Configurazioni avanzate per l'analisi di malware in Microsoft Defender per Archiviazione

L'analisi malware può essere configurata per inviare i risultati dell'analisi ai seguenti elementi:

• Argomento personalizzato di Griglia di eventi: per una risposta automatica quasi in tempo reale in base a ogni risultato di analisi.
• Area di lavoro Log Analytics: per l'archiviazione di tutti i risultati dell'analisi in un repository di log centralizzato per la conformità e il controllo.

Altre informazioni su come configurare la risposta per i risultati dell'analisi del malware.

Configurare la registrazione dei log per la scansione antimalware

Per ogni account di archiviazione abilitato con analisi malware, è possibile definire una destinazione dell'area di lavoro Log Analytics per archiviare ogni risultato di analisi in un repository di log centralizzato facile da consultare.

Prima di inviare i risultati dell'analisi a Log Analytics, creare un'area di lavoro Log Analytics o utilizzarne una esistente.

Per configurare la destinazione Log Analytics, passare all'account di archiviazione pertinente, aprire la scheda Microsoft Defender per il cloud e selezionare le impostazioni da configurare.

Questa configurazione può essere eseguita anche usando l'API REST:

URL della richiesta:

PUT
https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroup}/providers/Microsoft.Storage/storageAccounts/{accountName}/providers/Microsoft.Security/DefenderForStorageSettings/current/providers/Microsoft.Insights/diagnosticSettings/service?api-version=2021-05-01-preview

Corpo della richiesta:

{
    "properties": {
        "workspaceId": "/subscriptions/{subscriptionId}/resourcegroups/{resourceGroup}/providers/microsoft.operationalinsights/workspaces/{workspaceName}",
        "logs": [
            {
                "category": "ScanResults",
                "enabled": true,
                "retentionPolicy": {
                    "enabled": true,
                    "days": 180
                }
            }
        ]
    }
}

Configurare Griglia di eventi per l'analisi di malware

Per ogni account di archiviazione abilitato con l'analisi malware, è possibile effettuare la configurazione per inviare ciascun risultato di analisi utilizzando un evento di Griglia di eventi a fini di automazione.

1. Per configurare Griglia di eventi per l'invio dei risultati dell'analisi, è prima necessario creare un argomento personalizzato che supporti lo schema predefinito di Griglia di eventi e consenta l'accesso da indirizzi IP pubblici. Per indicazioni, vedere la documentazione di Griglia di eventi sulla creazione di argomenti personalizzati. Assicurarsi che l'argomento personalizzato di Griglia di eventi di destinazione venga creato nella stessa area dell'account di archiviazione da cui si desidera inviare i risultati dell’analisi.

2. Per configurare la destinazione degli argomenti personalizzati di Griglia di eventi, passare all'account di archiviazione pertinente, aprire la scheda Microsoft Defender per il cloud e selezionare le impostazioni da configurare.

URL della richiesta:

PUT
https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroup}/providers/Microsoft.Storage/storageAccounts/{accountName}/providers/Microsoft.Security/DefenderForStorageSettings/current?api-version=2022-12-01-preview

Corpo della richiesta:

{ 
    "properties": { 
        "isEnabled": true, 
        "malwareScanning": { 
            "onUpload": { 
                "isEnabled": true, 
                "capGBPerMonth": 10000 
            }, 
            "scanResultsEventGridTopicResourceId": "/subscriptions/{subscriptionId}/resourceGroups/{resourceGroup}/providers/Microsoft.EventGrid/topics/{EventGridTopicName}" 
        }, 
        "sensitiveDataDiscovery": { 
            "isEnabled": true 
        }, 
        "overrideSubscriptionLevelSettings": true 
    } 
}

Sovrascrivere le impostazioni di Defender per l'archiviazione a livello di sottoscrizione

Le impostazioni a livello di sottoscrizione ereditano le impostazioni di Defender per Archiviazione in ciascun account di archiviazione all’interno della sottoscrizione. Usare le impostazioni di Override Defender per Archiviazione a livello di sottoscrizione per configurare le impostazioni per singoli account di archiviazione diversi da quelli configurati a livello di sottoscrizione.

