Verificação de computador sem agente

A verificação de máquinas sem agente no Microsoft Defender para Nuvem melhora o nível de segurança das máquinas conectadas ao Defender para Nuvem.

A verificação sem agente não precisa de nenhum agente instalado nem de conectividade de rede e não afeta o desempenho do computador. Verificação de computador sem agente:

A verificação sem agente está disponível nos seguintes planos de Defender para Nuvem:

Arquitetura de análise sem agente

Como funciona a verificação sem agente:

  1. O Defender para Nuvem tira snapshots dos discos da VM (disco raiz + disco de dados) e realiza uma análise profunda e fora de banda da configuração do sistema operacional e do sistema de arquivos armazenados no instantâneo.

    • O instantâneo copiado permanece na mesma região que a VM.
    • A verificação não afeta a VM.

  2. Depois que Defender para Nuvem obtém os metadados necessários do disco copiado, ele exclui imediatamente o instantâneo copiado do disco e envia os metadados para mecanismos Microsoft relevantes para detectar lacunas de configuração e possíveis ameaças. Por exemplo, na avaliação de vulnerabilidade, a análise é feita por Gerenciamento de Vulnerabilidades do Defender.

  3. Defender para Nuvem exibe os resultados da verificação, o que consolida os resultados baseados em agente e sem agente na página alertas de segurança.

  4. Defender para Nuvem analisa discos em um ambiente de verificação regional, volátil, isolado e altamente seguro. Instantâneos de disco e dados não relacionados à verificação não são armazenados por mais tempo do que o necessário para coletar os metadados, normalmente alguns minutos.

Diagrama do processo para coletar dados do sistema operacional por meio da verificação sem agente.

Permissões usadas pela verificação sem agente

Defender para Nuvem usa funções e permissões específicas para executar a varredura sem agente.

permissões de Azure

A função interna de operador de verificação da VM tem permissões somente de leitura para discos de VM necessários para o processo de instantâneo. A lista detalhada de permissões é:

  • Microsoft.Compute/disks/read
  • Microsoft.Compute/disks/beginGetAccess/action
  • Microsoft.Compute/disks/diskEncryptionSets/read
  • Microsoft.Compute/virtualMachines/instanceView/read
  • Microsoft.Compute/virtualMachines/read
  • Microsoft.Compute/virtualMachineScaleSets/instanceView/read
  • Microsoft.Compute/virtualMachineScaleSets/read
  • Microsoft.Compute/virtualMachineScaleSets/virtualMachines/read
  • Microsoft.Compute/virtualMachineScaleSets/virtualMachines/instanceView/read

Quando a cobertura para discos criptografados cmk está habilitada, mais permissões são necessárias:

  • Microsoft.KeyVault/vaults/keys/read
  • Microsoft.KeyVault/vaults/keys/wrap/action
  • Microsoft.KeyVault/vaults/keys/unwrap/action

Permissões do AWS

A função VmScanner é atribuída ao scanner quando você habilita a verificação sem agente. Essa função tem o conjunto mínimo de permissões para criar e limpar instantâneos (limitados por marca) e verificar o estado atual da VM. As permissões detalhadas são:

Atributo Valor
SID VmScannerDeleteSnapshotAccess
Ações ec2:DeleteSnapshot
Condições "StringEquals":{"ec2:ResourceTag/CreatedBy”:<br>"Microsoft Defender for Cloud"}
Recursos arn:aws:ec2:::snapshot/
Efeito Permitir
Atributo Valor
SID VmScannerAccess
Ações ec2:ModifySnapshotAttribute
ec2:DeleteTags
ec2:CreateTags
ec2:CreateSnapshots
ec2:CopySnapshots
ec2:CreateSnapshot
Condições Nenhum
Recursos arn:aws:ec2:::instance/
arn:aws:ec2:::snapshot/
arn:aws:ec2:::volume/
Efeito Permitir
Atributo Valor
SID VmScannerVerificationAccess
Ações ec2:DescribeSnapshots
ec2:DescribeInstanceStatus (DescreverStatusDaInstância)
Condições Nenhum
Recursos *
Efeito Permitir
Atributo Valor
SID VmScannerEncryptionKeyCreation
Ações kms:CreateKey
Condições Nenhum
Recursos *
Efeito Permitir
Atributo Valor
SID VmScannerEncryptionKeyManagement
Ações kms:TagResource
kms:GetKeyRotationStatus
kms:PutKeyPolicy
kms:GetKeyPolicy
kms:CreateAlias
kms:ListResourceTags
Condições Nenhum
Recursos arn:aws:kms::${AWS::AccountId}: key/ <br> arn:aws:kms:*:${AWS::AccountId}:alias/DefenderForCloudKey
Efeito Permitir
Atributo Valor
SID VmScannerEncryptionKeyUsage
Ações kms:GenerateDataKeyWithoutPlaintext
kms:DescribeKey
kms:RetireGrant
kms:CreateGrant
kms:ReEncryptFrom
Condições Nenhum
Recursos arn:aws:kms::${AWS::AccountId}: chave/
Efeito Permitir

Permissões GCP

Durante a integração, uma nova função personalizada é criada com as permissões mínimas necessárias para obter o status de instâncias e criar instantâneos.

Além disso, as permissões para uma função de KMS do GCP existente são concedidas para dar suporte à verificação de discos criptografados com CMEK. As funções são:

  • roles/MDCAgentlessScanningRole concedido à conta de serviço do Defender para Nuvem com as permissões: compute.disks.createSnapshot, compute.instances.get
  • roles/cloudkms.cryptoKeyEncrypterDecrypter concedido ao agente de serviço do mecanismo de computação do Defender para Nuvem

Próximas etapas

Habilite a verificação de computador sem agente.

  • Last updated on