Habilitar e configurar o Microsoft Defender para Armazenamento com o Azure PowerShell

Habilite o Defender para Armazenamento no nível da assinatura com preços por transação usando o cmdlet Set-AzSecurityPricing:

Set-AzSecurityPricing -Name "StorageAccounts" -PricingTier "Standard" -SubPlan "DefenderForStorageV2" -Extension '[
    {
        "name": "OnUploadMalwareScanning",
            "isEnabled": "True",
        "additionalExtensionProperties": {
            "CapGBPerMonthPerStorageAccount": "10000"
        }
    },
    {
        "name": "SensitiveDataDiscovery",
        "isEnabled": "True"
    }]'

Se você não fornecer propriedades de extensão para o cmdlet, a verificação de malware e a descoberta de dados confidenciais serão habilitadas por padrão.

Ao personalizar este código, você pode:

• Modifique o limite mensal para verificação de malware no upload: ajuste a propriedade CapGBPerMonthPerStorageAccount para o seu valor preferido. Esse parâmetro define um limite nos dados máximos que podem ser verificados quanto a malware a cada mês, por conta de armazenamento. Se você quiser permitir a verificação ilimitada, atribua o valor -1. O limite padrão é de 10.000 GB.
• Desabilite todo o plano Defender para Armazenamento: defina o valor da -PricingTier propriedade para Free, e remova as propriedades -SubPlan e -Extension.

Para obter mais informações sobre o Set-AzSecurityPricing cmdlet, consulte a referência do Azure PowerShell.

Habilite e configure o Defender para Armazenamento no nível da conta de armazenamento usando o Update-AzSecurityDefenderForStorage cmdlet. No exemplo a seguir, substitua os valores <SubscriptionId>, <ResourceGroupName> e <StorageAccountName> pelos seus próprios ID de assinatura do Azure, grupo de recursos e nome da conta de armazenamento.

Update-AzSecurityDefenderForStorage -ResourceId "/subscriptions/<SubscriptionId>/resourcegroups/<ResourceGroupName>/providers/Microsoft.Storage/storageAccounts/<StorageAccountName>" -IsEnabled -OverrideSubscriptionLevelSetting -OnUploadIsEnabled -OnUploadCapGbPerMonth 7000 -SensitiveDataDiscoveryIsEnabled

Com o Defender para Armazenamento habilitado no nível da assinatura, o parâmetro -OverrideSubscriptionLevelSetting é necessário para substituir as configurações no nível da assinatura. Se você não usar o parâmetro de substituição, as extensões serão definidas de acordo com as configurações de nível de assinatura, independentemente dos valores de parâmetro fornecidos no cmdlet.

Ao personalizar este código, você pode:

• Modifique o limite mensal para verificação de malware: ajuste o -OnUploadCapGBPerMonth parâmetro ao seu valor preferencial. Esse parâmetro define um limite para o máximo de dados a serem verificados em busca de malware a cada mês, por conta de armazenamento. Se você quiser permitir a verificação ilimitada, atribua o valor -1. O limite padrão é de 10.000 GB.
• Enviar resultados de verificação de malware para a Grade de Eventos do Azure: forneça a ID de recurso do tópico da Grade de Eventos no parâmetro -MalwareScanningScanResultsEventGridTopicResourceId "<resourceId>".
• Desative a verificação de malware ao efetuar upload ou a detecção de ameaças de dados confidenciais: Defina -OnUploadIsEnabled:$false ou -SensitiveDataDiscoveryIsEnabled:$false, respectivamente.
• Desabilitar todo o plano do Defender para Armazenamento: defina IsEnabled:$false, -OnUploadIsEnabled:$false e -SensitiveDataDiscoveryIsEnabled:$false.

Para obter mais informações sobre o Update-AzSecurityDefenderForStorageRefer cmdlet, consulte a referência do Azure PowerShell.