Udostępnij przez

Włączanie i konfigurowanie usługi Defender for Storage przy użyciu szablonów IaC

Zalecamy włączenie usługi Microsoft Defender for Storage na poziomie subskrypcji. To pozwala zapewnić, że wszystkie konta przechowywania subskrypcji są obecnie chronione. Ochrona kont magazynu tworzonych po włączeniu usługi Defender for Storage na poziomie subskrypcji rozpoczyna się w ciągu 24 godzin po utworzeniu.

Napiwek

Zawsze można skonfigurować określone konta przechowywania z własnymi ustawieniami niestandardowymi, które różnią się od ustawień skonfigurowanych na poziomie subskrypcji. Oznacza to, że można zastąpić ustawienia na poziomie subskrypcji.

Szablon narzędzia Terraform

Aby włączyć i skonfigurować usługę Defender for Storage na poziomie subskrypcji przy użyciu programu Terraform, możesz użyć następującego fragmentu kodu:

resource "azurerm_security_center_subscription_pricing" "DefenderForStorage" {
  tier          = "Standard"
  resource_type = "StorageAccounts"
  subplan       = "DefenderForStorageV2"
 
  extension {
    name = "OnUploadMalwareScanning"
    additional_extension_properties = {
      CapGBPerMonthPerStorageAccount = "10000"
      BlobScanResultsOptions = "BlobIndexTags"
    }
  }
 
  extension {
    name = "SensitiveDataDiscovery"
  }
}

Dostosowując ten kod, możesz wykonywać następujące czynności:

  • Zmodyfikuj miesięczny limit skanowania złośliwego oprogramowania: dostosuj CapGBPerMonthPerStorageAccount parametr do preferowanej wartości. Ten parametr ustawia limit maksymalnej ilości danych, które można skanować pod kątem złośliwego oprogramowania każdego miesiąca na konto magazynu. Jeśli chcesz zezwolić na nieograniczone skanowanie, przypisz wartość -1. Domyślny limit wynosi 10 000 GB.
  • Wyłącz funkcję skanowania złośliwego oprogramowania lub wykrywania zagrożeń poufnych danych: usuń odpowiedni blok rozszerzenia z kodu programu Terraform.
  • Wyłącz cały plan usługi Defender for Storage: ustaw tier wartość właściwości na "Free", oraz usuń właściwości subPlan i extension.

Aby dowiedzieć się więcej o zasobie azurerm_security_center_subscription_pricing , zapoznaj się z dokumentacją programu Terraform. Szczegółowe informacje na temat dostawcy narzędzia Terraform dla platformy Azure można również znaleźć w dokumentacji modułu AzureRM programu Terraform.

Szablon Bicep

Aby włączyć i skonfigurować usługę Defender for Storage na poziomie subskrypcji za pomocą Bicep, upewnij się, że zakres docelowy jest ustawiony na subscription. Dodaj następujący kod do szablonu Bicep:

targetScope = 'subscription'

resource StorageAccounts 'Microsoft.Security/pricings@2023-01-01' = {
  name: 'StorageAccounts'
  properties: {
    pricingTier: 'Standard'
    subPlan: 'DefenderForStorageV2'
    extensions: [
      {
        name: 'OnUploadMalwareScanning'
        isEnabled: 'True'
        additionalExtensionProperties: {
          CapGBPerMonthPerStorageAccount: '10000'
          BlobScanResultsOptions: 'BlobIndexTags'
        }
      }
      {
        name: 'SensitiveDataDiscovery'
        isEnabled: 'True'
      }
    ]
  }
}

Dostosowując ten kod, możesz wykonywać następujące czynności:

  • Zmodyfikuj miesięczny limit skanowania złośliwego oprogramowania: dostosuj CapGBPerMonthPerStorageAccount parametr do preferowanej wartości. Ten parametr ustawia limit maksymalnej ilości danych, które można skanować pod kątem złośliwego oprogramowania każdego miesiąca na konto magazynu. Jeśli chcesz zezwolić na nieograniczone skanowanie, przypisz wartość -1. Domyślny limit wynosi 10 000 GB.
  • Wyłącz funkcję skanowania złośliwego oprogramowania podczas przesyłania lub wykrywania zagrożeń dla poufnych danych: zmień isEnabled wartość na False w obszarze SensitiveDataDiscovery.
  • Wyłącz cały plan usługi Defender for Storage: ustaw pricingTier wartość właściwości na Free, oraz usuń właściwości subPlan i extensions.

Dowiedz się więcej o szablonie Bicep w dokumentacji cennika Microsoft.Security.

Szablon usługi Azure Resource Manager

Aby włączyć i skonfigurować usługę Defender for Storage na poziomie subskrypcji przy użyciu szablonu usługi Azure Resource Manager (szablon usługi ARM), dodaj ten fragment kodu JSON do resources sekcji szablonu usługi ARM:

{
    "type": "Microsoft.Security/pricings",
    "apiVersion": "2023-01-01",
    "name": "StorageAccounts",
    "properties": {
        "pricingTier": "Standard",
        "subPlan": "DefenderForStorageV2",
        "extensions": [
            {
                "name": "OnUploadMalwareScanning",
                "isEnabled": "True",
                "additionalExtensionProperties": {
                    "CapGBPerMonthPerStorageAccount": "10000",
                    "BlobScanResultsOptions": "BlobIndexTags"
                }
            },
            {
                "name": "SensitiveDataDiscovery",
                "isEnabled": "True"
            }
        ]
    }
}

Dostosowując ten kod, możesz wykonywać następujące czynności:

  • Zmodyfikuj miesięczny limit skanowania złośliwego oprogramowania: dostosuj CapGBPerMonthPerStorageAccount parametr do preferowanej wartości. Ten parametr ustawia limit maksymalnej ilości danych, które można skanować pod kątem złośliwego oprogramowania każdego miesiąca na konto magazynu. Jeśli chcesz zezwolić na nieograniczone skanowanie, przypisz wartość -1. Domyślny limit wynosi 10 000 GB.
  • Wyłącz funkcję skanowania złośliwego oprogramowania podczas przesyłania lub wykrywania zagrożeń dla poufnych danych: zmień isEnabled wartość na False w obszarze SensitiveDataDiscovery.
  • Wyłącz cały plan usługi Defender for Storage: ustaw pricingTier wartość właściwości na Free, oraz usuń właściwości subPlan i extension.

Dowiedz się więcej o szablonie ARM w dokumentacji cen Microsoft.Security.

Napiwek

Skanowanie złośliwego oprogramowania można skonfigurować w celu wysyłania wyników skanowania do:

Dowiedz się więcej na temat konfigurowania odpowiedzi na wyniki skanowania złośliwego oprogramowania.

Treści powiązane

  • Last updated on