코드 제공 인프라 템플릿을 사용하여 사용 및 구성

구독 수준에서 스토리지용 Defender를 사용하도록 설정하는 것이 좋습니다. 이렇게 하면 현재 구독에 있는 모든 스토리지 계정이 보호됩니다. 구독 수준에서 Defender for Storage를 사용하도록 설정한 후 생성된 스토리지 계정은 만든 후 최대 24시간 동안 보호됩니다.

팁

구독 수준에서 구성된 설정과 다른 사용자 지정 구성을 사용하여 언제든지 특정 스토리지 계정을 구성할 수 있습니다(구독 수준 설정 재정의).

구독에서 사용

Terraform 템플릿

Terraform을 사용하여 구독 수준에서 스토리지용 Microsoft Defender를 사용하도록 설정하고 구성하려면 다음 코드 조각을 사용하면 됩니다.

resource "azurerm_security_center_subscription_pricing" "DefenderForStorage" {
  tier          = "Standard"
  resource_type = "StorageAccounts"
  subplan       = "DefenderForStorageV2"
 
  extension {
    name = "OnUploadMalwareScanning"
    additional_extension_properties = {
      CapGBPerMonthPerStorageAccount = "5000"
    }
  }
 
  extension {
    name = "SensitiveDataDiscovery"
  }
}

맬웨어 검사에 대한 월별 한도 수정:

스토리지 계정당 맬웨어 검사에 대한 월별 한도를 수정하려면 CapGBPerMonthPerStorageAccount 매개 변수를 원하는 값으로 조정합니다. 이 매개 변수는 스토리지 계정당 매월 맬웨어를 검사할 수 있는 최대 데이터에 대한 한도를 설정합니다. 무제한 검사를 허용하려면 "-1" 값을 할당합니다. 기본 제한은 5,000GB로 설정됩니다.

기능 사용 안 함:

업로드 중인 맬웨어 검사 또는 중요한 데이터 위협 검색 기능을 해제하려면 Terraform 코드에서 해당 확장 블록을 제거하면 됩니다.

전체 스토리지용 Defender 계획 사용 안 함:

전체 스토리지용 Defender 계획을 사용하지 않도록 설정하려면 tier 속성 값을 "Free"로 설정하고 subPlan 및 extension 속성을 제거합니다.

azurerm_security_center_subscription_pricingazurerm_security_center_subscription_pricing 설명서를 참조하여 리소스에 대해 자세히 알아봅니다. 또한 Terraform AzureRM 공급자 설명서에서 Azure용 Terraform 공급자에 대한 포괄적인 세부 정보를 확인할 수 있습니다.

Bicep 템플릿

Bicep을 사용하여 구독 수준에서 스토리지용 Microsoft Defender를 사용하도록 설정하고 구성하려면 대상 범위가 구독으로 설정되었는지 확인하고 다음을 Bicep 템플릿에 추가합니다.

resource StorageAccounts 'Microsoft.Security/pricings@2023-01-01' = {
  name: 'StorageAccounts'
  properties: {
    pricingTier: 'Standard'
    subPlan: 'DefenderForStorageV2'
    extensions: [
      {
        name: 'OnUploadMalwareScanning'
        isEnabled: 'True'
        additionalExtensionProperties: {
          CapGBPerMonthPerStorageAccount: '5000'
        }
      }
      {
        name: 'SensitiveDataDiscovery'
        isEnabled: 'True'
      }
    ]
  }
}

맬웨어 검사에 대한 월별 한도 수정:

스토리지 계정당 맬웨어 검사에 대한 월별 한도를 수정하려면 CapGBPerMonthPerStorageAccount 매개 변수를 원하는 값으로 조정합니다. 이 매개 변수는 스토리지 계정당 매월 맬웨어를 검사할 수 있는 최대 데이터에 대한 한도를 설정합니다. 무제한 검사를 허용하려면 -1 값을 할당합니다. 기본 제한은 5,000GB로 설정됩니다.

기능 사용 안 함:

업로드 시 맬웨어 검사 또는 중요한 데이터 위협 검색 기능을 끄려면 중요한 데이터 검색 아래에서 isEnabled 값을 False로 변경하면 됩니다.

