適用於雲端的 Microsoft Defender 的安全政策定義了如何在 Azure、Amazon Web Services（AWS）及 Google Cloud Platform （GCP）上評估您的雲端資源安全性。 政策規範了 適用於雲端的 Defender 用來評估資源配置及識別潛在安全風險的標準、控制與條件。
每個政策都包含 安全標準，定義應用於你環境的控制與評估邏輯。 適用於雲端的 Defender 持續根據這些標準評估您的資源。 當資源未達到定義的控制時，適用於雲端的 Defender 會產生安全建議，描述問題及修復所需的行動。
這使 適用於雲端的 Defender 能持續評估資源並提升組織的安全態勢。
安全標準
適用於雲端的 Defender 的安全政策可包含多種標準：
安全基準—— 內建基線，如 Microsoft 雲端安全基準（MCSB） 及定義基礎最佳實務的雲端供應商基準。
法規合規標準 ——啟用 適用於雲端的 Defender 計畫時，產業與合規計畫的框架可參考。
自訂標準 – 組織定義的標準，包含內建或 自訂的建議 ，以使 適用於雲端的 Defender 評估與內部安全政策保持一致。
了解更多關於 雲端防禦者的安全標準。
安全性建議
資安建議是根據安全標準評估產生的可行洞察。 每項建議包括：
- 問題的簡短描述
- 整治步驟
- 受影響的資源
- 嚴重程度與風險因子
- 攻擊路徑上下文（如有）
適用於雲端的 Defender 風險模型根據暴露、資料敏感度、橫向移動潛力及可利用性優先排序建議。
這很重要
風險優先順序不會影響安全分數。
自訂建議
你可以使用 Kusto 查詢語言（KQL）建立自訂推薦，定義自己的評量邏輯。 當啟用 Defender CSPM 計畫 時，此功能適用於所有雲端。
自訂建議是在自訂標準中建立的，必要時也可以連結到其他標準。 每項建議都包含查詢邏輯、修復步驟、嚴重程度及適用資源類型。 建立後，自訂建議會與內建建議一同出現在法規合規儀表板中，並有助於整體安全態勢評估。
了解更多關於 建立客製化推薦的方法。
Example
MCSB 包含多個控制措施，定義預期的安全配置。 其中一項控制是「儲存帳號應使用虛擬網路規則限制網路存取」。
適用於雲端的 Defender 會持續評估資源。 如果找到任何不符合此控制項的資源，系統會將其標示為不符合規範，並觸發建議。 在此情況下，建議加強未受虛擬網路規則保護的 Azure 儲存體帳戶安全性。
相關內容
態勢政策定義要評估哪些安全態勢建議，以及這些建議適用的範圍。 組織可以在不同環境中配置政策，使建議評估與其業務、合規及營運需求相契合。
為什麼要使用裝置姿態原則？
安全態勢原則協助組織調整 Microsoft 預設的安全建議，以符合其特定的安全、合規及營運需求。 雖然 Microsoft 基準線提供了良好的起點，但組織通常需要額外的彈性來定義應評估哪些安全規則、自訂規則參數，或調整不同環境的建議覆蓋範圍。
透過使用安全態勢原則，資安團隊能對高度敏感環境施加更嚴格的要求，新增組織專屬或合規驅動的規則，並在低風險環境中減少不必要的噪音。 這有助於確保建議與企業優先事項、法規義務及各環境應有的安全狀態相符，進而產生更相關且可行的發現。
開始之前
確認環境在 Defender 中已被管理
Defender 建立的政策僅適用於 Defender 管理的環境。 您可以透過以下任一方式驗證管理地點：
在建議體驗中，檢視受控於屬性，確認其值為 Defender。
從雲端環境管理開啟雲端環境管理頁面，確認該環境已由 Defender 管理。
如果環境是以 Azure 管理，你可以將該環境連接到 Defender，並透過 Defender 繼續管理態勢政策，或繼續在 Azure 中管理相關設定。
Plans
態勢政策僅適用於啟用合格 Microsoft Defender 計畫的環境。
- 只有具有有效合格計劃的環境才能被選為原則範圍。
- 未啟用任何合格方案的環境則無法進行原則指派。
- 若整個組織內皆未啟用任何方案，則無法使用建議原則體驗。
Permissions
Microsoft Defender 統一角色型存取控制 (RBAC) 控制對建議原則的存取：
| 角色或權限 | 存取 |
|---|---|
| 全域管理員或安全管理員 | 可檢視、建立、編輯、啟用、停用及刪除所有現有及未來範圍的原則，包括租戶範圍的原則。 |
| 核心安全設定（管理） | 可以為分配給使用者的範圍建立、編輯、啟用、停用及刪除政策。 政策中包含的每個範圍都需要管理權限。 |
| 核心安全設定（讀取） | 可以查看原則及其對指定範圍的設定，但無法更改。 |
若要委派政策管理，請前往 Microsoft Defender 全面偵測回應 入口網站的系統>權限>Microsoft Defender 全面偵測回應>角色，建立或更新具備所需權限與範圍的角色。
