, 6379, 6379, 7000, 7001, 7199, 8081, 8089, 8545, 9042, 9160, 9300, 11211, 16379, 26379, 27017, 37215

Le renforcement de réseau adaptatif est une fonctionnalité sans agent de Microsoft Defender pour le cloud : rien ne doit être installé sur vos ordinateurs pour tirer parti de cet outil de renforcement de réseau.

Une règle Refuser tout le trafic est recommandée lorsque, suite à l’exécution de l’algorithme, Defender pour le cloud n’identifie aucun trafic devant être autorisé en fonction de la configuration de groupe de sécurité réseau existante. Par conséquent, la règle recommandée consiste à refuser tout le trafic vers le port spécifié. Le nom de ce type de règle apparaît comme « System Generated » (Généré par le système). Après l’application de cette règle, son nom réel dans le groupe de sécurité réseau sera une chaîne constituée du protocole, de la direction du trafic, de « DENY » et d’un nombre aléatoire.

Pour déployer l’extension Configuration Invité avec les composants requis suivants :

• Pour les ordinateurs sélectionnés, suivez les recommandations de sécurité L’extension Configuration Invité doit être installée sur vos ordinateurs du contrôle de sécurité Implémenter les bonnes pratiques de sécurité.

• À grande échelle, attribuez l’initiative de stratégie Déployer les prérequis pour activer les stratégies Configuration Invité sur les machines virtuelles.

La liste des ressources sous l’onglet Non applicable contient une colonne Motif. Voici quelques-unes des raisons les plus courantes :

Lorsque vous activez le plan Serveurs au niveau de l’abonnement, Defender pour le cloud active automatiquement le plan Serveurs sur vos espaces de travail par défaut. Connectez-vous à l’espace de travail par défaut en sélectionnant l’option Connecter les machines virtuelles Azure à/aux espace(s) de travail par défaut créé(s) par Defender pour le cloud, puis Appliquer.

Toutefois, si vous utilisez un espace de travail personnalisé à la place de l’espace de travail par défaut, vous devez activer le plan Serveurs sur tous vos espaces de travail personnalisés qui ne l’ont pas activé.

Si vous utilisez un espace de travail personnalisé et que vous activez le plan au niveau de l’abonnement uniquement, la recommandation Microsoft Defender for servers should be enabled on workspaces s’affiche sur la page Recommandations. Cette recommandation vous offre la possibilité d’activer le plan Serveurs au niveau de l’espace de travail à l’aide du bouton Corriger. Vous êtes facturé pour toutes les machines virtuelles incluses dans l’abonnement, même si le plan Serveurs n’est pas activé pour l’espace de travail. Les machines virtuelles ne bénéficient pas des fonctionnalités qui dépendent de l’espace de travail Log Analytics, comme Microsoft Defender pour point de terminaison, la solution d’évaluation des vulnérabilités (MDVM/Qualys) et l’accès juste-à-temps aux machines virtuelles.

L’activation du plan Serveurs à la fois sur l’abonnement et ses espaces de travail connectés n’entraîne pas de double facturation. Le système identifie chaque machine virtuelle unique.

Si vous activez le plan Serveurs sur des espaces de travail relevant de plusieurs abonnements, les machines virtuelles connectées de tous les abonnements sont facturées, y compris les abonnements pour lesquels le plan Serveurs n’est pas activé.

Oui. Lorsque vous activez Microsoft Defender pour les serveurs sur un abonnement Azure ou un compte AWS connecté, vous êtes facturé pour toutes les machines connectées à votre abonnement Azure ou à votre compte AWS. Le terme « machines » s’applique aux machines virtuelles Azure, aux instances de groupe de machines virtuelles identiques Azure et aux serveurs Azure Arc. Les machines sur lesquelles Log Analytics n’est pas installé sont couvertes par des protections qui ne dépendent pas de l’agent Log Analytics.

Si des machines sont rattachées à plusieurs espaces de travail et que Defender pour les serveurs est activé pour tous ceux-ci, les machines sont facturées pour chaque espace de travail rattaché.

