mcpField
D
defender-for-cloud-hardening

defender-for-cloud-hardening

github.com/vinayaklatthe安全17882 次安装19 周前更新
代码仓库

关于 defender-for-cloud-hardening

用于通过 Microsoft Defender for Cloud 评估云安全态势并启用工作负载保护的指导技能，帮助团队按风险选择计划、优先处理攻击路径，并在 Azure、AWS 和 GCP 上落实发现。

主要功能

  1. 01CSPM 态势与 Secure Score 指引
  2. 02按工作负载选择 Defender 计划
  3. 03依据攻击路径确定整改优先级
  4. 04Azure Policy 执行指引
  5. 05告警运维与工作流自动化指引

适用场景

  1. 01为生产工作负载选择 Defender 计划
  2. 02根据云攻击路径安排修复优先级
  3. 03将 CSPM 覆盖扩展到 Azure、AWS 和 GCP
  4. 04转送发现结果以供 SOC 关联和响应

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/vinayaklatthe/microsoft-security-skills --skill defender-for-cloud-hardening

安装后在 Claude Code 中输入/defender-for-cloud-hardening确认已加载。

详细介绍

Microsoft Defender for Cloud（加固）

Microsoft Defender for Cloud 是云原生应用保护平台（CNAPP），结合了 CSPM（安全态势、安全分数、攻击路径）和 CWPP（针对服务器、容器、数据库、存储、API、AI 的威胁防护），覆盖 Azure、AWS 和 GCP。

适用场景

评估并改善云安全态势，以及在多云环境中启用工作负载威胁防护。使用此技能选择要启用的 Defender 计划、确定修复工作的优先级，并将调查结果转化为实际运营流程。

请勿将此技能用于 SaaS 安全态势（cloud-app-security-posture）、Sentinel SIEM（sentinel）或将 Azure 管理扩展到本地环境（azure-arc）。

根据工作负载选择 Defender 计划

工作负载计划启用时机
订阅 / 帐户（安全态势）Foundational CSPM（免费）始终启用；所有环境均适用
多云 + 攻击路径 + 无代理扫描Defender CSPMTier 1 及更高级别的环境
Windows / Linux 服务器（EDR、文件完整性、JIT）Defender for Servers Plan 2生产服务器
存储帐户（恶意软件、敏感数据扫描）Defender for Storage面向公众 / 存储敏感数据
AKS / EKS / GKE 集群Defender for Containers任何生产集群
SQL、Cosmos DB、开源数据库Defender for Databases面向 Internet 或存储敏感数据
App Service 应用Defender for App Service面向 Internet 的应用
Key VaultDefender for Key VaultTier 0 / 受监管环境
APIM 后面的 APIDefender for APIs公共 API
Azure AI / OpenAI 工作负载Defender for AI Services处理组织数据的 AI 工作负载

**经验法则：**第一天就在所有环境中启用 Foundational CSPM（免费）。然后在生产环境中启用 Defender for Servers Plan 2 + Defender CSPM——这两项可解锁最高价值（攻击路径、EDR 集成）。 其他计划则根据风险和预算启用。

方法

  1. 连接所有云 — 接入 Azure（自动）、AWS（连接器 + CloudFormation）和 GCP （连接器 + 服务帐户）。如果未连接所有云，攻击路径就无法跨云追踪。 验证：AWS / GCP 连接器显示“已连接”；24 小时内出现建议。

  2. 建立 Foundational CSPM 基线 — 获取安全分数、映射到 Microsoft Cloud Security Benchmark (MCSB) 的建议，以及资产清单。将其用作通用基线。 验证：记录每个订阅的安全分数基线；按严重性记录建议数量。

  3. 根据工作负载风险启用 Defender 计划 — 使用选择表。不要在第一天就启用所有计划——成本会骤增，还会造成警报疲劳。优先覆盖生产环境。

  4. 为关键资产添加标记，以便云安全图谱为其赋予适当权重 — criticality=high、environment=prod、data-classification=sensitive。攻击路径 分析会使用这些标记进行排序。 验证：关键资产均已添加一致的标记；攻击路径页面显示了相应权重。

  5. 根据攻击路径而非总数进行修复 — 使用 攻击路径分析查找从 Internet → 工作负载 → 敏感资产的链路。优先修复能切断链路的问题。 若缺少攻击路径上下文，安全分数百分比只是虚荣指标。 验证：每周审查排名前 5 的攻击路径；单独跟踪链路切断问题的修复情况，不与常规建议数量混为一谈。

  6. 通过 Azure Policy 强制执行 — 通过 Azure Policy DeployIfNotExists 或 Audit 推进建议的落实。通过治理规则 + SLA 明确工作负载负责人的责任。

  7. 运营 — 将警报和建议流式传输到 Sentinel，以便 SOC 进行关联分析。使用 工作流自动化（Logic Apps）执行自动响应（例如，创建工单、通知负责人）。

防护原则

  • **先在所有环境中启用基础 CSPM；只有在工作负载风险足以证明成本合理时，才启用付费计划。**不要在每个订阅中一概启用所有 Defender 计划。
  • **利用攻击路径分析确定工作重点——仅凭安全分数可能会误导优先级排序。**安全分数为 95%，但存在一台暴露于互联网且未修补的 VM，风险高于安全分数为 80% 且不存在可用攻击路径的情况。
  • **为关键资产添加标记，让云安全图谱据此为其分配适当权重。**未添加标记的关键资产 = 在攻击路径优先级排序中不可见。
  • **启用 Defender for Servers 计划 2 前，务必了解 Defender for Endpoint 许可证／计划情况。**成本和 EDR 策略协调都很重要。
  • **没有负责人，建议就会石沉大海。**通过治理规则指派明确的负责人并设定 SLA。
  • **Sentinel + Defender for Cloud 是运营搭档。**安全态势管理负责发现问题，SIEM 结合遥测数据进行关联分析。

常见反模式

  • “通过豁免建议来提高安全分数”——分数提高了，风险依然存在。应该修复，而不是豁免。
  • “在所有地方启用每个 Defender 计划”——成本暴增；告警疲劳会拖垮 SOC。优先覆盖生产环境，并根据风险决定。
  • “按顺序修复排名前 100 的建议”——忽略了攻击路径优先级。应先按攻击路径排序。
  • “先不连接 AWS / GCP，以后再说”——跨云攻击路径不可见。即使暂时不在那里启用付费计划，也要从第一天起连接。
  • “跳过关键资产标记”——云安全图谱无法评估风险权重。添加标记。
  • “Defender for Cloud 是一次性部署”——安全态势每天都在变化；应将其视为持续运营计划。

示例提示词

  • Improve my Azure Secure Score in Defender for Cloud.
  • Which Defender plans should I enable to protect VMs and containers?
  • Use attack path analysis to prioritise remediation.
  • Extend CSPM across AWS and GCP with Defender for Cloud.
  • Tag critical assets and configure the cloud security graph for risk weighting.
  • Stream Defender for Cloud alerts into Sentinel with workflow automation.

Microsoft Learn

评论

支持 Markdown