Kontrola malwaru v defenderu for Storage
Kontrola malwaru v defenderu for Storage pomáhá chránit službu Azure Blob Storage před škodlivým obsahem provedením úplné kontroly malwaru na nahraném obsahu téměř v reálném čase pomocí funkcí Antivirová ochrana v programu Microsoft Defender. Je navržená tak, aby splňovala požadavky na zabezpečení a dodržování předpisů pro zpracování nedůvěryhodného obsahu.
Funkce Kontroly malwaru je řešení SaaS bez agentů, které umožňuje jednoduché nastavení ve velkém, s nulovou údržbou a podporuje automatizaci odezvy ve velkém měřítku.
Nahrání malwaru je hlavní hrozbou v cloudovém úložišti.
Obsah nahraný do cloudového úložiště může být malware. Účty úložiště můžou být vstupním bodem malwaru do organizace a distribučního bodu malwaru. Pokud chcete chránit organizace před touto hrozbou, musí se obsah v cloudovém úložišti před přístupem zkontrolovat na malware.
Kontrola malwaru v defenderu for Storage pomáhá chránit účty úložiště před škodlivým obsahem.
- Integrované řešení SaaS, které umožňuje jednoduché povolení ve velkém měřítku s nulovou údržbou.
- Komplexní antimalwarové funkce využívající Antivirová ochrana v programu Microsoft Defender (MDAV), zachycení polymorfického a metamorfického malwaru
- Každý typ souboru se zkontroluje (včetně archivů, jako jsou soubory ZIP), a výsledek se vrátí pro každou kontrolu. Limit velikosti souboru je 2 GB.
- Podporuje odpověď ve velkém měřítku – odstraňování nebo kvazování podezřelých souborů na základě značek indexu objektů blob nebo událostí Event Gridu.
- Když kontrola malwaru identifikuje škodlivý soubor, vygenerují se podrobné výstrahy zabezpečení v programu Microsoft Defender for Cloud.
- Navržená tak, aby splňovala požadavky na zabezpečení a dodržování předpisů pro kontrolu nedůvěryhodného obsahu nahraného do úložiště, včetně možnosti protokolování všech výsledků kontroly.
Běžné případy použití a scénáře
Mezi běžné případy použití a scénáře kontroly malwaru v Defenderu pro úložiště patří:
Webové aplikace: Mnoho cloudových webových aplikací umožňuje uživatelům nahrávat obsah do úložiště. To umožňuje nízké údržbě a škálovatelné úložiště pro aplikace, jako jsou daňové aplikace, nahrání hr webů a nahrání účtenek.
Ochrana obsahu: Prostředky, jako jsou videa a fotky, se běžně sdílejí a distribuují interně i externím stranám. Sítě CDN (Content Delivery Network) a centra obsahu jsou klasickou příležitostí k distribuci malwaru.
Požadavky na dodržování předpisů: prostředky, které splňují standardy dodržování předpisů, jako je NIST, SWIFT, GDPR a další, vyžadují robustní postupy zabezpečení, které zahrnují kontrolu malwaru. Pro organizace provozované v regulovaných odvětvích nebo oblastech je velmi důležité.
Integrace třetích stran: Data třetích stran můžou pocházet z široké škály zdrojů, a ne všechny můžou mít robustní postupy zabezpečení, jako jsou obchodní partneři, vývojáři a dodavatelé. Vyhledávání malwaru pomáhá zajistit, aby tato data do vašeho systému nezaváděla bezpečnostní rizika.
Platformy pro spolupráci: podobně jako sdílení souborů používají týmy cloudové úložiště k nepřetržitému sdílení obsahu a spolupráci napříč týmy a organizacemi. Vyhledávání malwaru zajišťuje bezpečnou spolupráci.
Datové kanály: Data procházející procesy ETL (extrakce, přenos, načtení) můžou pocházet z více zdrojů a můžou zahrnovat malware. Vyhledávání malwaru může pomoct zajistit integritu těchto kanálů.
