Aktivieren Sie Defender für Storage mithilfe von Infrastructure as Code

Terraform-Vorlage

Um Defender for Storage auf Abonnementebene mithilfe von Terraform zu aktivieren und zu konfigurieren, können Sie den folgenden Codeausschnitt verwenden:

resource "azurerm_security_center_subscription_pricing" "DefenderForStorage" {
  tier          = "Standard"
  resource_type = "StorageAccounts"
  subplan       = "DefenderForStorageV2"
 
  extension {
    name = "OnUploadMalwareScanning"
    additional_extension_properties = {
      CapGBPerMonthPerStorageAccount = "10000"
      BlobScanResultsOptions = "BlobIndexTags"
    }
  }
 
  extension {
    name = "SensitiveDataDiscovery"
  }
}

Durch Anpassen dieses Codes können Sie folgende Aktionen ausführen:

• Ändern Sie die monatliche Obergrenze für die Schadsoftwareüberprüfung: Passen Sie den CapGBPerMonthPerStorageAccount Parameter an Ihren bevorzugten Wert an. Dieser Parameter legt eine Obergrenze für die maximale Anzahl an Daten fest, die pro Monat und Speicherkonto auf Schadsoftware überprüft werden können. Wenn Sie eine unbegrenzte Überprüfung zulassen möchten, weisen Sie den Wert -1zu. Der Standardwert ist -1.
• Deaktivieren Sie das Schadsoftware-Scan-Feature bei Upload oder das Feature zur Erkennung von Bedrohungen durch vertrauliche Daten: Entfernen Sie den entsprechenden Erweiterungsblock aus dem Terraform-Code.
• Deaktivieren Sie den gesamten Defender for Storage-Plan: Legen Sie den tier-Eigenschaftswert auf "Free", und entfernen Sie die subPlan- und extension-Eigenschaften.

Um mehr über die azurerm_security_center_subscription_pricing Ressource zu erfahren, siehe die Terraform-Dokumentation für azurerm_security_center_subscription_pricing. In der Terraform AzureRM-Dokumentation finden Sie auch umfassende Details zum Terraform-Anbieter für Azure.

Bicep-Vorlage

Um Defender für Speicher auf Abonnementebene mithilfe von Bicep zu aktivieren und zu konfigurieren, stellen Sie sicher, dass der Zielbereich auf subscription festgelegt ist. Fügen Sie ihrer Bicep-Vorlage den folgenden Code hinzu:

targetScope = 'subscription'

resource StorageAccounts 'Microsoft.Security/pricings@2023-01-01' = {
  name: 'StorageAccounts'
  properties: {
    pricingTier: 'Standard'
    subPlan: 'DefenderForStorageV2'
    extensions: [
      {
        name: 'OnUploadMalwareScanning'
        isEnabled: 'True'
        additionalExtensionProperties: {
          CapGBPerMonthPerStorageAccount: '10000'
          BlobScanResultsOptions: 'BlobIndexTags'
        }
      }
      {
        name: 'SensitiveDataDiscovery'
        isEnabled: 'True'
      }
    ]
  }
}

Durch Anpassen dieses Codes können Sie folgende Aktionen ausführen:

• Ändern Sie die monatliche Obergrenze für die Schadsoftwareüberprüfung: Passen Sie den CapGBPerMonthPerStorageAccount Parameter an Ihren bevorzugten Wert an. Dieser Parameter legt eine Obergrenze für die maximale Anzahl an Daten fest, die pro Monat und Speicherkonto auf Schadsoftware überprüft werden können. Wenn Sie eine unbegrenzte Überprüfung zulassen möchten, weisen Sie den Wert -1zu. Der Standardwert ist -1.
• Deaktivieren Sie die Funktion zum Scannen von Schadsoftware beim Hochladen oder zur Erkennung von Bedrohungen durch sensible Daten: Ändern Sie den Wert von isEnabled in False unter SensitiveDataDiscovery.
• Deaktivieren Sie den gesamten Defender for Storage-Plan: Legen Sie den pricingTier-Eigenschaftswert auf Free, und entfernen Sie die subPlan- und extensions-Eigenschaften.

Erfahren Sie mehr über die Bicep-Vorlage in der Microsoft.Security-Preisdokumentation.

