Deshabilitar Defender para servidores SQL Server en máquinas

Use este artículo para deshabilitar Defender para servidores SQL Server en máquinas en Microsoft Defender para la nube.

El plan Defender for SQL Servers on Machines forma parte de Defender for Databases. Protege las bases de datos de SQL Server alojadas en máquinas virtuales (VM) de Azure y máquinas virtuales habilitadas para Azure Arc.

¿Qué ocurre cuando deshabilita este plan?

Cuando desactivas el plan, Defender for Cloud deja de proporcionar alertas y recomendaciones SQL para las máquinas seleccionadas.

Prerequisites

• Debe tener permisos de propietario de la suscripción.

• Debe tener habilitado el plan Defender para SQL Server en Máquinas en el entorno de Defender for Cloud.

• Para configurar las listas locales de extensiones de un servidor habilitado con Arc, necesitas una sesión PowerShell elevada en ese servidor y el agente de Azure Connected Machine.

• Para el ejemplo de la política de Azure VM, instala Azure PowerShell, incluidos los módulos Az.Accounts, Az.Resources y Az.Compute.

Deshabilitar Defender para servidores SQL Server en máquinas

Para desactivar Defender para servidores SQL en máquinas, siga estos pasos:

1. Inicie sesión en Azure Portal.

2. Vaya a Microsoft Defender para la nube>Configuración del entorno.

3. Seleccione la suscripción correspondiente.

4. En los planes de Defender, busca el plan Bases de datos y selecciona Seleccionar tipos.

   

5. En Selección de tipos de recursos, configura el plan Servidores SQL en máquinas en Off.

   

6. Seleccione Continuar y >.

Deshabilitar Defender para servidores SQL Server en máquinas en el nivel de recurso

Para desactivar Defender para servidores SQL en máquinas a nivel de recurso para una instancia individual de SQL Server o una máquina virtual SQL, sigue estos pasos:

Desinstalar la extensión no cambia la configuración del plan de suscripción de Defender. Las listas de extensiones locales descritas aquí solo se aplican a servidores habilitados para Arc, no a máquinas virtuales de Azure.

1. Para un servidor con Arc, añade la extensión a la lista de bloqueos local antes de desinstalarla. Alternativamente, elimina la extensión de una lista de permisos existente, conservando al menos otra entrada.

   Bloquear la instalación no elimina una extensión instalada. Completa los pasos de desinstalación después de configurar la restricción.

2. Para una máquina virtual de Azure, asigna una política que bloquee la extensión en esa máquina virtual antes de desinstalarla.

3. En el portal de Azure, accede a una de las siguientes opciones:

   • > Azure Arc Data services>SQL Server instances
   • Máquinas virtuales SQL

4. Seleccione la instancia de SQL Server correspondiente.

5. Busque el menú de seguridad y seleccione Extensiones y aplicaciones.

   

6. Seleccione la extensión Defender para SQL (IaaS y Arc).

   Confirme que los detalles de la extensión coinciden con los siguientes valores:

   • Extensión: Defender para SQL (IaaS y Arc)
   • Publicador: Microsoft.Azure.AzureDefenderForSQL
   • Tipo: AdvancedThreatProtection.Windows

7. Seleccione Desinstalar.

Bloquee la instalación localmente en un servidor habilitado para Arc

Utiliza la lista de bloqueo local de extensiones del agente de Azure Connected Machine para evitar la reinstalación en un servidor específico. Ejecuta estos comandos en una sesión PowerShell elevada en el servidor Windows habilitado para Arc. Estos son azcmagent comandos invocados desde PowerShell, no cmdlets de Az PowerShell.

1. Añade la extensión Defender for SQL a la lista de bloqueos. La --add opción conserva las entradas existentes.

   $AgentPath = "$env:ProgramFiles\AzureConnectedMachineAgent\azcmagent.exe"
   & $AgentPath config set extensions.blocklist `
       "Microsoft.Azure.AzureDefenderForSQL/AdvancedThreatProtection.Windows" --add
   if ($LASTEXITCODE -ne 0) { throw "Couldn't add the Defender for SQL extension to the block list." }
   

2. Comprueba que la lista de bloqueo incluya Microsoft.Azure.AzureDefenderForSQL/AdvancedThreatProtection.Windows:

   & $AgentPath config get extensions.blocklist
   

3. Vuelve al procedimiento de desinstalación a nivel de recurso y elimina la extensión. La lista de bloqueos no desinstala una extensión existente.

