defender-for-servers

Microsoft Defender for Servers

Defender for Servers 是 Microsoft Defender for Cloud 中专注于服务器的计划。它将 Microsoft Defender for Endpoint (MDE) 扩展到 Azure VM、启用了 Azure Arc 的计算机（本地、 AWS EC2、GCP Compute）和 VM Scale Sets，并增加了针对服务器的控制措施：即时 VM 访问、文件完整性监控、无代理磁盘扫描和漏洞评估。

适用场景

设计或强化服务器工作负载的保护——IaaS VM、通过 Arc 连接的混合云／多云 服务器、跳板主机、域控制器、业务线服务器。在选择计划、为服务器启用 MDE、配置 FIM、JIT，以及权衡无代理和基于代理的扫描时，使用此技能。

请勿将此技能用于客户端终端（defender-for-endpoint）、AKS／容器主机 （defender-for-containers）、Azure 存储帐户（defender-for-storage），或通用的 Defender for Cloud 安全状况管理（defender-for-cloud-hardening）。

选择计划

如果你需要……	计划
仅使用免费的基础 CSPM（不含服务器 EDR）	Defender CSPM（无服务器计划）
MDE Plan 2 EDR、威胁检测，以及每天免费摄取 500 MB 的 Log Analytics 数据	Defender for Servers Plan 1（按服务器计费）
P1 的所有功能，以及 FIM、JIT、无代理扫描、漏洞评估、自适应应用控制、网络强化、法规合规性和每天免费摄取 500 MB 的数据	Defender for Servers Plan 2

经验法则：Plan 1 =“我只需要在所有位置部署 EDR。”Plan 2 =“我需要 EDR + 安全状况 + 合规性 + FIM。”大多数企业会为生产环境选择 P2，为开发／测试环境选择 P1。

接入路径

环境	路径
Azure VM	在订阅范围内启用计划；自动预配会部署 MDE + Azure Monitor Agent
本地／VMware 服务器	通过 Azure Arc 接入，然后启用计划
AWS EC2／GCP Compute	将 AWS 帐户／GCP 项目连接到 Defender for Cloud；通过 Arc 自动预配
VMSS（统一型）	计划适用；无代理扫描涵盖临时实例

方法

1. 先盘点并接入。 启用计划前，先通过 Arc 接入非 Azure 服务；否则你会按服务器付费，却无法覆盖混合环境。 验证：Defender for Cloud → Inventory 中显示所有预期资源，且 Defender 计划列 = Plan 1/2。

2. 在订阅范围启用 Plan 2（而不是资源组），以便新 VM 自动继承。对于包含多个订阅的环境，可在管理组通过 Azure Policy Configure Microsoft Defender for Servers to be enabled 配置。

3. 开启 MDE 集成的自动预配。 这会通过统一解决方案推送 MDE 传感器；不要再通过 Intune 或本地脚本直接接入服务器，否则会导致遥测重复和重复计费。 验证：示例 VM 会在 1 小时内出现在 security.microsoft.com → Device inventory 中。

4. 启用无代理磁盘扫描。 扫描 VM 磁盘快照以查找恶意软件、机密和漏洞，无需任何代理——每 24 小时运行一次，不会影响性能。 验证：对于未安装 MDE Vulnerability Management 代理的 VM，Recommendations → "Machines should have a vulnerability assessment solution" 显示为绿色。

5. 为带有管理端口的 VM 配置 JIT 访问（RDP 3389、SSH 22、WinRM 5985/5986）。默认将最长请求时长设为 3 小时，来源 IP 仅允许请求者。 验证：NSG 中受保护端口显示由 JIT 管理的拒绝规则；访问请求会显示在活动日志中。

6. 通过 MDE 使用文件完整性监控（基于 Log Analytics 的 FIM 正在退役）。先在第 0 层服务器（DC、PKI、跳板主机）上启用。调整规则集——默认包含 Windows 系统文件；添加应用的配置路径。 验证：FIM 事件会显示在 MDE 高级搜寻中的 DeviceFileEvents，且受监控路径上的 ActionType = FileCreated/Modified。

7. 自适应应用程序控制（Plan 2）。先以审核模式运行 14 天，按 VM 组学习应用基线，然后再强制执行。对于高度动态的工作负载（CI 构建 Agent），请跳过。

