有効化と構成を REST API で行う

Defender for Storage をサブスクリプション レベルで有効にすることをお勧めします。 これにより、サブスクリプションに現在含まれているすべてのストレージ アカウントが保護されます。 サブスクリプション レベルで Defender for Storage を有効にした後に作成されたストレージ アカウントは、作成してから 24 時間後までに保護されます。

ヒント

いつでも、サブスクリプション レベルで構成されている設定とは異なるカスタム設定で特定のストレージ アカウントを構成する (サブスクリプション レベルの設定をオーバーライドする) ことができます。

サブスクリプションで有効にする

REST API を使用して Microsoft Defender for Storage をサブスクリプション レベルで有効にして構成するには、次のエンドポイントで PUT 要求を作成します (エンドポイント URL 内の subscriptionId は、実際の Azure サブスクリプション ID に置き換えてください)。

PUT
https://management.azure.com/subscriptions/{subscriptionId}/providers/Microsoft.Security/pricings/StorageAccounts?api-version=2023-01-01

次の要求本文を追加します。

{
    "properties": {
        "extensions": [
            {
                "name": "OnUploadMalwareScanning",
                "isEnabled": "True",
                "additionalExtensionProperties": {
                    "CapGBPerMonthPerStorageAccount": "5000"
                }
            },
            {
                "name": "SensitiveDataDiscovery",
                "isEnabled": "True"
            }
        ],
        "subPlan": "DefenderForStorageV2",
        "pricingTier": "Standard"
    }
}

ストレージ アカウントにおけるマルウェア スキャンの月次上限を変更するには、CapGBPerMonthPerStorageAccount パラメーターを目的の値に調整します。 このパラメーターでは、ストレージ アカウントごとに毎月マルウェアをスキャンできる最大データの上限を設定します。 無制限のスキャンを許可する場合は、値 -1 を割り当てます。 既定の上限は 5,000 GB に設定されています。

[アップロード時マルウェア スキャン] または [機密データの脅威検出] 機能をオフにするには、sensitiveDataDiscovery で isEnabled の値を False に変更します。

Defender プラン全体を無効にするには、pricingTier プロパティの値を Free に設定し、subPlan および extensions プロパティを削除します。

HTTP、Java、Go、JavaScript での REST API を使用した Defender プランの更新についての詳細を確認してください。

ストレージ アカウントで有効にする

REST API を使用して Microsoft Defender for Storage をストレージ アカウント レベルで有効にして構成するには、次のエンドポイントで PUT 要求を作成します。 エンドポイント URL 内の subscriptionId、resourceGroupName、accountName は、ご自身の Azure サブスクリプション ID、リソース グループ、ストレージ アカウントの名前に適宜置き換えてください。

PUT
https://management.azure.com/{resourceId}/providers/Microsoft.Security/defenderForStorageSettings/current?api-version=2022-12-01-preview

次の要求本文を追加します。

{
   "properties": {
        "isEnabled": true,
        "malwareScanning": {
            "onUpload": {
                "isEnabled": true,
                "capGBPerMonth": 5000
            },
   "scanResultsEventGridTopicResourceId": "/subscriptions/<Subscription>/resourceGroups/<resourceGroup>/providers/Microsoft.EventGrid/topics/<topicName>"
        },
        "sensitiveDataDiscovery": {
            "isEnabled": true
        },
        "overrideSubscriptionLevelSettings": true
    },
    "scope": "[resourceId('Microsoft.Storage/storageAccounts', parameters('StorageAccountName'))]"
}

ストレージ アカウントにおけるマルウェア スキャンの月次上限を変更するには、capGBPerMonth パラメーターを目的の値に調整します。 このパラメーターでは、ストレージ アカウントごとに毎月マルウェアをスキャンできる最大データの上限を設定します。 無制限のスキャンを許可する場合は、値 -1 を割り当てます。 既定の上限は 5,000 GB に設定されています。

[アップロード時マルウェア スキャン] または [機密データの脅威検出] 機能をオフにするには、malwareScanning または sensitiveDataDiscovery プロパティのセクションで isEnabled の値を False に変更します。

ストレージ アカウントで Defender プラン全体を無効にするには、isEnabled プロパティの値を False に設定し、properties から malwareScanning および sensitiveDataDiscovery のセクションを削除します。

Microsoft.Security/DefenderForStorageSettings API ドキュメントについて詳細をご確認ください。

ヒント

スキャン結果を以下に送信するようマルウェア スキャンを構成できます。
Event Grid カスタム トピック - 毎回のスキャン結果に基づいたほぼリアルタイムの自動応答を実現します。 スキャン イベントを Event Grid カスタム トピックに送信するようマルウェア スキャンを構成する方法について詳細をご確認ください。
Log Analytics ワークスペース - コンプライアンスと監査のため、一元化されたログ リポジトリにすべてのスキャン結果を格納します。 スキャン結果を Log Analytics ワークスペースに送信するようマルウェア スキャンを構成する方法について詳細をご確認ください。

マルウェア スキャン結果の応答を設定する方法について詳細をご確認ください。

次のステップ

• Azure 組み込みポリシーを使用して Defender for Storage プランを大規模に有効化および構成する方法をご確認ください。