新しい Defender for Storage プランに移行する

[アーティクル]
10/15/2024

2023 年 3 月 28 日に、新しい Defender for Storage プランが導入されました。このプランには、Defender for Storage (クラシック) のトランザクションごとまたはストレージアカウントごとの価格プランでは使用できないいくつかの利点があります。次に例を示します。

強化されたアクティビティ監視: 脅威検出のためのデータプレーンとコントロールプレーンアクティビティの継続的な分析。
侵害された SAS トークンまたは不正使用された SAS トークンの検出: 漏洩または侵害された可能性のある誤って構成され、過度に制限された Shared Access Signature (SAS トークン) の検出など、脅威検出のためのデータプレーンとコントロールプレーンアクティビティの継続的な分析。
機密データ脅威検出 (アドオン) を有効にするオプション : 潜在的な露出イベントの検出とデータ流出の結果として生じる機密データを含むリソースに対する疑わしいアクティビティ。
マルウェアスキャン (有料アドオン) を有効にするオプション : すべての種類のファイルで悪意のあるファイルをリアルタイムで検出。
予測可能なストレージアカウントごとの価格設定: カバレッジをより適切に制御するための、予測可能で柔軟な価格構造。
リソースレベルでの粒度制御: サブスクリプションレベルやリソースレベルで有効化でき、保護されているサブスクリプションから特定のストレージアカウントを除外し、セキュリティカバレッジをよりきめ細かく制御します。

新しいプランには、保護するストレージアカウントの数に基づいて課金される価格プランも含まれています。これにより、コスト計算が簡略化され、ニーズの変化に応じたスケーリングが容易になります。料金詳細については、「価格設定」ページを参照してください。

これらの機能を利用するには、2025 年 2 月 5 日までに新しい Defender for Storage プランに移行することをが推奨されます。

Note

2025 年 2 月 5 日以降、ほとんどのシナリオでは、従来のトランザクションごとの価格プランである Defender for Storage (クラシック) を有効にできなくなります。唯一の例外として、トランザクションごとの価格が既に有効になっているサブスクリプションが挙げられます。

Defender for Storage (クラシック) の重要な変更

Defender for Storage (クラシック) には、トランザクションごととストレージアカウントごとの 2 つの価格構造が用意されています。 2025 年 2 月 5 日から、このプランは、ストレージアカウントごとの価格で Defender for Storage に移行します。

トランザクションごとの Defender for Storage (クラシック) プランへの影響

従来のトランザクションごとのプランは、新しいストレージアカウントとサブスクリプションでは使用できなくなります。既存のアカウントでは、今後の機能や更新プログラムなしでプランが保持されるため、強化された機能と簡略化された価格設定の場合新しいプランに移行することが推奨されます。サブスクリプションまたはストレージアカウントでトランザクションごとのクラシックプランが既に有効になっている場合は、アクティブなままになりますが、リソースレベルでこのプランを有効にできるのは、これらの既存のサブスクリプションに対してのみ可能です。

トランザクションごとのサブプランを指定せずに従来のトランザクションごとのプランを適用するポリシーがある場合、既存のサブスクリプションは現在のプランを保持し、新しいサブスクリプションは既定で新しいプランになります。ただし、トランザクションごとのサブプランを指定すると、新しいサブスクリプションでは失敗します。新しいプランに切り替えると、サブスクリプションまたはストレージアカウントレベルで、トランザクションごとまたはストレージアカウントごとの Defender for Storage (クラシック) プランに戻すことができるようになります。

アクティブな Defender for Storage プランを特定する

Defender for Storage プランの有効化と構成を確認するには、次の 3 つのオプションがあります。

Resource Graph エクスプローラーの KQL クエリ: Azure Portal の Resource Graph Explorer で次の KQL クエリを使用して、サブスクリプションレベルで有効になっているプランを表示します。

