Activer et configurer avec les modèles Infrastructure en tant que code (IaC)

Nous vous recommandons d’activer Defender pour le stockage au niveau de l’abonnement. Cela garantit que tous les comptes de stockage actuellement dans l'abonnement sont protégés. Les comptes de stockage créés après l’activation de Defender pour le stockage au niveau de l’abonnement sont protégés jusqu’à 24 heures après la création.

Conseil

Vous pouvez toujours configurer des comptes de stockage spécifiques avec des configurations personnalisées qui diffèrent des paramètres configurés au niveau de l’abonnement (remplacer les paramètres au niveau de l’abonnement).

Activer sur un abonnement

Modèle Terraform

Pour activer et configurer Microsoft Defender pour le stockage au niveau de l’abonnement à l’aide de Terraform, vous pouvez utiliser l’extrait de code suivant :

resource "azurerm_security_center_subscription_pricing" "DefenderForStorage" {
  tier          = "Standard"
  resource_type = "StorageAccounts"
  subplan       = "DefenderForStorageV2"
 
  extension {
    name = "OnUploadMalwareScanning"
    additional_extension_properties = {
      CapGBPerMonthPerStorageAccount = "5000"
    }
  }
 
  extension {
    name = "SensitiveDataDiscovery"
  }
}

Modification de la limite mensuelle pour l’analyse des programmes malveillants:

Pour modifier le plafond mensuel de l’analyse des programmes malveillants par compte de stockage, ajustez le paramètre CapGBPerMonthPerStorageAccount à votre valeur préférée. Ce paramètre définit une limite sur le nombre maximal de données pouvant être analysées pour les programmes malveillants chaque mois par compte de stockage. Si vous souhaitez autoriser une analyse illimitée, affectez la valeur -1. La limite par défaut est définie à 5 000 Go.

Désactivation des fonctionnalités:

Si vous souhaitez désactiver les fonctionnalités d’analyse des programmes malveillants lors du chargement ou de détection des menaces de données sensibles, vous pouvez supprimer le bloc d’extension correspondant du code Terraform.

Désactiver l’intégralité du plan Defender pour stockage:

Pour désactiver l’ensemble du plan Defender pour le stockage, définissez la valeur de la propriété tier sur « Gratuit » et supprimez les propriétés subPlan et extension.

Pour en savoir plus sur la ressource azurerm_security_center_subscription_pricing, consultez la documentation azurerm_security_center_subscription_pricing. En outre, vous trouverez des détails complets sur le fournisseur Terraform pour Azure dans la documentation du fournisseur Terraform AzureRM.

Modèle Bicep

Pour activer et configurer Microsoft Defender pour Stockage au niveau de l’abonnement à l’aide de Bicep, assurez-vous que votre étendue cible est définie sur l’abonnement, puis ajoutez ce qui suit à votre modèle Bicep :

resource StorageAccounts 'Microsoft.Security/pricings@2023-01-01' = {
  name: 'StorageAccounts'
  properties: {
    pricingTier: 'Standard'
    subPlan: 'DefenderForStorageV2'
    extensions: [
      {
        name: 'OnUploadMalwareScanning'
        isEnabled: 'True'
        additionalExtensionProperties: {
          CapGBPerMonthPerStorageAccount: '5000'
        }
      }
      {
        name: 'SensitiveDataDiscovery'
        isEnabled: 'True'
      }
    ]
  }
}

Modification de la limite mensuelle pour l’analyse des programmes malveillants:

Pour modifier le plafond mensuel de l’analyse des programmes malveillants par compte de stockage, ajustez le paramètre CapGBPerMonthPerStorageAccount à votre valeur préférée. Ce paramètre définit une limite sur le nombre maximal de données pouvant être analysées pour les programmes malveillants chaque mois par compte de stockage. Si vous souhaitez autoriser l’analyse illimitée, affectez la valeur -1. La limite par défaut est définie à 5 000 Go.

Désactivation des fonctionnalités:

Si vous souhaitez désactiver les fonctionnalités d’analyse des programmes malveillants lors du chargement ou de détection des menaces de données sensibles, vous pouvez modifier la valeur isEnabled sur False sous découverte des données sensibles.

Désactiver l’intégralité du plan Defender pour stockage:

Pour désactiver l’ensemble du plan Defender pour le stockage, définissez la valeur de la propriété pricingTier sur « Gratuit » et supprimez les propriétés subPlan et extensions.

Pour en savoir plus sur le modèle Bicep, consultez la documentation sur la sécurité et les tarifs Microsoft.

