Verwalten falsch positive Sicherheitsempfehlungen für Defender for Storage

Wenn Sie Microsoft Defender für den Speicher auf Abonnementebene aktivieren, werden Sicherheitsempfehlungen für alle geschützten Speicherkonten angezeigt. Bei speziellen Speicherkonten – etwa dem DBFS-Dateisystem-Rootspeicher von Azure Databricks – handelt es sich bei einigen Empfehlungen um False Positives. Die Implementierung dieser Empfehlungen kann mit normalen Vorgängen in Konflikt geraten, die Kosten unnötig erhöhen oder die Konnektivität der Arbeitsauslastung unterbrechen.

In diesem Artikel wird erläutert, wie Falsch positive Empfehlungen identifiziert werden, entscheiden, wann sie ausgenommen oder korrigiert werden sollen, und Ausnahmen mithilfe des Azure Portals, Azure CLI oder Azure Policy erstellen.

Voraussetzungen

Rolle „Besitzer“ oder Rolle „Sicherheitsadministrator“ in dem Geltungsbereich, in dem Sie Ausnahmen erstellen.
Die im Abonnement zugewiesene Microsoft Cloud Security Benchmark (MCSB)-Initiative. Weitere Informationen finden Sie unter "Ausgenommene Ressourcen von Empfehlungen ".

Defender for Storage und Databricks-Speicherkonten

Von Bedeutung

Defender für den Speicher wird für databricks-verwaltete Speicherkonten (DBFS-Stammspeicher) nicht unterstützt. Databricks erzwingt Verweigerungsrichtlinien, die verhindern, dass Defender for Storage auf diesen Konten funktioniert. Wenn Defender for Cloud empfiehlt, Defender für die Speicherung auf einem Databricks-Speicherkonto zu aktivieren, nehmen Sie diese Empfehlung vollständig aus, anstatt zu versuchen, den Plan zu aktivieren.

Wenn Sie Defender für den Speicher auf Abonnementebene aktivieren, generiert Defender for Cloud eine Empfehlung, sie für alle ungeschützten Speicherkonten im Abonnement zu aktivieren , einschließlich von Databricks verwalteten Konten. Da Databricks-Ablehnungsrichtlinien die Ausführung des Plans verhindern, ist diese Empfehlung für diese Konten ein False Positive.

Die richtige Aktion besteht darin, die Empfehlung zum Aktivieren von Microsoft Defender für den Speicher für alle vom Databricks verwalteten Speicherkonten auszunehmen. Verwenden Sie für andere speicherspezifische Empfehlungen, die auf Databricks-Konten angezeigt werden, die unten aufgeführte Entscheidungsmatrix, um die richtige Aktion zu ermitteln.

Entscheiden, wann Ausnahmen gewährt oder Probleme behoben werden sollen

Verwenden Sie die folgende Matrix, um die richtige Aktion für jede Empfehlung basierend auf Ihrem Speicherkontotyp zu ermitteln.

Recommendation	Standardspeicher	Databricks DBFS	Aktion für Databricks DBFS
Aktivieren von Microsoft Defender für den Speicher	Korrigieren	Befreit	Wird aufgrund von Databricks-Sperrrichtlinien bei Databricks-verwaltetem Speicher nicht unterstützt.
Aktivieren von „Vorläufiges Löschen“ für Blobs	Korrigieren	Befreit	Konflikte mit Databricks-Bereinigungsvorgängen.
Aktivieren der Schadsoftwareüberprüfung	Korrigieren	Befreit	Nicht unterstützt; Databricks-Ablehnungsrichtlinien verhindern den Vorgang.
Speicherkonten sollten den Netzwerkzugriff einschränken	Korrigieren	Befreit	Bricht die Databricks-Clusterkonnektivität auf.
Protokollierung aktivieren	Korrigieren	Korrigieren	Nützlich für Audit-Trails; kein operativer Konflikt.
Sichere Übertragung erforderlich	Korrigieren	Korrigieren	Kein Konflikt mit Databricks-Abläufen.
Aktivieren der Blobversionsverwaltung	Korrigieren	Befreit	Erhöht die Kosten für temporäre Daten, die Databricks intern verwaltet.

Erstellen einer Ausnahme für ein Databricks-Speicherkonto

Sie können Ausnahmen mithilfe des Azure Portals, der Azure CLI oder Azure Policy für automatisierte Ausnahmen in großem Umfang erstellen.

