重要
注意：根据世纪互联发布的公告，2026 年 8 月 18 日，中国地区的 Azure 中将正式停用所有 Microsoft Defender for Cloud 功能。
Microsoft Defender for Cloud 是一个 云原生应用程序保护平台（CNAPP），它是一种统一的解决方案，它结合了多个云安全工具，在整个生命周期内保护应用程序。 该解决方案提供跨云和本地资源的安全状况的综合视图。 它还有助于保护多云和混合环境，并将安全性集成到 DevOps 工作流中。 有三个核心组件：
云安全状况管理（CSPM） 检查和改进云资源的安全状况。
云工作负荷保护平台（CWPP） 保护虚拟机（VM）、容器、存储、数据库和无服务器功能等工作负载免受威胁。
Defender for Cloud 使用其更广泛的云原生应用程序保护平台 （CNAPP） 功能将保护统一到一个体验中。 Defender for Cloud 在开发生命周期的早期嵌入安全性。
注意
有关定价信息，请查看 Defender for Cloud 定价页。 还可以 使用 Defender for Cloud 成本计算器估算成本。
云本机应用程序保护平台 （CNAPP）
在 Azure 订阅上启用 Defender for Cloud 解决方案 后，系统会从环境收集安全数据。 Defender for Cloud 使用数据来提供见解、建议和作，帮助保护云工作负载和资源。 可以启用额外的计划来获取更高级的安全功能，例如 Defender for Databases 和 Defender for Containers。
Defender for Cloud 的可用计划及其 CNAPP 权益包括：
| Defender for Cloud 计划 | CNAPP 权益 | 相关链接 |
|---|---|---|
| 基础 CSPM | 提供高级安全态势功能，包括数据感知安全态势、云安全图和高级威胁搜寻。 | 查看 CSPM 计划之间的差异。 |
| 容器防护系统 | 提供环境强化、漏洞评估、Kubernetes 节点和群集的运行时保护。 |
Microsoft Defender for Containers 中的容器安全性概述 使用 Defender for Containers 保护 AzureIaaS 容器 |
| 适用于资源管理器的 Defender | 通过自动监视资源管理作来检测异常和潜在有害的活动。 |
Microsoft Defender for Resource Manager 概述 使用 Defender for Resource Manager 保护资源 |
| Defender for App Service | 标识针对通过应用服务运行的应用程序的攻击。 |
用于保护 Azure 应用服务 Web 应用和 API 的 Defender for App Service 概述 使用 Defender for App Service 保护应用程序 |
| Defender for Databases | 使用 Azure 中各种数据库类型的攻击检测和威胁响应保护整个数据库资产。 |
Microsoft Defender for Azure SQL 概述 使用 Defender for Databases 保护数据库 什么是适用于开源关系数据库的 defender Microsoft |
还可以查看电子书 “从计划到部署：实现云原生应用程序保护平台（CNAPP）策略”，了解有关在 Defender for Cloud 中实现 CNAPP 的详细信息。
云安全状况管理 （CSPM）
云和本地资源的安全性依赖于适当的配置和部署。 Azure Defender for Cloud 的建议识别出确保环境安全的步骤。
Defender for Cloud 包括免费的基础 CSPM 功能。 使用 Defender CSPM 计划启用高级 CSPM 功能。
| 能力 | 它解决了什么问题？ | 开始 | Defender 计划 |
|---|---|---|---|
| 集中式策略管理 | 定义要在整个环境中维护的安全条件。 该策略转换为建议，这些建议识别违反安全策略的资源配置。 Azure 云安全基准是一个内置标准，它为 Azure 应用了安全原则和详细的技术实施指导。 | 自定义安全策略 | 基础 CSPM（免费） |
| 安全评分 | 根据安全建议汇总安全状况。 修正建议时，安全功能分数会提高。 | 跟踪安全功能分数 | 基础 CSPM（免费） |
| 云安全态势管理 (CSPM) | 使用仪表板查看安全状况的弱点。 | 启用 CSPM 工具 | 基础 CSPM（免费） |
| 高级云安全态势管理 | 获取高级工具来识别安全状况中的弱点，包括： - 治理，推动改善安全状况的行动 - 法规符合性，验证是否符合安全标准 - 云安全资源管理器，生成环境的综合视图 |
启用 CSPM 工具 | Defender 云安全态势管理 |
云工作负荷保护平台 （CWPP）
主动安全原则要求实施安全做法来保护工作负载免受威胁。 云工作负荷保护平台（CWPP）提供特定于工作负荷的建议，指导你了解保护工作负荷的正确安全控制。
当环境受到威胁时，安全警报会立即指示威胁的性质和严重性，以便你可以规划响应。 在环境中识别威胁后，快速响应以限制资源的风险。
| 能力 | 它解决了什么问题？ | 开始 | Defender 计划 |
|---|---|---|---|
| 保护云数据库 | 通过针对 Azure 中最常用的数据库类型的攻击检测和威胁响应来保护整个数据库资产，以根据其攻击面和安全风险来保护数据库引擎和数据类型。 | 为云和本地数据库部署专用保护 | - 适用于 Azure SQL 数据库的 Defender - 适用于计算机上 SQL 服务器的 Defender - 适用于开源关系数据库的 Defender - 适用于 Azure Cosmos DB 的 Defender |
| 保护容器 | 保护容器，以便通过环境强化、漏洞评估和运行时保护来改进、监视和维护群集、容器及其应用程序的安全性。 | 查找容器中的安全风险 | Defender for Containers |
| 基础结构服务见解 | 诊断应用程序基础结构中可能使环境容易受到攻击的弱点。 |
-
识别针对在应用服务上运行的应用程序的攻击 - 针对可疑的资源管理器操作发出警报 - 揭示异常的域名系统（DNS）活动 |
- 适用于应用服务的 Defender - 适用于密钥保管库的 Defender - 适用于资源管理器的 Defender - 适用于 DNS 的 Defender |
| 安全警报 | 了解威胁环境安全的实时事件。 警报经过分类并分配有严重性级别，以指示正确的响应。 | 管理安全警报 | 任何工作负载保护 Defender 计划 |
| 安全事件 | 通过关联警报并集成安全信息和事件管理（SIEM）、安全业务流程、自动化和响应（SOAR）和 IT 经典部署模型解决方案来识别攻击模式，以响应威胁并降低资源的风险。 | 将警报导出到 SIEM、SOAR 或 ITSM 系统 | 任何工作负载保护 Defender 计划 |
重要
- 自 2023 年 8 月 1 日起，拥有 Defender for DNS 的现有订阅的客户可以继续使用该服务作为独立计划。
- 保护范围没有变化：Defender for DNS 继续保护连接到 Azure 的默认 DNS 解析程序的所有 Azure 资源。 此更改会影响 DNS 保护的计费和捆绑方式，而不是涵盖哪些资源。
了解详细信息
有关 Defender for Cloud 的详细信息及其工作原理，请参阅：
- Defender for Cloud 的分步演练
- Microsoft Defender for Cloud - 用例
- Microsoft Defender for Cloud PoC 系列 - Microsoft Defender for Containers
- 了解 Microsoft Defender for Cloud 如何提供数据安全性