Trénovací data strojového učení: Kvalita a zabezpečení trénovacích dat jsou důležité pro efektivní modely strojového učení. Je důležité zajistit, aby tyto datové sady byly čisté a bezpečné, zejména pokud obsahují uživatelsky generovaný obsah nebo data z externích zdrojů.
Poznámka:
Kontrola malwaru je služba téměř v reálném čase. Časy kontroly se můžou lišit v závislosti na velikosti naskenovaného souboru nebo typu souboru a také na zatížení služby nebo účtu úložiště. Microsoft neustále pracuje na snížení celkové doby kontroly, ale při návrhu uživatelského prostředí založeného na službě byste tuto variabilitu měli vzít v úvahu v časech kontroly.
Požadavky
Pokud chcete povolit a nakonfigurovat kontrolu malwaru, musíte mít role vlastníka (například vlastníka předplatného nebo vlastníka účtu úložiště) nebo konkrétní role s potřebnými akcemi dat. Přečtěte si další informace o požadovaných oprávněních.
Kontrolu malwaru můžete povolit a nakonfigurovat ve velkém měřítku pro vaše předplatná a přitom zachovat podrobnou kontrolu nad konfigurací funkce pro jednotlivé účty úložiště. Existuje několik způsobů, jak povolit a nakonfigurovat kontrolu malwaru: předdefinované zásady Azure (doporučená metoda), programově využívající infrastrukturu jako šablony kódu, včetně Terraformu, Bicep a šablon ARM, pomocí webu Azure Portal nebo přímo s rozhraním REST API.
Jak funguje kontrola malwaru
Kontrola malwaru při nahrávání
Triggery při nahrávání
Při nahrání objektu blob do chráněného účtu úložiště – aktivuje se kontrola malwaru. Všechny metody nahrávání aktivují kontrolu. Úprava objektu blob je operace nahrání, a proto se upravený obsah po aktualizaci zkontroluje.
Prohledávání oblastí a uchovávání dat
Služba pro kontrolu malwaru, která používá technologie Antivirová ochrana v programu Microsoft Defender, čte objekt blob. Kontrola malwaru prohledá obsah "v paměti" a okamžitě po kontrole odstraní naskenované soubory. Obsah se nezachová. Kontrola probíhá ve stejné oblasti účtu úložiště. V některých případech, když je soubor podezřelý a vyžaduje se další data, může kontrola malwaru sdílet metadata souborů mimo oblast skenování, včetně metadat klasifikovaných jako zákaznická data (například hash SHA-256) s Microsoft Defenderem pro koncový bod.
Přístup k zákaznickým datům
Služba Pro kontrolu malwaru vyžaduje přístup k vašim datům, aby kontrolovat malware. Během povolování služby se ve vašem předplatném Azure vytvoří nový prostředek skeneru dat s názvem StorageDataScanner. Tento prostředek je udělen přiřazením role Vlastník dat objektu blob služby Storage pro přístup k datům a ke změně dat pro kontrolu malwaru a zjišťování citlivých dat.
Privátní koncový bod je podporovaný před nasazením.
Kontrola malwaru v defenderu for Storage se podporuje v účtech úložiště, které používají privátní koncové body při zachování ochrany osobních údajů.
Privátní koncové body poskytují zabezpečené připojení ke službám úložiště Azure, eliminují vystavení veřejného internetu a považují se za osvědčený postup.
Nastavení kontroly malwaru
Když je povolená kontrola malwaru, ve vašem prostředí se automaticky provádějí následující akce:
Pro každý účet úložiště, na který povolíte kontrolu malwaru, se vytvoří prostředek tématu systému Event Grid ve stejné skupině prostředků účtu úložiště , kterou používá služba pro kontrolu malwaru k naslouchání triggerům nahrávání objektů blob. Odebráním tohoto prostředku dojde k narušení funkčnosti kontroly malwaru.
