Share via

Configuración de la respuesta al examen de malware

  • Artículo

Configure respuestas automatizadas para mover o quitar archivos malintencionados o para mover o ingerir archivos limpios a otro destino. Seleccione la opción de respuesta preferida que se adapte a la arquitectura del escenario.

Con el análisis de malware, puede crear la respuesta de automatización mediante la siguiente opción de resultado de examen:

  • Alertas de seguridad de Defender for Cloud
  • Eventos de Event Grid
  • Etiquetas de índice de blobs

Sugerencia

Le invitamos a explorar la característica de Detección de malware en Defender for Storage a través de nuestro laboratorio práctico. Siga las instrucciones de entrenamiento de Ninja para obtener una guía detallada paso a paso sobre cómo configurar y probar el examen de malware de un extremo a otro, incluida la configuración de respuestas para examinar los resultados. Esto forma parte del proyecto de "laboratorios" que ayuda a los clientes a familiarizarse con Microsoft Defender for Cloud y les proporciona experiencia práctica con sus funcionalidades.

Estas son algunas opciones de respuesta que puede usar para automatizar la respuesta:

Bloquear el acceso a archivos sin examinar o malintencionados mediante ABAC (control de acceso basado en atributos)

Puede bloquear el acceso a archivos malintencionados y sin examinar con autorización de control de acceso basado en atributos (ABAC) de Microsoft Entra. Permite establecer el acceso condicional a blobs en función de los resultados del examen y permitir que las aplicaciones y los usuarios accedan solo a los archivos examinados que están limpios.

Siga las instrucciones del vídeo siguiente para configurarlo.

Eliminación o traslado de un blob malintencionado

Puede usar la automatización de código o flujo de trabajo para eliminar o mover archivos malintencionados a cuarentena.

Prepare el entorno para eliminar o mover.

  • Eliminar el archivo malintencionado: antes de configurar la eliminación automatizada, se recomienda habilitar la eliminación temporal en la cuenta de almacenamiento. Permite "recuperar" archivos si hay falsos positivos o en casos en los que los profesionales de seguridad deseen investigar los archivos malintencionados.

  • Mover el archivo malintencionado a cuarentena: puede mover archivos a un contenedor de almacenamiento dedicado o una cuenta de almacenamiento que se consideren "en cuarentena". Es posible que quiera que solo determinados usuarios, como un administrador de seguridad o un analista de SOC, tengan permiso para acceder a este contenedor dedicado o a la cuenta de almacenamiento.

Configurar la automatización

Opción 1: Aplicación lógica basada en las alertas de seguridad de Microsoft Defender for Cloud

Las respuestas basadas en la aplicación lógica son un enfoque sencillo y sin código para configurar la respuesta. Sin embargo, el tiempo de respuesta es más lento que el enfoque basado en código basado en eventos.

  1. Implemente la plantilla deleteBlobLogicApp de Azure Resource Manager (ARM) mediante Azure Portal.

  2. Seleccione la aplicación lógica que implementó.

  3. Agregue una asignación de roles a la aplicación lógica para permitir que elimine blobs de la cuenta de almacenamiento:

    1. Vaya a Identidad en el menú lateral y seleccione Asignaciones de roles de Azure.

      Screenshot that shows how to set up a role assignment for workflow automation to respond to scan results.

    2. Agregue una asignación de roles en el nivel de suscripción con el rol Colaborador de datos de blobs de almacenamiento.

    3. Crear automatización de flujos de trabajo para alertas de Microsoft Defender for Cloud:

      1. Vaya a Microsoft Defender for Cloud en Azure Portal.
      2. Vaya a Automatización del flujo de trabajo en el menú lateral.
      3. Agregar un nuevo flujo de trabajo: En el campo Nombre de alerta contiene, rellene Archivo malintencionado cargado en la cuenta de almacenamiento y elija la aplicación lógica en la sección Acciones.
      4. Seleccione Crear.

      Screenshot that shows how to set up workflow automation to respond to scan results.

Opción 2: Aplicación de funciones basada en eventos de Event Grid

Una aplicación de funciones proporciona un alto rendimiento con un tiempo de respuesta de baja latencia.

  1. Cree una aplicación de funciones en el mismo grupo de recursos que la cuenta de almacenamiento protegida.

  2. Agregue una asignación de roles para la identidad de la aplicación de funciones.

    1. Vaya a Identidad en el menú lateral, asegúrese de que el estado de identidad Asignado con el sistema esté Activado y seleccione en Asignaciones de roles de Azure.

    2. Agregue una asignación de roles en los niveles de suscripción o almacenamiento con el rol Colaborador de datos de blobs de almacenamiento.

  3. Consumir eventos de Event Grid y conectar una función de Azure como tipo de punto de conexión.

  4. Al escribir el código de la función de Azure, puede usar nuestro ejemplo de función predefinida : MoveMaliciousBlobEventTrigger o escribir su propio código para copiar el blob en otro lugar y, a continuación, eliminarlo del origen.

Para cada resultado del examen, se envía un evento según el esquema siguiente.

