Protegendo o Azure com Microsoft Defender

Quando Usar

• Ao implantar proteção de cargas de trabalho na nuvem em assinaturas e grupos de recursos do Azure
• Ao estabelecer uma linha de base de Pontuação Segura e priorizar recomendações de segurança
• Ao estender a proteção contra ameaças para ambientes multinuvem, incluindo AWS e GCP
• Ao habilitar a segurança de contêineres para clusters AKS e Azure Container Registry
• Ao integrar a segurança de cargas de trabalho de IA com o painel de segurança de Dados e IA

Não use para ambientes apenas com AWS (veja implementando-aws-security-hub), para configuração de provedor de identidade (veja gerenciando-cloud-identity-with-okta) ou para gerenciamento de regras de firewall em nível de rede (veja implementando-cloud-waf-rules).

Pré-requisitos

• Assinatura do Azure com função de Administrador de Segurança ou Colaborador
• Iniciativa de Política do Azure para Defender for Cloud habilitada no nível do grupo de gerenciamento
• Workspace do Log Analytics provisionado para coleta de dados de segurança
• Planos do Microsoft Defender for Cloud licenciados (P1 ou P2 para proteção de servidores)

Fluxo de Trabalho

Etapa 1: Habilitar Planos do Defender for Cloud

Ative os planos do Defender para cada tipo de carga de trabalho: Servidores, Contêineres, Serviço de Aplicativo, Armazenamento, Bancos de Dados, Cofre de Chaves, Gerenciador de Recursos e DNS. Cada plano oferece detecção especializada de ameaças e avaliação de vulnerabilidades.

# Enable Defender for Servers Plan 2
az security pricing create --name VirtualMachines --tier Standard --subplan P2

# Enable Defender for Containers
az security pricing create --name Containers --tier Standard

# Enable Defender for Storage with malware scanning
az security pricing create --name StorageAccounts --tier Standard \
  --extensions '[{"name":"OnUploadMalwareScanning","isEnabled":"True",
  "additionalExtensionProperties":{"CapGBPerMonthPerStorageAccount":"5000"}}]'

# Enable Defender for Databases
az security pricing create --name SqlServers --tier Standard
az security pricing create --name CosmosDbs --tier Standard

# Enable Defender for Key Vault
az security pricing create --name KeyVaults --tier Standard

# Verify all enabled plans
az security pricing list --query "[?pricingTier=='Standard'].{Plan:name, Tier:pricingTier, SubPlan:subPlan}" -o table

Etapa 2: Configurar Conectores de Ambiente para Nuvem Múltipla

Conecte contas AWS e projetos GCP ao Defender for Cloud para gerenciamento unificado da postura de segurança em provedores de nuvem.

# Create AWS connector for CSPM
az security security-connector create \
  --name aws-production-connector \
  --resource-group security-rg \
  --environment-name AWS \
  --hierarchy-identifier "123456789012" \
  --offerings '[{
    "offeringType": "CspmMonitorAws",
    "nativeCloudConnection": {"cloudRoleArn": "arn:aws:iam::123456789012:role/DefenderForCloudRole"}
  }]'

# Create GCP connector
az security security-connector create \
  --name gcp-production-connector \
  --resource-group security-rg \
  --environment-name GCP \
  --hierarchy-identifier "my-gcp-project-id" \
  --offerings '[{"offeringType": "CspmMonitorGcp"}]'

Etapa 3: Revisar e Priorizar Recomendações de Pontuação Segura

Analise a Pontuação Segura em todas as assinaturas. Cada recomendação inclui uma prioridade de risco baseada na exposição de ativos, exposição à internet e contexto de inteligência de ameaças.

# Get current Secure Score
az security secure-score list \
  --query "[].{Name:displayName, Score:current, Max:max, Percentage:percentage}" -o table

# List unhealthy recommendations sorted by severity
az security assessment list \
  --query "[?properties.status.code=='Unhealthy'].{Name:properties.displayName, Severity:properties.metadata.severity, Resources:properties.resourceDetails.id}" \
  --output table

# Get specific recommendation details
az security assessment show \
  --assessment-name "4fb67663-9ab9-475d-b026-8c544cced439" \
  --query "{Name:properties.displayName, Description:properties.metadata.description, Remediation:properties.metadata.remediationDescription}"

Etapa 4: Configurar Controles Adaptativos de Aplicativos e Acesso JIT

Habilite o acesso Just-In-Time (JIT) a VMs para reduzir a superfície de ataque, abrindo portas de gerenciamento apenas quando necessário, e implante controles adaptativos de aplicativos para criar uma lista de permissões de executáveis aprovados.

# Habilita a política de acesso JIT a VMs
az security jit-policy create \
  --resource-group production-rg \
  --location eastus \
  --name default \
  --virtual-machines '[{

…