Introduzione all'analisi di malware

L'analisi di malware in Microsoft Defender per l'archiviazione migliora la sicurezza degli account Archiviazione di Azure rilevando e attenuando le minacce malware. Usa Microsoft Defender Antivirus (MDAV) per analizzare il contenuto di archiviazione, assicurando la sicurezza e la conformità dei dati.

Defender per Archiviazione offre due tipi di analisi del malware:

• Analisi malware durante il caricamento: analizza automaticamente i BLOB quando vengono caricati o modificati, fornendo un rilevamento rapido. Questo tipo di analisi è ideale per le applicazioni che comportano caricamenti frequenti degli utenti, ad esempio applicazioni Web o piattaforme collaborative. L'analisi del contenuto durante il caricamento consente di ridurre il rischio di file dannosi che entrano nell'ambiente di archiviazione e propagano downstream.

• Scansione malware on-demand: Ti permette di scansionare blob e file esistenti ogni volta che necessario. Puoi scansionare sia l'intero account di archiviazione sia oggetti mirati come un singolo blob, un contenitore specifico o oggetti che corrispondono a un prefisso di percorso. Utilizzare questo tipo di scansione per stabilire una base di sicurezza per i dati memorizzati, rispondere agli avvisi di sicurezza durante la risposta agli incidenti, supportare i requisiti di conformità ed eseguire indagini di sicurezza mirate.

Queste modalità di analisi consentono di proteggere gli account di archiviazione, soddisfare le esigenze di conformità e mantenere l'integrità dei dati.

Perché l'analisi malware è importante

Il contenuto caricato nell'archiviazione cloud può introdurre malware e creare rischi per la sicurezza. L'analisi malware consente di impedire l'immissione o la diffusione di file dannosi all'interno dell'ambiente.

I vantaggi principali includono:

• Rilevamento di contenuti dannosi: identifica e attenua il malware.
• Miglioramento del comportamento di sicurezza: aggiunge un livello per impedire la diffusione di malware.
• Supporto della conformità: soddisfa i requisiti normativi.
• Semplificazione della gestione della sicurezza: offre una soluzione nativa del cloud e a bassa manutenzione configurabile su larga scala.

Funzionalità principali

La scansione malware include le seguenti funzionalità chiave:

• Soluzione SaaS integrata: semplice da abilitare senza alcuna manutenzione dell'infrastruttura.
• Capacità avanzate di antimalware: Utilizza MDAV per rilevare malware polimorfico e metamorfico per tutti i tipi di file.
• Rilevamento completo: analizza tutti i tipi di file, inclusi archivi come file ZIP e RAR, fino a 50 GB per BLOB e file.
• Opzioni di scansione flessibili: Offre sia scansione on-upload che on-demand.
• Avvisi di sicurezza: Genera avvisi dettagliati in Microsoft Defender per il cloud.
• Supporto automazione: Integra con Logic Apps, Function Apps e Griglia di eventi di Azure per creare risposte automatiche ai risultati della scansione.
• Conformità e audit: Registra i risultati della scansione per i requisiti di audit e conformità.
• Supporto per endpoint privati: supporta endpoint privati, riducendo l'esposizione a internet pubblico.
• Correzione automatica del malware: elimina temporaneamente i BLOB dannosi rilevati tramite l'analisi del malware al caricamento e su richiesta.

Scegliere l'opzione di analisi corretta

Usare la scansione malware al caricamento se è necessaria la protezione da caricamenti dannosi, che è ideale per applicazioni web, contenuti generati dagli utenti, integrazioni con partner o pipeline di contenuto condiviso. Per ulteriori informazioni, vedere Analisi malware durante il caricamento.

Utilizza la scansione malware su richiesta quando hai bisogno di maggiore flessibilità nelle scansioni, per stabilire baseline di sicurezza, rispondere agli avvisi, prepararsi agli audit, analizzare uno specifico blob o file sospetto oppure verificare i dati archiviati prima dell'archiviazione o dello scambio. Puoi scansionare l'intero account di archiviazione o usare filtri per indirizzare specifici oggetti. Per altre informazioni, vedere Analisi di malware su richiesta.

