エージェントレス マシンのスキャン

Microsoft Defender for Cloudでのエージェントレス マシンスキャンにより、Defender for Cloudに接続されているマシンのセキュリティ体制が向上します。

エージェントレス スキャンでは、インストール済みのエージェントやネットワーク接続は必要なく、マシンのパフォーマンスにも影響を与えません。 エージェントレス コンピュータスキャン

エージェントレス スキャンは、次のDefender for Cloudプランで使用できます。

エージェントレス スキャン アーキテクチャ

エージェントレス スキャンは次のように機能します。

  1. Defender for Cloudは、VM ディスク (ルート + データ ディスク) のスナップショットを取得し、スナップショットに格納されているオペレーティング システム構成とファイル システムの帯域外の詳細な分析を実行します。

    • コピーされたスナップショットは、VM と同じリージョンに保持されます。
    • スキャンは VM に影響しません。

  2. コピー Defender for Cloudディスクから必要なメタデータを取得した後、コピーしたディスクのスナップショットを直ちに削除し、関連するMicrosoft エンジンにメタデータを送信して、構成のギャップと潜在的な脅威を検出します。 たとえば、脆弱性評価では、分析はDefender 脆弱性の管理によって行われます。

  3. Defender for Cloudスキャン結果が表示され、エージェントベースの結果とエージェントレスの両方の結果が [セキュリティ アラート] ページに統合されます。

  4. Defender for Cloudは、リージョン、揮発性、分離、および安全性の高いスキャン環境のディスクを分析します。 スキャンに関連しないディスク スナップショットとデータは、メタデータの収集に必要な時間 (通常は数分) より長く保存されることはありません。

エージェントレス スキャンを使用してオペレーティング システム データを収集するプロセスの図。

エージェントレス スキャンで使用されるアクセス許可

Defender for Cloudエージェントレス スキャンを実行するために、特定のロールとアクセス許可を使用しました。

Azureアクセス許可

組み込みロール VM スキャナー オペレーターには、スナップショット プロセスに必要な VM ディスクの読み取り専用アクセス許可があります。 アクセス許可の詳細な一覧は次のとおりです。

  • Microsoft.Compute/disks/read
  • Microsoft.Compute/disks/beginGetAccess/action
  • Microsoft.Compute/disks/diskEncryptionSets/read
  • Microsoft.Compute/virtualMachines/instanceView/read
  • Microsoft.Compute/virtualMachines/read
  • Microsoft.Compute/virtualMachineScaleSets/instanceView/read
  • Microsoft.Compute/virtualMachineScaleSets/read
  • Microsoft.Compute/virtualMachineScaleSets/virtualMachines/read
  • Microsoft.Compute/virtualMachineScaleSets/virtualMachines/instanceView/read

CMK 暗号化ディスクのカバレッジが有効になっている場合は、より多くのアクセス許可が必要です。

  • Microsoft.KeyVault/vaults/keys/read
  • Microsoft.KeyVault/vaults/keys/wrap/action
  • Microsoft.KeyVault/vaults/keys/unwrap/action

AWS のアクセス許可

エージェントレス スキャンを有効にしたときに、ロール VmScanner がスキャナーに割り当てられます。 このロールには、スナップショット (タグによってスコープ指定) を作成およびクリーンアップし、VM の現在の状態を確認するための最小限のアクセス許可が設定されています。 詳細なアクセス許可は次のとおりです。

Attribute 値
SID VmScannerDeleteSnapshotAccess
アクション ec2:DeleteSnapshot
条件 "StringEquals":{"ec2:ResourceTag/CreatedBy”:<br>"Microsoft Defender for Cloud"}
リソース arn:aws:ec2:::snapshot/
結果 許可する
Attribute 値
SID VmScannerAccess
アクション ec2:ModifySnapshotAttribute
ec2:DeleteTags
ec2:CreateTags
ec2:CreateSnapshots
ec2:CopySnapshots
ec2:CreateSnapshot
条件 なし
リソース arn:aws:ec2:::instance/
arn:aws:ec2:::snapshot/
arn:aws:ec2:::volume/
結果 許可する
Attribute 値
SID VmScannerVerificationAccess
アクション ec2:DescribeSnapshots
ec2:DescribeInstanceStatus
条件 なし
リソース *
結果 許可する
Attribute 値
SID VmScannerEncryptionKeyCreation
アクション kms:CreateKey
条件 なし
リソース *
結果 許可する
Attribute 値
SID VmScannerEncryptionKeyManagement
アクション kms:TagResource
kms:GetKeyRotationStatus
kms:PutKeyPolicy
kms:GetKeyPolicy
kms:CreateAlias
kms:ListResourceTags
条件 なし
リソース arn:aws:kms::${AWS::AccountId}: key/ <br> arn:aws:kms:*:${AWS::AccountId}:alias/DefenderForCloudKey
結果 許可する
Attribute 値
SID VmScannerEncryptionKeyUsage
アクション kms:GenerateDataKeyWithoutPlaintext
kms:DescribeKey
kms:RetireGrant
kms:CreateGrant
kms:ReEncryptFrom
条件 なし
リソース arn:aws:kms::${AWS::AccountId}: key/
結果 許可する

GCP のアクセス許可

オンボード中、インスタンスの状態を取得してスナップショットを作成するために必要な最小限のアクセス許可で新しいカスタム ロールが作成されます。

また、CMEK で暗号化されたディスクのスキャンをサポートするために、既存の GCP KMS ロールへのアクセス許可が付与されます。 これらのロールを次に示します。

  • アクセス許可を持つDefender for Cloudのサービス アカウントに付与される roles/MDCAgentlessScanningRole: compute.disks.createSnapshot、compute.instances.get
  • roles/cloudkms.cryptoKeyEncrypterDecrypter がDefender for Cloudのコンピューティング エンジン サービス エージェントに付与される

次のステップ

エージェントレス マシンのスキャンを有効にします。

  • Last updated on