Come utilizzare ed esportare i risultati dell'analisi in Microsoft Defender per il cloud

Usare questo articolo per eseguire query sui risultati della valutazione della vulnerabilità ed esportare i risultati dell'analisi SQL per i flussi di lavoro di analisi, creazione di report e correzione.

Eseguire query sui risultati della scansione di valutazione delle vulnerabilità ed esportarli

Defender per la valutazione della vulnerabilità di SQL analizza i database ogni settimana e segnala errori di configurazione identificati.

Tutti i risultati vengono archiviati in Azure Resource Graph (ARG), che costituisce la fonte per gran parte dell'interfaccia utente di Defender for SQL. Quando i risultati vengono scritti in ARG, Defender per il cloud li arricchisce con impostazioni correlate, ad esempio regole disabilitate o raccomandazioni esentate. Di conseguenza, ARG riflette lo stato effettivo dei risultati e delle raccomandazioni.

Questo articolo descrive diversi modi per usare ed esportare i risultati dell'analisi.

Eseguire query ed esportare i risultati in ARG con Defender per il cloud

Usa la pagina Defender per il cloud Recommendations per interrogare i risultati in Azure Resource Graph (ARG) ed esportare i risultati per la reportistica.

Per eseguire query ed esportare i risultati tramite ARG con Defender per il cloud:

1. Accedi al portale di Azure.

2. Passare a Microsoft Defender per il cloud>Raccomandazioni.

3. Impostare il filtro scanner su Valutazione della vulnerabilità SQL.

4. Selezionare Apri query.

5. Selezionare Esegui query.

6. Selezionare Scarica come CSV.

La query cambia in base alla vista delle raccomandazioni che hai selezionato.

Queste query sono modificabili. È possibile personalizzarli per una risorsa specifica, un set di risultati o uno stato di ricerca.

Consulta direttamente i risultati in Resource Graph Explorer

Usa Resource Graph Explorer per interrogare direttamente i risultati quando hai bisogno di personalizzazione avanzata delle query.

Per eseguire query ed esportare i risultati con ARG:

1. Accedi al portale di Azure.

2. Passare a Resource Graph explorer.

3. Modifica e immetti la seguente query. Sostituisci i segnaposto nel filtro resourceId con l'ID risorsa del database SQL:

   securityresources
   | where type =~ "microsoft.security/assessments"
   | extend assessmentKey=extract(@"(?i)providers/Microsoft.Security/assessments/([^/]*)", 1, id), parentResourceId= extract("(.+)/providers/Microsoft.Security", 1, id)
   | extend resourceIdTemp = iff(properties.resourceDetails.id != "", properties.resourceDetails.id, extract("(.+)/providers/Microsoft.Security", 1, id))
   | extend scanner = (// AssessmentsQueryBuilder.columnDefinitions.scanner
   (tostring(
   coalesce(bag_keys(parse_json(tostring(properties.additionalData.ScannersDetails)))[0], bag_keys(parse_json(tostring(properties.additionalData.ScannersDetails)))[0],
   properties.additionalData.scanner, properties.additionalData.scanner, 
   properties.additionalData.Scanner, properties.additionalData.Scanner, 
   properties.additionalData.SecretScannerName, properties.additionalData.SecretScannerName,
   properties.additionalData.ToolName, properties.additionalData.ToolName,
   properties.additionalData.ScannerName, properties.additionalData.ScannerName,
   todynamic("N/A")))))
   | where scanner in~ ("SQL Vulnerability Assessment")
   | extend resourceId = iff(properties.resourceDetails.source =~ "OnPremiseSql", strcat(resourceIdTemp, "/servers/", properties.resourceDetails.serverName, "/databases/" , properties.resourceDetails.databaseName), resourceIdTemp)
   | where resourceId =~ "/subscriptions/<subscription-id>/resourceGroups/<resource-group-name>/providers/Microsoft.Sql/servers/<server-name>/databases/<database-name>"
   | project resourceId,
   subscriptionId,
   assessmentKey,
   RuleId=properties.additionalData.ruleId,
   name=properties.displayName,
   description=properties.metadata.description,
   severity=properties.additionalData.severity,
   status=properties.status.code,
   cause=properties.status.cause,
   category=properties.additionalData.category,
   impact=properties.additionalData.impact,
   remediation=properties.metadata.remediationDescription,
   benchmarks=properties.additionalData.benchmarks,
   scanner,
   HasBaseline=properties.additionalData.hasBaseline
   

4. Selezionare Esegui query.

5. Selezionare Scarica come CSV.

   

La query di Resource Graph Explorer è modificabile. È possibile personalizzarla per una risorsa specifica, un set di risultati o uno stato di ricerca.

Apri una query dal tuo database SQL

Usa la pagina delle risorse del database SQL per interrogare i risultati delle vulnerabilità di un database SQL specifico.

Per aprire una query dal database SQL:

1. Accedi al portale di Azure.

2. Accedere al database SQL pertinente.

3. Passare a Sicurezza>di Microsoft Defender per il cloud.

4. Selezionare il risultato delle raccomandazioni pertinenti.

5. Selezionare Apri query.

   

6. Selezionare Esegui query.

7. Selezionare Scarica come CSV.

   

La query aperta dalla pagina delle risorse del database SQL è modificabile. È possibile personalizzarla per una risorsa specifica, un set di risultati o uno stato di ricerca.

Automatizzare le notifiche tramite posta elettronica con App per la logica

App per la logica di Azure è un servizio cloud senza codice e con poco codice che automatizza i flussi di lavoro e integra i dati e i servizi nei sistemi cloud e locali. È possibile usare App per la logica per automatizzare i report per i risultati della valutazione delle vulnerabilità nelle versioni SQL supportate e inviare riepiloghi settimanali dei report per i server analizzati. È anche possibile personalizzare pianificazioni, ad esempio ambiti giornalieri, settimanali o mensili e report, ad esempio database, server o gruppo di risorse.

Per automatizzare le notifiche usando il modello di esempio, seguire il modello di notifica di posta elettronica Logic Apps per i report di vulnerabilità sql.

Questo modello di App per la logica automatizza un report settimanale via e-mail che riassume i risultati dell’analisi delle vulnerabilità per ogni database da un elenco selezionato di server. Dopo aver distribuito il modello, è necessario autorizzare il connettore Microsoft 365 a generare un token di accesso valido per autenticare le credenziali.

I destinatari ricevono messaggi e-mail con i risultati dell'analisi.

Esempio di messaggio e-mail su Azure SQL Server:

Esempio di messaggio e-mail su una macchina virtuale SQL:

Altri metodi per l'esportazione dei risultati dell'analisi

È possibile usare le automazioni del flusso di lavoro per attivare azioni basate sulle modifiche allo stato del consiglio.

È inoltre possibile usare la cartella di lavoro Valutazioni delle vulnerabilità per visualizzare un report interattivo dei risultati. I dati della cartella di lavoro possono essere esportati e una copia della cartella di lavoro può essere personalizzata e archiviata. Scopri come creare report dettagliati e interattivi dei dati di Defender per il cloud.

È inoltre possibile abilitare l'esportazione continua per trasmettere in streaming avvisi e consigli man mano che vengono generati o definire una pianificazione per inviare snapshot periodici di tutti i nuovi dati.

Passo successivo