Azure Resource Manager-Vorlage

Um Defender for Storage auf Abonnementebene mithilfe einer Azure Resource Manager-Vorlage (ARM-Vorlage) zu aktivieren und zu konfigurieren, fügen Sie diesen JSON-Codeausschnitt dem resources Abschnitt Ihrer ARM-Vorlage hinzu:

{
    "type": "Microsoft.Security/pricings",
    "apiVersion": "2023-01-01",
    "name": "StorageAccounts",
    "properties": {
        "pricingTier": "Standard",
        "subPlan": "DefenderForStorageV2",
        "extensions": [
            {
                "name": "OnUploadMalwareScanning",
                "isEnabled": "True",
                "additionalExtensionProperties": {
                    "CapGBPerMonthPerStorageAccount": "10000",
                    "BlobScanResultsOptions": "BlobIndexTags"
                }
            },
            {
                "name": "SensitiveDataDiscovery",
                "isEnabled": "True"
            }
        ]
    }
}

Durch Anpassen dieses Codes können Sie folgende Aktionen ausführen:

• Ändern Sie die monatliche Obergrenze für die Schadsoftwareüberprüfung: Passen Sie den CapGBPerMonthPerStorageAccount Parameter an Ihren bevorzugten Wert an. Dieser Parameter legt eine Obergrenze für die maximale Anzahl an Daten fest, die pro Monat und Speicherkonto auf Schadsoftware überprüft werden können. Wenn Sie eine unbegrenzte Überprüfung zulassen möchten, weisen Sie den Wert -1zu. Der Standardwert ist -1.
• Deaktivieren Sie die Funktion zum Scannen von Schadsoftware beim Hochladen oder zur Erkennung von Bedrohungen durch sensible Daten: Ändern Sie den Wert von isEnabled in False unter SensitiveDataDiscovery.
• Deaktivieren Sie den gesamten Defender for Storage-Plan: Legen Sie den pricingTier-Eigenschaftswert auf Free, und entfernen Sie die subPlan- und extension-Eigenschaften.

Erfahren Sie mehr über die ARM-Vorlage in der Microsoft.Security-Preisdokumentation.

Terraform-Vorlage

Um Defender for Storage auf Speicherkontoebene mithilfe von Terraform zu aktivieren und zu konfigurieren, importieren Sie den AzAPI-Anbieter , und verwenden Sie den folgenden Codeausschnitt:

resource "azurerm_storage_account" "example" { ... }

resource "azapi_resource_action" "enable_defender_for_Storage" {
  type        = "Microsoft.Security/defenderForStorageSettings@2022-12-01-preview"
  resource_id = "${azurerm_storage_account.example.id}/providers/Microsoft.Security/defenderForStorageSettings/current"
  method      = "PUT"

  body = jsonencode({
    properties = {
      isEnabled = true
      malwareScanning = {
        onUpload = {
          isEnabled     = true
          capGBPerMonth = 10000
          blobScanResultsOptions = BlobIndexTags
        }
      }
      sensitiveDataDiscovery = {
        isEnabled = true
      }
      overrideSubscriptionLevelSettings = true
    }
  })
}

In diesem Code handelt es sich um eine Aktion, azapi_resource_action die für die Konfiguration von Defender für Speicher spezifisch ist. Es unterscheidet sich von den typischen Ressourcendeklarationen in Terraform. Es wird verwendet, um bestimmte Aktionen für die Ressource auszuführen, z. B. das Aktivieren oder Deaktivieren von Features.

Durch Anpassen dieses Codes können Sie folgende Aktionen ausführen:

• Ändern Sie die monatliche Obergrenze für die Schadsoftwareüberprüfung: Passen Sie den capGBPerMonth Parameter an Ihren bevorzugten Wert an. Dieser Parameter legt eine Obergrenze für die maximale Anzahl an Daten fest, die pro Monat und Speicherkonto auf Schadsoftware überprüft werden können. Wenn Sie eine unbegrenzte Überprüfung zulassen möchten, weisen Sie den Wert -1zu. Der Standardwert ist -1.

• Deaktivieren Sie die Funktion für das Scannen auf Schadsoftware beim Hochladen oder die Erkennung von Bedrohungen durch vertrauliche Daten: Ändern Sie den isEnabled-Wert zu False im Abschnitt für die malwareScanning- oder sensitiveDataDiscovery-Eigenschaft.

• Deaktivieren Sie den gesamten Defender for Storage-Plan: Verwenden Sie den folgenden Codeausschnitt:

  resource "azurerm_storage_account" "example" { ... }
  
  resource "azapi_resource_action" "disable_defender_for_Storage" {
    type        = "Microsoft.Security/defenderForStorageSettings@2022-12-01-preview"
    resource_id = "${azurerm_storage_account.example.id}/providers/Microsoft.Security/defenderForStorageSettings/current"
    method      = "PUT"
  
    body = jsonencode({
      properties = {
        isEnabled = false
        overrideSubscriptionLevelSettings = false
      }
    })
  }
  

  Wenn Sie den Defender for Storage-Plan für das Speicherkonto unter Abonnements deaktivieren möchten, bei denen Defender für Speicher auf Abonnementebene aktiviert ist, können Sie den Wert von overrideSubscriptionLevelSettings "in True" ändern. Wenn Sie einige Features aktiviert lassen möchten, können Sie die Eigenschaften entsprechend ändern.