// DF-Storage Plans
securityresources
| where type == "microsoft.security/pricings"
| where name == "StorageAccounts"
| extend pricingTier = properties.pricingTier
| extend DefenderForStoragePlan = properties.subPlan
| extend IsInTrialPeriod = properties.freeTrialRemainingTime
| extend MalwareScanningEnabled = properties.extensions[0].isEnabled
| extend MalwareScanningCapping = properties.extensions[0].additionalExtensionProperties["CapGBPerMonthPerStorageAccount"]
| extend SensitiveDataDiscoveryEnabled = properties.extensions[1].isEnabled
| extend IsEnabled = iff(pricingTier == "Free", "Disabled", "Enabled"), 
    DefenderForStoragePlan  = iff(isnull(DefenderForStoragePlan ), "", DefenderForStoragePlan ), 
    MalwareScanningEnabled = iff(isnull(MalwareScanningEnabled), "", MalwareScanningEnabled), 
    MalwareScanningCapping = iff(isnull(MalwareScanningCapping), "", MalwareScanningCapping), 
    SensitiveDataDiscoveryEnabled = iff(isnull(SensitiveDataDiscoveryEnabled), "", SensitiveDataDiscoveryEnabled),
    IsInTrialPeriod = iff(IsInTrialPeriod == "PT0S", "", "Yes")
| project properties, tenantId, subscriptionId, IsInTrialPeriod, IsEnabled, DefenderForStoragePlan, MalwareScanningEnabled, MalwareScanningCapping, SensitiveDataDiscoveryEnabled

PowerShell スクリプトを使用した詳細な分析: サブスクリプションレベルとリソースレベル (アドオン構成) の両方の情報など、より詳細な調査を行う場合は、この PowerShell スクリプトを実行します。
サブスクリプションレベルのカバレッジ詳細のワークブック: 指定されたワークブックを使用して、サブスクリプションレベルで有効になっているプランとその構成の詳細を確認します。ワークブックにアクセスるには、「Microsoft Defender for Storage - 価格見積ダッシュボード」を参照してください。

移行の方法

新しい Microsoft Defender for Storage プランを有効にして構成するには、いくつかのオプションがあります。

Azure 組み込みポリシー (推奨): 組み込みポリシーを適用を管理グループなど、定義されたスコープ内のすべての既存および将来のストレージアカウントを大規模かつ一様にセキュリティで保護します。
Infrastructure as Code (IaC) テンプレート: 自動デプロイと構成には、 Teraform、Bicep、または Azure Resource Manager テンプレートを使用します。
Azure Portal: Azure Portal を使用して新しいプランに移行します。
1. Defender for Cloud または、ストレージアカウントの 1 つにある Defender for Cloud の[環境設定] に移動します。
2. [ストレージ] で、[利用可能な新規プラン] を選択します。
3. [Defender for Storage プランのアップグレード] ペインで、構成オープンを選択し、[サブスクリプションをアップグレード] を選択します。
REST API: REST API を使用してプログラムで新しいプランを有効にします。

アクティブなポリシーを特定する

新しいプランを有効にするには、古い Defender for Storage ポリシーを無効にしてください。

「Azure Defender for Storage を有効にするように構成する」
「Azure Defender for Storage を有効化する必要がある」
「Microsoft Defender for Storage を有効にするように構成する (ストレージごとのアカウントプラン)」
「Configure Microsoft Defender for Storage (クラシック) を有効にするように構成する」
「ストレージアカウントに Defender for Storage (クラシック) をデプロイする」

次のいずれかの方法を使用すると、アクティブなコポリシーを識別できます。

Azure Resource Graph エクスプローラー

Azure Resource Graph Explorer を使用してサブスクリプション内のアクティブなポリシーを識別するには、古い Defender for Storage ポリシーを含む次のクエリを実行します。カスタムポリシーがある場合は、それに応じてクエリを変更します。

policyresources
| where type == "microsoft.authorization/policyassignments"
| where subscriptionId == "{subscriptionId}"
| where properties['displayName'] in ("Configure Azure Defender for Storage to be enabled", "Azure Defender for Storage should be enabled", "Configure Microsoft Defender for Storage to be enabled (per-storage account plan)", "Configure Microsoft Defender for Storage (Classic) to be enabled", "Deploy Defender for Storage (Classic) on storage accounts")

PowerShell

PowerShell を使用してサブスクリプション内のアクティブなポリシーを識別するには、次を実行します。

Get-AzPolicyAssignment -Scope "/subscriptions/{subscriptionId}"

次のステップ

この記事では、新しい Microsoft Defender for Storage プランに移行する方法について説明しました。

Defender for Storage を有効にする

次の方法で共有