전체 스토리지용 Defender 계획 사용 안 함:

전체 스토리지용 Defender 계획을 사용하지 않도록 설정하려면 pricingTier 속성 값을 Free로 설정하고 subPlan 및 extensions 속성을 제거합니다.

Microsoft 보안/가격 책정 설명서에서 Bicep 템플릿에 대해 자세히 알아봅니다.

Azure Resource Manager 템플릿

ARM(Azure Resource Manager) 템플릿을 사용하여 구독 수준에서 스토리지용 Microsoft Defender를 사용하도록 설정하고 구성하려면 ARM 템플릿의 리소스 섹션에 다음 JSON 조각을 추가합니다.

{
    "type": "Microsoft.Security/pricings",
    "apiVersion": "2023-01-01",
    "name": "StorageAccounts",
    "properties": {
        "pricingTier": "Standard",
        "subPlan": "DefenderForStorageV2",
        "extensions": [
            {
                "name": "OnUploadMalwareScanning",
                "isEnabled": "True",
                "additionalExtensionProperties": {
                    "CapGBPerMonthPerStorageAccount": "5000"
                }
            },
            {
                "name": "SensitiveDataDiscovery",
                "isEnabled": "True"
            }
        ]
    }
}

맬웨어 검사에 대한 월별 한도 수정:

스토리지 계정의 맬웨어 검사에 대한 월별 임계값을 수정하려면 간단히 CapGBPerMonthPerStorageAccount 매개 변수를 원하는 값으로 조정합니다. 이 매개 변수는 스토리지 계정당 매월 맬웨어를 검사할 수 있는 최대 데이터의 한도를 설정합니다. 무제한 검사를 허용하려면 -1 값을 할당합니다. 기본 제한은 5,000GB로 설정됩니다.

기능 사용 안 함:

업로드 시 맬웨어 검사 또는 중요한 데이터 위협 검색 기능을 끄려면 중요한 데이터 검색 아래에서 isEnabled 값을 False로 변경하면 됩니다.

전체 스토리지용 Defender 계획 사용 안 함:

전체 Defender 계획을 사용하지 않도록 설정하려면 pricingTier 속성 값을 Free로 설정하고 subPlan 및 extension 속성을 제거합니다.

Microsoft.Security/Pricings 설명서에서 ARM 템플릿에 대해 자세히 알아봅니다.

스토리지 계정에서 사용

Terraform 템플릿 - 스토리지 계정

Terraform을 사용하여 스토리지 계정 수준에서 스토리지용 Microsoft Defender를 사용하도록 설정하고 구성하려면 AzAPI 공급자를 가져오고 다음 코드 조각을 사용합니다.

resource "azurerm_storage_account" "example" { ... }

resource "azapi_resource_action" "enable_defender_for_Storage" {
  type        = "Microsoft.Security/defenderForStorageSettings@2022-12-01-preview"
  resource_id = "${azurerm_storage_account.example.id}/providers/Microsoft.Security/defenderForStorageSettings/current"
  method      = "PUT"

  body = jsonencode({
    properties = {
      isEnabled = true
      malwareScanning = {
        onUpload = {
          isEnabled     = true
          capGBPerMonth = 5000
        }
      }
      sensitiveDataDiscovery = {
        isEnabled = true
      }
      overrideSubscriptionLevelSettings = true
    }
  })
}

참고 항목

여기서 사용되는 azapi_resource_action은 스토리지용 Microsoft Defender 구성과 관련된 작업입니다. Terraform의 일반적인 리소스 선언과는 다르며, 기능 사용 또는 사용 안 함과 같은 리소스에 대한 특정 작업을 수행하는 데 사용됩니다.

맬웨어 검사에 대한 월별 한도 수정:

스토리지 계정의 맬웨어 검사에 대한 월별 임계값을 수정하려면 간단히 capGBPerMonth 매개 변수를 원하는 값으로 조정합니다. 이 매개 변수는 스토리지 계정당 매월 맬웨어를 검사할 수 있는 최대 데이터의 한도를 설정합니다. 무제한 검사를 허용하려면 "-1" 값을 할당합니다. 기본 제한은 5,000GB로 설정됩니다.

