Computerüberprüfung ohne Agent

Die agentlose Computerüberprüfung in Microsoft Defender for Cloud verbessert den Sicherheitsstatus von Computern, die mit Defender for Cloud verbunden sind.

Die agentlose Überprüfung benötigt keine installierten Agents oder Netzwerkkonnektivität und wirkt sich nicht auf die Computerleistung aus. Agentlose Computerüberprüfung:

• Überprüft die Erkennung und Reaktion am Endpunkt (EDR): Überprüfen Sie Computer, um zu beurteilen, ob sie eine EDR-Lösung ausführen, und ob Einstellungen korrekt sind, wenn Computer in Microsoft Defender for Endpoint integriert sind. Weitere Informationen
• Scannt Softwarebestand: Scannen Sie Ihren Softwarebestand mit integriertem Microsoft Defender Vulnerability Management.
• Scans nach Schwachstellen: Bewertung von Maschinen auf Schwachstellen unter Verwendung des integrierten Defender-Schwachstellenmanagements.
• Sucht nach Geheimnissen auf Computern: Lokalisieren Sie Geheimnisse im Klartext in Ihrer Rechenumgebung mit agentloser Geheimnissuche.
• Scans für Schadsoftware: Computer auf Schadsoftware und Viren scannen mit Microsoft Defender Antivirus.
• Scannt VMs, die als Kubernetes-Knoten ausgeführt werden: Die Sicherheitsrisikobewertung und Schadsoftwareüberprüfung sind für VMs verfügbar, die als Kubernetes-Knoten ausgeführt werden, wenn Defender for Servers-Plan 2 oder der Defender for Containers-Plan aktiviert ist. Nur in kommerziellen Clouds verfügbar.

Agentloses Scanning ist in den folgenden Defender for Cloud-Plänen verfügbar:

• Defender Cloud Security Posture Management (CSPM).
• Defender für Server Plan 2.
• Schadsoftwareüberprüfung ist nur in Defender für Server Plan 2 verfügbar.
• Die Überprüfung ohne Agent ist für Azure-VMs, AWS EC2- und GCP-Compute-Instanzen verfügbar, die mit Defender for Cloud verbunden sind.

Architektur des agentlosen Scans

So funktioniert die agentenlose Überprüfung:

1. Defender for Cloud nimmt Momentaufnahmen von VM-Datenträgern (Root + Data Disk) und führt eine out-of-Band-Analyse der Betriebssystemkonfiguration und des Dateisystems aus, die in der Momentaufnahme gespeichert sind.

   • Die kopierte Momentaufnahme verbleibt in derselben Region wie der virtuelle Computer.
   • Die Überprüfung wirkt sich nicht auf den virtuellen Computer aus.

2. Nachdem Defender for Cloud die erforderlichen Metadaten vom kopierten Datenträger abgerufen hat, löscht es sofort die kopierte Momentaufnahme des Datenträgers und sendet die Metadaten an relevante Microsoft-Engines, um Konfigurationslücken und potenzielle Bedrohungen zu analysieren. Bei der Bewertung von Sicherheitsrisiken wird die Analyse beispielsweise von Defender Vulnerability Management durchgeführt.

3. Defender for Cloud zeigt Scanergebnisse an, die sowohl die agentbasierten als auch die agentlosen Ergebnisse auf der Seite "Sicherheitswarnungen" konsolidieren.

4. Defender for Cloud analysiert Datenträger in einer Scanumgebung, die regional, veränderlich, isoliert und hochsicher ist. Schnappschüsse von Datenträgern und Daten, die nicht mit der Überprüfung zusammenhängen, werden nur so lange gespeichert, wie es nötig ist, um die Metadaten zu erfassen – in der Regel einige Minuten.

Berechtigungen, die bei der agentlosen Überprüfung verwendet werden

Defender for Cloud hat bestimmte Rollen und Berechtigungen verwendet, um agentlose Überprüfungen durchzuführen.

• In Azure werden diese Berechtigungen automatisch zu Ihren Abonnements hinzugefügt, wenn Sie agentlose Überprüfungen aktivieren.
• In AWS werden diese Berechtigungen dem CloudFormation-Stapel in Ihrem AWS-Connector hinzugefügt.
• In GCP werden diese Berechtigungen dem Onboarding-Skript in Ihrem GCP-Connector hinzugefügt.

Azure-Berechtigungen

Die integrierte Rolle VM Scanner Operator verfügt über schreibgeschützte Berechtigungen für VM-Datenträger, die für den Momentaufnahmeprozess erforderlich sind. Im Folgenden sehen Sie die detaillierte Liste der Berechtigungen:

• Microsoft.Compute/disks/read
• Microsoft.Compute/disks/beginGetAccess/action
• Microsoft.Compute/disks/diskEncryptionSets/read
• Microsoft.Compute/virtualMachines/instanceView/read
• Microsoft.Compute/virtualMachines/read
• Microsoft.Compute/virtualMachineScaleSets/instanceView/read
• Microsoft.Compute/virtualMachineScaleSets/read
• Microsoft.Compute/virtualMachineScaleSets/virtualMachines/read
• Microsoft.Compute/virtualMachineScaleSets/virtualMachines/instanceView/read

Wenn die Abdeckung für CMK-verschlüsselte Datenträger aktiviert ist, sind weitere Berechtigungen erforderlich:

• Microsoft.KeyVault/vaults/keys/read
• Microsoft.KeyVault/vaults/keys/wrap/action
• Microsoft.KeyVault/vaults/keys/unwrap/action

AWS-Berechtigungen

Die Rolle VmScanner wird dem Prüfer zugewiesen, wenn Sie die Überprüfung ohne Agent aktivieren. Diese Rolle verfügt über die minimale Berechtigung zum Erstellen und Bereinigen von Momentaufnahmen (nach Tag gefiltert) und zum Überprüfen des aktuellen Zustands der VM. Die ausführlichen Berechtigungen sind:

GCP-Berechtigungen

Während des Onboardings wird eine neue benutzerdefinierte Rolle mit minimalen Berechtigungen erstellt, um Instanzzustände zu erhalten und Momentaufnahmen zu erstellen.

Zusätzlich werden Berechtigungen für eine vorhandene GCP-KMS-Rolle erteilt, um die Überprüfung von Datenträgern, die mit CMEK verschlüsselt sind, zu unterstützen. Die Rollen lauten:

• roles/MDCAgentlessScanningRole für das Dienstkonto von Defender for Cloud mit den Berechtigungen: compute.disks.createSnapshot, compute.instances.get
• roles/cloudkms.cryptoKeyEncrypterDecrypter, gewährt an den Dienst-Agenten der Compute Engine von Defender for Cloud

Nächste Schritte

Aktivieren der Computerüberprüfung ohne Agent.