Mengaktifkan dan mengonfigurasi Microsoft Defender for Storage dengan Azure PowerShell

Kami menyarankan agar Anda mengaktifkan Pertahanan Microsoft untuk Penyimpanan pada tingkat langganan. Melakukannya membantu memastikan bahwa semua akun penyimpanan yang saat ini berada dalam langganan dilindungi. Perlindungan untuk akun penyimpanan yang Anda buat setelah mengaktifkan Defender for Storage pada tingkat langganan dimulai hingga 24 jam setelah pembuatan.

Tip

Anda selalu dapat mengonfigurasi akun penyimpanan tertentu dengan pengaturan kustom yang berbeda dari pengaturan yang dikonfigurasi di tingkat langganan. Artinya, Anda dapat mengambil alih pengaturan tingkat langganan.

Menyiapkan Azure PowerShell

Sebelum Anda bekerja dengan Azure PowerShell, lakukan langkah-langkah berikut:

1. Jika Anda belum memilikinya, instal modul Az PowerShell.

2. Connect-AzAccount Gunakan cmdlet untuk masuk ke akun Azure Anda. Pelajari selengkapnya tentang masuk ke Azure dengan menggunakan Azure PowerShell.

3. Gunakan perintah berikut untuk mendaftarkan langganan Anda ke penyedia sumber daya Microsoft Defender untuk Cloud. Ganti <subscriptionId> dengan ID Langganan Anda.

   Set-AzContext -Subscription <subscriptionId>
   Register-AzResourceProvider -ProviderNamespace 'Microsoft.Security'
   

Mengaktifkan dan mengonfigurasi Defender untuk Storage

Aktifkan pada langganan

Aktifkan Defender untuk Storage di tingkat langganan dengan harga per transaksi dengan menggunakan Set-AzSecurityPricing cmdlet:

Set-AzSecurityPricing -Name "StorageAccounts" -PricingTier "Standard" -SubPlan "DefenderForStorageV2" -Extension '[
    {
        "name": "OnUploadMalwareScanning",
            "isEnabled": "True",
        "additionalExtensionProperties": {
            "CapGBPerMonthPerStorageAccount": "10000"
        }
    },
    {
        "name": "SensitiveDataDiscovery",
        "isEnabled": "True"
    }]'

Jika Anda tidak menyediakan properti ekstensi untuk cmdlet, pemindaian malware dan penemuan data sensitif diaktifkan secara default.

Dengan menyesuaikan kode ini, Anda dapat:

• Sesuaikan ambang batas bulanan untuk pemindaian malware saat unggah: Atur properti ke nilai yang Anda inginkan. Parameter ini menetapkan batas pada data maksimum yang dapat dipindai untuk malware setiap bulan, per akun penyimpanan. Jika Anda ingin mengizinkan pemindaian tanpa batas, tetapkan nilai -1. Batas defaultnya adalah 10.000 GB.
• Nonaktifkan fitur pemindaian malware on-upload atau deteksi ancaman data sensitif: Ubah isEnabled nilai menjadi FalseOnUploadMalwareScanning pada properti ekstensi dan SensitiveDataDiscovery .
• Nonaktifkan seluruh paket Defender for Storage: Setel nilai properti -PricingTier ke Free, dan hapus properti -SubPlan dan -Extension.

Tip

Anda dapat menggunakan cmdlet GetAzSecurityPricing untuk melihat semua paket Defender untuk Cloud yang diaktifkan untuk langganan.

Untuk informasi selengkapnya tentang Set-AzSecurityPricing cmdlet, lihat referensi Azure PowerShell.

Aktifkan pada akun penyimpanan

Aktifkan dan konfigurasikan Defender untuk Storage di tingkat akun penyimpanan dengan menggunakan Update-AzSecurityDefenderForStorage cmdlet . Dalam contoh berikut, ganti nilai <SubscriptionId>, <ResourceGroupName>, dan <StorageAccountName> dengan ID langganan Azure Anda sendiri, grup sumber daya, dan nama akun penyimpanan.

Update-AzSecurityDefenderForStorage -ResourceId "/subscriptions/<SubscriptionId>/resourcegroups/<ResourceGroupName>/providers/Microsoft.Storage/storageAccounts/<StorageAccountName>" -IsEnabled -OverrideSubscriptionLevelSetting -OnUploadIsEnabled -OnUploadCapGbPerMonth 7000 -SensitiveDataDiscoveryIsEnabled

Dengan Defender for Storage diaktifkan di tingkat langganan, parameter -OverrideSubscriptionLevelSetting diperlukan untuk mengesampingkan pengaturan di tingkat langganan. Jika Anda tidak menggunakan parameter override, ekstensi diatur sesuai dengan pengaturan tingkat langganan, terlepas dari nilai parameter yang Anda tentukan pada cmdlet.

Dengan menyesuaikan kode ini, Anda dapat:

• Ubah ambang bulanan untuk pemindaian malware: Sesuaikan parameter dengan -OnUploadCapGBPerMonth nilai pilihan Anda. Parameter ini menetapkan batas pada data maksimum yang akan dipindai untuk malware setiap bulan, per akun penyimpanan. Jika Anda ingin mengizinkan pemindaian tanpa batas, tetapkan nilai -1. Batas defaultnya adalah 10.000 GB.
• Mengirim hasil pemindaian malware ke Azure Event Grid: Berikan ID sumber daya topik Event Grid dalam parameter -MalwareScanningScanResultsEventGridTopicResourceId "<resourceId>".
• Nonaktifkan fitur pemindaian malware on-upload atau deteksi ancaman data sensitif: Tetapkan-OnUploadIsEnabled:$false atau -SensitiveDataDiscoveryIsEnabled:$false, masing-masing.
• Nonaktifkan seluruh paket Defender for Storage: Atur IsEnabled:$false, -OnUploadIsEnabled:$false, dan -SensitiveDataDiscoveryIsEnabled:$false.

Tip

Anda dapat menggunakan Get-AzSecurityDefenderForStorage cmdlet untuk melihat pengaturan Defender for Storage untuk akun penyimpanan.

Untuk informasi selengkapnya tentang Update-AzSecurityDefenderForStorageRefer cmdlet, lihat referensi Azure PowerShell.

Tip

Anda dapat mengonfigurasi pemindaian malware untuk mengirim hasil pemindaian ke:

• Topik kustom Event Grid: Untuk respons otomatis hampir real-time berdasarkan setiap hasil pemindaian.
• Ruang kerja Analitik Log: Untuk menyimpan setiap pemindaian menghasilkan repositori log terpusat untuk kepatuhan dan audit.

Pelajari selengkapnya tentang cara menyiapkan respons untuk hasil pemindaian malware.

Konten terkait

• Pelajari cara mengaktifkan dan mengonfigurasi paket Defender for Storage dalam skala besar dengan menggunakan kebijakan bawaan Azure.
• Pelajari selengkapnya tentang menggunakan PowerShell dengan Defender untuk Cloud.