你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。
保护 VM 机密
Defender for Cloud 提供了对虚拟机的无代理机密扫描。 扫描可帮助你快速检测、确定优先级并修复公开的机密。 机密检测可以识别存储在 OS 文件系统上不同类型的文件中的各种机密类型，例如令牌、密码、密钥或凭据。
Defender for Cloud 面向虚拟机 (VM) 的无代理机密扫描功能会查找环境中存在的纯文本机密。 如果检测到此类密钥，Microsoft Defender for Cloud 会协助安全团队确定优先级并采取切实可行的修正步骤，最大限度降低横向移动的风险，整个过程完全不会影响到计算机的性能。
VM 机密扫描的工作原理是什么？
对 VM 进行机密扫描是无代理的，并使用云 API。
- 扫描会捕获磁盘快照并对其进行分析，不会影响 VM 性能。
- Microsoft 机密扫描引擎从磁盘收集机密元数据后，将其发送到 Defender for Cloud。
- 无代理扫描引擎会验证 SSH 私钥是否可用于在网络中横向移动。
- 未成功验证的 SSH 密钥会在 Defender for Cloud“建议”页上归类为“未验证”。
- 识别为包含测试相关内容的目录将从扫描中排除。
支持的功能有哪些？
如果正在使用 Defender for Servers 计划 2 或 Defender 云安全态势管理 (CSPM)，则可以使用 VM 机密扫描。 VM 机密扫描能够扫描 Azure VM 以及加入 Defender for Cloud 的 AWS/GCP 实例。 查看 Defender for Cloud 可以发现的机密。
VM 机密扫描如何缓解风险？
机密扫描可通过以下缓解措施降低风险：
- 消除不需要的机密。
- 适用最低特权原则。
- 使用 Azure Key Vault 等机密管理系统加强机密安全性。
- 使用生存期较短的机密，例如将 Azure 存储连接字符串替换为具有较短有效期的 SAS 令牌。
如何识别和修复机密问题？
有许多方式。 并非每个机密都支持每个方法。 有关更多详细信息，请查看支持的机密列表。
- 查看资产清单中的机密：清单会显示连接到 Defender for Cloud 的资源的安全状态。 通过清单，可以查看在特定计算机上发现的密钥。
- 查看机密建议：在资产上找到机密后，将在 Defender for Cloud“建议”页上的“修复漏洞安全控制”下触发建议。 建议的触发过程如下所示：
- 使用云安全资源管理器查看机密。 使用云安全资源管理器查询云安全图。 可以生成自己的查询，或使用其中一个内置模板在整个环境中查询 VM 机密。
- 查看攻击路径：攻击路径分析会扫描云安全图，以公开攻击可能用来破坏环境并到达高影响力资产的可攻击路径。 VM 机密扫描支持多种攻击路径方案。
安全建议
可使用以下 VM 机密安全建议：
- Azure 资源：计算机应已解决机密结果
- AWS 资源：EC2 实例应已解决机密结果
- GCP 资源：VM 实例应已解决机密结果
攻击路径方案
该表汇总了支持的攻击路径。
| VM | 攻击路径 |
|---|---|
| Azure | 公开的易受攻击的 VM 具有不安全的 SSH 私钥，用于向 VM 进行身份验证。 公开的易受攻击的 VM 具有不安全的机密，用于向存储帐户进行身份验证。 易受攻击的 VM 具有不安全的机密，用于向存储帐户进行身份验证。 公开的易受攻击的 VM 具有不安全的机密，用于向 SQL 服务器进行身份验证。 |
| AWS | 公开的易受攻击的 EC2 实例具有不安全的 SSH 私钥，用于向 EC2 实例进行身份验证。 公开的易受攻击的 EC2 实例具有不安全的机密，用于向存储帐户进行身份验证。 公开的易受攻击的 EC2 实例具有不安全的机密，用于向 AWS RDS 服务器进行身份验证。 易受攻击的 EC2 实例具有不安全的机密，用于向 AWS RDS 服务器进行身份验证。 |
| GCP | 公开的易受攻击的 GCP VM 实例具有不安全的 SSH 私钥，用于向 GCP VM 实例进行身份验证。 |
预定义的云安全资源管理器查询
Defender for Cloud 提供了以下预定义查询，用于调查机密安全问题：
- 包含可验证另一个虚拟机身份的纯文本密钥的虚拟机 - 返回所有包含可访问其他虚拟机或 EC2 的纯文本密钥的 Azure VM、AWS EC2 实例或 GCP VM 实例。
- 包含可验证另一个存储帐户身份的纯文本密钥的 VM - 返回所有包含可访问其他存储帐户的纯文本密钥的 Azure VM、AWS EC2 实例或 GCP VM 实例
- 包含可验证 SQL 数据库的纯文本机密的虚拟机 - 返回所有包含可访问 SQL 数据库的纯文本机密的 Azure VM、AWS EC2 实例或 GCP VM 实例。
如何有效地缓解机密问题？
务必能够确定机密的优先级并识别哪些机密需要立即引起注意。 为帮助你执行此操作，Defender for Cloud 提供：
- 为每个机密提供丰富的元数据，例如文件的上次访问时间、令牌到期日期、关于机密提供访问权限的目标资源是否存在的指示等。
- 将机密元数据与云资产上下文相结合。 这有助于你从向 Internet 公开的资产开始，或者从包含可能损害其他敏感资产的机密开始。 机密扫描结果将合并到基于风险的建议优先顺序中。
- 提供多个视图，可帮助你查明最常见的机密或包含机密的资产。