檢閱安全性建議

文章
05/22/2024

在適用於雲端的 Microsoft Defender 中，會根據 Azure 訂用帳戶、AWS 帳戶和 GCP 專案中啟用的內建和自訂安全性標準，評估資源和工作負載。根據這些評量，安全性建議會提供實際步驟來補救安全性問題，並改善安全性狀態。

適用於雲端的 Defender 主動利用動態引擎，以評估環境中的風險，同時考慮到惡意探索的潛在潛力，以及對您組織的潛在業務影響。引擎會根據環境內容所決定的每個資源風險因素來排定安全性建議的優先順序，包括資源的設定、網路連線和安全性狀態。

必要條件

您必須在環境中啟用Defender CSPM。

注意

根據預設，建議隨附於適用於雲端的 Defender，但您無法在環境中啟用Defender CSPM的情況下看到風險優先順序。

檢閱建議詳細資料

請務必先檢閱與建議相關的所有詳細資料，再嘗試了解解決建議所需的程序。建議您先確定所有建議詳細資料都正確無誤，再解決建議。

若要檢閱建議的詳細資料：

登入 Azure 入口網站。
瀏覽至 [適用於雲端的 Defender]>[建議]。
選取建議。
在建議頁面中，檢閱詳細資料：
- 風險層級 - 利用性和基礎安全性問題的商務影響，並考慮環境資源內容，例如：因特網暴露、敏感數據、橫向移動等等。
- 風險因素 - 受建議影響之資源的環境因素 ，這會影響基礎安全性問題的可利用性和業務影響。風險因素的範例包括因特網暴露、敏感數據、橫向移動潛力。
- 資源 - 受影響資源的名稱。
- 狀態 - 建議的狀態。例如，未指派、準時逾期。
- 描述：安全性問題的簡短描述。
- 攻擊路徑 - 攻擊路徑的數目。
- 範圍 - 受影響的訂用帳戶或資源。
- 時效性 - 建議的重新整理間隔。
- 上次變更日期 - 此建議上次變更的日期
- 嚴重性 - 建議的嚴重性 (高、中或低)。以下提供更多詳細資料。
- 擁有者 - 指派給此建議的人員。
- 到期日 - 建議必須在此之前解決的指派日期。
- 策略與技術 - 對應至 MITRE ATT&CK 的策略和技術。

探索建議

您可以執行許多動作來與建議互動。如果無法使用選項，則與建議無關。

若要探索建議：

登入 Azure 入口網站。
瀏覽至 [適用於雲端的 Defender]>[建議]。
選取建議。
在建議中，您可以執行下列動作：
- 選取 [開啟查詢] 以使用 Azure Resource Graph Explorer 查詢檢視受影響資源的詳細資訊。
- 選取 [檢視原則定義] 以檢視基礎建議的 Azure 原則項目 (如果相關)。
在 [採取動作] 中：
- 補救：說明補救受影響資源的安全性問題所需的手動步驟。如需 [修正] 選項的建議，您可以選取 [檢視補救邏輯]，然後將建議的修正套用至您的資源。
- 指派擁有者和到期日：如果您已針對建議開啟治理規則，您可以指派擁有者和到期日。
- 豁免：您可以免除建議的資源，或使用停用規則來停用特定結果。
- 工作流程自動化：使用此建議設定要觸發的邏輯應用程式。
在 [結果] 中，您可以依嚴重性檢閱附屬結果。
在 Graph 中，您可以檢視及調查用於風險優先順序的所有內容，包括攻擊路徑。您可以在攻擊路徑中選取節點，以檢視所選節點的詳細資料。
選取節點以檢視其他詳細數據。
選取深入解析。
在 [弱點] 下拉功能表中，選取弱點以檢視詳細數據。
（選擇性）選取 [ 開啟弱點頁面 ] 以檢視相關聯的建議頁面。
補救建議。

依標題分組建議

適用於雲端的 Defender 的建議頁面可讓您依標題將建議分組。當您想要補救影響特定安全性問題之多個資源的建議時，這項功能很有用。

若要依標題將建議分組：

登入 Azure 入口網站。
瀏覽至 [適用於雲端的 Defender]>[建議]。
選取 [依標題分組]。

管理指派給您的建議

適用於雲端的 Defender 支援建議的治理規則，以指定建議擁有者或行動的到期日。治理規則有助於確保責任，以及建議的 SLA。

當建議變更為 [逾期] 時，建議會在其到期日過去前列為 [準時]。
在建議逾期之前，建議不會影響安全分數。
您也可以套用寬限期，在此期間，逾期建議會繼續不影響安全分數。

