On-Demand-Schadsoftwareüberprüfung

Bei bedarfsgesteuertem Scannen von Schadsoftware in Microsoft Defender für den Speicher können Sie vorhandene Blobs und Dateien in Ihren Azure Storage Konten bei Bedarf scannen. Man kann ein gesamtes Speicherkonto scannen oder bestimmte Objekte mit Filtern anvisieren – wie zum Beispiel einen einzelnen Blob oder eine Datei, einen bestimmten Container oder eine Dateifreigabe oder Einträge, die mit einem Pfadpräfix übereinstimmen. Diese Funktion bietet Flexibilität beim Scannen gespeicherter Daten als Reaktion auf sich ständig weiterentwickelnde Sicherheitsanforderungen, Complianceanforderungen oder Sicherheitsvorfälle, um sicherzustellen, dass Ihre Daten kontinuierlich geschützt sind.

Durch die Verwendung von Microsoft Defender Antivirus mit den neuesten Malwaredefinitionen bietet die On-Demand-Überprüfung eine cloudnative Lösung. Es ist keine zusätzliche Infrastruktur oder zusätzlicher Betriebsaufwand erforderlich. On-Demand-Malware-Scans schließen Deckungslücken, insbesondere bei Daten, die vor der Aktivierung hochgeladen wurden. On-Demand-Scanning hilft auch, wenn neue Bedrohungen auftreten, da Sie gespeicherte Dateien proaktiv sichern und potenzielle Risiken in Cloud-Umgebungen verringern können.

Gängige Anwendungsfälle für die On-Demand-Schadsoftwareüberprüfung

Die On-Demand-Schadsoftwareüberprüfung in Microsoft Defender for Storage bietet die folgenden Vorteile:

• Reagieren auf Sicherheitsereignisse: Scannen Sie Speicherkonten sofort, wenn Sicherheitswarnungen oder verdächtige Aktivitäten erkannt werden.

• Zielgerichtete Untersuchung: Scannen Sie einen bestimmten Blob, eine Datei, einen Container oder eine Dateifreigabe; Zum Beispiel um einen fehlgeschlagenen Scan erneut zu versuchen, einen vermuteten Fehlnegativ zu untersuchen oder ein einzelnes Objekt nach einer Warnung zu überprüfen

• Nachuntersuchung nach Fehlschlägen: Versuchen Sie erneut, einen bestimmten Blob oder eine Datei zu scannen, die zuvor beim On-Upload oder On-Demand-Scannen fehlgeschlagen ist, ohne das gesamte Speicherkonto erneut zu scannen.

• Sicherstellen der Compliance: Führen Sie geplante oder bedarfsgesteuerte Scans aus, um datenschutzrechtliche und gesetzliche Complianceanforderungen zu erfüllen.

• Proaktive Sicherheitsverwaltung: Legen Sie wiederkehrende Scans fest, um eine fortlaufend sichere Umgebung zu erhalten.

• Erstellen einer Sicherheitsbaseline: Überprüfen Sie vorhandene Daten, wenn Defender for Storage zum ersten Mal aktiviert wird, um eine Baseline für zukünftige Sicherheit einzurichten.

Schadsoftware kann Cloudspeicherumgebungen infiltrieren und ein erhebliches Risiko für Organisationen darstellen. On-Demand-Schadsoftwareüberprüfung bietet eine integrierte, cloudnative Lösung, um diese Bedrohungen zu erkennen und zu mindern, indem Ihre vorhandenen Daten auf schädliche Inhalte überprüft werden.

Gleiche Aspekte wie bei der Überprüfung beim Hochladen

Die Themen in den folgenden Abschnitten Einführung in das Malware-Scannen gelten sowohl für On-Demand- als auch On-Upload-Malware-Scans.

