Pemindaian komputer tanpa agen

Pemindaian mesin tanpa agen di Microsoft Defender untuk Cloud meningkatkan postur keamanan komputer yang terhubung ke Defender untuk Cloud.

Pemindaian tanpa agen tidak memerlukan agen atau konektivitas jaringan yang diinstal, dan tidak memengaruhi performa komputer. Pemindaian mesin tanpa agen:

Pemindaian tanpa agen tersedia dalam paket Defender untuk Cloud berikut:

Arsitektur pemindaian tanpa agen

Berikut cara kerja pemindaian tanpa agen:

  1. Defender untuk Cloud mengambil rekam jepret disk VM (root + disk data) dan melakukan analisis mendalam dari konfigurasi sistem operasi dan sistem file yang disimpan dalam rekam jepret.

    • Rekam jepret yang disalin tetap berada di wilayah yang sama dengan VM.
    • Pemindaian tidak memengaruhi VM.

  2. Setelah Defender untuk Cloud mendapatkan metadata yang diperlukan dari disk yang disalin, ia segera menghapus snapshot disk yang disalin tersebut dan mengirim metadata ke mesin Microsoft yang relevan untuk mendeteksi kesenjangan konfigurasi dan potensi ancaman. Misalnya, dalam penilaian kerentanan, analisis dilakukan oleh Pengelolaan Kerentanan Defender.

  3. Defender untuk Cloud menampilkan hasil pemindaian, yang mengonsolidasikan hasil berbasis agen dan tanpa agen di halaman Pemberitahuan keamanan.

  4. Defender untuk Cloud menganalisis disk di lingkungan pemindaian yang regional, volatil, terisolasi, dan sangat aman. Rekam jepret disk dan data yang tidak terkait dengan pemindaian tidak disimpan lebih lama dari yang diperlukan untuk mengumpulkan metadata, biasanya beberapa menit.

Diagram proses untuk mengumpulkan data sistem operasi melalui pemindaian tanpa agen.

Izin yang digunakan oleh pemindaian tanpa agen

Defender untuk Cloud menggunakan peran dan izin tertentu untuk melakukan pemindaian tanpa agen.

Izin akses Azure

Peran bawaan operator pemindai VM memiliki izin baca-saja untuk disk VM yang diperlukan untuk proses pemotretan. Daftar izin terperinci adalah:

  • Microsoft.Compute/disks/read
  • Microsoft.Compute/disks/beginGetAccess/action
  • Microsoft.Compute/disks/diskEncryptionSets/read
  • Microsoft.Compute/virtualMachines/instanceView/read
  • Microsoft.Compute/virtualMachines/read
  • Microsoft.Compute/virtualMachineScaleSets/instanceView/read
  • Microsoft.Compute/virtualMachineScaleSets/read
  • Microsoft.Compute/virtualMachineScaleSets/virtualMachines/read
  • Microsoft.Compute/virtualMachineScaleSets/virtualMachines/instanceView/read

Ketika cakupan untuk disk terenkripsi CMK diaktifkan, lebih banyak izin diperlukan:

  • Microsoft.KeyVault/vaults/keys/read
  • Microsoft.KeyVault/vaults/keys/wrap/action
  • Microsoft.KeyVault/vaults/keys/unwrap/action

Izin AWS

Peran VmScanner ditetapkan ke pemindai saat Anda mengaktifkan pemindaian tanpa agen. Peran ini memiliki izin minimal yang ditetapkan untuk membuat dan membersihkan rekam jepret (dicakup oleh tag) dan untuk memverifikasi status VM saat ini. Izin terperinci adalah:

Atribut Nilai
SID VmScannerDeleteSnapshotAccess
Tindakan ec2:DeleteSnapshot
Kondisi "StringEquals":{"ec2:ResourceTag/CreatedBy”:<br>"Microsoft Defender for Cloud"}
Sumber arn:aws:ec2:::snapshot/
Efek Izinkan
Atribut Nilai
SID VmScannerAccess
Tindakan ec2:ModifySnapshotAttribute
ec2:HapusTag
ec2:CreateTags
ec2:CreateSnapshots
ec2:CopySnapshots
ec2:CreateSnapshot
Kondisi Tidak
Sumber arn:aws:ec2:::instance/
arn:aws:ec2:::snapshot/
arn:aws:ec2:::volume/
Efek Izinkan
Atribut Nilai
SID VmScannerVerificationAccess
Tindakan ec2:DescribeSnapshots
ec2:DescribeInstanceStatus
Kondisi Tidak
Sumber *
Efek Izinkan
Atribut Nilai
SID VmScannerEncryptionKeyCreation
Tindakan kms:MembuatKunci
Kondisi Tidak
Sumber *
Efek Izinkan
Atribut Nilai
SID VmScannerEncryptionKeyManagement
Tindakan kms:TagResource
kms:GetKeyRotationStatus
kms:PutKeyPolicy
kms:GetKeyPolicy
kms:CreateAlias
kms:ListResourceTags
Kondisi Tidak
Sumber arn:aws:kms::${AWS::AccountId}: key/ <br> arn:aws:kms:*:${AWS::AccountId}:alias/DefenderForCloudKey
Efek Izinkan
Atribut Nilai
SID Penggunaan Kunci Enkripsi VmScanner
Tindakan kms:GenerateDataKeyWithoutPlaintext
kms:DescribeKey
kms:RetireGrant
kms:CreateGrant
kms:ReEncryptFrom
Kondisi Tidak
Sumber arn:aws:kms::${AWS::AccountId}: key/
Efek Izinkan

Izin GCP

Selama proses orientasi, peran kustom baru dibuat dengan izin minimal yang diperlukan untuk mendapatkan status instansi dan membuat cuplikan.

Selain itu, izin untuk peran KMS GCP yang ada diberikan untuk mendukung pemindaian disk yang dienkripsi dengan CMEK. Perannya adalah:

  • roles/MDCAgentlessScanningRole diberikan ke akun layanan Defender untuk Cloud dengan izin: compute.disks.createSnapshot, compute.instances.get
  • roles/cloudkms.cryptoKeyEncrypterDecrypter diberikan kepada agen layanan mesin komputasi Defender untuk Cloud

Langkah berikutnya

Aktifkan pemindaian mesin tanpa agen.

  • Last updated on