ストレージのMicrosoft Defenderを有効にする (クラシック)

この記事では、PowerShell、REST API などのさまざまなテンプレートを使用して、サブスクリプションで Storage (クラシック) のMicrosoft Defenderを有効にして構成する方法について説明します。

また、Defender for Storage(クラシック版)からMicrosoft Defender for Storageプランへアップグレードでき、マルウェアスキャンや機密データ脅威検出などの高度なセキュリティ機能を利用できます。 ストレージ アカウントごとに課金され、大量のトランザクションが発生する場合には追加コストがかかる、予測可能できめ細かな料金体系を利用できます。 Microsoft Defender for Storageの料金プランには、すべての新しいセキュリティ機能と検出機能も含まれています。

Microsoft Defender for Storage は、ストレージ アカウントへのアクセスや悪用を試みる、通常とは異なる、害を及ぼす可能性のある試みを検出する、Azureネイティブのセキュリティ インテリジェンス レイヤーです。 高度な脅威検出機能と Microsoft Defender 脅威インテリジェンス データを使用して、コンテキストに応じたセキュリティ アラートを提供します。 これらのアラートには、検出された脅威を軽減し、将来の攻撃を防ぐための手順が含まれます。

Microsoft Defender for Storage は、Azure Blob Storage、Azure Data Lake Storage、Azure Files サービスのトランザクションを継続的に分析します。 悪意のある可能性のあるアクティビティが検出されると、セキュリティ アラートが生成されます。 Microsoft Defender for Cloudは、疑わしいアクティビティ、適切な調査手順、修復アクション、およびセキュリティに関する推奨事項の詳細を含むアラートを表示します。

Azure Blob Storageの分析されたテレメトリには、BLOB の取得、PUT BLOB、コンテナー ACL の取得、BLOB の一覧表示、BLOB の取得プロパティなどの操作の種類が含まれます。 分析されたAzure Files操作の種類の例としては、ファイルの取得、ファイルの作成、ファイルの一覧表示、ファイルのプロパティの取得、および配置範囲などがあります。

Storage クラシックのDefenderは、ストレージ アカウント データにアクセスせず、パフォーマンスに影響を与えません。

Defender for Storage の利点、機能、および制限事項の詳細をご確認ください。 Defender for Storage の詳細については、Defender for Cloud in the Field 動画シリーズのDefender for Storage エピソードをご覧ください。

Defender for Storage(クラシック)の入手可能性と価格

以下の表は、Defender for Storage(クラシック)の利用可能性、価格、対応ストレージタイプ、クラウドサポートをまとめたものです。

特徴	詳細情報
リリース状態:	一般公開 (GA)
価格:	ストレージのMicrosoft Defenderは、Azure ポータルの価格の詳細とDefenderプランに示されているように課金されます
保護されるストレージの種類:	Blob Storage (Standard/Premium StorageV2、ブロック BLOB) Azure Files (REST API および SMB 経由) Azure Data Lake Storage Gen2 (階層型名前空間 (HNS) が有効になっている Standard/Premium アカウント)
クラウド:	商用クラウド Azure Government (トランザクションごとのプランのみ) 21Vianet によって運営される Microsoft Azure 接続されている AWS アカウント

ストレージ アカウントのトランザクションごとの価格を設定する

アカウントでトランザクションごとの価格設定を使用して Microsoft Defender for Storage を構成するには、いくつかの方法があります。

• ARM テンプレート
• PowerShell
• Azure CLI

ARM テンプレート

特定のストレージアカウントに対して取引ごとの価格設定でARMテンプレートを使ってMicrosoft Defender for Storageを有効にするには、Storage 高度な脅威保護を有効にするためにARMテンプレートを使用してください。

特定のストレージアカウントでDefender for Storageを無効にしたい場合は:

1. Azure portal にサインインする
2. ストレージ アカウントに移動します。
3. [ストレージ アカウント] メニューの [セキュリティとネットワーク] セクションで、Microsoft Defender for Cloudを選択します。
4. 無効にするを選択します。

PowerShell

PowerShell を使用して、特定のストレージ アカウントでトランザクション単位の課金による Microsoft Defender for Storage を有効にするには:

1. まだインストールしていない場合は、Azure Az PowerShell モジュールをインストールします。

2. Azure アカウントにサインインするには、Connect-AzAccount コマンドレットを使用します。 Azure PowerShellを使用してAzureにサインインする方法について説明します。

3. Enable-AzSecurityAdvancedThreatProtection コマンドレットを使用して、目的のストレージ アカウントのストレージのMicrosoft Defenderを有効にします。

   Enable-AzSecurityAdvancedThreatProtection -ResourceId "/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.Storage/storageAccounts/<storage-account>/"
   