Ke kontrole dat vyžaduje služba Kontrola malwaru přístup k vašim datům. Během povolování služby se ve vašem předplatném Azure vytvoří nový prostředek
StorageDataScannerskeneru dat a přiřadí se spravované identitě přiřazené systémem. Tento prostředek je udělen přiřazením role Vlastník dat objektu blob služby Storage, které mu umožňuje přístup k vašim datům pro účely vyhledávání malwaru a zjišťování citlivých dat.
Pokud je konfigurace sítě účtu úložiště nastavená tak, aby povolila přístup k veřejné síti z vybraných virtuálních sítí a IP adres, StorageDataScanner prostředek se přidá do části Instance prostředků v části Konfigurace sítě účtu úložiště, aby byl povolený přístup ke kontrole dat.
Pokud povolíte kontrolu malwaru na úrovni předplatného, vytvoří se ve vašem předplatném Azure nový prostředek operátora StorageAccounts/securityOperators/DefenderForStorageSecurityOperator zabezpečení a přiřadí se identitě spravované systémem. Tento prostředek slouží k povolení a opravě konfigurace Defenderu pro úložiště a vyhledávání malwaru u existujících účtů úložiště a kontrole, jestli se mají povolit nové účty úložiště vytvořené v předplatném. Tento prostředek má přiřazení rolí, která zahrnují konkrétní oprávnění potřebná k povolení kontroly malwaru.
Poznámka:
Kontrola malwaru závisí na určitých prostředcích, identitách a nastavení sítě, aby fungovala správně. Pokud některou z těchto možností upravíte nebo odstraníte, kontrola malwaru přestane fungovat. Pokud chcete obnovit normální provoz, můžete ho vypnout a znovu zapnout.
Poskytování výsledků kontroly
Výsledky kontroly malwaru jsou k dispozici prostřednictvím čtyř metod. Po nastavení uvidíte výsledky kontroly jako značky indexu objektů blob pro každý nahraný a naskenovaný soubor v účtu úložiště a jako výstrahy zabezpečení v programu Microsoft Defender for Cloud, když se soubor identifikuje jako škodlivý.
Můžete se rozhodnout nakonfigurovat další metody výsledků kontroly, jako jsou Event Grid a Log Analytics. Tyto metody vyžadují další konfiguraci. V další části se dozvíte o různých metodách výsledků kontroly.
Výsledky kontroly
Značky indexu objektů blob
Značky indexu objektů blob jsou pole metadat v objektu blob. Kategorizují data ve vašem účtu úložiště pomocí atributů značek klíč-hodnota. Tyto značky se automaticky indexují a zveřejňují jako prohledávatelný multidimenzionální index, aby bylo možné snadno najít data. Výsledky kontroly jsou stručné a zobrazují výsledek kontroly malwaru a čas kontroly malwaru UTC v metadatech objektů blob. Další typy výsledků (výstrahy, události, protokoly) poskytují další informace o typu malwaru a operaci nahrávání souborů.
Značky indexu objektů blob můžou používat aplikace k automatizaci pracovních postupů, ale nejsou odolné vůči manipulaci. Přečtěte si další informace o nastavení odpovědi.
Poznámka:
Přístup k indexovacím značek vyžaduje oprávnění. Další informace najdete v tématu Získání, nastavení a aktualizace značek indexu objektů blob.
Výstrahy zabezpečení v programu Defender for Cloud
Když se zjistí škodlivý soubor, Microsoft Defender for Cloud vygeneruje výstrahu zabezpečení v programu Microsoft Defender for Cloud. Pokud chcete výstrahu zobrazit, přejděte do Programu Microsoft Defender pro výstrahy zabezpečení cloudu . Výstraha zabezpečení obsahuje podrobnosti a kontext souboru, typ malwaru a doporučené kroky šetření a nápravy. Pokud chcete k nápravě použít tyto výstrahy, můžete:
- Zobrazte výstrahy zabezpečení na webu Azure Portal tak, že přejdete do programu Microsoft Defender for Cloud>Security.