Oui. Si vous configurez votre agent Log Analytics pour envoyer des données à deux espaces de travail Log Analytics différents ou plus (multihébergement), vous obtenez une ingestion de données gratuite de 500 Mo pour chaque espace de travail. Cela est calculé par nœud, par espace de travail signalé, par jour et disponible pour chaque espace de travail sur lequel la solution « Sécurité » ou « Logiciel anti-programme malveillant » est installée. Toutes les données ingérées au-delà de la limite de 500 Mo vous seront facturées.

Vous recevez une allocation quotidienne de 500 Mo d’ingestion de données gratuite pour chaque machine virtuelle connectée à l’espace de travail. Cette allocation s’applique spécifiquement aux types de données de sécurité collectés directement par Defender pour le cloud.

L’allocation de données est un taux quotidien calculé sur toutes les machines connectées. Votre limite quotidienne totale gratuite est égale au [nombre de machines] x 500 Mo. Par conséquent, même si certaines machines envoient 100 Mo un jour et d’autres 800 Mo, si le total de toutes les machines ne dépasse pas la limite quotidienne totale gratuite, aucun supplément ne vous est facturé.

La facturation de Defender pour le cloud est étroitement liée à la facturation de Log Analytics. Microsoft Defender pour les serveurs alloue 500 Mo/nœud/jour pour les machines de chacun des sous-ensembles de types de données de sécurité suivants :

• SecurityAlert
• SecurityBaseline
• SecurityBaselineSummary
• SecurityDetection
• SecurityEvent
• WindowsFirewall
• SysmonEvent
• ProtectionStatus
• Update et UpdateSummary lorsque la solution Update Management n’est pas en cours d’exécution sur l’espace de travail ou lorsque le ciblage de solution est activé.

Si l’espace de travail est au niveau tarifaire hérité Par nœud, les allocations de Defender pour le cloud et de Log Analytics sont combinées et appliquées conjointement avec toutes les données ingérées facturables. Pour en savoir plus sur la façon dont les clients Microsoft Sentinel peuvent en bénéficier, consultez la page de la tarification Microsoft Sentinel.

Vous pouvez afficher l’utilisation de vos données de deux façons différentes : à l’aide du Portail Azure ou en exécutant un script.

Pour afficher votre utilisation dans le Portail Azure :

1. Connectez-vous au portail Azure.

2. Accédez à Espaces de travail Log Analytics.

3. Sélectionnez votre espace de travail.

4. Sélectionnez Utilisation et estimation des coûts.

   

Vous pouvez également afficher l’estimation des coûts sous différents niveaux tarifaires en sélectionnant pour chaque niveau tarifaire.

Pour afficher votre utilisation à l’aide d’un script :

1. Connectez-vous au portail Azure.

2. Accédez à Espaces de travail Log Analytics>Journaux.

3. Sélectionnez votre intervalle de temps. Découvrez les intervalles de temps.

4. Copiez et collez la requête suivante dans la section Taper votre requête ici.

   let Unit= 'GB';
   Usage
   | where IsBillable == 'TRUE'
   | where DataType in ('SecurityAlert', 'SecurityBaseline', 'SecurityBaselineSummary', 'SecurityDetection', 'SecurityEvent', 'WindowsFirewall', 'MaliciousIPCommunication', 'SysmonEvent', 'ProtectionStatus', 'Update', 'UpdateSummary')
   | project TimeGenerated, DataType, Solution, Quantity, QuantityUnit
   | summarize DataConsumedPerDataType = sum(Quantity)/1024 by  DataType, DataUnit = Unit
   | sort by DataConsumedPerDataType desc
   

5. Sélectionnez Exécuter.

   

Vous pouvez apprendre à Analyser l’utilisation dans l’espace de travail Log Analytics.

En fonction de votre utilisation, vous ne serez pas facturé tant que vous n’aurez pas utilisé votre allocation quotidienne. Si vous recevez une facture, elle ne correspond qu’aux données utilisées au-delà de la limite des 500 Mo ou pour d’autres services qui ne sont pas couverts par Defender pour le cloud.

Vous pouvez gérer vos coûts et limiter la quantité de données collectées pour une solution en limitant celle-ci à un ensemble spécifique d’agents. Utilisez le ciblage de solution pour appliquer une étendue à la solution et cibler un sous-ensemble d’ordinateurs dans l’espace de travail. Si vous utilisez le ciblage de solution, Defender pour le cloud indique que l’espace de travail n’a pas de solution.

Étapes suivantes

Planifier votre déploiement de Defender pour serveurs