【Reference】Azure Security — 使用 Microsoft Defender for Cloud 進行 CSPM 與跨雲管理

Optimizing Multi-Cloud Security with Microsoft Defender for Cloud

Kellen

10 min readMay 18, 2024

前言

最近一直在尋找一個實用又兼顧荷包的雲端原生應用程式保護平台（CNAPP），而理想的 CNAPP 應該包含以下關鍵組件：

雲端資安狀態管理（Cloud Security Posture Management, CSPM）
雲端服務網路安全（Cloud Security — Network Security, CSNS）
雲端工作負載保護（Cloud Workload Protection Platform, CWPP）

我的目的是希望能以最小的雲端管理成本換取最大的效益，並且能夠進行跨雲間的整合，在聽 Podcast 時，無意間發現 Microsoft 有一個可以整合多雲的有趣工具。Microsoft 似乎也越來越關注多雲支援，不僅 Azure AD 與 Google、AWS 的整合做得很好，現在還支援 AWS 的成本管理。以下將介紹 Microsoft 在 CNAPP 方面的工具 — Microsoft Defender for Cloud。如果你有以下的需求，可以參考這篇對於 Defender 功能的說明：

架構設計的不足
環境搭建時是否有設定錯誤？
要時常提醒或教導使用團隊正確的組態設定，但可能也沒在聽？
來自外部的威脅
來自外部的未經授權的存取？
配置功能的有效性
安全措施配置是否正確？
它是根據監管最佳實踐設計的嗎？是否有符合產業法規？
常人工管理跨雲整合造成煩惱？
未知威脅和零時差攻擊因應措施
如何防範未知威脅和零時差攻擊？

Microsoft Defender for Cloud 是一個整合多功能的雲端安全解決方案，能夠有效地降低管理成本，同時提升安全效益。如果你正在尋找一個全方位的 CNAPP 平台，先從 Azure 基礎 CSPM 來體驗看看，這可能是一個不錯的選擇。

Microsoft Defender CSPM 提供進階安全性態勢功能，包括無代理程式弱點掃描、攻擊路徑分析、整合式資料感知安全性態勢，程式碼到雲端關聯式化，以及智慧型雲端安全性圖表。價格取決於雲端規模，計費只會以伺服器、儲存體帳戶和資料庫計數為基礎

但是其他的計價就複雜了

**https://azure.microsoft.com/zh-tw/pricing/details/defender-for-cloud/**

補充：什麼是 Cloud Security Posture Management

CSPM 是指對雲端環境中的安全性進行主動、持續監控的一種方法，這種方法對於確保雲端基礎設施安全、合規並符合組織政策和行業標準是必要的。而 Defender 剛好整合了 CSPM 相關的工具。

**https://www.wallarm.com/what/cloud-security-posture-management**

Microsoft Defender for Cloud

Overview

Microsoft Defender for Cloud 這是一個開箱即用的工具，進入 Overview 之後即可了解你 subscription 下的資訊。

Inventory 資產管理

Defender 的 Inventory 可以協助在資產管理（可一鍵產生清單）並顯示每個資源的安全狀況，你也可以再仔細查看每一個資源最適建議或漏洞所在，作為後續改善安全的依據。

ISO27001 & ISO27017 — 資產盤點（A.8.1.1）
📙 應識別與資訊及資訊處理設施相關聯之資產，並製作及維持資產之清冊
📙 雲服務客戶和雲服務供應商應建立和維護其責任範圍內的資產清單

共分成三區：摘要、篩選條件、匯出和資產管理工具

偵測與 IaaS/PaaS 環境特有的設定及異常設定偵測

有的時候會在雲端進行一些沙盒性質實驗，安控沒有這麼到位，上營運可就不行，雲端都有其組態設定的 Best Practice 需遵循，而 Defender 將每個 IaaS/PaaS 環境的設定，透過定期掃描偵測 IaaS/PaaS 容易受攻擊的設定，我覺得重要是把錯誤配置給識別出來，建議當作一個目標，慢慢去修正原來的架構。

由於 Defender 將每個雲端及其監控/分析整合到平台之中，因此可以輕鬆獲得對雲端安全操作的完全控制，若是多雲的公司，這的確是個省力的工具。可以隨時了解每一個威脅並進行對這些 Posture 的排序管理。另外，即時獲得有關網路安全的建議，就像是雲端的 Coach 隨時隨地的指導你，提升全體人員認知。

Attack path analysis

Attach path 這邊可以查看不同面向的建議，例如 Encrypt data in transit 下面總共有四個會需要調整。

Regulatory compliance

多雲管理

滿具有亮點的是，可以保護和監控多雲（包括 AWS 和 GCP）及混合雲環境中的資源，允許使用者從一個集中位置管理多個雲環境中的安全警報和查看建議，使用下來算是對資安及管理員十分友善，更適合推出去當一個 Shift Left 的給使用者或開發團隊的自我健檢及資安指導的工具。

整合畫面如下

設定作法

📙 將您的 GCP 專案連接到 Microsoft Defender for Cloud
Prerequisites：Contributor permission on the relevant Azure subscription, and Owner permission on the GCP organization or project.

認證是在 Microsoft Defender for Cloud 和 GCP 透過 federated authentication process，而 script 基本上會幫你搞定以下

Workload identity pool and providers
Service accounts and policy bindings

在處理 GCP 時，需要特別指定一個專案進行連接。我建議這個專案中不要放置你的工作負載（workload），也不要使用你的管理專案。最好設定一個新的專案來專門進行連接，因為此專案的資源並不會特別同步回 Defender（踩雷 ~ 印象深刻），因此，專門設置一個獨立的連接專案是更好的選擇，這樣可以避免應觀注的專案卻未被放入至 Defender 中。

👣 Step01. 建立與 GCP 的連接器