Estructura de los mensajes de evento

El mensaje de evento es un objeto JSON que contiene pares clave-valor que proporcionan información detallada sobre un resultado de análisis de malware. Este es un desglose de cada clave en el mensaje de evento:

  • id: identificador único para el evento.

  • subject: cadena que describe la ruta de acceso del recurso del trazado (archivo) BLOB examinado en la cuenta de almacenamiento.

  • data: objeto JSON que contiene información adicional sobre el evento:

    • correlationId: identificador único que se puede usar para correlacionar varios eventos relacionados con el mismo examen.

    • blobUri: URI del (archivo) BLOB examinado en la cuenta de almacenamiento.

    • eTag: ETag del (archivo) BLOB examinado.

      • scanFinishedTimeUtc: marca de tiempo UTC cuando se completó el examen.

      • scanResultType: resultado del examen, por ejemplo, "Malintencionado" o "No se encontraron amenazas".

      • scanResultDetails: objeto JSON que contiene detalles sobre el resultado del examen:

        1. malwareNamesFound: matriz de nombres de malware encontrados en el archivo examinado.

        2. sha256: hash SHA-256 del archivo examinado.

  • eventType: cadena que indica el tipo de evento, en este caso, "Microsoft.Security.MalwareScanningResult".

  • dataVersion: número de versión del esquema de datos.

  • metadataVersion: número de versión del esquema de metadatos.

  • eventTime: marca de tiempo UTC cuando se generó el evento.

  • topic: ruta de acceso del recurso del tema de Event Grid al que pertenece el evento.

Este es un ejemplo de un mensaje de evento:

{
  "id": "52d00da0-8f1a-4c3c-aa2c-24831967356b",
  "subject": "storageAccounts/<storage_account_name>/containers/app-logs-storage/blobs/EICAR - simulating malware.txt",
  "data": {
    "correlationId": "52d00da0-8f1a-4c3c-aa2c-24831967356b",
    "blobUri": "https://<storage_account_name>.blob.core.windows.net/app-logs-storage/EICAR - simulating malware.txt",
    "eTag": "0x8DB4C9327B08CBF",
    "scanFinishedTimeUtc": "2023-05-04T11:31:54.0481279Z",
    "scanResultType": "Malicious",
    "scanResultDetails": {
      "malwareNamesFound": [
        "DOS/EICAR_Test_File"
      ],
      "sha256": "275A021BBFB6489E54D471899F7DB9D1663FC695EC2FE2A2C4538AABF651FD0F"
    }
  },
  "eventType": "Microsoft.Security.MalwareScanningResult",
  "dataVersion": "1.0",
  "metadataVersion": "1",
  "eventTime": "2023-05-04T11:31:54.048375Z",
  "topic": "/subscriptions/<subscription_id>/resourceGroups/<resource_group_name>/providers/Microsoft.EventGrid/topics/<event_grid_topic_name>"
}

Al comprender la estructura del mensaje de evento, puede extraer información relevante sobre el resultado del examen de malware y procesarlo en consecuencia.

Hacer que las aplicaciones y los flujos de datos sean conscientes de los resultados del examen de malware

El análisis de malware se produce casi en tiempo real y, normalmente, hay un período de tiempo breve entre el momento de la carga y el tiempo del examen. Dado que el almacenamiento no es compatible, no hay ningún riesgo de que los archivos malintencionados se ejecuten en el almacenamiento. El riesgo es que los usuarios o las aplicaciones accedan a archivos malintencionados y los distribuyan en toda la organización.

Hay algunos métodos para que las aplicaciones y los flujos de datos sean conscientes de los resultados del examen de análisis de malware y asegurarse de que no haya manera de acceder a un archivo o procesarlo antes de que se haya examinado, de que su resultado se haya consumido y de que se haya actuado sobre él.

Las aplicaciones ingieren datos basados en el resultado del examen

Opción 1: Aplicaciones que comprueban "Etiqueta de índice" antes del procesamiento

Una manera de obtener datos ingeridos es actualizar todas las aplicaciones que acceden a la cuenta de almacenamiento. Cada aplicación comprueba el resultado del examen de cada archivo y, si el resultado del examen de etiquetas de índice de blobs no encuentra ninguna amenaza, la aplicación lee el blob.

Opción 2: Conexión de la aplicación a un webhook en eventos de Event Grid

Puede conectar la aplicación a un webhook en eventos de Event Grid y usar esos eventos para desencadenar los procesos pertinentes para los archivos que no tienen amenazas encontradas en los resultados del examen. Obtenga más información sobre el uso de la entrega de eventos de Webhook y la validación del punto de conexión.

Uso de una cuenta de almacenamiento intermedia como red perimetral

Puede configurar una cuenta de almacenamiento intermedia para contenido que no es de confianza (DMZ) y cargar directamente el tráfico en la red perimetral. En la cuenta de almacenamiento que no es de confianza, habilite el examen de malware y conecte Event Grid y la aplicación de funciones para mover solo los blobs examinados con el resultado "no se encontró ninguna amenaza" a la cuenta de almacenamiento de destino.

Diagram that shows how to set up an intermediary storage account as a DMZ.

Pasos siguientes

Descubra cómo comprender los resultados del examen de malware en Microsoft Defender para Storage.