Esentare le risorse dalle raccomandazioni

Quando esamini le raccomandazioni sulla sicurezza in Microsoft Defender per il cloud, passi in rassegna l'elenco delle risorse interessate. In alcuni casi, si trova una risorsa che non deve trovarsi nell'elenco oppure si trova una raccomandazione visualizzata in un ambito in cui non appartiene. Ad esempio, Defender per il cloud potrebbe non tenere traccia di un processo di correzione o una raccomandazione potrebbe non essere applicabile a una sottoscrizione specifica. L'organizzazione potrebbe decidere di accettare i rischi correlati alla risorsa o alla raccomandazione specifica.

In questi casi, creare una regola di esenzione per:

• Escludere una risorsa per rimuoverla dall'elenco di risorse non sanitarie e dall'impatto sul punteggio di sicurezza. Defender per il cloud elenca la risorsa come Non applicabile e mostra il motivo come esentato con la giustificazione selezionata.

• Escludere una sottoscrizione o un gruppo di gestione per impedire che la raccomandazione influisca sul punteggio di sicurezza o venga visualizzata per tale contesto. L'esenzione si applica alle risorse esistenti e alle risorse create in un secondo momento. Defender per il cloud contrassegna la raccomandazione con la giustificazione selezionata per tale ambito.

Per ogni ambito, creare una regola di esenzione per:

• Contrassegnare una raccomandazione specifica come mitigata o rischio accettata per una o più sottoscrizioni o per un gruppo di gestione.

• Contrassegnare una o più risorse come Mitigato o Rischio accettato per una raccomandazione specifica.

L'esenzione delle risorse è limitata a 5.000 risorse per ogni sottoscrizione. Se si aggiungono più di 5.000 esenzioni per sottoscrizione, è possibile che si verifichino problemi di carico nella pagina di esenzione.

Prerequisiti

Le esenzioni di Defender per il cloud si basano sull'iniziativa Microsoft Cloud Security Benchmark (MCSB). È necessario assegnare MCSB nella sottoscrizione prima di creare esenzioni.

È possibile creare esenzioni per le raccomandazioni che appartengono all'iniziativa MCSB predefinita o ad altri standard normativi predefiniti. Alcune raccomandazioni in MCSB non supportano le esenzioni. È possibile trovare un elenco di queste raccomandazioni nelle domande frequenti sulle esenzioni.

Autorizzazioni:

Per creare esenzioni, sono necessarie le autorizzazioni seguenti:

• Proprietario o amministratore della sicurezza nell'ambito in cui si crea l'esenzione.
• Per creare una regola, sono necessarie le autorizzazioni per modificare i criteri in Criteri di Azure. Per i dettagli, vedere autorizzazioni RBAC di Azure in Criteri di Azure.
• È necessario disporre dell'autorizzazione di esenzione per tutte le assegnazioni di iniziative nell'ambito di destinazione. Se più iniziative contengono una raccomandazione, è necessario creare l'esenzione con le autorizzazioni per tutte. Un'autorizzazione mancante per un'iniziativa può causare l'esito negativo dell'esenzione.

Sono necessarie le azioni di controllo degli accessi in base al ruolo seguenti:

• Le autorizzazioni a livello di sottoscrizione non vengono ereditate ai gruppi di gestione superiori. Se l'assegnazione dei criteri è a livello di gruppo di gestione, è necessario il ruolo assegnato a tale livello.

• Per gestire le esenzioni per risorse specifiche, sono necessarie le azioni RBAC richieste sul singolo elemento o sul gruppo di risorse. Le assegnazioni di ruolo con ambito di sottoscrizione potrebbero non fornire un accesso adeguato per creare o eliminare esenzioni per le singole risorse. Verificare che l'assegnazione di ruolo includa l'ambito della risorsa da escludere.

• Quando si crea un'esenzione a livello di gruppo di gestione, assicurarsi che il provider di risorse di sicurezza Microsoft Azure disponga delle autorizzazioni necessarie assegnandole il ruolo Reader nel gruppo di gestione. Concedere questo ruolo allo stesso modo in cui si concedono le autorizzazioni utente.

Limitazioni:

• Non si creano esenzioni per raccomandazioni personalizzate.

• Le raccomandazioni di anteprima potrebbero non supportare le esenzioni. Controllare se la raccomandazione mostra un tag di anteprima .

