Pertanyaan umum tentang pengumpulan data, agen, dan ruang kerja

Pengumpulan data diaktifkan secara otomatis saat Anda mengaktifkan paket Defender yang memerlukan komponen pemantauan.

Saat provisi otomatis diaktifkan, Defender untuk Cloud menggunakan agen Log Analytics di semua Azure VM yang didukung dan yang baru yang dibuat. Provisi otomatis disarankan tetapi penginstalan agen manual juga tersedia. Pelajari cara menginstal ekstensi agen Log Analytics.

Agen memungkinkan peristiwa pembuatan proses 4688 dan bidang CommandLine di dalam peristiwa 4688. Proses baru yang dibuat pada VM direkam oleh EventLog dan dipantau oleh layanan deteksi Defender untuk Cloud. Untuk mengetahui informasi selengkapnya tentang detail yang dicatat untuk setiap proses baru, lihat bidang deskripsi di 4688. Agen juga mengumpulkan peristiwa 4688 yang dibuat pada VM dan menyimpannya pada pencarian.

Agen juga mengaktifkan pengumpulan data untuk Kontrol Aplikasi Adaptif, Defender untuk Cloud mengonfigurasi kebijakan AppLocker lokal dalam mode Audit untuk mengizinkan semua aplikasi. Kebijakan ini menyebabkan AppLocker menghasilkan peristiwa, yang kemudian dikumpulkan dan digunakan oleh Defender untuk Cloud. Penting untuk dicatat bahwa kebijakan ini tidak dikonfigurasi pada komputer apa pun yang sudah ada kebijakan AppLocker yang dikonfigurasi.

Ketika Defender untuk Cloud mendeteksi aktivitas mencurigakan pada VM, pelanggan menerima pemberitahuan email jika informasi kontak keamanan telah disediakan. Peringatan juga ditampilkan di dasbor peringatan keamanan Microsoft Defender untuk Cloud.

Untuk memantau kerentanan dan ancaman keamanan, Microsoft Defender untuk Cloud bergantung pada Agen Analitik Log - agen ini sama dengan yang digunakan oleh layanan Azure Monitor.

Agen ini terkadang disebut sebagai Microsoft Monitoring Agent (atau "MMA").

Agen mengumpulkan berbagai detail konfigurasi terkait keamanan dan log peristiwa dari komputer yang tersambung, lalu menyalin data ke ruang kerja Log Analytics Anda untuk analisis lebih lanjut. Contoh data tersebut adalah: jenis dan versi sistem operasi, log sistem operasi (log peristiwa Windows), proses yang berjalan, nama komputer, alamat IP, dan pengguna yang masuk.

Pastikan komputer Anda menjalankan salah satu sistem operasi yang didukung untuk agen ini seperti yang dijelaskan pada halaman berikut:

• Agen Log Analytics untuk sistem operasi yang didukung Windows

• Agen Log Analytics untuk sistem operasi yang didukung Linux

Pelajari lebih lanjut tentang data yang dikumpulkan oleh agen Log Analytics.

VM IaaS Windows atau Linux memenuhi syarat jika:

• Ekstensi agen Analitik Log saat ini tidak diinstal pada VM.
• VM dalam status berjalan.
• Agen Azure Virtual Machine Windows atau Linux diinstal.
• VM tidak digunakan sebagai appliance seperti firewall aplikasi web atau firewall generasi berikutnya.

Untuk daftar lengkap peristiwa keamanan yang dikumpulkan oleh agen, lihat Jenis peristiwa apa yang disimpan untuk pengaturan peristiwa keamanan "Umum" dan "Minimal"?.

Saat Agen Pemantauan diinstal sebagai ekstensi, konfigurasi ekstensi memungkinkan pelaporan hanya ke satu ruang kerja. Defender untuk Cloud tidak menimpa koneksi yang ada ke ruang kerja pengguna. Defender untuk Cloud menyimpan data keamanan dari VM di ruang kerja yang sudah tersambung ketika solusi "Keamanan" atau "SecurityCenterFree" diinstal di dalamnya. Defender untuk Cloud mungkin meningkatkan versi ekstensi ke versi terbaru dalam proses ini.