了解保單類型
Defender 入口網站包含 Microsoft 管理的基線政策，並支援自訂推薦政策。
| 原則類型 | Purpose | 支援的管理動作 |
|---|---|---|
| MDC 基準政策 | 提供一套開箱即用的 Microsoft 推薦安全規則，專注於提升組織的安全態勢。 | 啟用或停用政策，並編輯支援範圍與參數。 該政策無法刪除或改名，規則和分類也無法更改。 |
| 自訂原則 | 透過結合選定的規則、類別、範圍與參數，定義組織特定的安全需求。 | 查看、編輯、啟用、停用和刪除。 |
MDC 基準政策
MDC 基線政策是 Microsoft 管理的政策，根據 Microsoft 的安全研究、威脅情報及最佳實務，提供一套推薦的安全態勢規則。 其設計目的是協助組織透過識別並減少常見攻擊路徑、錯誤設定及可被利用的暴露，強化其安全態勢。
與主要為符合法規要求而設計的合規框架不同，MDC 基線政策著重於提升安全成果並降低風險。 它以最少的設定提供即時狀態價值，是大多數組織的推薦起點。
MDC 基線政策的主要特點：
- Microsoft 管理並持續更新政策內容，以反映不斷演變的威脅、資安研究及最佳實務。
- 此政策由 Microsoft 管理，並刻意提供有限的自訂選項。 組織可以修改規則參數、變更指派範圍、編輯規則參數，並啟用或停用政策，但 Microsoft 建議的基礎安全性控制項集合由 Microsoft 維護。
- 該政策無法刪除，且只有在非必要時才能停用。 保持政策可用，確保組織能輕鬆重新啟用 Microsoft 推薦的安全基線，而無需重新建立或設定。
預設分配
為協助組織立即實現安全價值，MDC 基準政策預設指派給 所有連接環境 。
- 現有的連網環境會自動包含在政策範圍內。
- 新連接的環境會自動分配到該原則中。
- 組織可修改指派，並在必要時限制政策於特定環境。
建立自訂原則
到 暴露管理>政策，然後選擇 建立政策。
建立流程包含三項主要選擇：
| 建立區段 | 你所定義的內容 | 主要指引 |
|---|---|---|
| 細節與範圍 | 政策名稱、描述，以及該政策適用的 Defender 管理環境。 | 只選擇應遵守相同安全要求的環境。 只有全域管理員與安全管理員能建立適用於所有連接環境的政策。 |
| 預先定義的規則與類別 | 規則是個別的安全檢查，用來產生建議。 您可以直接設定支援的規則參數、啟用或停用個別規則，並根據組織需求調整政策。 | 使用預先定義的規則，選擇與貴組織業務、安全及合規需求相關的安全檢查。 配置支援的規則參數，使建議與內部政策、營運需求及風險容忍度相符，同時減少不必要的雜訊，聚焦於對您的環境最重要的發現。 |
| 額外類別 | 類別則提供一組額外的 Microsoft 定義建議，並依共同的安全性目標進行分組。 與預先定義的規則不同，類別無法自訂或設定。 組織只能選擇是否在原則中納入或排除某一類別。 類別選擇可累加，且不會影響預先定義的規則選擇。 | Microsoft 建議同時使用預設規則和類別。 預定義規則提供細緻的控制與客製化，而類別則涵蓋更廣泛的範圍。 類別是補充預先定義的規則，而非取代它們。 |
政策建立後，Microsoft Defender 會執行適用的安全評估。 當所選範圍內的資產不符合政策要求時，會產生新的或更新的建議。 政策處理與建議更新並非立即完成。
合規性原則
Microsoft 支援合規相關建議，並將建議映射至常見的法規框架，如 HIPAA、PCI DSS、ISO 27001 及 NIST。 然而，建議政策並不包含針對特定合規框架的現成政策。
這種做法有助於避免大量預先定義、可能與貴組織無關的合規政策，從而保持政策管理的順暢性。 相反地，組織可以透過選擇與其遵循的監管框架對應的建議，來制定針對合規的政策。 這提供了依需求量身打造合規政策的彈性，同時減少不必要的複雜性與行政負擔。
制定以合規為導向的政策：
- 建立新原則。
- 將政策指派給需要符合所選合規架構與法規要求的環境。
- 依照期望的監管框架過濾規則。
- 選擇所有規則。
欲了解更多資訊，請參閱 「分配法規合規標準」。
規則管理
當你需要了解特定建議如何在組織中配置與應用時，請使用規則管理。 此視圖簡化管理，提供一個追蹤規則指派、理解政策關係及管理規則設定的地方，無需在多個政策間切換。
了解原則的影響
狀態原則決定對特定資產評估哪些安全檢查。 當資產未符合啟用政策所定義的需求時，Microsoft Defender 會產生建議，協助解決已識別的安全缺口。
若同一資產適用多項原則，則每當該資產未符合至少一項適用原則的要求時，就會產生建議。 當政策評估不同時，以最嚴格的結果為準。
轉換至 Defender
組織在過渡至 Managed in Defender 期間，仍可同時從 Azure 入口網站與 Microsoft Defender 入口網站管理態勢政策與安全標準。