• Se si disabilita una raccomandazione, si esentano anche tutte le relative sottocomendazioni.

• Le raccomandazioni basate su Kusto Query Language (KQL) usano assegnazioni standard e non usano gli eventi di esenzione di Criteri di Azure nei log delle attività. Per determinare se una raccomandazione è basata su KQL o basata su criteri, aprire la raccomandazione nel portale e controllare il campo Chiave di valutazione . Le raccomandazioni basate su KQL mostrano un formato chiave di valutazione standard e non hanno un collegamento di definizione Criteri di Azure associato. Le raccomandazioni basate su criteri visualizzano un collegamento diretto alla definizione dei criteri sottostante.

• Quando si crea un'esenzione dal portale di Defender per il cloud, Defender per il cloud identifica tutte le iniziative che contengono la raccomandazione e crea automaticamente l'esenzione tra tutte. Se invece si crea l'esenzione tramite l'API Criteri di Azure, è necessario creare manualmente un'esenzione separata per ogni iniziativa. Per maggiori informazioni, consulta le FAQ sulle Esenzioni.

• Quando si assegna una nuova iniziativa che contiene una raccomandazione con un'esenzione esistente, l'esenzione non si applica alla nuova iniziativa. Creare una nuova esenzione per la raccomandazione nell'iniziativa appena assegnata.

Definire un'esenzione

È consigliabile creare esenzioni nel portale di Defender per il cloud. Le esenzioni create tramite l'API Criteri di Azure potrebbero non essere completamente integrate con Defender per il cloud. Possono causare risultati imprevisti, ad esempio esenzioni che non vengono propagate in tutte le iniziative pertinenti. Se è necessario usare l'API, vedere struttura di esenzione di Criteri di Azure.

Per creare una regola di esenzione:

1. Accedi al portale di Azure.

2. Passare a Defender per il cloud>Consigli.

3. Seleziona una raccomandazione.

4. Selezionare Esentare.

   

5. Selezionare l'ambito per l'esenzione.

   • Se si seleziona un gruppo di gestione, Defender per il cloud esenta la raccomandazione da tutte le sottoscrizioni in tale gruppo.
   • Se si crea questa regola per esentare una o più risorse dalla raccomandazione, scegliere Risorse selezionate e selezionare le risorse pertinenti dall'elenco.

6. Immetti un nome.

7. (Facoltativo) Impostare una data di scadenza.

8. Seleziona la categoria per l'esenzione:

   • Risolto tramite un servizio di terze parti (mitigato): nel caso in cui si utilizzi un servizio non Microsoft per la correzione che non è tracciato da Defender per il cloud.

   Note

   Se una risorsa viene esentata come mitigata, viene considerata integra. Non si ottengono punti correggendo la risorsa, ma Defender per il cloud non sottrae punti se la si lascia in uno stato non integro, di conseguenza le risorse esentate non abbassano il punteggio.

   • Rischio accettato (rinuncia): se si decide di accettare il rischio di non attenuare questa raccomandazione.

9. Immettere una descrizione.

10. Fare clic su Crea.

    

Dopo aver creato l'esenzione

L'applicazione di un'esenzione può richiedere fino a 24 ore. Defender per il cloud valuta le risorse ogni 12-24 ore. Dopo l'applicazione dell'esenzione:

• Le raccomandazioni o le risorse non influiscono sul punteggio di sicurezza.

• Se si esentano risorse specifiche, Defender per il cloud le elenca nella scheda Non applicabile della pagina dei dettagli della raccomandazione.

• Se si esenta una raccomandazione, Defender per il cloud lo nasconde per impostazione predefinita nella pagina Raccomandazioni . Questo problema si verifica perché il filtro di stato della raccomandazione predefinito esclude le raccomandazioni non applicabili . Lo stesso comportamento si verifica se si esentano tutte le raccomandazioni in un controllo di sicurezza.

Comprendere in che modo il tipo di esenzione influisce sullo stato della raccomandazione

Il tipo di esenzione selezionato determina il modo in cui l'esenzione influisce sulla raccomandazione e sul punteggio di sicurezza:

• Esenzioni attenuate : le risorse esentate vengono conteggiate come integre. Il punteggio di sicurezza è aumentato.
• Esenzioni: le risorse esentate sono escluse dal calcolo del punteggio di sicurezza. Le risorse non vengono conteggiate per il punteggio di sicurezza, ma potrebbero comunque essere visualizzate nei suggerimenti.

