Ativar acesso em tempo real

Defender para Servidores no Microsoft Defender para a Cloud disponibiliza uma funcionalidade de acesso just-in-time (JIT) às máquinas.

Você pode usar o acesso just-in-time do Microsoft Defender para a Cloud para proteger suas VMs do Azure contra acesso não autorizado à rede. Os firewalls frequentemente incluem regras de permissão que deixam as VMs expostas. O JIT permite o acesso apenas quando necessário, nas portas exigidas e durante o tempo exigido.

Neste artigo, você aprenderá a configurar e usar o acesso just-in-time, incluindo como:

Habilite o Just-in-Time nas VMs através do portal do Azure ou de forma programática.
Solicitar acesso a uma VM que tenha acesso just-in-time ativado no portal do Azure ou programaticamente
Audite a atividade de acesso just-in-time para garantir que suas VMs estejam protegidas adequadamente

Pré-requisitos

O Microsoft Defender for Servers Plan 2 deve estar habilitado na assinatura.
VMs suportadas: VMs implementadas através do Azure Resource Manager, VMs protegidas pelo Azure Firewall na mesma rede virtual (VNet) da VM, e instâncias AWS EC2 (Preview).
VMs sem suporte: VMs implantadas com modelos de implantação clássicos, VMs protegidas por Firewalls do Azure controladas pelo Gerenciador de Firewall do Azure.
Para configurar o acesso just-in-time em suas VMs da AWS, você precisa conectar sua conta da AWS ao Microsoft Defender para a Cloud.
Para criar uma política JIT, o nome da política, juntamente com o nome da VM de destino, não deve exceder um total de 56 caracteres.
Precisas das permissões Reader e SecurityReader para visualizar o estado e os parâmetros do JIT. Um cargo personalizado também pode fornecer este acesso.
Para uma função personalizada, atribua as permissões resumidas na tabela. Para criar uma função menos privilegiada para usuários que só precisam solicitar acesso JIT a uma VM, use o scriptSet-JitLeastPrivilegedRole.

Ação do usuário	Permissões para definir
Configurar ou editar uma política JIT para uma VM	Atribua estas ações à função: No âmbito de uma assinatura (ou de um grupo de recursos ao utilizar apenas API ou PowerShell) que está associada à máquina virtual: `Microsoft.Security/locations/jitNetworkAccessPolicies/write` No âmbito de uma subscrição (ou grupo de recursos quando se utiliza apenas a API ou o PowerShell) da VM: `Microsoft.Compute/virtualMachines/write`
Solicitar acesso JIT a uma VM	Atribua estas ações ao usuário: `Microsoft.Security/locations/jitNetworkAccessPolicies/initiate/action` `Microsoft.Security/locations/jitNetworkAccessPolicies//read` `Microsoft.Compute/virtualMachines/read` `Microsoft.Network/networkInterfaces//read` `Microsoft.Network/publicIPAddresses/read`
Leia as políticas do JIT	Atribua estas ações ao usuário: `Microsoft.Security/locations/jitNetworkAccessPolicies/read` `Microsoft.Security/locations/jitNetworkAccessPolicies/initiate/action` `Microsoft.Security/policies/read` `Microsoft.Security/pricings/read` `Microsoft.Compute/virtualMachines/read` `Microsoft.Network/*/read`

Note

Apenas as permissões Microsoft.Security são relevantes para a AWS. Para criar uma função menos privilegiada para usuários que só precisam solicitar acesso JIT a uma VM, use o scriptSet-JitLeastPrivilegedRole.

Trabalhar com acesso a VM JIT usando o Microsoft Defender para a Cloud

Você pode usar o Defender para a Cloud ou habilitar programaticamente o acesso à VM JIT com suas próprias opções personalizadas, ou pode habilitar o JIT com parâmetros padrão codificados de máquinas virtuais do Azure.

O acesso a VMs just-in-time mostra suas VMs agrupadas em:

Configurado - As VMs são configuradas para suportar o acesso à VM em modo just-in-time e mostram:
- o número de pedidos de EIC aprovados nos últimos sete dias;
- a data e hora do último acesso
- os detalhes da conexão configurados
- o último utilizador
Não configurado - VMs sem JIT habilitado, mas que podem suportar JIT. Recomendamos que você habilite o JIT para essas VMs.
Sem suporte - VMs que não suportam JIT porque:
- NSG (grupo de segurança de rede) ausente ou Firewall do Azure - o JIT requer a configuração de um NSG ou uma configuração de Firewall (ou ambas)
- VM clássica - O JIT dá suporte a VMs implantadas por meio do Azure Resource Manager.
- Outros - A solução JIT está desativada na política de segurança da subscrição ou do grupo de recursos.

