マルウェアスキャンの詳細な構成

[アーティクル]
08/12/2024

スキャン結果を以下に送信するようマルウェアスキャンを構成できます:

Event Grid カスタムトピック - 毎回のスキャン結果に基づいたほぼリアルタイムの自動応答を実現します。
Log Analytics ワークスペース - コンプライアンスと監査のため、一元化されたログリポジトリにすべてのスキャン結果を格納します。

ヒント

ハンズオンラボである忍者トレーニングの手順を試して、スキャン結果に対する応答を設定してマルウェアスキャンをエンドツーエンドでテストする方法についての詳細な手順を使用して、Defender for Storage のマルウェアスキャンを実際に使ってみることをお勧めします。これは 'ラボ' プロジェクトの一環で、お客様が Microsoft Defender for Cloud を活用し、その機能に関するハンズオンの実践的なエクスペリエンスを提供するのに役立ちます。

マルウェアスキャンのログ記録を設定する

マルウェアスキャンが有効になっているストレージアカウントごとに、Log Analytics ワークスペースの宛先を定義してすべてのスキャン結果を一元化されたログリポジトリに格納すると、簡単にクエリを実行できます。

Log Analytics にスキャン結果を送信する前に、Log Analytics ワークスペースを作成するか、既存のものを使用します。

Log Analytics の宛先を構成するには、該当のストレージアカウントに移動し、[Microsoft Defender for Cloud] タブを開き、構成する設定を選択します。

この構成は、REST API を使用して行うこともできます。

要求 URL:

PUT
https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroup}/providers/Microsoft.Storage/storageAccounts/{accountName}/providers/Microsoft.Security/DefenderForStorageSettings/current/providers/Microsoft.Insights/diagnosticSettings/service?api-version=2021-05-01-preview

要求本文:

{
    "properties": {
        "workspaceId": "/subscriptions/{subscriptionId}/resourcegroups/{resourceGroup}/providers/microsoft.operationalinsights/workspaces/{workspaceName}",
        "logs": [
            {
                "category": "ScanResults",
                "enabled": true,
                "retentionPolicy": {
                    "enabled": true,
                    "days": 180
                }
            }
        ]
    }
}

Note

Azure portal には、ストレージアカウントと同じサブスクリプションの Log Analytics ワークスペースが一覧表示されます。前述のように、REST API を使用して、同じテナントの別のサブスクリプションからの Log Analytics ワークスペースを構成できます。スキャン結果は、StorageMalwareScanningResults という名前のテーブルに記録されます。このテーブルは、最初のスキャン結果が記録されるときに作成されます。

マルウェアスキャンの Event Grid を設定する

マルウェアスキャンが有効になっているストレージアカウントごとに、自動化のために Event Grid イベントを使用してすべてのスキャン結果を送信するように構成できます。

スキャン結果を送信するように Event Grid を構成するには、まずカスタムトピックを事前に作成する必要があります。ガイダンスについては、カスタムトピックの作成に関する Event Grid のドキュメントを参照してください。ターゲット Event Grid カスタムトピックが、スキャン結果の送信元のストレージアカウントと同じリージョンに作成されていることを確認してください。
Event Grid カスタムトピックを構成するには、該当のストレージアカウントに移動し、[Microsoft Defender for Cloud] タブを開き、構成する設定を選択します。

Note

Event Grid カスタムトピックを設定するときは、サブスクリプションレベルの設定を確実にオーバーライドするために、[サブスクリプションレベルの Defender for Storage 設定をオーバーライドする] を [オン] に設定する必要があります。

Note

Azure portal には、ストレージアカウントと同じサブスクリプションの Event Grid トピックが一覧表示されます。以下で説明するように、REST API を使用して、同じテナントの別のサブスクリプションからの Event Grid トピックを構成できます。この構成は、REST API を使用して行うこともできます。

要求 URL:

PUT
https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroup}/providers/Microsoft.Storage/storageAccounts/{accountName}/providers/Microsoft.Security/DefenderForStorageSettings/current?api-version=2022-12-01-preview

要求本文:

{ 
    "properties": { 
        "isEnabled": true, 
        "malwareScanning": { 
            "onUpload": { 
                "isEnabled": true, 
                "capGBPerMonth": 5000 
            }, 
            "scanResultsEventGridTopicResourceId": "/subscriptions/{subscriptionId}/resourceGroups/{resourceGroup}/providers/Microsoft.EventGrid/topics/{EventGridTopicName}" 
        }, 
        "sensitiveDataDiscovery": { 
            "isEnabled": true 
        }, 
        "overrideSubscriptionLevelSettings": true 
    } 
}

サブスクリプションレベルの Defender for Storage 設定をオーバーライドする

サブスクリプションレベルの設定は、サブスクリプション内の各ストレージアカウントで Defender for Storage 設定を継承します。 Defender for Storage サブスクリプションレベルの設定をオーバーライドして、サブスクリプションレベルで構成されているものとは異なる個々のストレージアカウントの設定を構成します。