Verificare che l'esenzione funzioni

Se la raccomandazione mostra ancora le risorse come non integre dopo 24 ore, vedere Risolvere un'esenzione che non aggiorna lo stato della raccomandazione per i passaggi dettagliati.

Passo successivo

Contenuti correlati

• Gestire le raccomandazioni di sicurezza con falsi positivi per Defender per archiviazione

Le esenzioni aiutano i team di sicurezza a concentrarsi sui rischi che richiedono intervento, mantenendo al contempo un registro regolamentato dei risultati che non richiedono correzione. Utilizzare un'esenzione quando un rilievo è stato esaminato e ritenuto falso positivo, coperto da un altro controllo, temporaneamente rinviato o accettato come rischio. Ogni esenzione registra il suo ambito, le condizioni di corrispondenza, la giustificazione e il periodo di revisione, aiutando la tua organizzazione a ridurre il rumore operativo senza perdere visibilità o responsabilità.

Perché usare le esenzioni?

Le esenzioni offrono un'alternativa strutturata alla soppressione informale di un riscontro di sicurezza. Aiutano le organizzazioni:

• Concentra le risorse di correzione sui problemi di sicurezza che richiedono azione.
• Applicare una decisione sul rischio documentata in modo coerente in tutto l'ambito rilevante.
• Riduci il lavoro ripetitivo gestendo le eccezioni tramite regole centralizzate.
• Registra la giustificazione e il contesto di supporto necessari per governance, audit e conformità.
• Rivaluta i rischi accettati in base alle date di scadenza e alla revisione del ciclo di vita.
• Mantieni il contesto di sicurezza dei rilevamenti esclusi nelle esperienze di analisi e nei percorsi di attacco.

Situazioni di utilizzo

Crea un'eccezione dopo che un risultato è stato generato e revisionato, e la tua organizzazione determina che non è attualmente necessaria una correzione. Gli scenari comuni includono:

• Il risultato è un falso positivo.
• L'organizzazione ha esaminato e accettato il rischio.
• Un controllo di terze parti affronta il rischio.
• Un'alternativa di mitigazione è già in atto.
• La bonifica viene rinviata per motivi aziendali o tecnici documentati.

Rimuovere una regola o creare un'esenzione?

Sia le politiche di raccomandazione che le esenzioni permettono di controllare il comportamento delle raccomandazioni, ma servono a scopi di governance diversi. Utilizzare una modifica di politica quando una raccomandazione non dovrebbe essere valutata per un ambito specifico. Utilizzare un'esenzione quando la raccomandazione rimane valida, ma l'intervento correttivo temporaneamente non è necessario e dovrebbe essere monitorato per scopi di governance, audit o conformità.

Prima di iniziare

Verifica che un ambiente sia gestito in Defender

Le esenzioni create in Defender si applicano solo agli asset che appartengono ad ambienti gestiti in Defender. Puoi verificare la posizione di gestione in uno dei seguenti modi:

• Nell'esperienza Raccomandazioni, verifica la proprietà Gestito in e conferma che il valore sia Defender.

• Dalla gestione dell'ambiente cloud, apri la pagina cloud Gestione ambiente e conferma che l'ambiente applicabile sia gestito in Defender.

Se un riscontro riguarda gli asset gestiti in Azure, hai due opzioni:

• Collega l'ambiente a Defender e continua a gestire le esenzioni tramite Defender.
• Crea l'esenzione in Azure.

Permissions

Il controllo unificato degli accessi basati sul ruolo (RBAC) di Microsoft Defender controlla l'accesso alle esenzioni:

Per delegare la gestione delle esenzioni, vai su System>Permissions>Microsoft Defender XDR>Roles nel portale Microsoft Defender e crea o aggiorna un ruolo con il permesso e l'ambito richiesti.

Creare un'esenzione

Vai su Gestione dell'esposizione>Criteri>Esenzione, quindi seleziona Crea esenzione. Il processo di creazione comprende quattro decisioni:

Dopo la presentazione dell'eccezione, Microsoft Defender elabora l'eccezione e aggiorna i risultati dettagliati corrispondenti. I cambiamenti nello stato del rilevamento, nei calcoli di esposizione e nelle metriche di postura correlate potrebbero non essere riflessi immediatamente.