Risultati dell'analisi malware

Puoi accedere ai risultati della scansione malware attraverso quattro metodi. Dopo la configurazione, si vedono i risultati delle scansioni come tag blob indice per ogni file scansionato, e come avvisi di sicurezza di Microsoft Defender per il cloud quando un file viene identificato come malevolo. È possibile scegliere di disabilitare l'uso dei tag di indice BLOB nel portale di Azure o tramite l'API REST. Puoi anche configurare più metodi di risultati di scansione, come Event Grid e Log Analytics, che richiedono una configurazione aggiuntiva.

Le sezioni seguenti descrivono in modo più dettagliato ogni metodo.

Tag indice BLOB

I tag di indice BLOB forniscono attributi chiave-valore ricercabili nei BLOB. Per impostazione predefinita, Defender for Storage scrive i risultati dell'analisi malware in due tag di indice in ogni BLOB analizzato:

• Risultato della scansione: No threats found, Malicious, Error, o Not scanned
• Ora di analisi (UTC)

È possibile scegliere di disabilitare l'uso dei tag di indice BLOB nel portale di Azure o tramite l'API REST.

I tag di indice BLOB sono progettati per fornire risultati di analisi concisi per scenari di filtro e automazione rapidi. I tag indice non sono resistenti alle manomissioni. Gli utenti con permessi per modificare i tag possono modificarli, quindi non dovresti usarli come unico controllo di sicurezza. Per i flussi di lavoro sensibili alla sicurezza, usare avvisi, eventi di Event Grid o Log Analytics.

Defender per il cloud avvisi di sicurezza

Quando viene rilevato un file dannoso, Defender per il cloud genera un avviso di sicurezza. Questi avvisi includono informazioni dettagliate sul file, sul tipo di malware rilevato e sulle procedure consigliate per l'analisi e la correzione.

Gli avvisi di sicurezza di Defender per il cloud sono utili per l'analisi e la risposta automatica. È possibile:

• Visualizza gli avvisi di sicurezza nel portale Azure andando su Microsoft Defender per il cloudSecurity>alerts.
• Configurare le automazione del flusso di lavoro per attivare azioni correttive quando vengono generati avvisi.
• Esportare gli avvisi di sicurezza in un sistema SIEM (Security Information and Event Management). È possibile esportare continuamente gli avvisi in Microsoft Sentinel usando il connettore Microsoft Sentinel o in un altro siem di propria scelta.

Per maggiori informazioni su come rispondere agli avvisi di sicurezza, vedi Iscriviti all'argomento personalizzato.

eventi di Event Grid

Griglia di eventi offre la distribuzione quasi in tempo reale dei risultati dell'analisi malware per l'automazione guidata dagli eventi. Questo metodo è facoltativo e richiede più configurazione, ma offre il modo più rapido per attivare risposte automatizzate in base ai risultati dell'analisi.

Griglia di eventi supporta diversi tipi di endpoint per l'elaborazione di eventi, tra cui:

• Function Apps: Esegui codice serverless per spostare, eliminare, mettere in quarantena o processare file scansionati.

• Webhook: Notificare applicazioni o servizi esterni.

• Event Hubs e code di bus di servizio: Inoltrare gli eventi relativi ai risultati della scansione ai consumer a valle o alle pipeline di elaborazione.

Usa Event Grid quando hai bisogno di flussi di lavoro automatizzati, a bassa latenza che reagiscano immediatamente ai risultati della scansione malware. Altre informazioni sulla configurazione di Griglia di eventi per l'analisi malware.

Log Analytics

Log Analytics fornisce un repository centralizzato e su cui è possibile eseguire query per i risultati dell'analisi malware. Questo metodo è facoltativo e richiede più configurazione, ma è ideale per la conformità, il controllo e le indagini cronologiche in cui sono necessari record dettagliati dei risultati dell'analisi.