Habilite o JIT em suas VMs do Microsoft Defender para a Cloud

No Defender para a Cloud, você pode habilitar e configurar o acesso à VM JIT.

Para ativar o JIT nas suas VMs a partir do Defender para a Cloud:

Abra as proteções de carga de trabalho e, nas proteções avançadas, selecione Acesso à VM just-in-time.
Na guia Máquinas virtuais não configuradas , marque as VMs a serem protegidas com JIT e selecione Habilitar JIT em VMs.

A página de acesso à VM JIT é aberta listando as portas que o Defender para a Cloud recomenda proteger:
- 22 - SSH
- 3389 - RDP
- 5985 - WinRM
- 5986 - WinRM
Para personalizar o acesso JIT:
1. Selecione Adicionar.
2. Selecione uma das portas na lista para editá-la ou insira outras portas. Para cada porta, você pode definir:
  - Protocol
  - IPs de origem permitidos
  - Tempo máximo de solicitação
3. Selecione OK.
Para salvar a configuração da porta, selecione Salvar.

Editar a configuração JIT em uma VM habilitada para JIT usando o Defender para a Cloud

Você pode modificar a configuração just-in-time de uma VM adicionando e configurando uma nova porta para proteger essa VM ou alterando qualquer outra configuração relacionada a uma porta já protegida.

Para editar as regras JIT existentes para uma VM:

Abra as proteções de carga de trabalho e, nas proteções avançadas, selecione Acesso à VM just-in-time.
Na guia Máquinas virtuais configuradas , clique com o botão direito do mouse em uma VM e selecione Editar.
Na configuração de acesso à VM JIT, pode editar a lista de portas ou selecionar Adicionar para uma nova porta personalizada.
Quando terminar de editar as portas, selecione Guardar.

Solicitar acesso a uma VM habilitada para JIT do Microsoft Defender para a Cloud

Quando uma VM tem o JIT habilitado, você precisa solicitar acesso para se conectar a ela. Você pode solicitar acesso de qualquer uma das maneiras suportadas, independentemente de como você habilitou o JIT.

Para solicitar acesso a uma VM habilitada com JIT ao Defender para a Cloud:

Na página Acesso à VM just-in-time, selecione o separador Configurado.
Selecione as VMs que você deseja acessar.
- O ícone na coluna Detalhes da Conexão indica se o JIT está habilitado no security group ou firewall da rede. Se estiver ativado em ambos, apenas o ícone do firewall será exibido.
- A coluna Detalhes da Conexão mostra o usuário e as portas que podem acessar a VM.
Selecione Solicitar acesso. A janela Solicitar acesso é aberta.
Em Solicitar acesso, selecione as portas que deseja abrir para cada VM, os endereços IP de origem nos quais deseja abrir a porta e a janela de tempo para abrir as portas.
Selecione Abrir portas.

Note

Se um usuário que está solicitando acesso estiver atrás de um proxy, você poderá inserir o intervalo de endereços IP do proxy.

Outras maneiras de trabalhar com acesso a VM JIT

Máquinas virtuais do Azure

Habilite o JIT em suas VMs a partir de máquinas virtuais do Azure

Você pode habilitar o JIT em uma VM nas páginas de máquinas virtuais do Azure do portal do Azure.

Para ativar o JIT numa VM a partir de máquinas virtuais Azure:

Tip

Se uma VM já tiver o JIT habilitado, a página de configuração da VM mostrará que o JIT está habilitado. Use o link Just-in-time VM access nessa página para abrir Defender para a Cloud e rever ou alterar definições.

No portal do Azure, procure e selecione Máquinas virtuais.
Selecione a máquina virtual que deseja proteger com JIT.
No menu, selecione Configuração.
Em Acesso just-in-time, selecione Ativar just-in-time.

Por padrão, o acesso just-in-time para a VM usa estas configurações:
- Máquinas Windows:
  - Porta RDP: 3389
  - Acesso máximo permitido: 3 horas
  - Endereços IP de origem permitidos: Qualquer
- Máquinas Linux:
  - Porta SSH: 22
  - Acesso máximo permitido: 3 horas
  - Endereços IP de origem permitidos: Qualquer
Para editar qualquer um desses valores ou adicionar mais portas à sua configuração JIT, use a página just-in-time do Microsoft Defender para a Cloud:
1. No menu do Defender para a Cloud, selecione Just-in-time VM access.
2. Na guia Configurado , clique com o botão direito do mouse na VM à qual você deseja adicionar uma porta e selecione Editar.
3. Em Configuração de acesso à VM JIT, você pode editar as configurações existentes de uma porta já protegida ou adicionar uma nova porta personalizada.
4. Quando terminar de editar as portas, selecione Salvar.

Solicitar acesso a uma VM habilitada para JIT na página de conexão da máquina virtual do Azure

Captura de tela de uma solicitação de acesso de VM just-in-time mostrando as portas selecionadas e a duração do acesso.