Crea un'eccezione da una raccomandazione

Puoi anche creare un'esenzione direttamente da una raccomandazione. Quando viene avviato da una raccomandazione, Defender precompila automaticamente le condizioni di eccezione in base alla raccomandazione selezionata per ridurre lo sforzo di configurazione e garantire che l'eccezione miri al rilevamento previsto:

Che cos’è precompilato?

• La condizione di esenzione è impostata automaticamente su Da raccomandazione e si basa sulla raccomandazione da cui è stata creata l'esenzione. Questa condizione non può essere modificata durante il flusso di creazione.
• L'ambito viene automaticamente popolato con le risorse selezionate al momento della creazione dell'esenzione. Puoi affinare, restringere o ampliare ulteriormente l'ambito prima di presentare l'esenzione.

Se la selezione include sia asset gestiti da Defender che gestiti da Azure, l'esenzione da Defender si applica solo agli asset supportati da Defender. Gestisci le risorse rimanenti in Azure oppure sposta l'ambiente pertinente su Defender management.

Gestire il ciclo di vita delle esenzioni

Usa la pagina delle regole di esenzione per esaminare le decisioni dell'organizzazione sulle esenzioni e gestire il loro ciclo di vita.

• Modifica una regola quando cambiano la sua ambito, condizioni di corrispondenza, giustificazione, proprietario o periodo di revisione.
• Elimina una regola quando l'eccezione non è più valida e le segnalazioni corrispondenti dovrebbero tornare al tracciamento attivo della bonifica.
• Rivedere le regole in scadenza prima della scadenza del periodo di rischio approvato.
• Esaminare le regole scadute come prova storica di decisioni precedenti e determinare se è necessaria una nuova valutazione.

Quando un'eccezione viene eliminata o raggiunge la sua data di scadenza, Microsoft Defender rivaluta automaticamente gli elementi rilevati interessati. Qualsiasi elemento rilevato che necessita ancora di bonifica torna a uno stato Attivo e contribuisce nuovamente ai calcoli di postura e rischio. I risultati non più applicabili rimangono inalterati.

Comprendere l'effetto di un'esenzione

Quando un'esenzione è attiva, i risultati corrispondenti vengono contrassegnati come Esente. L'esenzione cambia il modo in cui viene trattato il riscontro, ma non rimuove il riscontro, le sue prove a supporto o il suo rapporto con altri segnali di sicurezza.

I risultati esclusi restano disponibili durante le esperienze di indagine e approfondimento di Microsoft Defender. A seconda dei filtri attuali, gli elementi rilevati esentati potrebbero essere nascosti per impostazione predefinita. Per esaminarli, aggiorna il filtro di stato includendo le segnalazioni Esente.

Impatto sul punteggio

I risultati oggetto di esenzione sono esclusi dai calcoli applicabili del punteggio di sicurezza finché l'esenzione rimane attiva. L'impatto sul punteggio dipende dall'ambito dell'esenzione e dall'esperienza del prodotto.

Percorsi di attacco

Escludere una raccomandazione non la rimuove dai percorsi di attacco associati. Microsoft Defender continua a includere la raccomandazione nell'analisi del percorso d'attacco e la identifica chiaramente come Esente. Questo aiuta i team di sicurezza a comprendere l'impatto potenziale del rischio accettato, a mantenere la visibilità su come la raccomandazione contribuisce all'esposizione complessiva e a rivalutare l'esenzione se la postura di sicurezza o i requisiti aziendali cambiano.

Esenzioni Azure esistenti e la transizione a Defender

Questa sezione è principalmente rilevante per le organizzazioni che storicamente gestivano raccomandazioni ed esenzioni in Azure e che ora stanno passando i loro ambienti a Gestiti in Defender. Durante questa transizione, Microsoft mantiene le configurazioni esistenti di esenzione di Azure stabilendo Defender come sede centrale per la gestione delle nuove decisioni sulle esenzioni.

Come funziona la titolarità dell’esenzione

Microsoft Defender e Azure possono coesistere durante il periodo di transizione. Sebbene le regole di esenzione rimangano di proprietà del portale in cui sono state originariamente create, lo stato di raccomandazione rimane coerente tra le esperienze.

• Le regole di esenzione create in Azure continuano a essere gestite in Azure.
• Le regole di esenzione create in Defender sono gestite dalla pagina Exemption rules in Defender.
• Le definizioni delle regole di esenzione non sono sincronizzate o copiate tra Azure e Defender.
• Sia le esenzioni da Azure che da Defender influenzano le raccomandazioni corrispondenti.
• Lo stato di raccomandazione e lo stato di esenzione rimangono coerenti indipendentemente dal portale che possiede la regola di esenzione.