Weitere Anpassungen und Kontrolle über die Sicherheitseinstellungen Ihres Speicherkontos finden Sie in der Dokumentation zur Microsoft.Security/defenderForStorageSettings-API. In der Terraform AzureRM-Dokumentation finden Sie auch umfassende Details zum Terraform-Anbieter für Azure.

Bicep-Vorlage

Um Defender for Storage auf Speicherkontoebene mithilfe von Bicep zu aktivieren und zu konfigurieren, fügen Sie Ihrer Bicep-Vorlage den folgenden Code hinzu:

resource storageAccount 'Microsoft.Storage/storageAccounts@2021-04-01' ...

resource defenderForStorageSettings 'Microsoft.Security/DefenderForStorageSettings@2022-12-01-preview' = {
  name: 'current'
  scope: storageAccount
  properties: {
    isEnabled: true
    malwareScanning: {
      onUpload: {
        isEnabled: true
        capGBPerMonth: 10000
        blobScanResultsOptions: BlobIndexTags
      }
    }
    sensitiveDataDiscovery: {
      isEnabled: true
    }
    overrideSubscriptionLevelSettings: true
  }
}

Durch Anpassen dieses Codes können Sie folgende Aktionen ausführen:

• Ändern Sie die monatliche Obergrenze für die Schadsoftwareüberprüfung: Passen Sie den capGBPerMonth Parameter an Ihren bevorzugten Wert an. Dieser Parameter legt eine Obergrenze für die maximale Anzahl an Daten fest, die pro Monat und Speicherkonto auf Schadsoftware überprüft werden können. Wenn Sie eine unbegrenzte Überprüfung zulassen möchten, weisen Sie den Wert -1zu. Der Standardwert ist -1.
• Deaktivieren Sie die Funktion für das Scannen auf Schadsoftware beim Hochladen oder die Erkennung von Bedrohungen durch vertrauliche Daten: Ändern Sie den isEnabled-Wert zu False im Abschnitt für die malwareScanning- oder sensitiveDataDiscovery-Eigenschaft.
• Deaktivieren Sie den gesamten Defender for Storage-Plan: Legen Sie den isEnabled-Eigenschaftswert auf False fest und entfernen Sie die malwareScanning- und sensitiveDataDiscovery-Abschnitte aus den Eigenschaften.

Weitere Informationen finden Sie in der Dokumentation zur Microsoft.Security/DefenderForStorageSettings-API.

ARM template

Um Defender for Storage auf Speicherkontoebene mithilfe einer Azure Resource Manager-Vorlage (ARM-Vorlage) zu aktivieren und zu konfigurieren, fügen Sie diesen JSON-Codeausschnitt dem resources Abschnitt Ihrer ARM-Vorlage hinzu:

{
    "type": "Microsoft.Security/DefenderForStorageSettings",
    "apiVersion": "2022-12-01-preview",
    "name": "current",
    "properties": {
        "isEnabled": true,
        "malwareScanning": {
            "onUpload": {
                "isEnabled": true,
                "capGBPerMonth": 10000,
                "blobScanResultsOptions": BlobIndexTags
            }
        },
        "sensitiveDataDiscovery": {
            "isEnabled": true
        },
        "overrideSubscriptionLevelSettings": true
    },
    "scope": "[resourceId('Microsoft.Storage/storageAccounts', parameters('StorageAccountName'))]"
}

Durch Anpassen dieses Codes können Sie folgende Aktionen ausführen:

• Ändern Sie die monatliche Obergrenze für die Schadsoftwareüberprüfung: Passen Sie den capGBPerMonth Parameter an Ihren bevorzugten Wert an. Dieser Parameter legt eine Obergrenze für die maximale Anzahl an Daten fest, die pro Monat und Speicherkonto auf Schadsoftware überprüft werden können. Wenn Sie eine unbegrenzte Überprüfung zulassen möchten, weisen Sie den Wert -1zu. Der Standardwert ist -1.
• Deaktivieren Sie die Funktion für das Scannen auf Schadsoftware beim Hochladen oder die Erkennung von Bedrohungen durch vertrauliche Daten: Ändern Sie den isEnabled-Wert zu False im Abschnitt für die malwareScanning- oder sensitiveDataDiscovery-Eigenschaft.
• Deaktivieren Sie den gesamten Defender for Storage-Plan: Legen Sie den isEnabled-Eigenschaftswert auf False fest und entfernen Sie die malwareScanning- und sensitiveDataDiscovery-Abschnitte aus den Eigenschaften.