启动完整性监视概述

项目
08/13/2024

为了帮助 Azure 受信任启动更好地抵御对虚拟机 (VM) 的恶意 rootkit 攻击，可使用通过 Azure 证明终结点的来宾证明来监视启动序列的完整性。此证明对于提供平台状态的有效性至关重要。

受信任启动 VM 需要启用安全启动和虚拟受信任的平台模块 (vTPM)，以便可以安装证明扩展。 Microsoft Defender for Cloud 基于来宾证明验证状态以及 VM 的启动完整性是否设置正确提供报告。若要详细了解 Microsoft Defender for Cloud 集成，请参阅受信任启动与 Microsoft Defender for Cloud 的集成。

先决条件

需要有效的 Azure 订阅和受信任启动 VM。

启用完整性监视

若要启用完整性监视，请遵循本部分中的步骤。

登录 Azure 门户。
选择资源（虚拟机）。
在“设置”下，选择“配置”。在“安全类型”窗格中，选择“完整性监视”。
保存更改。

在 VM“概述”页上，完整性监视的安全类型应显示为“已启用”。

此操作将安装来宾证明扩展，可以通过“扩展 + 应用程序”选项卡上的设置来引用该扩展。

可以使用快速启动模板为受信任启动 VM 部署来宾证明扩展。

Windows

 {
    "name": "[concat(parameters('virtualMachineName1'),'/GuestAttestation')]",
    "type": "Microsoft.Compute/virtualMachines/extensions",
    "apiVersion": "2018-10-01",
    "location": "[parameters('location')]",
    "properties": {
        "publisher": "Microsoft.Azure.Security.WindowsAttestation",
        "type": "GuestAttestation",
        "typeHandlerVersion": "1.0",
        "autoUpgradeMinorVersion":true, 
        "enableAutomaticUpgrade":true,
        "settings": {
            "AttestationConfig": {
                "MaaSettings": {
                    "maaEndpoint": "",
                    "maaTenantName": "GuestAttestation"
                },
                "AscSettings": {
                    "ascReportingEndpoint": "",
                    "ascReportingFrequency": ""
                },
                "useCustomToken": "false",
                "disableAlerts": "false"
            }
        }
    },
    "dependsOn": [
        "[concat('Microsoft.Compute/virtualMachines/', parameters('virtualMachineName1'))]"
    ]
}

Linux

 {
    "name": "[concat(parameters('virtualMachineName1'),'/GuestAttestation')]",
    "type": "Microsoft.Compute/virtualMachines/extensions",
    "apiVersion": "2018-10-01",
    "location": "[parameters('location')]",
    "properties": {
        "publisher": "Microsoft.Azure.Security.LinuxAttestation",
        "type": "GuestAttestation",
        "typeHandlerVersion": "1.0",
        "autoUpgradeMinorVersion":true, 
        "enableAutomaticUpgrade":true,
        "settings": {
            "AttestationConfig": {
                "MaaSettings": {
                    "maaEndpoint": "",
                    "maaTenantName": "GuestAttestation"
                },
                "AscSettings": {
                    "ascReportingEndpoint": "",
                    "ascReportingFrequency": ""
                },
                "useCustomToken": "false",
                "disableAlerts": "false"
            }
        }
    },
    "dependsOn": [
        "[concat('Microsoft.Compute/virtualMachines/', parameters('virtualMachineName1'))]"
    ]
}

通过初始部署受信任启动 VM 创建具有安全启动和 vTPM 功能的受信任启动 VM。若要部署来宾证明扩展，请使用 --enable-integrity-monitoring。作为 VM 所有者，可以使用 az vm create 自定义 VM 配置。
对于现有 VM，可以通过更新来启用启动完整性监视设置，以确保启用完整性监视。可以使用 --enable-integrity-monitoring。

注意

必须显式配置来宾证明扩展。

来宾证明扩展安装的故障排除指南

本部分介绍证明错误和解决方案。

现象

设置网络安全组 (NSG) 或代理时，Azure 证明扩展无法正常工作。会出现类似于“Microsoft.Azure.Security.WindowsAttestation.GuestAttestation 预配失败”的错误。

解决方案

在 Azure 中，NSG 用于帮助筛选 Azure 资源之间的网络流量。 NSG 包含安全规则，这些规则可允许或拒绝多种 Azure 资源的入站和出站网络流量。 Azure 证明终结点应该能够与来宾证明扩展进行通信。如果没有此终结点，受信任启动无法访问来宾证明，这使得 Microsoft Defender for Cloud 可以监视 VM 启动序列的完整性。

若要使用服务标记取消阻止 NSG 中的 Azure 证明流量：

转到要允许出站流量的 VM。
在最左侧窗格的“网络”下，选择“网络设置”。
然后选择“创建端口规则”>“出站端口规则”。
若要允许 Azure 证明，请将目标设置为“服务标记”。此设置允许更新 IP 地址范围，并自动为 Azure 证明设置允许规则。将“目标服务标记”设置为“AzureAttestation”，并将“操作”设置为“允许”。