Untuk mengetahui informasi selengkapnya, lihat Provisi otomatis jika terjadi penginstalan agen yang sudah ada sebelumnya.

Jika agen Analitik Log diinstal langsung di VM (bukan sebagai ekstensi Azure), Defender untuk Cloud menginstal ekstensi agen Log Analytics, dan mungkin meningkatkan agen Analitik Log ke versi terbaru.

Agen yang diinstal terus melaporkan ke ruang kerja yang sudah dikonfigurasi, dan melaporkan ke ruang kerja yang dikonfigurasi di Defender untuk Cloud. (Multi-homing didukung pada komputer Windows.)

Untuk ruang kerja pengguna kustom, Anda perlu menginstal solusi "Keamanan" atau "SecurityCenterFree" di dalamnya sehingga Defender untuk Cloud dapat memproses peristiwa dari VM dan komputer yang melaporkan ke ruang kerja tersebut.

Untuk komputer Linux, multi-homing agen belum didukung. Jika penginstalan agen yang ada terdeteksi, Defender untuk Cloud tidak secara otomatis menggunakan agen atau mengubah konfigurasi komputer.

Untuk komputer yang ada pada langganan yang di-onboarding ke Defender untuk Cloud sebelum 17 Maret 2019, multi-homing agen belum didukung. Jika penginstalan agen yang ada terdeteksi, Defender untuk Cloud tidak secara otomatis menggunakan agen atau mengubah konfigurasi komputer. Untuk komputer ini, lihat rekomendasi "Mengatasi masalah kesehatan agen pemantauan pada komputer Anda" untuk menyelesaikan masalah penginstalan agen pada komputer ini

Untuk mengetahui informasi selengkapnya, lihat bagian berikutnya Apa yang terjadi jika Manajer Operasi Pusat Sistem atau agen langsung OMS sudah diinstal pada VM saya?

Defender untuk Cloud menerapkan Azure Policy yang tidak memungkinkan agen Analitik Log diinstal saat Agen Manajer Operasi Pusat Sistem diinstal pada komputer. Kedua agen memiliki kemampuan untuk multi-rumah dan melaporkan ke Manajer Operasi Pusat Sistem dan ruang kerja Analitik Log. Agen Manajer Operasi dan agen Analitik Log berbagi pustaka run-time umum. Catatan - Jika versi 2012 dari agen Manajer Operasi diinstal, jangan aktifkan provisi otomatis (kemampuan pengelolaan dapat hilang ketika server Manajer Operasi juga versi 2012).

Jika Anda menghapus Ekstensi Pemantauan Microsoft, Defender untuk Cloud tidak dapat mengumpulkan data keamanan dari VM dan beberapa rekomendasi dan pemberitahuan keamanan tidak tersedia. Dalam waktu 24 jam, Microsoft Defender untuk Cloud menentukan bahwa mesin virtual tidak memiliki ekstensi dan menginstal ulang ekstensi.

Menyebarkan ekstensi dengan Defender untuk Cloud sangat disarankan untuk mendapatkan pemberitahuan dan rekomendasi keamanan tentang pembaruan sistem, kerentanan OS, dan perlindungan titik akhir. Menonaktifkan ekstensi membatasi pemberitahuan dan rekomendasi ini. Namun, Anda dapat menonaktifkan provisi otomatis untuk agen atau ekstensi tertentu:

Untuk menonaktifkan provisi otomatis untuk agen atau ekstensi tertentu:

1. Dari portal Microsoft Azure, buka Defender for Cloud dan pilih Pengaturan lingkungan.

2. Pilih langganan yang relevan.

3. Di kolom Cakupan pemantauan paket Defender for Server, pilih Pengaturan.

   

4. Nonaktifkan ekstensi yang ingin Anda hentikan untuk diprovisikan secara otomatis.

   

5. Pilih Simpan.

Anda mungkin ingin menolak provisi otomatis jika skenario ini berlaku untuk Anda:

• Penginstalan agen otomatis oleh Microsoft Defender untuk Cloud berlaku bagi seluruh langganan. Anda tidak dapat menerapkan penginstalan otomatis ke subset VM. Jika ada VM penting yang tidak dapat diinstal dengan agen Analitik Log, Maka Anda harus menolak provisi otomatis.