Para solicitar acesso de máquinas virtuais do Azure:

No portal do Azure, abra as páginas de máquinas virtuais.
Selecione a VM à qual você deseja se conectar e abra a página Conectar .

O Azure verifica se o JIT está habilitado nessa VM.
- Se o JIT não estiver habilitado para a VM, você será solicitado a habilitá-lo.
- Se o JIT estiver habilitado, selecione Solicitar acesso para passar uma solicitação de acesso com o IP solicitante, o intervalo de tempo e as portas que foram configuradas para essa VM.

Note

Depois que uma solicitação é aprovada para uma VM protegida pelo Firewall do Azure, o Defender para a Cloud fornece ao usuário os detalhes de conexão adequados (o mapeamento de porta da tabela DNAT) a ser usado para se conectar à VM.

PowerShell

Habilitar o JIT em suas VMs usando o PowerShell

Para habilitar o acesso just-in-time a VMs a partir do PowerShell, use o cmdlet oficial do Microsoft Defender para a Cloud PowerShell.

Para configurar o JIT numa VM com PowerShell:

Exemplo - Habilite o acesso just-in-time à VM em uma VM específica com as seguintes regras:

Feche as portas 22 e 3389
Defina uma janela de tempo máxima de 3 horas para cada um para que possam ser abertos por solicitação aprovada
Permitir que o usuário que está solicitando acesso controle os endereços IP de origem
Permitir que o usuário que está solicitando acesso estabeleça uma sessão bem-sucedida mediante uma solicitação de acesso just-in-time aprovada

Os seguintes comandos do PowerShell criam essa configuração JIT:

Atribua uma variável que contenha as regras de acesso de VM just-in-time para uma VM:

$JitPolicy = (@{
    id="/subscriptions/SUBSCRIPTIONID/resourceGroups/RESOURCEGROUP/providers/Microsoft.Compute/virtualMachines/VMNAME";
    ports=(@{
        number=22;
        protocol="*";
        allowedSourceAddressPrefix=@("*");
        maxRequestAccessDuration="PT3H"},
        @{
        number=3389;
        protocol="*";
        allowedSourceAddressPrefix=@("*");
        maxRequestAccessDuration="PT3H"})})

Insira as regras de acesso just-in-time da VM numa matriz.
```
$JitPolicyArr=@($JitPolicy)
```
Configure as regras de acesso à VM just-in-time na VM selecionada:
```
Set-AzJitNetworkAccessPolicy -Kind "Basic" -Location "LOCATION" -Name "default" -ResourceGroupName "RESOURCEGROUP" -VirtualMachine $JitPolicyArr
```
Use o parâmetro -Name para especificar uma VM. Por exemplo, para estabelecer a configuração JIT para duas VMs diferentes, VM1 e VM2, use: Set-AzJitNetworkAccessPolicy -Name VM1 e Set-AzJitNetworkAccessPolicy -Name VM2.

Solicitar acesso a uma VM habilitada para JIT usando o PowerShell

No exemplo a seguir, você pode ver uma solicitação de acesso de VM just-in-time a uma VM específica para a porta 22, para um endereço IP específico e para um período de tempo específico:

Para solicitar acesso a uma VM habilitada para JIT usando PowerShell:

Execute os seguintes comandos no PowerShell:

Configure as propriedades de acesso para pedidos de VM:

$JitPolicyVm1 = (@{
    id="/subscriptions/SUBSCRIPTIONID/resourceGroups/RESOURCEGROUP/providers/Microsoft.Compute/virtualMachines/VMNAME";
    ports=(@{
        number=22;
        endTimeUtc="2020-07-15T17:00:00.3658798Z";
        allowedSourceAddressPrefix=@("IPV4ADDRESS")})})

Insira os parâmetros de solicitação de acesso da VM em uma matriz:
```
$JitPolicyArr=@($JitPolicyVm1)
```

Envie o pedido de acesso (utilize o ID do recurso do passo 1)

Start-AzJitNetworkAccessPolicy -ResourceId "/subscriptions/SUBSCRIPTIONID/resourceGroups/RESOURCEGROUP/providers/Microsoft.Security/locations/LOCATION/jitNetworkAccessPolicies/default" -VirtualMachine $JitPolicyArr

Saiba mais na documentação do cmdlet do PowerShell.

API REST

Habilite o JIT em suas VMs usando a API REST

O recurso de acesso à VM just-in-time pode ser usado por meio da API do Microsoft Defender para a Cloud. Use essa API para obter informações sobre VMs configuradas, adicionar novas, solicitar acesso a uma VM e muito mais.

Saiba mais em Políticas de acesso à rede JIT.

Solicitar acesso a uma VM habilitada para JIT usando a API REST