• Weitere Kosten: Umfasst Azure Storage Lesevorgänge, BLOB-Indizierung und Ereignisrasterbenachrichtigungen.
• Anzeigen und Verwenden von Scan-Ergebnissen: Methoden wie Blob-Index-Tags, Sicherheitswarnungen von Defender for Cloud, Event Grid-Ereignisse und Log Analytics.
• Automatisierung der Schadsoftwarebehebung: Automatisieren Sie Aktionen wie Blockieren, Löschen oder Verschieben von Dateien basierend auf Scanergebnissen.
• Unterstützte Inhalte und Einschränkungen: behandelt unterstützte Dateitypen und -größen, Verschlüsselung und Regionsbeschränkungen
• Zugriff und Datenschutz: Details dazu, wie der Dienst auf Ihre Daten zugreift und diese verarbeitet, einschließlich Datenschutzaspekten
• Umgang mit falsch positiven und falsch negativen Ergebnissen: Schritte zum Einreichen von Dateien zur Überprüfung und zum Erstellen von Unterdrückungsregeln.
• Blobüberprüfungen und Auswirkungen auf IOPS: Erfahren Sie, wie Überprüfungen weitere Lesevorgänge auslösen und Blobindextags aktualisieren.

Detaillierte Informationen zu Kosten, Scan-Ergebnissen, Sanierung, Einschränkungen, Datenschutz, Fehlalarmen und -negativen sowie IOPS-Auswirkungen finden Sie in der Einführung zum Malware-Scanning.

On-Demand-Scans initiieren

Sie können On-Demand-Scans über das Azure-Portal oder programmatisch über die REST-API starten.

Grundlegendes zum On-Demand-Scanprozess

Der On-Demand-Scan-Prozess umfasst die folgenden Phasen und Verhaltensweisen:

• Kostenabschätzung: Bevor Sie einen Scan initiieren, schätzt das Azure-Portal die Kosten auf Basis der Metrik "Speicherkapazität" und des Datenvolumens. Sie erhalten Einblicke in die potenziellen Scankosten.

• Scaninitiierung: Sie können Scans manuell über das Azure-Portal starten, sie programmgesteuert mithilfe der REST-API auslösen oder über Logic Apps, Automation Runbooks oder PowerShell-Skripts automatisieren. Sie können Scannen in verschiedene Workflows integrieren.

• Auflistung und Senden von Blobs zum Scannen: Sobald Sie einen Scan starten, listet das System unterstützte Blobs und Dateien auf – entweder alle Einträge im Speicherkonto oder nur Artikel, die Ihren Filtern entsprechen – und sendet sie parallel zum Scannen. Je nach Anzahl und Größe von Objekten kann dieser Vorgang einige Minuten bis zu mehreren Stunden dauern. Die Datenverfügbarkeit bleibt unbeeinträchtigt; Man kann während des gesamten Scanningsprozesses weiterhin auf alle Gegenstände zugreifen.

• Monitoring progress: Sie können den Scanstatus über das Azure Portal oder die API nachverfolgen. Sie erhalten Details zur Anzahl der gescannten Objekte, übersprungenen Objekte, Datenvolume, erkannte schädliche Objekte, Scanstatus und Dauer.

• Abschluss und Ergebnisse: Nachdem alle Objekte gescannt wurden, markiert das System den Scan als abgeschlossen und liefert eine Zusammenfassung der Ergebnisse. Sie können die API auch verwenden, um die Details der letzten Überprüfung abzufragen.

Filtere Scans auf bestimmte Elemente (Vorschau)

Du kannst einen On-Demand-Scan auf bestimmte Blobs oder Dateien limitieren, anstatt das gesamte Speicherkonto zu scannen. Filter werden im Anforderungskörper übergeben, wenn ein Scan über die REST-API initiiert wird.

Unterstützte Filterszenarien:

Filterregeln:

• Verwenden Sie die filters Eigenschaft im Anforderungskörper, um Einträge zu spezifizieren und/oder blobs Einträge zu verwendenfiles.