サブスクリプションの設定をオーバーライドすることは、通常、次のシナリオで使用されます:

マルウェアスキャンまたはデータ秘密度の脅威検出機能を有効または無効にします。
マルウェアスキャンのカスタム設定を構成します。
特定のストレージアカウントで Microsoft Defender for Storage を無効にします。

Note

サブスクリプション全体で Defender for Storage を有効にして、その中のすべての既存および将来のストレージアカウントを保護することをお勧めします。ただし、ユーザーが Defender の保護から特定のストレージアカウントを除外したいと考える場合もあります。除外することにした場合は、以下の手順に従って、オーバーライド設定を使用した後、該当のストレージアカウントを無効にします。 Defender for Storage (クラシック) を使用している場合は、ストレージアカウントを除外することもできます。

Azure portal

Azure portal を使用して、サブスクリプションレベルで構成されているものとは異なる個々のストレージアカウントの設定を構成するには:

Azure portal にサインインします。
カスタム設定を構成するストレージアカウントに移動します。
ストレージアカウントメニューの [セキュリティとネットワーク] セクションで、[Microsoft Defender for Cloud] を選択します。
Microsoft Defender for Storage の [設定] を選択します。
[サブスクリプションレベルの Defender for Storage 設定をオーバーライドする] ([詳細設定] の下) の状態を [オン] に設定します。これにより、このストレージアカウントに対してのみ設定が保存され、サブスクリプション設定によるオーバーランが防止されます。
変更する設定を構成します。
1. マルウェアスキャンまたは機密データの脅威検出を有効にするには、状態を [オン] に設定します。
2. マルウェアスキャンの設定を変更するには:
  1. [アップロード時マルウェアスキャン] がまだ有効になっていない場合は、[オン] に切り替えます。
  2. ストレージアカウントでのマルウェアスキャンの毎月のしきい値を調整するには、「1 か月あたりのスキャン GB の制限を設定する」 というパラメーターを目的の値に変更します。このパラメーターは、各月にマルウェアをスキャンできるデータの最大量 (特にストレージアカウントごとに) を決定します。無制限のスキャンを許可する場合は、このパラメーターをオフにすることができます。既定では、上限は 5,000 GB に設定されています。
このストレージアカウントで Defender for Storage を無効にするには、Microsoft Defender for Storage の状態を [オフ] に設定します。

[保存] を選択します。

REST API

REST API を使用してサブスクリプションレベルで構成されているものとは異なる個々のストレージアカウントの設定を構成するには:

次のエンドポイントで PUT 要求を作成します。エンドポイント URL 内の subscriptionId、resourceGroupName、accountName は、実際の Azure サブスクリプション ID、リソースグループ名、ストレージアカウント名に適宜置き換えてください。

要求 URL:

PUT
https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.Storage/storageAccounts/{accountName}/providers/Microsoft.Security/DefenderForStorageSettings/current?api-version=2022-12-01-preview

要求本文 :

{
    "properties": {
        "isEnabled": true,
        "malwareScanning": {
            "onUpload": {
                "isEnabled": true,
                "capGBPerMonth": 5000
            }
        },
        "sensitiveDataDiscovery": {
            "isEnabled": true
        },
        "overrideSubscriptionLevelSettings": true
    }
}

マルウェアスキャンまたは機密データの脅威検出を有効にするには、その機能の下にある isEnabled の値を true に設定します。
マルウェアスキャンの設定を変更するには、onUpload の関連フィールドを編集し、isEnabled の値が true であることを確認します。無制限のスキャンを許可する場合は、capGBPerMonth パラメーターに値 -1 を割り当てます。
このストレージアカウントで Defender for Storage を無効にするには、次の要求本文を使用します。
```
{
    "properties": {
        "isEnabled": false,
        "overrideSubscriptionLevelSettings": true
    }
}
```

必ずパラメーター overrideSubscriptionLevelSettings を追加し、その値を true に設定してください。これにより、このストレージアカウントに対してのみ設定が保存され、サブスクリプション設定によるオーバーランが防止されます。

次のステップ

マルウェアスキャンの設定に関する詳細を確認してください。

次の方法で共有

マルウェアスキャンの詳細な構成

マルウェアスキャンのログ記録を設定する

マルウェアスキャンの Event Grid を設定する

サブスクリプションレベルの Defender for Storage 設定をオーバーライドする

Azure portal

REST API

次のステップ

フィードバック

その他のリソース

次の方法で共有

マルウェア スキャンの詳細な構成

マルウェア スキャンのログ記録を設定する

マルウェア スキャンの Event Grid を設定する

サブスクリプション レベルの Defender for Storage 設定をオーバーライドする

Azure portal

REST API

次のステップ

フィードバック

その他のリソース

マルウェアスキャンの詳細な構成

マルウェアスキャンのログ記録を設定する

マルウェアスキャンの Event Grid を設定する

サブスクリプションレベルの Defender for Storage 設定をオーバーライドする