Analisi malware on-upload

Analisi malware al caricamento in Microsoft Defender per archiviazione

La scansione malware on-upload in Defender for Storage scansiona automaticamente i blob quando li carichi o modifichi, così ottieni una rapida rilevazione di contenuti dannosi. Questa soluzione nativa cloud, basata su SaaS, utilizza Microsoft Defender Antivirus per eseguire scansioni complete del malware. Mantiene sicuri i tuoi account di archiviazione senza infrastrutture o manutenzione aggiuntiva.

Quando integri la scansione on-upload nei tuoi account di archiviazione, puoi:

• Prevenire caricamenti dannosi: impedire che il malware entri nell'ambiente di archiviazione al momento dell'upload.
• Semplifica la gestione della sicurezza: Beneficia della scansione automatica senza dover distribuire o gestire agenti.
• Migliorare la conformità: rispettare i requisiti normativi assicurandoti che tutti i dati caricati vengano analizzati per malware.

Il caricamento malware è una minaccia principale per lo storage cloud. I file dannosi possono entrare e diffondersi all'interno di un'organizzazione tramite servizi di archiviazione cloud. Defender for Storage offre una soluzione integrata per mitigare questo rischio con capacità anti-malware complete.

Casi d'uso comuni per l'analisi di malware su caricamento

La scansione malware on-upload supporta una varietà di scenari, tra cui:

• Applicazioni web: Caricamenti sicuri di contenuti generati dagli utenti in applicazioni web come app fiscali, siti di caricamento CV e ricevute.
• Distribuzione dei contenuti: Proteggere asset come immagini e video condivisi su larga scala tramite hub di contenuti o Content Delivery Networks (CDN), che possono essere punti comuni di distribuzione malware.
• Requisiti di conformità: Rispettare standard normativi, come NIST (definizione del glossario), SWIFT, HIPAA e DORA, scansionando contenuti non affidabili, specialmente per i settori regolamentati.
• Integrazione con terze parti: Assicurarsi che i dati di terze parti, come contenuti provenienti da partner commerciali o appaltatori, vengano scansionati per prevenire rischi di sicurezza.
• Piattaforme collaborative: Garantire una collaborazione sicura tra team e organizzazioni scansionando i contenuti condivisi.
• Pipeline dati: Mantenere l'integrità dei dati nei processi Extract, Transform, Load (ETL) assicurandosi che nessun malware entri attraverso più fonti di dati.
• Dati di addestramento al machine learning: Proteggere la qualità dei dati di addestramento assicurando che i set di dati siano puliti e sicuri, soprattutto se contengono contenuti generati dagli utenti.

Abilitare l’analisi malware al caricamento

Puoi abilitare la scansione malware on-upload utilizzando il portale Azure, PowerShell, i template Infrastructure as Code o l'API REST. Prima di iniziare, ripassa i seguenti prerequisiti.

Prerequisiti

Prima di abilitare la scansione malware on-upload, assicurati di soddisfare i seguenti prerequisiti:

• Permessi: ruolo di Proprietario o Contributore sull'abbonamento o sull'account di archiviazione, oppure ruoli specifici con i permessi richiesti per Defender for Storage.
• Defender for Storage: abilitato sia sugli account di abbonamento che su singoli account di storage.
• Microsoft.EventGrid provider: registrato nella sottoscrizione di Azure.

Per abilitare e configurare la scansione malware tra i tuoi abbonamenti mantenendo un controllo dettagliato sui singoli account di archiviazione, utilizza uno dei seguenti metodi:

• Azure built-in policy
• Uso programmatico di modelli di Infrastructure as Code, inclusi Terraform, Bicep e i modelli ARM
• Portale di Azure
• PowerShell
• Direttamente con l'API REST

Quando abiliti la scansione malware, il sistema crea automaticamente una risorsa Griglia di eventi di Azure System Topic nello stesso gruppo di risorse dell'account storage. Il servizio di scansione malware utilizza questa risorsa Event Grid System Topic per rilevare i trigger di caricamento dei BLOB.

Per istruzioni dettagliate, vedere Distribuire Microsoft Defender per Archiviazione.

Controllo dei costi per l'analisi di malware durante il caricamento

L'analisi malware viene fatturata per GB analizzati. Per garantire la prevedibilità dei costi, l'analisi malware supporta l'impostazione di un limite per la quantità di GB analizzati in un singolo mese per ogni account di archiviazione.

Il meccanismo di limitazione imposta un limite di analisi mensile, misurato in gigabyte (GB), per ogni account di archiviazione. Questo limite mensile di scansione funge da efficace misura di controllo dei costi. Se viene raggiunto un limite di analisi predefinito per un account di archiviazione entro un singolo mese di calendario, l'operazione di analisi si interrompe automaticamente.

La pausa di scansione avviene una volta raggiunta la soglia, con una deviazione fino a 20 GB. I file non vengono scansionati per malware dopo aver raggiunto il limite mensile di scansione. Il limite viene reimpostato alla fine di ogni mese a mezzanotte UTC. L'aggiornamento del limite richiede in genere fino a un'ora perché sia effettivo.

Per impostazione predefinita, viene stabilito un limite di 10 TB (10.000 GB) se non è definito alcun meccanismo di limitazione specifico.

Filtri di analisi malware personalizzabili durante il caricamento

La scansione malware on-upload supporta filtri personalizzabili, che puoi usare per impostare regole di esclusione basate su prefissi del percorso del blob, suffissi e dimensione del blob. Escludendo percorsi e tipi di BLOB specifici, ad esempio log o file temporanei, è possibile evitare analisi non necessarie e ridurre i costi.

Configura i filtri nella scheda Microsoft Defender per il cloud Settings dell'account di archiviazione nel portale Azure o tramite l'API REST.