• Jeder Eintrag enthält ein path Objekt mit einem value (dem vollständigen Objektpfad) und einem optionalen match Typ (Exact oder Prefix). Wenn match nicht angegeben wird, ist der Standardwert Exact.

• Für Blobs stellt die path.value den Containernamen gefolgt vom Blob-Namen dar, getrennt durch / (zum Beispiel mycontainer/folder/file.txt).

• Für Dateien repräsentiert die path.value den Namen der Freigabe, gefolgt vom Dateipfad innerhalb der Freigabe (zum Beispiel, myshare/folder/report.docx).

• Alle Zuordnungen sind groß- und kleinschreibungssensitiv.

• Wenn Blobfilter bereitgestellt werden, werden nur Blobs gescannt (Dateifreigaben werden übersprungen). Wenn Dateifilter bereitgestellt werden, werden nur Dateien gescannt (Blobs werden übersprungen).

• Wenn keine Objekte mit den Filtern übereinstimmen, wird der Scan erfolgreich mit null gescannten Objekten abgeschlossen.

• Wenn keine Filter bereitgestellt werden, deckt der Scan alle Blobs und Dateien im Speicherkonto ab (bestehendes Verhalten).

Wichtige Überlegungen

Beachten Sie beim Einsatz von On-Demand-Scans die folgenden Einschränkungen und betrieblichen Überlegungen:

• Einschränkung einzelner Scans: Für jedes Speicherkonto kann jeweils nur eine Überprüfung bei Bedarf ausgeführt werden.
• Abbruch: Sie können Scans nur während der ersten Phasen des Scans abbrechen.

Voraussetzungen

Bevor Sie einen On-Demand-Scan einleiten, stellen Sie sicher, dass die folgenden Voraussetzungen erfüllt sind:

• Berechtigungen: Die integrierte Rolle "Sicherheitsadministrator" kann verwendet werden. Erstellen Sie für den geringsten privilegierten Zugriff eine benutzerdefinierte Rolle mit den folgenden Berechtigungen:

  • Microsoft.Security/defenderForStorageSettings/startMalwareScan/action

  • Microsoft.Security/defenderForStorageSettings/malwareScans/read

  • Microsoft.Security/defenderForStorageSettings/malwareScans/cancelMalwareScan/action

• Defender für den Speicher mit On-Upload-Schadsoftwareüberprüfung: Muss für das Abonnement oder das einzelne Speicherkonto aktiviert sein.

Über das Azure-Portal

Um einen On-Demand-Scan aus dem Azure-Portal zu starten, folgen Sie diesen Schritten:

1. Melden Sie sich beim Azure-Portal an, und wechseln Sie zu Ihrem Speicherkonto.

2. Wählen Sie unter Sicherheit und Netzwerk die Option Microsoft Defender for Cloud aus.

   

3. Überprüfen Sie im Abschnitt " On-Demand-Schadsoftwareüberprüfung " die geschätzten Kosten basierend auf dem Datenvolumen.

   

4. Wählen Sie "Speicherkonto scannen" für Schadsoftware aus, um die Überprüfung zu starten. Bestätigen Sie die Aktion, wenn Sie dazu aufgefordert werden.

   

5. Überwachung des Fortschritts

   • Der Scanstatus und die Ergebnisse werden alle 20-30 Sekunden aktualisiert.

   • Sie können Details wie Scanstatus, gescannte Objekte, GB gescannt, gefundene Bedrohungen und Scandauer anzeigen.

6. Überprüfen der Ergebnisse:

   • Wenn die Überprüfung Bedrohungen findet, lesen Sie die Details im Abschnitt "Sicherheitsvorfälle und Warnungen ".

   • Aktualisieren Sie die Seite, wenn Benachrichtigungen nicht sofort angezeigt werden.

   

Verwenden der REST-API

Sie können On-Demand-Scans auch programmatisch mit der REST-API verwalten. Die folgenden Unterabschnitte behandeln das Initiieren, Überprüfen und Abbrechen von Scans.