• Penginstalan ekstensi agen Log Analytics memperbarui versi agen. Ini berlaku untuk agen langsung dan agen Manajer Operasi Pusat Sistem (yang terakhir, Manajer Operasi dan agen Analitik Log berbagi pustaka runtime umum - yang diperbarui dalam proses). Jika agen Manajer Operasi yang diinstal adalah versi 2012 dan ditingkatkan, kemampuan pengelolaan dapat hilang saat server Manajer Operasi juga menggunakan versi 2012. Pertimbangkan untuk memilih keluar dari provisi otomatis jika agen Manajer Operasi yang diinstal adalah versi 2012.

• Jika Anda ingin menghindari pembuatan beberapa ruang kerja per langganan dan memiliki ruang kerja kustom Anda sendiri dalam langganan, Anda memiliki dua opsi:

  • Anda dapat memilih keluar dari provisi otomatis. Setelah migrasi, tetapkan pengaturan ruang kerja default seperti yang dijelaskan dalam Bagaimana cara menggunakan ruang kerja Log Analytics yang sudah ada?

  • Atau, Anda dapat mengizinkan migrasi selesai, agen Log Analytics untuk diinstal pada VM, dan VM yang tersambung ke ruang kerja yang dibuat. Kemudian, pilih ruang kerja kustom Anda sendiri dengan mengatur pengaturan ruang kerja default dengan memilih untuk mengonfigurasi ulang agen yang sudah diinstal. Untuk mengetahui informasi selengkapnya, lihat Bagaimana cara menggunakan ruang kerja Log Analytics yang sudah ada?

Saat migrasi selesai, Microsoft Defender untuk Cloud tidak dapat mengumpulkan data keamanan dari mesin virtual serta beberapa rekomendasi dan pemberitahuan keamanan tidak tersedia. Jika Anda memilih untuk keluar, instal agen Log Analytics secara manual. Lihat langkah-langkah yang disarankan saat memilih keluar.

Instal ekstensi agen Log Analytics secara manual agar Microsoft Defender untuk Cloud dapat mengumpulkan data keamanan dari mesin virtual Anda dan memberikan rekomendasi serta pemberitahuan. Lihat penginstalan agen untuk VM Windows atau penginstalan agen untuk VM Linux untuk panduan tentang penginstalan.

Anda dapat menyambungkan agen ke ruang kerja kustom atau ruang kerja yang dibuat oleh Microsoft Defender untuk Cloud yang sudah ada. Jika ruang kerja kustom tidak mengaktifkan solusi "Keamanan" atau "SecurityCenterFree", Anda perlu menerapkan solusi. Untuk menerapkan, pilih ruang kerja kustom dan terapkan tingkat harga melalui halaman Pengaturan lingkungan>paket Defender.

Defender untuk Cloud mengaktifkan solusi yang benar pada ruang kerja berdasarkan opsi yang dipilih.

Anda dapat menghapus agen Analitik Log secara manual tetapi tidak disarankan. Menghapus batas ekstensi OMS Defender untuk Cloud rekomendasi dan pemberitahuan.

Untuk menghapus agen secara manual:

1. Di portal, buka Log Analytics.

2. Di halaman Log Analytics, pilih ruang kerja:

3. Pilih VM yang tidak ingin Anda pantau, lalu pilih Putuskan sambungan.

   

Ya. Microsoft Defender untuk Cloud menggunakan Azure Monitor untuk mengumpulkan data dari Azure VM dan server, menggunakan agen Analitik Log. Untuk mengumpulkan data, setiap VM dan server harus tersambung ke Internet menggunakan HTTPS. Koneksi bisa langsung, menggunakan proksi, atau melalui Gateway OMS.

Agen mengonsumsi sejumlah nominal sumber daya sistem dan harus memiliki sedikit efek pada performa. Untuk informasi selengkapnya tentang efek performa dan agen dan ekstensi, lihat panduan perencanaan dan operasi.

Pemindaian tanpa agen mengumpulkan data yang mirip dengan data yang dikumpulkan agen untuk melakukan analisis yang sama. Data mentah, PII, atau data bisnis sensitif tidak dikumpulkan, dan hanya hasil metadata yang dikirim ke Defender untuk Cloud.