Punti principali:

• Filtri basati sull'esclusione: Utilizzare fino a 24 valori di filtro per escludere i blob dalla scansione malware.

• Logica OR: Un blob viene escluso se soddisfa uno qualsiasi dei criteri specificati.

Tipi di filtri:

• Escludere blob o contenitori con prefisso: Definire una lista di prefissi separati da virgole.

  • Formato: container-name/blob-name. Inizia dal nome del contenitore. Non includere il nome dell'account di archiviazione.

  • Per escludere interi contenitori, usare il prefisso dei nomi dei contenitori senza un oggetto finale /.

  • Per escludere un singolo contenitore, aggiungere una barra / finale dopo il nome del contenitore per evitare di escludere altri contenitori con prefissi simili.

• Escludere le blob con suffisso: Definire una lista di suffissi separata da virgole.

  • I suffissi corrispondono solo alla fine dei nomi dei blob.

  • Usa solo per estensioni di file o per le terminazioni dei nomi di blob.

• Escludere blob più grandi di: Specificare la dimensione massima in byte per i blob da scansionare. I blob più grandi di questo valore sono esclusi dalla scansione.

Funzionamento dell'analisi malware

Le sezioni seguenti spiegano come viene attivata la scansione malware on-upload e come la pipeline di scansione processa i blob.

Analisi di scansione del malware durante il caricamento

Le scansioni al caricamento vengono attivate da qualsiasi operazione che risulti in un evento BlobCreated o BlobRenamed, come specificato nella documentazione Archiviazione BLOB di Azure come sorgente di Event Grid. tra cui:

• Caricamento di nuovi blob: Quando aggiungi un nuovo blob a un contenitore.
• Sovrascrittura dei blob esistenti: Quando sostituisci un blob esistente con nuovo contenuto.
• Finalizzazione delle modifiche ai blob: operazioni come PutBlockList o FlushWithClose che effettuano il commit delle modifiche a un blob.

Processo di scansione

Quando il servizio rileva un upload o una modifica di blob, il processo di scansione consiste nelle seguenti fasi:

• Rilevamento eventi: Quando si verifica un BlobCreated o un BlobRenamed evento, il servizio di scansione malware rileva il cambiamento.
• Recupero blob: Il servizio legge in modo sicuro il contenuto del blob nella stessa regione del tuo account di archiviazione.
• Scansione in memoria: Il servizio scansiona i contenuti in memoria utilizzando Microsoft Defender Antivirus con definizioni di malware up-to-date.
• Generazione dei risultati: Il servizio genera il risultato della scansione e adotta le azioni appropriate basate sui risultati.
• Smaltimento dei contenuti: Il servizio non conserva il contenuto scansionato e lo elimina immediatamente dopo la scansione.

Velocità effettiva e capacità per la scansione di malware durante il caricamento

L'analisi malware on-upload presenta limiti di velocità effettiva e capacità specifici per garantire prestazioni ed efficienza nelle operazioni su larga scala. Questi limiti aiutano a controllare il volume di dati che il servizio elabora per minuto, garantendo un equilibrio tra protezione e carico di sistema.

• Limite di velocità di throughput di scansione: la scansione malware on-upload può processare fino a 50 GB al minuto per account di archiviazione. Se la velocità di upload dei blob supera questa soglia, il sistema mette in coda i file e tenta di scansionarli. Tuttavia, se la velocità di upload supera costantemente il limite, il servizio potrebbe non scansionare alcuni blob.

Aspetti condivisi con l'analisi su richiesta

Le sezioni seguenti si applicano sia alla scansione malware su richiesta che a quella al caricamento.

• Costi aggiuntivi per la scansione malware: operazioni di lettura Archiviazione di Azure, indicizzazione blob e notifiche Event Grid.
• Visualizza e consuma i risultati della scansione malware: Metodi come tag Blob index, avvisi di sicurezza Defender per il cloud, eventi Event Grid e Log Analytics.
• Automazione della correzione di malware: automatizzare azioni come il blocco, l'eliminazione o lo spostamento di file in base ai risultati dell'analisi.
• Contenuti supportati e limitazioni per la scansione malware: copre tipi di file, dimensioni, crittografia e limitazioni regionali supportate.
• Analisi malware, accesso e privacy dei dati: Dettagli su come il servizio accede ai tuoi dati e li elabora, comprese le considerazioni sulla privacy.
• Gestione di falsi positivi e falsi negativi: passaggi per l'invio di file per la revisione e la creazione di regole di eliminazione.
• Scansioni dei blob e impatto sulle operazioni di I/O: Scopri come le scansioni attivano ulteriori operazioni di lettura e aggiornano i tag di indice dei blob.

Per informazioni dettagliate su questi argomenti, vedi l'articolo Introduzione alla scansione malware .

Procedure consigliate e suggerimenti

Utilizzare le seguenti migliori pratiche per migliorare la protezione, la gestione dei costi e la risposta operativa:

• Impostare i limiti di controllo dei costi per gli account di archiviazione, in particolare quelli con traffico di caricamento elevato, per gestire e ottimizzare le spese in modo efficace.
• Usare Log Analytics per tenere traccia della cronologia di analisi per scopi di conformità e controllo.
• Se il caso d'uso richiede un meccanismo di correzione malware, è consigliabile usare la funzionalità predefinita di eliminazione temporanea di BLOB dannosi o configurare una correzione automatica (ad esempio, azioni di quarantena o eliminazione) usando Griglia di eventi e App per la logica. Per indicazioni dettagliate sulla configurazione, vedere Configurare la correzione nell'analisi di malware.

Contenuti correlati

• Introduzione all'analisi del malware
• Analisi di malware su richiesta