cloud-app-security-posture

云和应用安全态势

安全态势管理涵盖两个互补层面：通过 Microsoft Defender for Cloud 管理云基础设施（IaaS/PaaS）的 CSPM，以及通过 Microsoft Defender for Cloud Apps 管理 SaaS 应用的 SSPM。两者协同，持续降低整个云和 SaaS 环境中的配置错误风险。

适用场景

评估并持续强化云基础设施和 SaaS 应用的配置态势——尤其是在修复工作陷入停滞，或无法回答“下一步应该修复什么？”时。

请勿将此技能用于：

• IaaS/PaaS 工作负载威胁防护计划（请使用 defender-for-cloud-hardening）
• 仅用于 SaaS 威胁检测或影子 IT 发现（请使用 defender-for-cloud-apps）
• AI 的 DSPM（请使用 purview-dspm-ai）

选择合适的态势视角

你需要强化的对象……	使用此项	入口
Azure 订阅、AWS 账户、GCP 项目	Defender for Cloud CSPM	Defender for Cloud → 建议
暴露于互联网的 VM / 存在有害组合的数据	Defender CSPM（付费）+ 攻击路径	Defender for Cloud → 攻击路径分析
Microsoft 365、Salesforce、ServiceNow、GitHub 配置	Defender for Cloud Apps SSPM	Defender XDR → 云应用 → 态势
容器 / Kubernetes 态势	Defender CSPM 容器计划	Defender for Cloud → 云安全图谱
代码 / IaC 配置错误	Defender for Cloud 中的 DevOps 安全	Defender for Cloud → DevOps
云中的身份卫生问题	身份建议（CIEM）	Defender for Cloud + Entra Permissions Mgmt

**经验法则：**基础 CSPM 随 Defender for Cloud 计划免费提供，并为你提供 Secure Score + MCSB 建议。付费的 Defender CSPM 计划还提供攻击路径分析、云安全图谱、无代理扫描和 DevOps——如果你需要按可利用性而非数量确定优先级，请为相应环境启用此计划。

方法

1. 在所有位置启用基础 CSPM - 在所有 Azure 订阅中启用 Defender for Cloud，连接 AWS 账户和 GCP 项目，并确认 Microsoft Cloud Security Benchmark (MCSB) 建议和 Secure Score 已开始生成。 验证：Defender for Cloud → Inventory 显示所有订阅/账户；每个范围的 Secure Score 均非零。
2. 为高价值范围启用 Defender CSPM（付费） - 在包含暴露于互联网的工作负载或敏感数据的 订阅/账户中启用付费计划，以解锁 攻击路径分析 和 云安全图谱。仅使用基础 CSPM 时，你只能知道 哪些配置有误；Defender CSPM 则能告诉你哪些配置错误会形成可被利用的攻击链。 验证：攻击路径分析页面至少列出一条路径；你可以追踪从互联网到敏感数据的路径。
3. 在 Defender for Cloud Apps 中启用 SSPM - 通过 API 连接器连接每个 SaaS 应用（Microsoft 365、 Salesforce、ServiceNow、GitHub、Okta 等）。SSPM 建议涵盖每个应用的管理员控制、MFA 设置、共享暴露情况和非活动特权用户。 验证：Defender XDR → Cloud apps → Posture 显示每个已连接应用的建议，而不只是发现结果。
4. 按暴露程度和影响确定优先级 - 按以下因素对修复事项排序：互联网暴露、敏感数据、特权身份和攻击路径严重程度。使用云安全图谱对能够切断同一条路径的建议进行分组。 验证：前 10 项修复事项不是按建议数量排列，而是按风险加权影响排列。
5. 分配负责人和 SLA - 没有负责人的建议不会得到修复。按工作负载（订阅标记、资源组、SaaS 应用负责人）将建议路由到工单系统，并根据严重程度设定修复 SLA。 验证：可以查看各工作负载负责人的工单数量；逾期报告会显示各严重程度的关闭时间中位数。
6. 在安全的情况下强制执行并自动化 - 使用 Azure Policy 防止已修复配置再次出现问题（拒绝未启用加密的新资源，在已标记的范围内阻止创建公共 IP）。使用 Defender for Cloud 工作流自动化，将建议路由到 Logic Apps，以便在可逆的情况下自动修复。 验证：至少有一项 Azure Policy 会拒绝过去常见的配置错误；自动修复日志显示至少一类建议已成功修复。
7. 持续监控偏移 - 随着资产环境变化（新增订阅、新 SaaS 应用、新账户）重新建立基线。安全态势不是一次性项目，而是一种运营模式。 验证：90 天内 Secure Score 趋势稳定或持续改善，而非大幅波动。