Quando abiliti Log Analytics, la soluzione scrive ogni risultato della scansione malware nella StorageMalwareScanningResults tabella dello spazio di lavoro configurato di Log Analytics. È possibile eseguire query in questa tabella per esaminare i risultati dell'analisi, analizzare i modelli o generare report di conformità.

Usa Log Analytics per creare una traccia di audit o per effettuare analisi approfondite. Per l'automazione a bassa latenza, usare invece tag di indice BLOB o Griglia di eventi. Scopri di più sulla configurazione del log per l'analisi del malware.

Correzione automatica del malware

L'analisi malware supporta risposte automatizzate in modo da poter reagire ai risultati dell'analisi immediatamente e in modo coerente. È possibile creare automazioni basate su tag di indice BLOB, avvisi di sicurezza di Defender per il cloud o eventi di Event Grid, a seconda dei requisiti del flusso di lavoro.

I modelli di risposta comuni includono:

• Abilitando l'eliminazione temporanea predefinita per i file dannosi, il malware rilevato viene spostato o eliminato automaticamente senza richiedere flussi di lavoro personalizzati.

• Bloccare l'accesso a file non scansionati o dannosi tramite l'uso di Attribute-Based Controllo di accesso (ABAC).

• Eliminare o spostare file dannosi in una posizione di quarantena utilizzando App per la logica di Azure attivate da avvisi di sicurezza, o Function Apps attivate da eventi Event Grid.

• Inoltrare file puliti a un'altra posizione di archiviazione usando Event Grid con Function App.

Altre informazioni sulla configurazione delle azioni di risposta per l'analisi di malware.

Risorse utilizzate dalla scansione malware

Quando abiliti la scansione malware, Defender for Storage distribuisce automaticamente diverse risorse Azure necessarie per le operazioni di scansione:

• Argomento di sistema di Event Grid: Creato nello stesso gruppo di risorse dell'account di archiviazione. Questo argomento di sistema ascolta gli eventi di caricamento di blob e attiva la scansione di malware al momento del caricamento. La rimozione di questa risorsa impedisce il funzionamento dell'analisi malware.

• StorageDataScanner Risorsa: Defender for Storage crea questa risorsa di servizio gestito nel tuo abbonamento con un'identità gestita assegnata dal sistema. L'identità riceve il ruolo di Proprietario dei Dati del Blob di Stoccaggio per poter leggere i dati blob per la scansione di malware e la Scoperta di Dati Sensibili. Defender for Storage aggiunge anche l'identità alle regole di controllo di accesso alla rete (ACL) dell'account di archiviazione per consentire la scansione quando l'accesso pubblico alla rete è limitato.

• DefenderForStorageSecurityOperator resource (abilitazione a livello di abbonamento): Defender for Storage crea questa risorsa quando si abilita la scansione malware a livello di abbonamento. Questa identità configura, ripara e mantiene le impostazioni di scansione malware per account di archiviazione esistenti e nuovi creati. Include le assegnazioni di ruolo necessarie per eseguire queste operazioni.

Queste risorse sono necessarie per il funzionamento dell'analisi malware. Se uno di essi viene eliminato o modificato, l'analisi malware potrebbe smettere di funzionare.

Contenuto e limitazioni supportati

Contenuto supportato

La scansione malware supporta i seguenti tipi e dimensioni di contenuti:

• Tipi di file: Sono supportati tutti i tipi di file, inclusi archivi compressi come file ZIP e RAR.

• Dimensione del file: Puoi scansionare blob e file fino a 50 GB.

Limitations

Tieni presente le seguenti limitazioni quando usi la scansione malware:

• Account di archiviazione non supportati: Gli account di archiviazione legacy v1 non sono supportati.

• Servizi non supportati: La scansione malware on-upload non è supportata per File di Azure.

• Tipi di blob non supportati: i blob di appendenza e i blob di pagina non sono supportati.

• Crittografia lato client non supportata: i blob cifrati lato client non possono essere scansionati, poiché il servizio non può decifrarli. È supportata la crittografia dei BLOB inattivi con chiavi gestite dal cliente (CMK).

