Conditions préalables pour Microsoft Defender pour le stockage

Cet article répertorie les conditions préalables et les autorisations requises pour enable Microsoft Defender pour le stockage et ses fonctionnalités.

Prerequisites

  • Vous avez besoin d’un abonnement Microsoft Azure. Si vous n’avez pas d’abonnement Azure, vous pouvez vous inscrire à un abonnement gratuit.

  • Vous devez activer Microsoft Defender pour le cloud sur votre abonnement Azure.

  • Les types de stockage suivants sont pris en charge :

    Capability Azure Blob Standard Azure Blob Premium v2 objet blob de pages Azure Azure Data Lake Storage Gen 2 Azure Blob (Standard + Premium) + Système de fichiers réseau (NFS) 3.0 Azure File Standard (SMB) Azure File Premium Provisioned v1/v2 (SMB)
    Analyse des activités Soutenu Soutenu Soutenu Soutenu Non pris en charge Soutenu Soutenu
    Découverte de données sensibles Soutenu Soutenu Soutenu Soutenu Non pris en charge Soutenu Non pris en charge
    Analyse des programmes malveillants en cours de chargement Pris en charge uniquement pour les objets blob Pris en charge uniquement pour les objets blob Non pris en charge Pris en charge uniquement pour les objets blob Pris en charge uniquement pour les objets blob Non pris en charge Non pris en charge
    Analyse des programmes malveillants à la demande Soutenu Soutenu Non pris en charge Soutenu Soutenu Non pris en charge Non pris en charge

  • Les comptes de stockage appartenant à un groupe de ressources avec l’un des noms suivants ne sont pas pris en charge : App_Browsers, , App_CodeApp_Data, App_GlobalResources, App_LocalResources, , App_Themes, , . App_WebReferencesBin

Note

Defender pour le stockage ne prend pas directement en charge les compartiments Amazon Web Services (AWS) S3. Vous pouvez utiliser Microsoft Sentinel avec le connecteur AWS S3 pour utiliser les résultats AWS GuardDuty et les afficher dans le portail Defender Alerts table. Pour plus d’informations, consultez connecteurs de données Microsoft Sentinel.

Autorisations

Selon le scénario, vous avez besoin de différents niveaux d’autorisations pour activer Defender pour le stockage et ses fonctionnalités. Vous pouvez activer et configurer Defender pour le stockage au niveau de l’abonnement ou au niveau du compte de stockage. Vous pouvez également utiliser des stratégies de Azure intégrées pour activer Defender pour le stockage et appliquer son activation sur une étendue souhaitée.

Le tableau suivant récapitule les autorisations dont vous avez besoin pour chaque scénario. Les autorisations sont des rôles Azure intégrés ou des ensembles d’actions que vous pouvez affecter à des rôles personnalisés.

Capability Niveau d’abonnement Niveau de compte de stockage
Surveillance de l’activité Administration de sécurité ou Tarifications/lecture, Tarifications/écriture Administrateur de la sécurité ou Microsoft.Security/defenderforstoragesettings/read, Microsoft.Security/defenderforstoragesettings/write
Analyse des programmes malveillants Propriétaire de l’abonnement ou groupe d’actions 1 Jeu d’actions 2
Détection des menaces de données sensibles Propriétaire de l’abonnement ou groupe d’actions 1 Jeu d’actions 2

Note

L’analyse des activités est toujours activée lorsque vous activez Defender pour le stockage.

Les jeux d’actions sont des collections d’opérations de Azure fournisseur de ressources que vous pouvez utiliser pour créer des rôles personnalisés. Les jeux d’actions permettant d’activer Defender pour le stockage et ses fonctionnalités sont les suivants.

Jeu d’actions 1 : Activation et configuration au niveau de l’abonnement

  • Microsoft. Sécurité/tarification/écriture
  • Microsoft. Sécurité/tarification/lecture
  • Microsoft. Security/pricings/SecurityOperators/read
  • Microsoft. Security/pricings/SecurityOperators/write
  • Microsoft.Authorization/roleAssignments/read
  • Microsoft.Authorization/roleAssignments/write
  • Microsoft.Authorization/roleAssignments/delete

Jeu d’actions 2 : Activation et configuration au niveau du compte de stockage

  • Microsoft.Storage/storageAccounts/write
  • Microsoft.Storage/storageAccounts/read
  • Microsoft. Security/datascanners/read (doit être accordé au niveau de l’abonnement)
  • Microsoft. Security/datascanners/write (doit être accordé au niveau de l’abonnement)
  • Microsoft. Security/defenderforstoragesettings/read
  • Microsoft. Security/defenderforstoragesettings/write
  • Microsoft.EventGrid/eventSubscriptions/read
  • Microsoft.EventGrid/eventSubscriptions/write
  • Microsoft.EventGrid/eventSubscriptions/delete
  • Microsoft.Authorization/roleAssignments/read
  • Microsoft.Authorization/roleAssignments/write
  • Microsoft.Authorization/roleAssignments/delete

Contenu connexe

  • Dernière mise à jour :