Implementando o Azure Defender for Cloud

Quando Usar

• Ao habilitar o monitoramento abrangente de segurança em assinaturas do Azure
• Ao implementar a proteção de cargas de trabalho na nuvem para VMs, contêineres, SQL, armazenamento e Key Vault
• Quando os requisitos de conformidade exigem avaliação contínua em relação a estruturas regulatórias
• Ao construir controles de segurança adaptáveis que respondem a ameaças detectadas
• Ao centralizar descobertas de segurança de cargas de trabalho nativas do Azure e híbridas

Não use exclusivamente para proteção de cargas de trabalho que não são do Azure (use AWS Security Hub ou GCP SCC), para testes de segurança em nível de aplicativo (use Azure DevOps DAST/SAST) ou para proteção específica de identidade (use Microsoft Defender for Identity).

Pré-requisitos

• Assinatura do Azure com função de Colaborador ou Administrador de Segurança
• Azure Policy habilitado para avaliação de conformidade
• Workspace do Log Analytics para coleta de dados de diagnóstico
• Máquinas conectadas pelo Azure Arc para proteção de servidores híbridos
• Nível de preço definido como Padrão para planos do Defender (o nível gratuito oferece apenas CSPM)

Fluxo de Trabalho

Etapa 1: Habilitar Planos do Defender for Cloud

Habilite os planos do Defender apropriados para cada tipo de carga de trabalho que requer proteção.

# Enable Defender for Cloud CSPM (foundational posture management)
az security pricing create --name CloudPosture --tier standard

# Enable Defender for Servers
az security pricing create --name VirtualMachines --tier standard \
  --subplan P2

# Enable Defender for Containers
az security pricing create --name Containers --tier standard

# Enable Defender for Storage
az security pricing create --name StorageAccounts --tier standard \
  --subplan PerStorageAccount

# Enable Defender for SQL
az security pricing create --name SqlServers --tier standard

# Enable Defender for Key Vault
az security pricing create --name KeyVaults --tier standard

# Enable Defender for App Service
az security pricing create --name AppServices --tier standard

# Verify all enabled plans
az security pricing list \
  --query "[].{Plan:name, Tier:pricingTier, SubPlan:subPlan}" -o table

Etapa 2: Configurar Provisionamento Automático de Agentes de Segurança

Habilite a implantação automática de agentes de monitoramento em VMs e contêineres.

# Enable auto-provisioning of Log Analytics agent
az security auto-provisioning-setting update \
  --name default --auto-provision on

# Configure Log Analytics workspace for data collection
az security workspace-setting create \
  --name default \
  --target-workspace "/subscriptions/SUB_ID/resourceGroups/RG/providers/Microsoft.OperationalInsights/workspaces/SecurityWorkspace"

# Enable Defender for Containers auto-provisioning components
az security setting update \
  --name Sentinel \
  --setting-kind DataExportSettings

# Verify auto-provisioning status
az security auto-provisioning-setting list -o table

Etapa 3: Revisar e Priorizar Recomendações de Segurança

Recupere recomendações de segurança e priorize a remediação com base no impacto na pontuação segura.

# Get the current secure score
az security secure-score list \
  --query "[].{Name:displayName, Current:current, Max:max, Percentage:percentage}" -o table

# List all active security recommendations
az security assessment list \
  --query "[?status.code=='Unhealthy'].{Name:displayName, Severity:metadata.severity, Category:metadata.category, ResourceCount:status.cause}" \
  -o table

# Get recommendations sorted by severity
az security assessment list \
  --query "[?status.code=='Unhealthy'] | sort_by(@, &metadata.severity)" \
  -o table

# Get detailed recommendation with remediation steps
az security assessment show \
  --name ASSESSMENT_ID \
  --query "{Name:displayName, Description:metadata.description, Severity:metadata.severity, Remediation:metadata.remediationDescription}"

# List recommendations by control
az security secure-score-controls list \
  --query "[].{Control:displayName, CurrentScore:current, MaxScore:max, NotHealthy:notHealthyResourceCount}" \
  -o table

Etapa 4: Configurar o Painel de Conformidade Regulatória

Habilite padrões de conformidade e monitore a aderência em todas as assinaturas.

# Listar padrões de conformidade regulatória disponíveis
az security regulatory-compliance-standards list \
  --query "[].{Standard:name, State:state}" -o table

# Habilitar padrões de conformidade específicos
az security regulatory-compliance-standards update \
  --name "CIS-Azure-2.0" --state "Enabled"

az security regulatory-compliance-standards update \

…