Pemindaian tanpa agen disertakan dalam paket Defender Cloud Security Posture Management (CSPM) dan Defender for Servers P2. Tidak ada biaya lain yang dikenakan untuk Defender untuk Cloud saat mengaktifkannya.

Rekam jepret disk dibuat dengan CreatedBy kunci tag, dan Microsoft Defender for Cloud nilai tag. Tag CreatedBy melacak siapa yang membuat sumber daya.

Anda perlu mengaktifkan tag di konsol Billing dan Cost Management. Dibutuhkan waktu hingga 24 jam agar tag diaktifkan.

Setelah Anda mengaktifkan tag, AWS menghasilkan laporan alokasi biaya sebagai nilai yang dipisahkan koma (. File CSV) dengan penggunaan dan biaya yang dikelompokkan berdasarkan tag aktif Anda.

Ada penyerapan data gratis 500 MB untuk setiap ruang kerja. Ini dihitung per node, per ruang kerja yang dilaporkan, per hari, dan tersedia untuk setiap ruang kerja yang memiliki solusi 'Keamanan' atau 'AntiMalware' yang diinstal. Anda dikenakan biaya untuk data apa pun yang diserap selama batas 500 MB.

Ruang kerja yang dibuat oleh Microsoft Defender untuk Cloud, saat dikonfigurasi untuk log Azure Monitor per tagihan simpul, tidak dikenakan biaya log Azure Monitor. Tagihan Microsoft Defender untuk Cloud selalu ditentukan berdasarkan kebijakan keamanan Microsoft Defender untuk Cloud Anda dan solusi yang diinstal di ruang kerja:

• Keamanan yang ditingkatkan nonaktif - Defender for Cloud memberikan solusi "SecurityCenterFree" di ruang kerja default. Tidak ada biaya ketika tidak ada paket Defender yang diaktifkan.

• Semua paket Microsoft Defender for Cloud aktif - Defender for Cloud memberikan solusi "Keamanan" di ruang kerja default.

Untuk detail harga dalam mata uang atau wilayah lokal Anda, lihat halaman harga.

Lokasi ruang kerja default bergantung pada wilayah Azure Anda:

• Untuk VM di Amerika Serikat dan Brasil, lokasi ruang kerja adalah Amerika Serikat
• Untuk VM di Kanada, lokasi ruang kerja adalah Kanada
• Untuk VM di Eropa, lokasi ruang kerja adalah Eropa
• Untuk VM di Inggris, lokasi ruang kerja adalah Inggris
• Untuk VM di Asia Timur dan Asia Tenggara, lokasi ruang kerjanya adalah Asia
• Untuk VM di Korea, lokasi ruang kerja adalah Korea
• Untuk VM di India, lokasi ruang kerja adalah India
• Untuk VM di Jepang, lokasi ruang kerja adalah Jepang
• Untuk VM di Tiongkok, lokasi ruang kerja adalah Tiongkok
• Untuk VM di Australia, lokasi ruang kerja adalah Australia

Menghapus ruang kerja default tidak disarankan. Microsoft Defender untuk Cloud menggunakan ruang kerja default untuk menyimpan data keamanan dari VM Anda. Jika Anda menghapus ruang kerja, Microsoft Defender untuk Cloud tidak dapat mengumpulkan data ini serta beberapa rekomendasi dan pemberitahuan keamanan tidak tersedia.

Untuk memulihkan, hapus agen Log Analytics di VM yang tersambung ke ruang kerja yang dihapus. Microsoft Defender untuk Cloud menginstal ulang agen dan membuat ruang kerja default baru.

Anda dapat memilih ruang kerja Log Analytics yang sudah ada untuk menyimpan data yang dikumpulkan oleh Microsoft Defender untuk Cloud. Untuk menggunakan ruang kerja Log Analytics yang sudah ada:

• Ruang kerja harus dikaitkan dengan langganan Azure yang Anda pilih.
• Minimal, Anda harus memiliki izin baca untuk mengakses ruang kerja.

Untuk memilih ruang kerja Log Analytics yang ada:

1. Dari menu Defender untuk Cloud, buka Pengaturan lingkungan.

2. Pilih langganan yang relevan.

3. Di kolom Cakupan pemantauan paket Defender for Server, pilih Pengaturan.

4. Untuk agen Log Analytics, pilih Edit konfigurasi.

   

5. Pilih Ruang kerja kustom dan pilih ruang kerja yang sudah ada.

   

   Tip

   Daftar ini hanya menyertakan ruang kerja yang dapat Anda akses dan yang ada di langganan Azure Anda.