Modèle Azure Resource Manager

Pour activer et configurer Microsoft Defender pour le stockage au niveau de l’abonnement à l’aide d’un modèle ARM (Azure Resource Manager), ajoutez cet extrait de code JSON à la section ressources de votre modèle ARM :

{
    "type": "Microsoft.Security/pricings",
    "apiVersion": "2023-01-01",
    "name": "StorageAccounts",
    "properties": {
        "pricingTier": "Standard",
        "subPlan": "DefenderForStorageV2",
        "extensions": [
            {
                "name": "OnUploadMalwareScanning",
                "isEnabled": "True",
                "additionalExtensionProperties": {
                    "CapGBPerMonthPerStorageAccount": "5000"
                }
            },
            {
                "name": "SensitiveDataDiscovery",
                "isEnabled": "True"
            }
        ]
    }
}

Modification de la limite mensuelle pour l’analyse des programmes malveillants:

Pour modifier le plafond mensuel de l’analyse des programmes malveillants par compte de stockage, ajustez le paramètre CapGBPerMonthPerStorageAccount à votre valeur préférée. Ce paramètre définit une limite sur le nombre maximal de données pouvant être analysées pour les programmes malveillants chaque mois, par compte de stockage. Si vous souhaitez autoriser l’analyse illimitée, affectez la valeur -1. La limite par défaut est définie à 5 000 Go.

Désactivation des fonctionnalités:

Si vous souhaitez désactiver les fonctionnalités d’analyse des programmes malveillants lors du chargement ou de détection des menaces de données sensibles, vous pouvez modifier la valeur isEnabled sur False sous Découverte des données sensibles.

Désactiver l’intégralité du plan Defender pour stockage:

Pour désactiver l’ensemble du plan Defender pour le stockage, définissez la valeur de la propriété pricingTier sur « Gratuit » et supprimez les propriétés subPlan et extension.

Pour en savoir plus sur le modèle ARM, consultez la documentation sur la sécurité et les tarifs Microsoft.

Activer sur un compte de stockage

Modèle Terraform : compte de stockage

Pour activer et configurer Microsoft Defender pour le stockage au niveau du compte de stockage à l’aide de Terraform, importez le fournisseur AzAPI et utilisez l’extrait de code suivant :

resource "azurerm_storage_account" "example" { ... }

resource "azapi_resource_action" "enable_defender_for_Storage" {
  type        = "Microsoft.Security/defenderForStorageSettings@2022-12-01-preview"
  resource_id = "${azurerm_storage_account.example.id}/providers/Microsoft.Security/defenderForStorageSettings/current"
  method      = "PUT"

  body = jsonencode({
    properties = {
      isEnabled = true
      malwareScanning = {
        onUpload = {
          isEnabled     = true
          capGBPerMonth = 5000
        }
      }
      sensitiveDataDiscovery = {
        isEnabled = true
      }
      overrideSubscriptionLevelSettings = true
    }
  })
}

Remarque

L’action azapi_resource_action utilisée ici est spécifique à la configuration de Microsoft Defender pour le stockage. Il est différent des déclarations de ressources classiques dans Terraform, et est utilisé pour effectuer des actions spécifiques sur la ressource, telles que l’activation ou la désactivation de fonctionnalités.

Modification de la limite mensuelle pour l’analyse des programmes malveillants:

Pour modifier le plafond mensuel de l’analyse des programmes malveillants par compte de stockage, ajustez le paramètre capGBPerMonth à votre valeur préférée. Ce paramètre définit une limite sur le nombre maximal de données pouvant être analysées pour les programmes malveillants chaque mois, par compte de stockage. Si vous souhaitez autoriser une analyse illimitée, affectez la valeur -1. La limite par défaut est définie à 5 000 Go.

Désactivation des fonctionnalités:

Si vous souhaitez désactiver les fonctionnalités d’analyse des programmes malveillants lors du chargement ou de détection des menaces de données sensibles, vous pouvez modifier la valeur isEnabled sur False sous les sections de propriétés malwareScanning ou sensitiveDataDiscovery.

Désactiver l’intégralité du plan Defender pour stockage:

Pour désactiver l’ensemble du plan Defender pour le stockage pour le compte de stockage, vous pouvez utiliser l’extrait de code suivant :

resource "azurerm_storage_account" "example" { ... }

resource "azapi_resource_action" "disable_defender_for_Storage" {
  type        = "Microsoft.Security/defenderForStorageSettings@2022-12-01-preview"
  resource_id = "${azurerm_storage_account.example.id}/providers/Microsoft.Security/defenderForStorageSettings/current"
  method      = "PUT"

  body = jsonencode({
    properties = {
      isEnabled = false
      overrideSubscriptionLevelSettings = false
    }
  })
}

Vous pouvez modifier la valeur de overrideSubscriptionLevelSettings sur True pour désactiver le plan Defender pour le stockage pour le compte de stockage disposant des abonnements avec Defender pour le stockage activé au niveau de l’abonnement. Si vous souhaitez conserver certaines fonctionnalités activées, vous pouvez modifier les propriétés en conséquence. En savoir plus sur la documentation de l’API Microsoft.Security/defenderForStorageSettings pour une personnalisation et un contrôle supplémentaires des paramètres de sécurité de votre compte de stockage. En outre, vous trouverez des détails complets sur le fournisseur Terraform pour Azure dans la documentation du fournisseur Terraform AzureRM.