Scan starten

Führen Sie die folgenden Schritte aus, um eine Schadsoftwareüberprüfung mithilfe der REST-API zu starten:

• Request URL (Anforderungs-URL):

  POST https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.Storage/storageAccounts/{storageAccountName}/providers/Microsoft.Security/defenderForStorageSettings/current/startMalwareScan?api-version=2024-10-01-preview
  

• Authentifizierung:

  • Stellen Sie sicher, dass Sie ein gültiges Bearertoken erhalten. Sie benötigen dieses Token, um auf die API zuzugreifen.

• Beispiel:

  POST https://management.azure.com/subscriptions/12345678-1234-1234-1234-123456789abc/resourceGroups/myResourceGroup/providers/Microsoft.Storage/storageAccounts/mystorageaccount/providers/Microsoft.Security/defenderForStorageSettings/current/StartMalwareScan?api-version=2024-10-01-preview
  Authorization: Bearer eyJ0eXAiOiJKV1QiLCJhbGciOi...
  

Mit Filtern scannen

Um bestimmte Objekte zu scannen, fügen Sie eine filters Eigenschaft in den Anforderungskörper ein.

• Scannen Sie einen einzelnen Blob:

{
  "properties": {
    "filters": {
      "blobs": [
        {
          "path": { "value": "mycontainer/document.pdf", "match": "Exact" }
        }
      ]
    }
  }
}

• Scanne alle Blobs mit einem Pfadpräfix:

{
  "properties": {
    "filters": {
      "blobs": [
        {
          "path": { "value": "mycontainer/uploads/", "match": "Prefix" }
        }
      ]
    }
  }
}

• Scannen Sie alle Blobs in einem bestimmten Container:

{
  "properties": {
    "filters": {
      "blobs": [
        {
          "path": { "value": "mycontainer", "match": "Exact" }
        }
      ]
    }
  }
}

• Scanne eine einzelne Datei in Azure Files:

{
  "properties": {
    "filters": {
      "files": [
        {
          "path": { "value": "myshare/reports/quarterly.xlsx", "match": "Exact" }
        }
      ]
    }
  }
}

Überprüfen des Scanstatus und der Ergebnisse

Nachdem Sie einen Scan gestartet haben, verwenden Sie die folgenden Befehle, um den Status zu überprüfen und die Ergebnisse zu überprüfen:

• Request URL (Anforderungs-URL):

  GET https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.Storage/storageAccounts/{storageAccountName}/providers/Microsoft.Security/defenderForStorageSettings/current/malwareScans/latest?api-version=2024-10-01-preview
  

• Antwortbeispiel: Die API gibt eine JSON-Antwort mit dem Scan-Status und der Zusammenfassung zurück:

    {
      "scanId": "abcd1234-5678-90ab-cdef-1234567890ab",
      "scanStatus": "InProgress",
      "scanStartTime": "2024-10-03T12:34:56Z",
      "scanSummary": {
        "blobs": {
          "totalBlobsScanned": 150,
          "maliciousBlobsCount": 2,
          "skippedBlobsCount": 0,
          "scannedBlobsInGB": 10.5
        },
        "files": {
          "totalFilesScanned": 205
          "maliciousFilesCount": 1,
          "skippedFilesCount": 0,
          "failedFilesCount": 0,
          "scannedFilesInGB": 9.76
        }
        "estimatedScanCostUSD": 3.2
    }
  

Abbrechen eines Scans

Sie können eine laufende Überprüfung nur während der ersten Phasen abbrechen. Sobald der Scan den Status "WaitingForCompletion " erreicht oder darüber hinaus erreicht hat, können Sie ihn nicht abbrechen. Um den Scan abzubrechen, senden Sie die folgende Abbruchanforderung:

• Request URL (Anforderungs-URL):