Si gestionas una lista de permisos de extensiones existente, elimina la entrada de Defender for SQL mientras conservas todas las demás entradas requeridas. No borres la lista de permisos ni la dejes vacía para bloquear esta extensión: cuando ninguna de las dos listas restringe la instalación, todas las extensiones están permitidas. La lista de bloqueo tiene precedencia si la extensión permanece en ambas listas.

En modo monitor de agente, no puedes editar la lista local de permisos ni la lista de bloqueos.

Para más detalles, consulta listas de permisos y listas de bloques de extensión Arc y comandos de configuración azcmagent.

Bloquear la instalación en una máquina virtual de Azure

Usa Azure PowerShell para crear una política de denegación y asignarla a la VM individual que quieres excluir. La política bloquea solo la extensión Defender for SQL, identificada por su editor y tipo. No cambia las restricciones de otras extensiones.

La política no cambia la configuración del plan de Defender a nivel de suscripción ni desactiva la provisión automática. Los intentos de instalación que cumplan con la política son denegados.

1. Inicia sesión y selecciona la suscripción que contiene la máquina virtual:

   Connect-AzAccount
   Set-AzContext -SubscriptionId "<subscription-id>" -ErrorAction Stop
   

2. Crea una definición de política que bloquee la extensión Defender for SQL en las máquinas virtuales de Azure. La definición no exige la restricción hasta que la asigne.

   $PolicyRule = @'
   {
     "if": {
       "allOf": [
         { "field": "type", "equals": "Microsoft.Compute/virtualMachines/extensions" },
         { "field": "Microsoft.Compute/virtualMachines/extensions/publisher", "equals": "Microsoft.Azure.AzureDefenderForSQL" },
         { "field": "Microsoft.Compute/virtualMachines/extensions/type", "equals": "AdvancedThreatProtection.Windows" }
       ]
     },
     "then": {
       "effect": "deny"
     }
   }
   '@
   
   $Definition = New-AzPolicyDefinition `
       -Name "block-defender-sql-vm-extension" `
       -DisplayName "Block Defender for SQL extension installation on Azure VMs" `
       -Policy $PolicyRule `
       -Mode All `
       -ErrorAction Stop
   

3. Obtén la VM y asigna la política a su ID de recurso. El uso del ID de la VM limita la asignación a esa VM, en lugar de a su grupo de recursos o suscripción.

   $VM = Get-AzVM `
       -ResourceGroupName "<resource-group>" `
       -Name "<vm-name>" `
       -ErrorAction Stop
   
   $Assignment = New-AzPolicyAssignment `
       -Name "block-defender-sql" `
       -Scope $VM.Id `
       -PolicyDefinition $Definition `
       -EnforcementMode Default `
       -ErrorAction Stop
   

4. Comprueba que la asignación apunta a la máquina virtual prevista y que su modo de aplicación sea Default:

   $Assignment | Select-Object Name, Scope, EnforcementMode
   

   Deje tiempo para que la asignación surta efecto antes de desinstalar la extensión. Una asignación nueva tarda unos cinco minutos en aplicarse a su ámbito. Para más detalles, véase Azure Policy evaluation triggers.

5. Vuelve al procedimiento de desinstalación a nivel de recurso y elimina la extensión. Mantén la asignación en su sitio para bloquear la reinstalación. Elimina la asignación antes de activar la protección de nuevo en esa máquina virtual.

Para más detalles, consulte New-AzPolicyDefinition, New-AzPolicyAssignment y restringir la instalación de extensiones de VM.

Contenido relacionado

• Actualizar la configuración del plan de Defender para SQL Server en máquinas
• Solución de problemas de configuración de protección de máquinas SQL