- Nakonfigurujte automatizace na základě těchto upozornění.
- Export výstrah zabezpečení do SIEM Výstrahy zabezpečení můžete průběžně exportovat pomocí konektoru Microsoft Sentinelu (SIEM Od Microsoftu) nebo jiného siem podle vašeho výběru.
Přečtěte si další informace o reagování na výstrahy zabezpečení.
Událost Event Gridu
Event Grid je užitečný pro automatizaci řízenou událostmi. Jedná se o nejrychlejší metodu, jak získat výsledky s minimální latencí ve formě událostí, které můžete použít k automatizaci odpovědí.
Události z vlastních témat Event Gridu můžou využívat více typů koncových bodů. Nejužitečnější pro scénáře kontroly malwaru jsou:
- Aplikace funkcí (dříve označovaná jako Funkce Azure) – pomocí funkce bez serveru můžete spouštět kód pro automatizovanou odpověď, jako je přesunutí, odstranění nebo karanténa.
- Webhook – pro připojení aplikace.
- Fronta služby Event Hubs &Service Bus – pro oznamování podřízeným příjemcům
Zjistěte, jak nakonfigurovat kontrolu malwaru tak, aby se všechny výsledky kontroly automaticky odesílaly do tématu Event Gridu pro účely automatizace.
Analýzy protokolů
Výsledky kontroly můžete chtít protokolovat pro důkazy o dodržování předpisů nebo prošetřovat výsledky kontroly. Nastavením cíle pracovního prostoru služby Log Analytics můžete ukládat všechny výsledky kontroly do centralizovaného úložiště protokolů, které se snadno dotazuje. Výsledky můžete zobrazit tak, že přejdete do cílového pracovního prostoru služby Log Analytics a vyhledáte StorageMalwareScanningResults tabulku.
Přečtěte si další informace o nastavení protokolování pro kontrolu malwaru.
Tip
Prostřednictvím praktického cvičení vás zveme, abyste prozkoumali funkci Skenování malwaru v Defenderu for Storage. Podrobné pokyny k nastavení a testování kontroly malwaru najdete v podrobných pokynech k trénování Ninja, včetně konfigurace odpovědí na výsledky skenování. Jedná se o součást projektu "labs", který zákazníkům pomáhá začít využívat Microsoft Defender pro cloud a poskytovat praktické zkušenosti s jeho funkcemi.
Řízení nákladů
Kontrola malwaru se účtuje podle GB kontrol. Pokud chcete zajistit předvídatelnost nákladů, vyhledávání malwaru podporuje nastavení limitu na množství GB prohledáváno v jednom měsíci na účet úložiště.
Důležité
Kontrola malwaru v defenderu for Storage není zahrnuta zdarma v první 30denní zkušební verzi a bude se účtovat od prvního dne v souladu s cenovým schématem dostupným na stránce s cenami Defenderu pro cloud.
Mechanismus "omezování" je navržený tak, aby nastavil měsíční limit skenování měřený v gigabajtech (GB) pro každý účet úložiště, který slouží jako efektivní řízení nákladů. Pokud je pro účet úložiště navázán předdefinovaný limit kontroly v jednom kalendářním měsíci, operace skenování se po dosažení této prahové hodnoty automaticky zastaví (s až 20GB odchylkou) a soubory by se nezkontrolovaly kvůli malwaru. Limit se resetuje na konci každého měsíce o půlnoci UTC. Aktualizace limitu obvykle trvá až hodinu.
Ve výchozím nastavení je stanoven limit 5 TB (5 000 GB), pokud není definován žádný konkrétní mechanismus omezování.
Tip
U jednotlivých účtů úložiště nebo v celém předplatném můžete nastavit mechanismus omezování (každému účtu úložiště v předplatném se přidělí limit definovaný na úrovni předplatného).
Pomocí těchto kroků nakonfigurujte mechanismus omezování.