   <subscriptionId>、<resource-group>、<storage-account>を環境の値に置き換えます。

特定のストレージアカウントの取引ごとの価格設定を無効にしたい場合は、 Disable-AzSecurityAdvancedThreatProtection コマンドレットを使ってください。 このコマンドは指定されたストレージアカウントからDefender for Storage(classic)保護を削除します:

Disable-AzSecurityAdvancedThreatProtection -ResourceId "/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.Storage/storageAccounts/<storage-account>/"

詳しくは「Microsoft Defender for CloudでPowerShellを使う」をご覧ください。

Azure CLI

Azure CLI を使用して、トランザクションごとの課金で特定のストレージ アカウントに対して Microsoft Defender for Storage を有効にするには:

1. まだインストールしていない場合は、Azure CLIをインストールします。

2. az login コマンドを使用して、Azure アカウントにサインインします。 Azure CLIを使用してAzureにサインインする方法について説明します。

3. az security atp storage update コマンドを使用して、サブスクリプションの Storage のMicrosoft Defenderを有効にします。

   az security atp storage update \
   --resource-group <resource-group> \
   --storage-account <storage-account> \
   --is-enabled true
   

サブスクリプションの Storage (クラシック) のMicrosoft Defenderを無効にするには、az security atp storage update コマンドを使用します。

az security atp storage update \
--resource-group <resource-group> \
--storage-account <storage-account> \
--is-enabled false

az security atp storage コマンドの詳細を確認します。

トランザクションごとのプランで保護されたサブスクリプションからストレージ アカウントを除外する

サブスクリプションでストレージのMicrosoft Defenderが有効になっている場合、そのサブスクリプション内のすべての現在および将来のAzure Storage アカウントが保護されます。 Azure ポータル、PowerShell、またはAzure CLIを使用して、ストレージ保護のDefenderから特定のストレージ アカウントを除外できます。

サブスクリプション全体で Defender for Storage を有効にして、その中のすべての既存および将来のストレージ アカウントを保護することをお勧めします。 ただし、特定のストレージ アカウントをDefender保護から除外したい場合もあります。

保護されたサブスクリプションからストレージ アカウントを除外するには、次の作業が必要です。

1. サブスクリプションの有効化の継承をブロックするタグを追加します。
2. ストレージ向け Microsoft Defender (クラシック) を無効にする。

Azure Storageアカウントをサブスクリプションの保護から除外し、取引ごとの価格設定

Microsoft Defender for Storage (クラシック) からAzure Storage アカウントを除外するには、次を使用できます。

• PowerShell
• Azure CLI

PowerShell を使用してAzure Storage アカウントを除外する

以下の手順で、アカウントをDefender for Storage(classic)保護から除外するには、アカウントにタグ付けし、PowerShellで保護を無効にしてください。

1. Azure AzのPowerShellモジュールをインストールしていない場合は、Azure AzのPowerShellモジュールをインストールしてください。

2. 認証されたアカウントを使用して、「Azure PowerShell でサインインする」で説明されているように、Connect-AzAccount コマンドレットを使用してAzureに接続します。

3. Update-AzTag コマンドレットを使用して、ストレージ アカウントに AzDefenderPlanAutoEnable タグを定義します (ResourceId は、関連するストレージ アカウントのリソース ID に置き換えます)。

   Update-AzTag -ResourceId <resourceID> -Tag @{"AzDefenderPlanAutoEnable" = "off"} -Operation Merge
   

   AzDefenderPlanAutoEnableタグを追加しなければ、タグ付けされていないリソースはサブスクリプションレベルの有効化ポリシーから毎日の更新を受け続けます。 このポリシーにより、アカウント上で Defender for Storage が再び有効になります。 タグの詳細については、「タグを使用してAzureリソースと管理階層を整理する」を参照してください。

4. (同じリソース ID を使用して) Disable-AzSecurityAdvancedThreatProtection コマンドレットを使用して、関連するサブスクリプションの目的のアカウントのストレージのMicrosoft Defenderを無効にします。

   Disable-AzSecurityAdvancedThreatProtection -ResourceId <resourceId>
   

   Disable-AzSecurityAdvancedThreatProtection コマンドレットについて詳しく学びましょう。

Azure CLIを使用してAzure Storage アカウントを除外する

以下の手順で、ストレージアカウントをDefender for Storage(classic)保護から除外するには、アカウントにタグ付けし、Azure CLIで保護を無効にしてください。