8. 免费的每日 500 MB Log Analytics 数据引入量。 将安全事件集流式传输到可通过 Sentinel 查询的工作区，但要留意数据量预算；高流量 DC 很容易超过 500 MB。

9. 每月查看法规合规性仪表板（PCI、ISO 27001、NIST 800-53、CIS），并将未通过的控制项转化为 Azure Policy 分配。

防护措施

• 通过 Arc 接入混合环境，不要使用本地 MDE 脚本。 直接接入 MDE 会绕过 Defender for Cloud 的计费和安全态势管理，导致你失去 JIT、FIM 和无代理扫描。
• 不要在同一范围同时启用 Plan 1 和 Plan 2。 P2 会取代 P1；请在最高范围进行配置，并利用继承。
• JIT 会更改 NSG 规则，而不会更改 Azure Firewall / NVA 规则。 如果管理流量经过防火墙，仅靠 JIT 无法提供保护——请添加防火墙策略。
• 无代理扫描仅反映特定时点的状态。 它每 24 小时检测一次配置漂移，而非实时检测。请保留 MDE 以进行运行时检测。
• 通过 MDE 使用 FIM 是受支持的方式。 旧版基于 Log Analytics 代理的 FIM 已弃用——不要围绕它设计新的部署。
• 不要同时运行两个处于活动状态的 AV 引擎。 如果第三方 AV 是主引擎，请将 Defender 设为被动模式 + EDR 阻止模式（参见 defender-for-endpoint）。

常见反模式

• “为了省钱，我们在所有地方都启用了 Plan 1”，然后又要求启用 FIM/JIT——这些是 P2 功能。将生产环境迁移到 P2。
• “通过 GPO 直接在 Arc 服务器上加入了 MDE”——这会绕过 DfC，失去计费 集成，并导致重复加入。始终通过 DfC 自动预配。
• “JIT 请求时长 = 24 小时，允许任意源 IP”——这违背了初衷。将上限设为 3 小时，并锁定源 IP。
• “在每台服务器的每个文件路径上都启用了 FIM”——会导致告警疲劳。仅针对 Tier-0 系统和 特定于应用的配置路径。
• “自适应应用程序控制从第一天起就强制执行”——会阻止合法的管理工具。 先审计 14 天，然后再强制执行。
• “因为已经运行 MDE 漏洞管理，所以跳过了无代理扫描”——两者互为补充；无代理扫描可以发现未受管理的磁盘和已停止的 VM。

示例提示词

• 为由 2,000 台 VM 组成、生产环境和开发环境占比为 70/30 的资产组，规划 Defender for Servers P1 与 P2。
• 通过 Arc 将 500 台本地 Windows Server 加入服务并启用 P2。
• 为所有生产环境 Linux 跳板主机推出 JIT VM 访问，最长时长设为 2 小时。
• 通过 MDE 为 Tier-0 域控制器配置 FIM——应监控哪些路径和注册表项？
• 使用 500 MB 免费额度将 Defender for Servers 事件流式传输到 Sentinel——我们应摄取哪些数据？
• 连接一个包含 300 个 EC2 实例的 AWS 账户并启用 Defender for Servers P2。
• 为一组 IIS Web 服务器优化自适应应用程序控制。

Microsoft Learn

• 概述：https://learn.microsoft.com/azure/defender-for-cloud/defender-for-servers-introduction
• 计划功能：https://learn.microsoft.com/azure/defender-for-cloud/plan-defender-for-servers-select-plan
• MDE 集成：https://learn.microsoft.com/azure/defender-for-cloud/integration-defender-for-endpoint
• 即时 VM 访问：https://learn.microsoft.com/azure/defender-for-cloud/just-in-time-access-overview
• 文件完整性监视：https://learn.microsoft.com/azure/defender-for-cloud/file-integrity-monitoring-overview
• 机器无代理扫描：https://learn.microsoft.com/azure/defender-for-cloud/concept-agentless-data-collection
• 自适应应用程序控制：https://learn.microsoft.com/azure/defender-for-cloud/adaptive-application-controls
• 连接 AWS / GCP：https://learn.microsoft.com/azure/defender-for-cloud/multicloud
• Azure Arc 加入服务：https://learn.microsoft.com/azure/azure-arc/servers/overview