• Protocolli non supportati: I blob caricati tramite il protocollo Network File System (NFS) 3.0 non vengono scansionati.

• Tag di indice dei BLOB: I tag di indice per gli account di archiviazione con spazio dei nomi gerarchico abilitato (Azure Data Lake Storage Gen2) sono disponibili in anteprima pubblica. Per utilizzare questa funzione, opta per i Blob Tag per lo spazio di nomi gerarchico.

• Regioni non supportate: Non tutte le regioni supportano attualmente la scansione malware. Per l'elenco più recente, vedere Disponibilità di Defender per il cloud.

• Event Grid: Gli argomenti di Event Grid che non hanno abilitato l'accesso alla rete pubblica, ad esempio quelli che usano endpoint privati, non sono supportati per il recapito dei risultati della scansione.

• Tempistica dell'aggiornamento dei metadati: Se i metadati di un blob vengono aggiornati poco dopo il caricamento, la scansione durante l'upload potrebbe fallire. Per evitare questo fallimento, specificare i metadati in BlobOpenWriteOptions o ritardare gli aggiornamenti dei metadati fino al completamento della scansione.

• Limiti di tempo di scansione: Blob grandi o complessi possono superare la finestra di timeout di scansione di Defender, che varia da 30 minuti a 3 ore a seconda della dimensione e della struttura del blob. Ad esempio, i file ZIP con molte voci annidate richiedono in genere più tempo per l'analisi. Se un'analisi supera il tempo assegnato, il risultato viene contrassegnato come analisi scaduta.

Considerazioni sulle prestazioni e i costi

Scansione dei Blob e impatto sugli IOPS

Ogni scansione malware esegue un'operazione di lettura aggiuntiva e aggiorna i tag blob index. Queste operazioni generano operazioni di I/O aggiuntive, ma in genere hanno un impatto minimo sulle prestazioni di archiviazione (IOPS). L'accesso ai dati analizzati rimane invariato durante l'analisi e le applicazioni possono continuare a leggere o scrivere nel BLOB senza interruzioni.

Puoi ridurre l'impatto dell'IOPS disabilitando i blob index tag per la memorizzazione dei risultati della scansione.

Costi aggiuntivi

La scansione del malware potrebbe comportare costi aggiuntivi dai servizi Azure dipendenti, tra cui:

• Operazioni di lettura di Archiviazione di Azure
• Indicizzazione dei BLOB di Archiviazione di Azure, se si usano i tag di indice
• eventi di Event Grid

Usare il dashboard di Microsoft Defender per la stima dei costi di archiviazione per stimare i costi end-to-end.

Scenari in cui l'analisi malware è inefficace

Mentre l'analisi malware offre funzionalità di rilevamento generali, alcuni modelli di dati o scenari di caricamento impediscono al servizio di identificare accuratamente il malware. Considerare questi casi prima di abilitare l'analisi malware in un account di archiviazione:

• Dati suddivisi in blocchi: Il rilevamento potrebbe non riuscire se carichi un file in più blocchi. Il servizio contrassegna come corrotti i frammenti contenenti solo l'intestazione, mentre i frammenti contenenti solo la parte finale potrebbero apparire innocui. Analizza i dati prima della suddivisione in blocchi o dopo la riassemblazione per garantire la copertura.

• Dati crittografati: La scansione antimalware non supporta i dati crittografati sul lato client. Il servizio non può decrittografare questi dati, quindi qualsiasi malware all'interno di questi BLOB crittografati non viene rilevato. Se è necessaria la crittografia, analizzare i dati prima di crittografarlo o usare metodi di crittografia inattivi supportati, ad esempio chiavi gestite dal cliente (CMK), in cui Archiviazione di Azure gestisce la decrittografia per l'accesso.

• Dati di backup: I file di backup possono contenere frammenti di contenuto analizzato in precedenza o dannoso. Poiché lo scanner valuta il frammento stesso piuttosto che il contesto originale del file, i backup potrebbero generare avvisi anche se il file di backup nel suo complesso non è malizioso.