1. Azure CLIがインストールされていない場合は、Azure CLIドキュメントの手順に従ってインストールします。

2. 認証されたアカウントを使用して、「Azure CLIでサインインする」で説明されているように、login コマンドを使用してAzureに接続し、メッセージが表示されたらアカウントの資格情報を入力します。

   az login
   

3. tag update コマンドを使用して、ストレージ アカウントに AzDefenderPlanAutoEnable タグを定義します (ResourceId は、関連するストレージ アカウントのリソース ID に置き換えます)。

   az tag update --resource-id MyResourceId --operation merge --tags AzDefenderPlanAutoEnable=off
   

   AzDefenderPlanAutoEnableタグを追加しなければ、タグ付けされていないリソースはサブスクリプションレベルの有効化ポリシーから毎日の更新を受け続けます。 このポリシーにより、アカウント上で Defender for Storage が再び有効になります。

   ヒント

   az tag のタグの詳細を確認します。

4. (同じリソース ID を使用して) security atp storage コマンドを使用して、関連するサブスクリプションの目的のアカウントのストレージのMicrosoft Defenderを無効にします。

   az security atp storage update --resource-group MyResourceGroup  --storage-account MyStorageAccount --is-enabled false
   

   このコマンドの詳細を確認します。

Azure Databricks ストレージ アカウントを除外する

Azure DatabricksワークスペースストレージアカウントをDefender for Storage(classic)保護から除外するには、ワークスペースにAzDefenderPlanAutoEnableタグを適用できます。 アクティブなワークスペースを除外したり、新しいワークスペースで自動有効化を禁止したりできます。

アクティブな Databricks ワークスペースを除外する

プランがサブスクリプションで既に有効になっている場合、ストレージのMicrosoft Defenderは、特定のアクティブな Databricks ワークスペース ストレージ アカウントを除外できます。

アクティブな Databricks ワークスペースを除外するには:

1. Azure portal にサインインする

2. Azure Databricks>Your Databricks workspace>Tags に移動します。

3. [名前] フィールドに「AzDefenderPlanAutoEnable」と入力します。

4. [値] フィールドに「 off 」と入力し、[ 適用] を選択します。

   

5. Microsoft Defender for Cloud>Environment 設定>Your subscriptionに移動します。

6. ストレージ プランのDefenderをオフにして、[保存] を選択します。

   

7. サポートされている方法のいずれかを使用して、Storage (クラシック) のDefenderを再度有効にします (Azure ポータルから Storage クラシックのDefenderを有効にすることはできません)。

AzDefenderPlanAutoEnableタグはDataBricksワークスペースのストレージアカウントに継承され、ストレージのオンDefenderを防ぎます。

新しい Databricks ワークスペース ストレージ アカウントでの自動有効化を禁止する

新しい Databricks ワークスペースを作成すると、ストレージ アカウントのMicrosoft Defenderが自動的に有効にならないようにするタグを追加できます。

新しい Databricks ワークスペース ストレージ アカウントで自動有効化を防ぐには、次の手順を実行します。

1. 新しいAzure Databricksワークスペースを作成してください。

2. [タグ] タブで、 AzDefenderPlanAutoEnableという名前のタグを入力します。

3. off値を入力します。

   

4. 手順に従って、新しい Azure Databricks ワークスペースを作成します。

ストレージアカウントのMicrosoft DefenderはDatabricksワークスペースからAzDefenderPlanAutoEnableタグを引き継ぎ、ストレージDefenderが自動的にオンになるのを防ぎます。

ストレージのMicrosoft Defenderを無効にする (クラシック)

サブスクリプションレベルでDefender for Storage(クラシック)を無効にするには、以下のツールやテンプレートのいずれかがあります。

サブスクリプションのトランザクションごとの価格を無効にする

サブスクリプションレベルでのDefender for Storage(クラシック)の取引ごとの価格設定を、以下のいずれかの方法で無効にできます:

• Terraform テンプレート
• バイセップ テンプレート
• ARM テンプレート
• PowerShell
• Azure CLI
• REST API