Esenzioni Azure esistenti

Quando un ambiente diventa gestito in Defender, Microsoft continua a rispettare regole di esenzione precedentemente create in Azure.

• Le esenzioni esistenti di Azure continuano a influenzare i calcoli dello stato delle raccomandazioni e della postura.
• I team di sicurezza possono continuare a modificare o rimuovere queste esenzioni in Azure.
• Queste esenzioni create da Azure non appaiono come regole di esenzione gestibili in Defender.

Questo approccio consente alle organizzazioni di passare a Defender senza interrompere le decisioni esistenti di accettazione del rischio o richiedere la migrazione immediata delle regole storiche di esenzione.

Creazione di nuove esenzioni

Dopo che un ambiente diventa gestito in Defender, devono essere create nuove esenzioni per tale ambito in Defender. Non si possono creare nuove esenzioni Azure per quegli ambiti tramite l'esperienza del portale supportato.

Questo modello di proprietà offre ai team di sicurezza il controllo centralizzato sulle nuove decisioni di esenzione, preservando al contempo le configurazioni Azure esistenti. Impedisce inoltre alle squadre di creare nuove regole concorrenti per lo stesso ambito gestito da Defender in portali diversi.

Limitazioni

Le seguenti limitazioni si applicano alla gestione delle esenzioni nel portale Microsoft Defender:

• Le esenzioni Azure esistenti continuano a essere rispettate anche dopo che un ambiente è stato gestito in Defender, ma non vengono automaticamente migrate al portale Defender.
• L'elaborazione, gli aggiornamenti di stato, il ricalcolo del punteggio e la propagazione dello stato tra portali non sono immediati e richiedono un tempo di elaborazione aggiuntivo.

Perché usare la gestione delle esenzioni in Microsoft Defender?

Le organizzazioni che scelgono di gestire la loro postura cloud in Microsoft Defender possono beneficiare di un'esperienza centralizzata di gestione delle esenzioni, integrata direttamente nell'intero flusso di lavoro di gestione delle esposizioni. Azure continua a supportare la gestione delle esenzioni, mentre Defender offre un'esperienza unificata per le organizzazioni che desiderano gestire la postura di sicurezza su tutti i carichi di lavoro e le decisioni correlate da un'unica sede.

• Scope flessibili: Defender consente alle organizzazioni di creare esenzioni nei vari ambienti e asset supportati, offrendo maggiore flessibilità nella selezione dell'ambito rispetto alla tradizionale definizione dell'ambito basata sulla gerarchia di Azure.
• Riduzione del carico amministrativo: regole di esenzione centralizzate e riutilizzabili aiutano a ridurre il numero di esenzioni da creare e mantenere su più abbonamenti Azure, gruppi di gestione e ambiti.
• Permessi di sicurezza dettagliati: Microsoft Defender XDR unified RBAC consente alle organizzazioni di separare i permessi di lettura e gestione e di delegare la gestione delle esenzioni a specifici team di sicurezza senza dover dipendere esclusivamente dai ruoli amministrativi di Azure.
• Governance del ciclo di vita per design: Sebbene Azure supporti anche la gestione delle esenzioni, Defender offre un'esperienza di governance più orientata alla sicurezza. Le esenzioni includono periodi di revisione e date di scadenza obbligatorie, facilitando il monitoraggio, la revisione e la validazione delle decisioni temporanee di accettazione del rischio durante audit e valutazioni di conformità. I team di sicurezza possono facilmente identificare le esenzioni che si avvicinano alla scadenza, esaminare le esenzioni scadute e rivalutare periodicamente i rischi accettati.
• Elaborazione delle esenzioni più veloce: Le esenzioni create in Defender si riflettono tipicamente nello stato delle raccomandazioni, nei calcoli dei punteggi e nelle esperienze correlate più velocemente rispetto alle esenzioni equivalenti in Azure. Microsoft continua a migliorare l'efficienza dell'elaborazione per ridurre ulteriormente il tempo necessario affinché le modifiche alle esenzioni entrino in vigore.

Contenuti correlati

• Microsoft Defender controllo degli accessi basato sui ruoli unificato (RBAC)
• Gestire le policy di assetto di sicurezza