Další náklady na kontrolu malwaru
Kontrola malwaru používá jako základ další služby Azure. To znamená, že když povolíte kontrolu malwaru, budou se vám účtovat také služby Azure, které vyžaduje. Mezi tyto služby patří operace čtení služby Azure Storage, indexování objektů blob služby Azure Storage a oznámení služby Azure Event Grid.
Zpracování možných falešně pozitivních a falešně negativních výsledků
Pokud máte soubor, který máte podezření, že je malware, ale nezjistíte ho (falešně negativní) nebo je nesprávně detekovaný (falešně pozitivní), můžete ho odeslat k analýze prostřednictvím portálu pro odeslání vzorku. Jako zdroj vyberte Microsoft Defender for Storage.
Defender for Cloud umožňuje potlačit falešně pozitivní výstrahy. Nezapomeňte pravidlo potlačení omezit pomocí názvu malwaru nebo hodnoty hash souboru.
Kontrola malwaru automaticky neblokuje přístup ani nemění oprávnění k nahranému objektu blob, i když je škodlivý.
Omezení
Nepodporované funkce a služby
Nepodporované účty úložiště: Kontroly malwaru nepodporují starší účty úložiště v1.
Nepodporovaná služba: Vyhledávání malwaru nepodporuje soubory Azure.
Nepodporované oblasti: Jio Indie – západ, Korea – jih, Jižní Afrika – západ.
Oblasti podporované programem Defender for Storage, ale ne vyhledáváním malwaru. Přečtěte si další informace o dostupnosti pro Defender for Storage.
Nepodporované typy objektů blob: Pro kontrolu malwaru se nepodporují doplňovací objekty blob a objekty blob stránky.
Nepodporované šifrování: Šifrované objekty blob na straně klienta se nepodporují, protože před kontrolou služby je nejdou dešifrovat. Neaktivní uložená data zašifrovaná pomocí klíče spravovaného zákazníkem (CMK) se ale podporují.
Nepodporované výsledky značek indexu: Výsledek kontroly značek indexu se nepodporuje v účtech úložiště s povoleným hierarchickým oborem názvů (Azure Data Lake Storage Gen2).
Event Grid: Témata Event Gridu, která nemají povolený přístup k veřejné síti (tj. připojení privátních koncových bodů), nejsou podporována kontrolou malwaru v Defenderu pro úložiště.
Omezení kapacity propustnosti a velikosti objektů blob
- Omezení rychlosti propustnosti skenování: Kontrola malwaru může zpracovat až 2 GB za minutu pro každý účet úložiště. Pokud rychlost nahrávání souborů u účtu úložiště překročí tuto prahovou hodnotu, systém se pokusí zkontrolovat soubory nad limitem rychlosti. Pokud rychlost nahrávání souborů konzistentně překročí tuto prahovou hodnotu, některé objekty blob se neskenují.
- Limit prohledávání objektů blob: Kontrola malwaru může zpracovat až 2 000 souborů za minutu pro každý účet úložiště. Pokud rychlost nahrávání souborů u účtu úložiště překročí tuto prahovou hodnotu, systém se pokusí zkontrolovat soubory nad limitem rychlosti. Pokud rychlost nahrávání souborů konzistentně překročí tuto prahovou hodnotu, některé objekty blob se neskenují.
- Limit velikosti objektu blob: Maximální limit velikosti pro prohledání jednoho objektu blob je 2 GB. Objekty blob, které jsou větší, než je limit, se neskenují.
Nahrání objektů blob a aktualizace značek indexu
Při nahrání objektu blob do účtu úložiště zahájí kontrola malwaru další operaci čtení a aktualizuje značku indexu. Ve většině případů tyto operace nevygenerují významné zatížení.
Dopad na přístup a IOPS úložiště
I přes proces kontroly zůstává přístup k nahraným datům nedotčený a dopad na vstupně-výstupní operace úložiště za sekundu (IOPS) je minimální.
Další kroky
Přečtěte si další informace o tom, jak nastavit odpověď na výsledky kontroly malwaru.