Agentlös datorgenomsökning

Agentlös maskingenomsökning i Microsoft Defender för molnet förbättrar säkerhetsstatusen för datorer som är anslutna till Defender för molnet.

Agentlös genomsökning behöver inga installerade agenter eller nätverksanslutningar och påverkar inte datorns prestanda. Agentlös datorgenomsökning:

• Skannar inställningar för slutpunktsdetektering och åtgärd (EDR): Skanna enheter för att bedöma om de kör en EDR-lösning och om inställningarna är korrekta om enheterna är integrerade med Microsoft Defender för Endpoint. Läs mer
• Skanna programvaruinventariet: Skanna ditt programvaruinventarie med integrerad Microsoft Defender sårbarhetshantering.
• Skannar efter sårbarheter: Bedöm maskiners sårbarheter med integrerad Defender – hantering av säkerhetsrisker.
• Söker efter hemligheter på maskiner: Leta upp okrypterade hemligheter i klartext i din beräkningsmiljö genom agentlös hemlighetsskanning.
• Scans for malware: Skanna datorer efter skadlig programvara och virusar using Microsoft Defender Antivirus.
• Skannar virtuella maskiner som körs som Kubernetes-noder: Sårbarhetsbedömning och skanning efter skadlig programvara är tillgänglig för virtuella maskiner som körs som Kubernetes-noder när Defender för servrar plan 2 eller Defender för containers-planen är aktiverad. Endast tillgängligt i kommersiella moln.

Agentlös genomsökning är tillgänglig i följande Defender för molnet planer:

• Defender CSPM (Cloud Security Posture Management) .
• Defender för serverplan 2.
• Genomsökning av skadlig kod är endast tillgängligt i Defender för serverplan 2.
• Agentlös genomsökning är tillgänglig för Azure virtuella datorer, AWS EC2- och GCP-beräkningsinstanser som är anslutna till Defender för molnet.

Arkitektur för agentlös genomsökning

Så här fungerar agentlös genomsökning:

1. Defender för molnet tar ögonblicksbilder av virtuella datordiskar (rot - och datadisk) och utför en out-of-band, djupanalys av operativsystemets konfiguration och filsystem som lagras i ögonblicksbilden.

   • Den kopierade ögonblicksbilden finns kvar i samma region som den virtuella datorn.
   • Genomsökningen påverkar inte den virtuella datorn.

2. När Defender för molnet hämtar nödvändiga metadata från den kopierade disken tar den omedelbart bort den kopierade ögonblicksbilden av disken och skickar metadata till relevanta Microsoft motorer för att identifiera konfigurationsluckor och potentiella hot. I sårbarhetsbedömning görs till exempel analysen av Defender – hantering av säkerhetsrisker.

3. Defender för molnet visar genomsökningsresultat, vilket konsoliderar både agentbaserade och agentlösa resultat på sidan Säkerhetsaviseringar.

4. Defender för molnet analyserar diskar i en genomsökningsmiljö som är regional, instabil, isolerad och mycket säker. Diskögonblicksbilder och data som inte är relaterade till genomsökningen lagras inte längre än vad som är nödvändigt för att samla in metadata, vanligtvis några minuter.

Behörigheter som används vid agentlös genomsökning

Defender för molnet använde specifika roller och behörigheter för att utföra agentlös genomsökning.

• I Azure läggs dessa behörigheter automatiskt till i dina prenumerationer när du aktiverar agentlös genomsökning.
• I AWS läggs dessa behörigheter till i CloudFormation-stacken i AWS-anslutningstjänsten.
• I GCP läggs dessa behörigheter till i registreringsskriptet i GCP-anslutningsappen.

Azure behörigheter

Den inbyggda rollen VM-skanneroperatör har skrivskyddade behörigheter för VM-diskar som krävs för snapshot-processen. Den detaljerade listan över behörigheter är:

• Microsoft.Compute/disks/read
• Microsoft.Compute/disks/beginGetAccess/action
• Microsoft.Compute/disks/diskEncryptionSets/read
• Microsoft.Compute/virtualMachines/instanceView/read
• Microsoft.Compute/virtualMachines/read
• Microsoft.Compute/virtualMachineScaleSets/instanceView/read
• Microsoft.Compute/virtualMachineScaleSets/read
• Microsoft.Compute/virtualMachineScaleSets/virtualMachines/read
• Microsoft.Compute/virtualMachineScaleSets/virtualMachines/instanceView/read

När täckning för CMK-krypterade diskar är aktiverat krävs fler behörigheter:

• Microsoft.KeyVault/vaults/keys/read
• Microsoft.KeyVault/vaults/keys/wrap/action
• Microsoft.KeyVault/vaults/keys/unwrap/action

AWS-behörigheter

Rollen VmScanner tilldelas skannern när du aktiverar agentlös genomsökning. Den här rollen har den minsta behörighetsuppsättningen för att skapa och rensa ögonblicksbilder (omfångsbegränsade efter tagg) och för att verifiera den virtuella datorns aktuella tillstånd. De detaljerade behörigheterna är:

GCP-behörigheter

Under registrering skapas en ny anpassad roll med minimal behörighet som krävs för att hämta instansstatus och skapa ögonblicksbilder.

Dessutom beviljas behörigheter till en befintlig GCP KMS-roll för att stödja genomsökning av diskar som är krypterade med CMEK. Rollerna är:

• roles/MDCAgentlessScanningRole som har beviljats till Defender för molnet's tjänstkonto med behörigheter med rollen: compute.disks.createSnapshot, compute.instances.get
• roles/cloudkms.cryptoKeyEncrypterDecrypter beviljat till Defender för molnets Compute Engine-tjänstagent

Nästa steg

Aktivera agentlös maskinell sökning.