深入了解如何設定治理規則。

若要管理指派給您的建議：

登入 Azure 入口網站。
瀏覽至 [適用於雲端的 Defender]>[建議]。
選取 [新增篩選]>[擁有者]。
選取您的使用者項目。
選取套用。
在建議結果中檢閱建議，包括受影響的資源、風險因素、攻擊路徑、到期日和狀態。
選取建議以進一步檢閱。
在 [採取動作]>[變更擁有者與到期日] 中，選取 [編輯指派] 以視需要變更建議擁有者和到期日。
- 依預設，資源擁有者會取得每週電子郵件，其中列出指派給他們的建議。
- 如果您選取新的補救日期，請在 [理由] 中指定在該日期前補救的原因。
- 在 [設定電子郵件通知] 中，您可以：
  - 覆寫擁有者的預設每週電子郵件。
  - 每週通知擁有者，並列出未完成/逾期的工作。
  - 使用未完成工作清單通知擁有者的主管。
選取 [儲存]。

注意

變更預期的完成日期不會變更建議的到期日，但安全性合作夥伴可以看到您計劃依指定的日期更新資源。

檢閱 Azure Resource Graph 中的建議

您可以使用 Azure Resource Graph 撰寫 Kusto 查詢語言 (KQL)，以跨多個訂用帳戶查詢適用於雲端的 Defender 安全性狀態資料。 Azure Resource Graph 透過檢視、篩選、分組和排序資料，提供有效率的方式在雲端環境中大規模查詢。

若要檢閱 Azure Resource Graph 中的建議：

登入 Azure 入口網站。
瀏覽至 [適用於雲端的 Defender]>[建議]。
選取建議。
選取 [開啟查詢]。
您可以使用下列兩種方式之一開啟查詢：
- 查詢傳回受影響的資源 - 傳回受此建議影響之所有資源的清單。
- 傳回安全性結果的查詢 - 傳回建議找到的所有安全性問題清單。
選取 [執行查詢]。
檢閱結果。

建議如何分類？

適用於雲端的 Defender 的每個安全性建議都會獲指派三個嚴重性評等之一：

高嚴重性：這些建議應立即解決，因為它們指出攻擊者可能惡意探索的重要安全性弱點，從而未經授權存取您的系統或資料。高嚴重性建議的範例是，當我們在電腦上探索到未受保護的祕密、過度寬鬆的輸入 NSG 規則、允許映像從不受信任登錄部署的叢集，以及儲存體帳戶或資料庫的不受限制公用存取時。
中嚴重性：這些建議指出應及時解決的潛在安全性風險，但可能不需要立即注意。中嚴重性建議的範例可能包括共用敏感性主機命名空間的容器、未使用受控識別的 Web 應用程式、驗證期間不需要 SSH 金鑰的 Linux 電腦，以及系統中 90 天未使用後的認證。
低嚴重性：這些建議表示在方便時可解決的相對次要安全性問題。低嚴重性建議的範例可能包括需要停用本機驗證，以利於 Microsoft Entra ID、端點保護解決方案的健康情況問題、未遵循網路安全性群組的最佳做法，或設定錯誤的記錄設定，讓偵測及回應安全性事件變得困難。

當然，組織的內部檢視可能會因 Microsoft 對特定建議的分類而有所不同。因此，請務必仔細檢閱每個建議，並在決定如何處理之前，先考慮其對安全性狀態的潛在影響。

注意

Defender CSPM 客戶可以存取更豐富的分類系統，其中建議會顯示更動態 的風險層級 ，以利用 資源和所有相關資源的內容 。深入了解風險優先順序。

範例

在此範例中，此建議詳細資料頁面會顯示 15 個受影響的資源：

當您開啟基礎查詢並加以執行時，Azure Resource Graph Explorer 會針對此建議傳回相同受影響的資源。

後續步驟

補救安全性建議

分享方式：