Azure VM作成直後のSecurityCenter推奨事項を対応する

Posted at 2019-12-07

Azure VM（Windows Server）をデフォルト設定で作った場合、必ずSecurity Centerに怒られます。

なんだかもやもやするので、これらを対応してスッキリさせたいと思います。
推奨事項は以下の3項目です。

それぞれ対応方法を見ていきましょー

仮想マシンにEndpoint Protection ソリューションをインストールする

アンチウイルスソフトが入ってないから出るメッセージですね。無償で提供されているMicrosoft Antimalwareを入れます。
VM起動中じゃないとインストールされないので注意。

[仮想マシンにEndpoint Protection ソリューションをインストールする]を選択します。
対象の仮想マシンが選択されていることを確認して、[VMへインストール]を選択します。
[Microsoft Antimalware]を選択します。
要件に合わせて値を入れていきます。スキャン時刻は0時から数えて何分後か、を指定します。（120だとAM2:00になります）
仮想マシンにインストールが走り、しばらくすると推奨事項から消えます。
VMの方を見てみると、拡張機能に[IaaSAntimalware]がインストールされています。今回Security Centerからインストールしましたが、拡張機能からインストールしてもよいです。
スキャン時間の変更などは前に記事を書いたのでご参考まで。
Azure VM拡張機能のAntimalwareスケジュールスキャン設定を変更する

Azure Disk Encryptionでディスクを暗号化します。
VM起動中じゃないと実行できません。VM起動中だとしてもOS再起動が走るので、影響のないときに実行しましょう。

$ az vm show -n [VM Name] -g [ResourceGroupName] --query 'resources[].settings.EncryptionOperation' -o json

$ az keyvault create -n [KeyVaultName] -g [ResourceGroupName] -l japaneast --enabled-for-disk-encryption

$ az vm encryption enable -g [ResourceGroupName] -n [VM Name] --disk-encryption-keyvault [KeyVaultName]

$ az vm show -n [VM Name] -g [ResourceGroupName] --query 'resources[].settings.EncryptionOperation' -o json
[
  "EnableEncryption"
]

これはVMを、[Security Centerがデータ収集しているLog analyticsワークスペース]に接続すればOKです。

Security Centerの[価格と設定]を選択します。
対象のサブスクリプションを選択します。
[データ収集]を選択します。
どのLog Analyticsワークスペースが使用されているか確認します。デフォルトだと DefaultWorkspace-[subscription-ID]-[geo] という名前のLog Analyticsワークスペースが使用されています。デフォルトから変えてもいいですね。
対象のLog Analticsワークスペースで[仮想マシン]を選択します。
[接続されていません]となっている対象のVMを選択します。
[接続]を選択します。
しばらくすると推奨事項から消えます。