6. Pilih Terapkan.

7. Pilih Lanjutkan.

8. Pilih Simpan dan konfirmasikan bahwa Anda ingin mengonfigurasi ulang VM yang dipantau.

   Penting

   Pilihan ini hanya relevan jika Anda mengubah konfigurasi dari ruang kerja default ke ruang kerja kustom. Jika Anda mengubah pengaturan dari satu ruang kerja kustom ke ruang kerja kustom lainnya atau dari ruang kerja kustom ke ruang kerja default, perubahan tidak diterapkan ke komputer yang ada.

   • Pilih Tidak jika Anda ingin pengaturan ruang kerja baru diterapkan pada VM baru saja. Pengaturan ruang kerja baru hanya berlaku untuk penginstalan agen baru; VM yang baru ditemukan yang tidak menginstal agen Analitik Log.
   • Pilih Ya jika Anda ingin pengaturan ruang kerja baru diterapkan pada semua VM. Selain itu, setiap mesin virtual yang tersambung ke ruang kerja yang dibuat oleh Microsoft Defender untuk Cloud akan tersambung kembali ke ruang kerja target baru.

   Catatan

   Jika Anda memilih Ya, jangan hapus ruang kerja yang dibuat oleh Microsoft Defender untuk Cloud hingga semua mesin virtual telah tersambung kembali ke ruang kerja target baru. Operasi ini gagal jika ruang kerja dihapus terlalu dini.

Jika VM sudah memiliki agen Analitik Log yang diinstal sebagai ekstensi Azure, Defender untuk Cloud tidak mengambil alih koneksi ruang kerja yang ada. Sebagai gantinya, Defender for Cloud akan menggunakan ruang kerja yang ada. VM dilindungi jika solusi "Keamanan" atau "SecurityCenterFree" telah diinstal pada ruang kerja yang dilaporkannya.

Solusi Defender for Cloud diinstal pada ruang kerja yang dipilih di layar Koleksi Data jika belum ada, dan solusinya hanya diterapkan ke VM yang relevan. Saat Anda menambahkan solusi, solusi secara otomatis disebarkan secara default ke semua agen Windows dan Linux yang terhubung ke ruang kerja Analitik Log Anda. Penargetan Solusi memungkinkan Anda menerapkan cakupan pada solusi Anda.

Ketika Defender for Cloud mengidentifikasi bahwa VM sudah terhubung ke ruang kerja yang Anda buat, Defender for Cloud mengaktifkan solusi pada ruang kerja ini sesuai dengan konfigurasi harga Anda. Solusi ini hanya diterapkan pada Azure VM yang relevan, melalui penargetan solusi, sehingga tagihan tetap sama.

• Tidak ada paket Defender yang diaktifkan - Defender untuk Cloud menginstal solusi "SecurityCenterFree" di ruang kerja dan Anda tidak ditagih untuk itu.

• Aktifkan semua paket Microsoft Defender – Defender untuk Cloud memasang solusi 'Keamanan' di ruang kerja.

  

Jika VM sudah memiliki agen Log Analytics yang diinstal sebagai ekstensi Azure, Defender for Cloud menggunakan ruang kerja tersambung yang sudah ada. Solusi Defender for Cloud diinstal pada ruang kerja jika belum ada, dan solusi tersebut hanya diterapkan ke VM yang relevan melalui penargetan solusi.

Saat Defender untuk Cloud memasang agen Analitik Log di VM, ia menggunakan ruang kerja default yang dibuat oleh Defender untuk Cloud jika tidak menunjuk ke ruang kerja yang ada.

Solusi Keamanan & Audit digunakan untuk mengaktifkan Pertahanan Microsoft untuk Server. Jika solusi Keamanan & Audit sudah diinstal pada ruang kerja, Defender for Cloud menggunakan solusi yang ada. Tidak ada perubahan dalam penagihan.

Langkah berikutnya

Pelajari tentang cara Defender untuk Cloud mengumpulkan data