에이전트 없는 컴퓨터 검사

Microsoft Defender for Cloud 에이전트 없는 컴퓨터 검사는 Defender for Cloud 연결된 컴퓨터의 보안 상태를 향상시킵니다.

에이전트 없는 검사는 설치된 에이전트 또는 네트워크 연결이 필요하지 않으며 컴퓨터 성능에 영향을 주지 않습니다. 에이전트 없는 컴퓨터 검사:

에이전트 없는 검사는 다음 Defender for Cloud 계획에서 사용할 수 있습니다.

에이전트 없는 검사 아키텍처

에이전트 없는 검사의 작동 방식은 다음과 같습니다.

  1. Defender for Cloud VM 디스크(루트 + 데이터 디스크)의 스냅샷을 만들고 스냅샷에 저장된 운영 체제 구성 및 파일 시스템에 대한 대역 외 심층 분석을 수행합니다.

    • 복사된 스냅샷은 VM과 동일한 지역에 유지됩니다.
    • 검사는 VM에 영향을 주지 않습니다.

  2. Defender for Cloud 복사된 디스크에서 필요한 메타데이터를 가져오면 디스크의 복사된 스냅샷을 즉시 삭제하고 관련 Microsoft 엔진에 메타데이터를 보내 구성 간격 및 잠재적 위협을 검색합니다. 예를 들어 취약성 평가에서는 Defender Vulnerability Management 분석을 수행합니다.

  3. Defender for Cloud 보안 경고 페이지에서 에이전트 기반 결과와 에이전트 없는 결과를 모두 통합하는 검색 결과를 표시합니다.

  4. 클라우드용 Defender는 지역적이며, 가변적이고, 격리되어 있으며, 보안 수준이 매우 높은 스캔 환경에서 디스크를 분석합니다. 검사와 관련이 없는 디스크 스냅샷 및 데이터는 메타데이터를 수집하는 데 필요한 시간(일반적으로 몇 분)보다 오래 저장되지 않습니다.

에이전트 없는 검사를 통해 운영 체제 데이터를 수집하는 프로세스의 다이어그램.

에이전트 없는 검사에 사용되는 권한

Defender for Cloud 에이전트 없는 검사를 수행하기 위해 특정 역할 및 권한을 사용했습니다.

Azure 권한

기본 제공 역할 VM 스캐너 연산 자에는 스냅샷 프로세스에 필요한 VM 디스크에 대한 읽기 전용 권한이 있습니다. 자세한 사용 권한 목록은 다음과 같습니다.

  • Microsoft.Compute/disks/read
  • Microsoft.Compute/disks/beginGetAccess/action
  • Microsoft.Compute/disks/diskEncryptionSets/read
  • Microsoft.Compute/virtualMachines/instanceView/read
  • Microsoft.Compute/virtualMachines/read
  • Microsoft.Compute/virtualMachineScaleSets/instanceView/read
  • Microsoft.Compute/virtualMachineScaleSets/read
  • Microsoft.Compute/virtualMachineScaleSets/virtualMachines/read
  • Microsoft.Compute/virtualMachineScaleSets/virtualMachines/instanceView/read

CMK 암호화 디스크에 대한 커버리지가 활성화되면 더 많은 권한이 필요합니다.

  • Microsoft.KeyVault/vaults/keys/read
  • Microsoft.KeyVault/vaults/keys/wrap/action
  • Microsoft.KeyVault/vaults/keys/unwrap/action

AWS 사용 권한

에이전트 없는 검사를 사용하도록 설정하면 VmScanner 역할이 스캐너에 할당됩니다. 이 역할에는 스냅샷을 만들고 정리하고(태그로 범위 지정) VM의 현재 상태를 확인하는 최소 권한 집합이 있습니다. 자세한 권한은 다음과 같습니다.

attribute 값
SID VmScannerDeleteSnapshotAccess
동작 ec2:DeleteSnapshot
조건 "StringEquals":{"ec2:ResourceTag/CreatedBy”:<br>"Microsoft Defender for Cloud"}
리소스 arn:aws:ec2:::snapshot/
효과 허용
attribute 값
SID VmScannerAccess
동작 ec2:ModifySnapshotAttribute
ec2:DeleteTags
ec2:CreateTags
ec2:CreateSnapshots
ec2:CopySnapshots
ec2:CreateSnapshot
조건 없음
리소스 arn:aws:ec2:::instance/
arn:aws:ec2:::snapshot/
arn:aws:ec2:::volume/
효과 허용
attribute 값
SID VmScannerVerificationAccess
동작 ec2:DescribeSnapshots
ec2:DescribeInstanceStatus
조건 없음
리소스 *
효과 허용
attribute 값
SID VmScannerEncryptionKeyCreation
동작 kms:CreateKey
조건 없음
리소스 *
효과 허용
attribute 값
SID VmScannerEncryptionKeyManagement
동작 kms:TagResource
kms:GetKeyRotationStatus
kms:PutKeyPolicy
kms:GetKeyPolicy
kms:별칭생성
kms:ListResourceTags
조건 없음
리소스 arn:aws:kms::${AWS::AccountId}: key/ <br> arn:aws:kms:*:${AWS::AccountId}:alias/DefenderForCloudKey
효과 허용
attribute 값
SID VmScannerEncryptionKeyUsage
동작 kms:GenerateDataKeyWithoutPlaintext
kms:DescribeKey
kms:RetireGrant
kms:CreateGrant
kms:ReEncryptFrom
조건 없음
리소스 arn:aws:kms::${AWS::AccountId}: key/
효과 허용

GCP 권한

온보딩하는 동안 인스턴스 상태를 얻고 스냅샷을 만드는 데 필요한 최소한의 권한으로 새 사용자 지정 역할이 만들어집니다.

또한 CMEK로 암호화된 디스크 검색을 지원하기 위해 기존 GCP KMS 역할에 대한 사용 권한이 부여됩니다. 역할은 다음과 같습니다.

  • 클라우드용 Defender의 서비스 계정에 부여된 roles/MDCAgentlessScanningRole 역할로, 다음 권한을 갖습니다. compute.disks.createSnapshot, compute.instances.get
  • roles/cloudkms.cryptoKeyEncrypterDecrypter가 Defender for Cloud 컴퓨팅 엔진 서비스 에이전트에 부여됨

다음 단계

에이전트 없는 컴퓨터 검색을 사용하도록 설정합니다.

  • Last updated on