Terraform テンプレート

Terraformテンプレートを使ってサブスクリプションレベルで取引ごとの価格設定でストレージ(クラシック)のMicrosoft Defenderを無効にするには、このコードスニペットをテンプレートに追加し、サブスクリプションIDをparent_id値として追加してください。 スニペットはStorageAccountsのリソースMicrosoft.Security/pricingsをFreeティアに設定し、サブスクリプションのストレージ(クラシック)のDefenderを無効にします。

resource "azapi_resource" "symbolicname" {
  type = "Microsoft.Security/pricings@2022-03-01"
  name = "StorageAccounts"
  parent_id = "<subscriptionId>"
  body = jsonencode({
    properties = {
      pricingTier = "Free"
    }
  })
}

ARM テンプレートの AzAPI リファレンスの詳細を確認します。

Bicep テンプレート

Bicepを使ってサブスクリプションレベルで取引ごと価格設定のMicrosoft Defender for Storage(classic)を無効にするには、Bicepテンプレートに以下を追加してください。 このスニペットはMicrosoft.Security/pricingsリソースをFreeに設定したpricingTier展開し、サブスクリプションのストレージ(クラシック)の Defender を無効にします。

resource symbolicname 'Microsoft.Security/pricings@2022-03-01' = {
  name: 'StorageAccounts'
  properties: {
    pricingTier: 'Free'
  }
}

Bicep テンプレート AzAPI リファレンスの詳細を確認します。

ARM テンプレート

Microsoft Defender for Storage(クラシック)をサブスクリプションレベルで取引ごとの価格設定で無効にするには、ARMテンプレートのリソースセクションにこのJSONスニペットを追加してください。 スニペットはStorageAccountsのMicrosoft.Security/pricingsリソースをFree価格帯に設定しており、サブスクリプションのストレージ(クラシック)の Defender を無効にします。

{
  "type": "Microsoft.Security/pricings",
  "apiVersion": "2022-03-01",
  "name": "StorageAccounts",
  "properties": {
    "pricingTier": "Free",
  }
}

ARM テンプレートの AzAPI リファレンスの詳細を確認します。

PowerShell

PowerShell を使用して、トランザクションごとの料金でサブスクリプション レベルでの Microsoft Defender for Storage (クラシック) を無効にするには:

1. まだインストールしていない場合は、Azure Az PowerShell モジュールをインストールします。

2. Connect-AzAccount コマンドレットを使って、Azure アカウントにサインインします。 Azure PowerShellを使用してAzureにサインインする方法について説明します。 Set-AzSecurityPricing コマンドレットを使用して、サブスクリプションの Storage のMicrosoft Defenderを無効にします。

   Set-AzSecurityPricing -Name "StorageAccounts" -PricingTier "Free"
   

Azure CLI

Azure CLI を使用して、トランザクションごとの料金でサブスクリプション レベルの Microsoft Defender for Storage を無効にするには:

1. まだインストールしていない場合は、Azure CLIをインストールします。

2. az login コマンドを使用して、Azure アカウントにサインインします。 Azure CLIを使用してAzureにサインインする方法について説明します。

3. サブスクリプション ID と名前を設定するには、次のコマンドを使用します。

   az account set --subscription "<subscriptionId or name>"
   

   <subscriptionId> は、サブスクリプション ID で置き換えてください。

4. az security pricing create コマンドを使用して、サブスクリプションの Storage のMicrosoft Defenderを無効にします。

   az security pricing create -n StorageAccounts --tier "free"
   

ストレージ(クラシック)のDefenderを無効にするには、--tierプロパティ値をfreeに設定してください。

az security pricing create コマンドの詳細を確認します。

REST API

Microsoft Defender for Cloud REST APIを用いて、サブスクリプションレベルで取引ごとの価格設定でMicrosoft Defender for Storageを有効にするには、このエンドポイントとボディでPUTリクエストを作成してください。 以下の例は、エンドポイントURLおよびPerTransactionサブプランとpricingTierStandardを設定するJSONリクエスト本体を含む完全なRESTリクエストを示しています。

PUT https://management.azure.com/subscriptions/{subscriptionId}/providers/Microsoft.Security/pricings/StorageAccounts?api-version=2022-03-01

{
"properties": {
    "pricingTier": "Standard",
    "subPlan": "PerTransaction"
    }
}

{subscriptionId} は、サブスクリプション ID で置き換えてください。

サブスクリプションレベルでストレージ(クラシック)のDefenderを無効にするには、-pricingTierプロパティ値をFreeに設定し、subPlanパラメータを削除してください。

HTTP、Java、Go、JavaScript の REST API を使用したDefenderプランの更新の詳細について説明します。

次のステップ

• Azure Storageのアラートを確認する
• Defender for Storage の機能と利点について説明します
• Defender for Storage (クラシック) に関する一般的な質問をご確認ください。