护栏

• 安全态势管理用于预防；应与威胁检测配合使用（Defender for Cloud 工作负载计划、Defender for Cloud Apps 威胁策略）。只有安全态势管理而没有检测会漏掉正在发生的攻击；只有检测而没有安全态势管理，则同一漏洞会被反复利用。
• 不要为了分数而追求分数 - 优先修复可被利用且影响重大的问题。即使 Secure Score 达到 95%，但通往皇冠明珠数据的攻击路径仍然存在，也不如 Secure Score 为 70% 且不存在攻击路径。
• 与应用/工作负载负责人协调修复，避免造成故障。禁用合作伙伴所依赖的存储帐户的公共访问权限，造成的是服务中断，而不是问题修复。
• **免费 CSPM 是底线，而非上限。**基础 CSPM 缺少攻击路径和图谱功能——对于高风险范围，付费 Defender CSPM 计划才是合适的基线。
• 每个已连接的 SaaS 应用都会增加治理工作 - 只连接你实际管理的应用，而不是所有现有连接器。
• 将安全态势发现视为代码 - 修复根模板（Bicep、Terraform、IaC），而不只是已部署的资源，这样修复才能在下次部署后继续生效。

常见反模式

• “启用所有功能，让分析师来筛选噪声。” 如果没有范围、负责人和优先级，安全态势就会变成一个包含 10,000 项的积压列表，什么也推进不了。
• 一味追求 Secure Score 数值，却忽视攻击路径。分数再高，只要存在可利用的路径，也不如分数不那么好看但没有可利用路径。
• 把 SSPM 当作一项打勾了事的工作——连接 SaaS 应用，却从不审查建议。其价值在于定期审查。
• 没有 Azure Policy 兜底。 如果没有机制阻止后续部署重新引入相同的错误配置，已修复的问题就会反复出现。
• 把 SSPM 和 CSPM 当作互不相干的领域。 许多攻击链会跨越两者边界（SaaS 管理员遭入侵 → 云工作负载）。应结合两种视角，一起审查高风险用户。

示例提示词

• 强化我们的 Microsoft 365 SaaS 设置，并审查安全态势建议。
• 使用 SSPM 查找配置错误的 Salesforce 或 ServiceNow 设置。
• 如何提升多个云应用的 SaaS 安全态势？
• 使用攻击路径分析为 CSPM 修复工作排定优先级。
• 审查并修复 10 个最严重的跨云安全态势问题。

Microsoft Learn

• Defender for Cloud CSPM：https://learn.microsoft.com/azure/defender-for-cloud/concept-cloud-security-posture-management
• SaaS 安全态势（SSPM）：https://learn.microsoft.com/defender-cloud-apps/security-saas
• 攻击路径分析：https://learn.microsoft.com/azure/defender-for-cloud/concept-attack-path
• 云安全图：https://learn.microsoft.com/azure/defender-for-cloud/concept-attack-path
• Secure Score：https://learn.microsoft.com/azure/defender-for-cloud/secure-score-security-controls
• Microsoft Cloud Security Benchmark：https://learn.microsoft.com/security/benchmark/azure/