建議會根據所有適用的政策來源進行評估，並在兩個入口網站中一致呈現。 這提供單一的推薦佇列，並防止在多個地方設定相同安全需求時產生重複的推薦。
保單所有權
政策所有權仍屬於建立該政策或標準的入口網站：
- 在 Azure 中建立的安全標準與政策仍由 Azure 管理。
- 在 Defender 中建立的政策可從 Microsoft Defender 的 Posture 政策頁面管理。
- Azure 和 Defender 之間的政策定義不會同步或複製。
- Azure 與 Defender 配置產生的建議會在兩個支援的體驗中呈現。
管理建議
利用建議中的 政策來源 資訊來：
- 了解該建議是由 Azure、Defender 或兩者共同驅動。
- 引導至適當的原則管理體驗。
- 更新、停用或移除導致此建議的原則設定。
現有環境的最佳實務
Microsoft 建議盡可能在 Defender 中管理態勢政策，並僅在目前 Defender 不支援的情境下使用 Azure 安全政策，例如需要拒絕效果或自訂建議的政策。
為降低營運負擔並避免政策管理重疊，請停用 Azure 安全標準；對於透過 Defender 管理的環境，這些標準已不再需要。
對於需要僅 Azure 功能的情況，請建立僅包含這些控制的專用 Azure 安全標準。 這種方式讓組織能集中管理 Defender 的建議，同時持續使用 Azure 政策處理那些沒有對應 Defender 體驗的功能。
新訂閱的最佳做法
新的 Azure 訂閱預設繼承 Azure 安全標準。 採用 Microsoft Defender 作為主要態勢管理體驗時，請檢視新建立訂閱所分配的 Azure 標準，並關閉不打算從 Azure 管理的標準。
只要 Azure 標準持續啟用，這些標準就能持續在 Defender 管理的政策下產生建議。 建議會以單一推薦體驗的形式呈現，而政策來源欄位可用來辨識建議是否來自 Azure 安全標準、Defender 態勢政策，或兩者兼有。
基礎 CSPM
Microsoft Defender 不包含免費的基礎 CSPM 計畫。 取而代之的是，它提供單一的 Defender CSPM 方案，這是付費方案，也是 Microsoft 建議用於安全態勢管理的體驗。
希望在 Defender 管理的環境中持續接收態勢建議的組織，必須啟用 Defender CSPM，即使他們仍透過 Azure 入口網站管理政策與安全標準。
先前依賴 Azure 基礎 CSPM 的組織，必須啟用 Defender CSPM 繼續接收態勢建議，即使政策與安全標準管理仍保留在 Azure 入口網站中。 沒有 Defender CSPM，則不會為 Defender 管理的環境產生態勢建議。
局限性
Microsoft Defender 入口網站的安全性狀態原則管理有以下限制：
- 只支援 Azure 環境。
- 現有的 Azure 原則仍然有效，但不會自動遷移到 Defender 入口網站。
- Defender 目前不支援自訂推薦建立功能。 自訂推薦仍可在 Azure 中管理，且這些建議在 Azure 與 Defender 中皆可見。
- Defender 態勢政策目前僅支援基於審計的建議評估。 像拒絕這類政策效果在 Defender 中不被支援，必須持續透過 Azure 原則 來管理。
- 推薦更新不會立即生效，且需要額外的處理時間。 Microsoft 持續改善態勢管理體驗中的處理時間。
為什麼要在 Microsoft Defender 中使用政策管理？
Azure 持續支援現有的政策配置能力，而 Microsoft Defender 則提供跨雲端、端點、身份及其他 Defender 管理工作負載的統一態勢管理體驗。 這使資安團隊能從單一地點管理態勢需求、建議、暴露洞察及相關治理決策。
組織可以將態勢政策管理轉移至 Microsoft Defender，並受益於以下服務：
- 自上而下政策管理：集中定義安全需求，並在需要這些需求的環境中一致應用。
- 降低行政負擔：可重用政策減少重複配置，並簡化跨環境的態勢管理。
- 彈性的安全範疇：可跨越 Defender 管理的環境套用政策，不受 Azure 資源階層限制。
- Microsoft 管理的基線：從 MDC 基線政策開始，重點在於改善安全態勢並降低暴露，然後僅在業務、安全或合規需求不同時新增自訂政策。
- 細緻的安全權限：使用 Microsoft Defender 統一 RBAC 來分離讀取與管理權限，並將政策管理委派給特定安全團隊。
- 跨工作負載治理：透過跨雲端、端點、身分識別及其他支援的 Defender 工作負載的一致體驗，管理態勢需求。
- 改進推薦處理：政策與推薦處理時間已優化以符合 Defender 體驗，並持續提升。