Azure portal

Wechseln Sie im Azure-Portal zu Microsoft Defender for Cloud>Recommendations.
Suchen und öffnen Sie die Empfehlung, die Sie ausnehmen möchten.
Wählen Sie auf der Registerkarte "Betroffene Ressourcen " das Speicherkonto "Databricks" aus.
Wählen Sie Ausgenommen aus.
Geben Sie im Bereich "Ausnahmen " einen Namen ein, und wählen Sie eine Kategorie aus:
- Risiko akzeptiert – Ihre Organisation hat das Risiko überprüft und akzeptiert.
- Gemildert – Sie haben das Risiko durch ein anderes Steuerelement behoben.
Optional ein Ablaufdatum festlegen.
Beschreiben Sie im Feld "Begründung ", warum diese Empfehlung nicht zutrifft. Beispiel: Databricks DBFS-Stammspeicher erfordert offenen Netzwerkzugriff für clusterkonnektivität.
Wählen Sie Speichern aus.

Azure CLI

Verwenden Sie den folgenden Befehl, um eine Ausnahme mit dem Azure CLI zu erstellen:

az policy exemption create \
  --name "DatabricksStorageExemption" \
  --resource-group "<resource-group>" \
  --scope "/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.Storage/storageAccounts/<storage-account-name>" \
  --policy-assignment "/subscriptions/<subscription-id>/providers/Microsoft.Authorization/policyAssignments/<assignment-id>" \
  --exemption-category "Waiver" \
  --description "Databricks DBFS root storage - network access restriction conflicts with cluster connectivity."

Ersetzen Sie <resource-group>, <subscription-id>, <storage-account-name>und <assignment-id> durch Ihre Werte. "Mitigated" Verwenden Sie "Waiver" statt, wenn Sie das Risiko durch ein anderes Steuerelement behoben haben.

Um die Richtlinienzuweisungs-ID für eine bestimmte Empfehlung zu finden, führen Sie Folgendes aus:

az policy assignment list --scope "/subscriptions/<subscription-id>" --query "[].{Name:name, DisplayName:displayName, Id:id}" -o table

Azure Policy für automatisierte Ausnahmen im großen Maßstab

Verwenden Sie für Umgebungen mit vielen Databricks-Speicherkonten Azure Policy, um Ausnahmen automatisch basierend auf Ressourcentags zu erstellen.

Schritt 1: Markieren Sie Ihre Databricks-Speicherkonten

Anwenden eines konsistenten Tags auf alle von Databricks verwalteten Speicherkonten:

az resource tag \
  --resource-group "<resource-group>" \
  --name "<storage-account-name>" \
  --resource-type "Microsoft.Storage/storageAccounts" \
  --tags workload=Databricks

Schritt 2: Erstellen einer Richtlinienfreistellungszuweisung

Erstellen Sie eine Richtliniendefinition, die auf Speicherkonten mit dem workload=Databricks Tag abzielt, und befreit sie von den relevanten Empfehlungen. Stellen Sie die Ausnahme mithilfe einer ARM-Vorlage oder Bicep-Datei bereit.

Der folgende ARM-Vorlagenausschnitt erstellt eine Ausnahme für Speicherkonten, die markiert sind workload=Databricks:

{
  "type": "Microsoft.Authorization/policyExemptions",
  "apiVersion": "2022-07-01-preview",
  "name": "DatabricksStorageSoftDeleteExemption",
  "properties": {
    "policyAssignmentId": "/subscriptions/<subscription-id>/providers/Microsoft.Authorization/policyAssignments/<assignment-id>",
    "exemptionCategory": "Waiver",
    "displayName": "Databricks DBFS - Soft delete exemption",
    "description": "Soft delete conflicts with Databricks DBFS cleanup operations.",
    "metadata": {
      "requestedBy": "Security team",
      "approvedBy": "Storage team"
    }
  }
}

Stellen Sie im Verwaltungsgruppen‑ oder Abonnementbereich bereit, um alle vorhandenen und zukünftigen Databricks-Speicherkonten abzudecken.

Überwachen und Überprüfen von Ausnahmen

Ausnahmen wirken sich auf Ihre Sicherheitsbewertung aus. Überprüfen Sie die Ausnahmen regelmäßig, um sicherzustellen, dass sie gültig bleiben:

Wechseln Sie im Azure-Portal zu Microsoft Defender for Cloud>Recommendations.
Wählen Sie Ausnahmen aus, um alle aktiven Ausnahmen anzuzeigen.
Überprüfen Sie die Begründung und das Ablaufdatum für jede Ausnahme.
Entfernen Sie Ausnahmen, die nicht mehr gelten.

Sie können ausnahmen auch für Abonnements abfragen, indem Sie Azure Resource Graph verwenden:

PolicyResources
| where type == "microsoft.authorization/policyexemptions"
| project name, properties.exemptionCategory, properties.description, properties.expiresOn

Last updated on 2026-07-16