Valutare questi scenari come parte del modello di minaccia, in particolare se il contenuto generato dall'utente o non attendibile può essere caricato nell'account di archiviazione.

Differenze di rilevamento tra ambienti di archiviazione ed endpoint

Microsoft Defender for Storage utilizza lo stesso motore anti-malware e aggiornamenti di firma di Microsoft Defender per endpoint. Tuttavia, quando scansioni i file in Archiviazione di Azure, non ottieni certi metadati contestuali disponibili sugli endpoint. Questa mancanza di contesto può comportare una maggiore probabilità di rilevamenti mancanti (falsi negativi) rispetto all'analisi su un endpoint.

Esempi di contesto mancante o non disponibile includono:

• Mark of the Web (MOTW): MOTW identifica i file che hanno avuto origine su internet, ma questi metadati non vengono conservati quando i file vengono caricati su Archiviazione di Azure.

• Contesto del percorso file: La scansione degli endpoint valuta il percorso del file per determinare se un file interagisce con posizioni sensibili del sistema, come C:\Windows\System32. L'archiviazione BLOB non fornisce un contesto basato sul percorso equivalente.

• Dati comportamentali: Defender for Storage esegue analisi statica e emulazioni limitate ma non osserva il comportamento in tempo reale. Alcuni malware rivelano solo comportamenti dannosi durante l'esecuzione e potrebbero non essere rilevati solo tramite ispezione statica.

Accesso e privacy dei dati

Requisiti di accesso ai dati

Per scansionare i dati alla ricerca di malware, il servizio richiede l'accesso ai blob nel tuo account di archiviazione. Quando abiliti la scansione malware, Azure distribuisce automaticamente una risorsa nominata StorageDataScanner nel tuo abbonamento. Questa risorsa utilizza un'identità gestita assegnata dal sistema e le viene assegnato il ruolo Defender per Scansione Dati di Archiviazione per leggere e analizzare i dati.

Se l'account di archiviazione è configurato per consentire l'accesso alla rete pubblica solo da reti virtuali o indirizzi IP selezionati, la StorageDataScanner risorsa viene aggiunta alla sezione Istanze risorse della configurazione di rete dell'account di archiviazione. Questa configurazione garantisce che lo scanner possa accedere ai tuoi dati anche quando l'accesso alla rete pubblica è limitato.

Privacy dei dati e trattamento a livello di area

La scansione malware gestisce la privacy dei dati e l'elaborazione regionale come segue:

• Elaborazione regionale: La scansione malware viene effettuata nella stessa regione Azure del tuo account di archiviazione per supportare i requisiti di residenza e conformità dei dati.

• Gestione dei dati: Il servizio non memorizza i file scansionati. In casi limitati, il servizio potrebbe condividere metadati di file come l'hash SHA-256 con Defender for Endpoint per ulteriori analisi.

Gestire falsi positivi e falsi negativi

Falsi positivi

Un falso positivo si verifica quando un file non dannoso viene erroneamente identificato come dannoso. Se ritieni che un file sia stato segnalato erroneamente, adotta le seguenti azioni:

• Invia il fascicolo per la rianalisi.

  Usare il portale di invio di esempio per segnalare un falso positivo.

  Quando invii, seleziona Microsoft Defender for Storage come sorgente.

• Sopprimi gli allarmi ripetuti.

  Creare regole di eliminazione degli avvisi in Defender per il cloud per ridurre il rumore da avvisi falsi positivi ricorrenti nell'ambiente in uso.

Gestire malware non rilevato (falsi negativi)

Un falso negativo si verifica quando non viene rilevato un file dannoso. Se si ritiene che il malware non sia stato rilevato, inviare il file per l'analisi tramite il portale per l'invio di campioni. Fornire il maggior contesto possibile per supportare il motivo per cui si ritiene che il file sia dannoso.

Contenuti correlati per la scansione di malware

Per maggiori informazioni sulle opzioni di scansione malware, consulta la seguente risorsa:

• Analisi malware al caricamento in Microsoft Defender per archiviazione

Passo successivo