  POST https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.Storage/storageAccounts/{storageAccountName}/providers/Microsoft.Security/defenderForStorageSettings/current/malwareScans/latest/cancelMalwareScan?api-version=2024-10-01-preview
  

Kostenaspekte

Bevor Sie mit einem On-Demand-Scan beginnen, stellt das Azure Portal eine Kostenschätzung basierend auf der Metrik "Speicherkapazität" bereit, die alle paar Stunden aktualisiert wird. Die Schätzung wird in USD angezeigt und gibt die Kosten pro gescanntem GB an. Im Gegensatz zum On-Upload-Scan gibt es keine monatliche Obergrenze, und die Kosten basieren vollständig auf der Nutzung.

Wenn Filter verwendet werden, um eine Teilmenge von Elementen (wie einen einzelnen Blob oder einen bestimmten Container) zu scannen, basieren die Kosten nur auf den tatsächlich gescannten Daten, nicht auf der gesamten Speicherkapazität des Speicherkontos.

Bewährte Methoden für die Kostenkontrolle

Nutzen Sie folgende Praktiken, um die Kosten für das Scannen auf Abruf zu kontrollieren:

• Überprüfen von Kostenschätzungen: Überprüfen Sie immer die geschätzten Kosten im Azure-Portal, bevor Sie eine Überprüfung initiieren.
• Scanhäufigkeit wohlüberlegt festlegen: Planen oder automatisieren Sie Scans basierend auf Risiken. Konzentrieren Sie sich dabei auf Daten mit hoher Priorität, um unnötige Kosten zu vermeiden.
• Effizientes Automatisieren: Stellen Sie sicher, dass die Automatisierung Scans nur bei Bedarf auslöst, z. B. als Reaktion auf bestimmte Ereignisse oder Warnungen.

Bewährte Methoden

Um die Effektivität der On-Demand-Schadsoftwareüberprüfung in Microsoft Defender for Storage zu maximieren, sollten Sie die folgenden Empfehlungen berücksichtigen:

• Integrieren in Incident Response: Verwenden Sie die On-Demand-Überprüfung, um Sicherheitsvorfälle schnell zu beheben, indem Sie potenziell kompromittierte Dateien als Reaktion auf Warnungen scannen.

• Automatisieren von Compliancescans: Richten Sie automatische, regelmäßige Scans ein, um die fortlaufende Einhaltung gesetzlicher Anforderungen und Überwachungsbereitschaft sicherzustellen. Verwenden Sie Logic Apps oder Runbooks, um diesen Prozess zu optimieren.

• Einrichten einer automatisierten Bereinigung für die Erkennung von Schadsoftware: Aktivieren Sie Soft-Delete für bösartige Blobs, oder konfigurieren Sie automatisierte Workflows, die auf die Erkennung von Schadsoftware reagieren, wie z.B. das Verschieben infizierter Dateien in Quarantäne oder das Weiterleiten sauberer Dateien.

• Proaktives Verwalten von Kosten: Überprüfen Sie im Azure-Portal bereitgestellte Kostenschätzungen stets vor dem Initiieren von Scans, insbesondere bei großen Datasets oder häufigen Scans.

• Konsistentes Überwachen von Ergebnissen: Überwachen Sie kontinuierlich Scanergebnisse und Sicherheitswarnungen, um über potenzielle Bedrohungen auf dem Laufenden zu bleiben und rechtzeitig Maßnahmen zu ergreifen.

• Verwenden Sie Filter für gezielte Scans: Bei der Untersuchung eines bestimmten Blobs oder Containers verwenden Sie die Filterparameter, um den Scan abzugrenzen und sowohl Kosten als auch Scanzeit zu reduzieren. Dies ist besonders nützlich für die Einsatzreaktion oder das Wiederholen von fehlgeschlagenen Scans.

Weitere Informationen

• Einführung in die Schadsoftwareüberprüfung

Nächste Schritte