L'override delle impostazioni delle sottoscrizioni viene usata per gli scenari seguenti:

• Abilitare/disabilitare l'analisi malware o le funzionalità di rilevamento delle minacce di riservatezza dei dati.
• Configurare le impostazioni personalizzate per l'analisi malware.
• Disabilita Microsoft Defender per l'archiviazione in account di archiviazione specifici.

Azure portal

Per configurare impostazioni dei singoli account di archiviazione differenti da quelli configurati a livello di sottoscrizione usando il portale di Azure:

1. Accedi al portale di Azure.

2. Passare all'account di archiviazione per il quale si desidera configurare impostazioni personalizzate.

3. Nella sezione Sicurezza e rete del menu account di archiviazione selezionare Microsoft Defender per il cloud.

4. Selezionare Impostazioni in Microsoft Defender per Archiviazione.

5. Impostare lo stato di Sostituisci le impostazioni a livello di sottoscrizione di Defender for Storage (in Impostazioni avanzate) su Attivato. Ciò garantisce che le impostazioni vengano salvate solo per questo account di archiviazione e non vengano sovraccariche dalle impostazioni della sottoscrizione.

6. Configurare le impostazioni che si desidera modificare:

   1. Per abilitare l'analisi malware o il rilevamento delle minacce ai dati sensibili, impostare lo stato su Attiva.

   2. Per modificare le impostazioni dell'analisi malware:

      1. Se non è già abilitata, impostare l'opzione Analisi malware al caricamento su Attivato.

      2. Per modificare la soglia mensile per l'analisi di malware negli account di archiviazione, è possibile modificare il parametro denominato Imposta limiti di GB scansionati al mese impostandolo sul valore desiderato. Questo parametro determina la quantità massima di dati che è possibile analizzare per individuare malware ogni mese, in particolare per ogni account di archiviazione. Se si desidera consentire l'analisi illimitata, è possibile deselezionare questo parametro. Per impostazione predefinita, il limite è impostato su 10.000 GB.

7. Per disabilitare Defender per Archiviazione in questo account di archiviazione, impostare lo stato di Microsoft Defender per Archiviazione su Disattiva.

   

8. Seleziona Salva.

REST API

Per configurare impostazioni dei singoli account di archiviazione differenti da quelli configurati a livello di sottoscrizione utilizzando l’API REST:

Creare una richiesta PUT con questo endpoint. Sostituire subscriptionId, resourceGroupName e accountName nell'URL dell'endpoint con il proprio ID sottoscrizione di Azure, il gruppo di risorse e i nomi degli account di archiviazione di conseguenza.

URL della richiesta:

PUT
https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.Storage/storageAccounts/{accountName}/providers/Microsoft.Security/DefenderForStorageSettings/current?api-version=2022-12-01-preview

Corpo della richiesta:

{
    "properties": {
        "isEnabled": true,
        "malwareScanning": {
            "onUpload": {
                "isEnabled": true,
                "capGBPerMonth": 10000
            }
        },
        "sensitiveDataDiscovery": {
            "isEnabled": true
        },
        "overrideSubscriptionLevelSettings": true
    }
}

1. Per abilitare l'analisi malware o il rilevamento delle minacce ai dati sensibili, impostare il valore di isEnabled su true nelle funzionalità pertinenti.

2. Per modificare le impostazioni dell'analisi malware, modificare i campi pertinenti in onUpload, assicurandosi che il valore di isEnabled sia true. Se si desidera consentire l'analisi illimitata, assegnare il valore -1 al parametro capGBPerMonth.

3. Per disabilitare Defender per archiviazione in questo account di archiviazione, usare il corpo della richiesta seguente:

   {
       "properties": {
           "isEnabled": false,
           "overrideSubscriptionLevelSettings": true
       }
   }
   

Assicurarsi di aggiungere il parametro overrideSubscriptionLevelSettings e che il relativo valore sia impostato su true. Ciò garantisce che le impostazioni vengano salvate solo per questo account di archiviazione e non vengano sovraccariche dalle impostazioni della sottoscrizione.

Passo successivo

Altre informazioni sulle impostazioni dell’analisi malware.