Modèle Bicep - compte de stockage

Pour activer et configurer Microsoft Defender pour stockage au niveau du compte à l’aide de Bicep, ajoutez les éléments suivants à votre modèle Bicep :

resource storageAccount 'Microsoft.Storage/storageAccounts@2021-04-01' ...

resource defenderForStorageSettings 'Microsoft.Security/DefenderForStorageSettings@2022-12-01-preview' = {
  name: 'current'
  scope: storageAccount
  properties: {
    isEnabled: true
    malwareScanning: {
      onUpload: {
        isEnabled: true
        capGBPerMonth: 5000
      }
    }
    sensitiveDataDiscovery: {
      isEnabled: true
    }
    overrideSubscriptionLevelSettings: true
  }
}

Modification de la limite mensuelle pour l’analyse des programmes malveillants:

Pour modifier le plafond mensuel de l’analyse des programmes malveillants dans vos comptes de stockage, remplacez le paramètre capGBPerMonth parameter par votre valeur préférée. Ce paramètre définit une limite sur le nombre maximal de données pouvant être analysées pour les programmes malveillants chaque mois, par compte de stockage. Si vous souhaitez autoriser l’analyse illimitée, affectez la valeur -1. La limite par défaut est définie à 5 000 Go.

Désactivation des fonctionnalités:

Si vous souhaitez désactiver les fonctionnalités d’analyse des programmes malveillants lors du chargement ou de détection des menaces de données sensibles, vous pouvez modifier la valeur isEnabled sur False sous les sections de propriétés malwareScanning ou sensitiveDataDiscovery.

Désactiver l’intégralité du plan Defender pour stockage:

Pour désactiver l’ensemble du plan Defender pour le compte de stockage, définissez la valeur de la propriété isEnabled sur False et supprimez les sections malwareScanning et sensitiveDataDiscovery de propriétés.

En savoir plus sur la documentation de l'API Microsoft.Security/DefenderForStorageSettings.

Conseil

Vous pouvez configurer l’analyse des programmes malveillants pour qu’elle envoie les résultats d’analyse aux destinataires suivants :
Rubrique personnalisée Event Grid : pour une réponse automatique en quasi-temps réel en fonction de chaque résultat d’analyse. Découvrez comment configurer l’analyse des programmes malveillants pour envoyer des événements d’analyse à une rubrique personnalisée Event Grid.
Espace de travail Log Analytics : pour stocker chaque résultat d’analyse dans un référentiel de journaux centralisé à des fins de conformité et d’audit. En savoir plus sur la configuration de l'analyse des logiciels malveillants pour envoyer les résultats de l'analyse à un espace de travail Log Analytics.

En savoir plus sur la configuration de la réponse aux résultats de l’analyse des programmes malveillants.

Modèle ARM - compte de stockage

Pour activer Microsoft Defender pour le stockage au niveau du compte de stockage via un modèle ARM, ajoutez cet extrait de code JSON à la section ressources de votre modèle ARM :

{
    "type": "Microsoft.Security/DefenderForStorageSettings",
    "apiVersion": "2022-12-01-preview",
    "name": "current",
    "properties": {
        "isEnabled": true,
        "malwareScanning": {
            "onUpload": {
                "isEnabled": true,
                "capGBPerMonth": 5000
            }
        },
        "sensitiveDataDiscovery": {
            "isEnabled": true
        },
        "overrideSubscriptionLevelSettings": true
    },
    "scope": "[resourceId('Microsoft.Storage/storageAccounts', parameters('StorageAccountName'))]"
}

Modification de la limite mensuelle pour l’analyse des programmes malveillants:

Pour modifier le plafond mensuel de l’analyse des programmes malveillants par compte de stockage, ajustez le paramètre capGBPerMonth à votre valeur préférée. Ce paramètre définit une limite sur le nombre maximal de données pouvant être analysées pour les programmes malveillants chaque mois, par compte de stockage. Si vous souhaitez autoriser une analyse illimitée, affectez la valeur -1. La limite par défaut est définie à 5 000 Go.

Désactivation des fonctionnalités:

Si vous souhaitez désactiver les fonctionnalités d’analyse des programmes malveillants lors du chargement ou de détection des menaces de données sensibles, vous pouvez modifier la valeur isEnabled sur False sous les sections de propriétés malwareScanning ou sensitiveDataDiscovery.

Désactiver l’intégralité du plan Defender pour stockage:

Pour désactiver l’ensemble du plan Defender pour le compte de stockage, définissez la valeur de la propriété isEnabled sur False et supprimez les sections malwareScanning et sensitiveDataDiscovery de propriétés.

Étape suivante

En savoir plus sur la documentation de l'API Microsoft.Security/DefenderForStorageSettings.