기능 사용 안 함:

업로드 시 맬웨어 검사 또는 중요한 데이터 위협 검색 기능을 끄려면 malwareScanning 또는 sensitiveDataDiscovery 속성 섹션 아래에서 isEnabled 값을 False로 변경하면 됩니다.

전체 스토리지용 Defender 계획 사용 안 함:

스토리지 계정에 대한 전체 스토리지용 Defender 계획을 사용하지 않도록 설정하려면 다음 코드 조각을 사용하면 됩니다.

resource "azurerm_storage_account" "example" { ... }

resource "azapi_resource_action" "disable_defender_for_Storage" {
  type        = "Microsoft.Security/defenderForStorageSettings@2022-12-01-preview"
  resource_id = "${azurerm_storage_account.example.id}/providers/Microsoft.Security/defenderForStorageSettings/current"
  method      = "PUT"

  body = jsonencode({
    properties = {
      isEnabled = false
      overrideSubscriptionLevelSettings = false
    }
  })
}

overrideSubscriptionLevelSettings 값을 True로 변경하여 구독 수준에서 스토리지용 Defender이 사용하도록 설정된 구독에서 스토리지 계정에 대한 스토리지용 Defender 계획을 사용하지 않도록 설정하면 됩니다. 일부 기능을 사용하도록 설정하려면 그에 따라 속성을 수정하면 됩니다. 스토리지 계정의 보안 설정을 추가로 사용자 지정하고 제어하려면 Microsoft.Security/defenderForStorageSettings API 설명서에 대해 자세히 알아보세요. 또한 Terraform AzureRM 공급자 설명서에서 Azure용 Terraform 공급자에 대한 포괄적인 세부 정보를 확인할 수 있습니다.

Bicep 템플릿 - 스토리지 계정

Bicep을 사용하여 스토리지 계정 수준에서 스토리지용 Microsoft Defender를 사용하도록 설정하고 구성하려면 Bicep 템플릿에 다음을 추가합니다.

resource storageAccount 'Microsoft.Storage/storageAccounts@2021-04-01' ...

resource defenderForStorageSettings 'Microsoft.Security/DefenderForStorageSettings@2022-12-01-preview' = {
  name: 'current'
  scope: storageAccount
  properties: {
    isEnabled: true
    malwareScanning: {
      onUpload: {
        isEnabled: true
        capGBPerMonth: 5000
      }
    }
    sensitiveDataDiscovery: {
      isEnabled: true
    }
    overrideSubscriptionLevelSettings: true
  }
}

맬웨어 검사에 대한 월별 한도 수정:

스토리지 계정의 맬웨어 검사에 대한 월별 임계값을 수정하려면 간단히 capGBPerMonth parameter를 원하는 값으로 조정합니다. 이 매개 변수는 스토리지 계정당 매월 맬웨어를 검사할 수 있는 최대 데이터의 한도를 설정합니다. 무제한 검사를 허용하려면 -1 값을 할당합니다. 기본 제한은 5,000GB로 설정됩니다.

기능 사용 안 함:

업로드 시 맬웨어 검사 또는 중요한 데이터 위협 검색 기능을 끄려면 malwareScanning 또는 sensitiveDataDiscovery 속성 섹션 아래에서 isEnabled 값을 False로 변경하면 됩니다.

전체 스토리지용 Defender 계획 사용 안 함:

스토리지 계정용 전체 Defender 계획을 사용하지 않도록 설정하려면 isEnabled 속성 값을 False로 설정하고 속성에서 malwareScanning 및 sensitiveDataDiscovery 섹션을 제거합니다.

Microsoft.Security/DefenderForStorageSettings API 설명서에 대해 자세히 알아봅니다.

팁

검사 결과를 다음으로 보내도록 맬웨어 검사를 구성할 수 있습니다.
Event Grid 사용자 지정 항목 - 모든 검사 결과를 기반으로 거의 실시간으로 자동 응답합니다. 검사 이벤트를 Event Grid 사용자 지정 항목으로 보내도록 맬웨어 검사를 구성하는 방법을 자세히 알아봅니다.
Log Analytics 작업 영역 - 준수 및 감사를 위해 모든 검사 결과를 중앙 로그 리포지토리에 저장합니다. 검사 결과를 Log Analytics 작업 영역으로 보내도록 맬웨어 검사를 구성하는 방법을 자세히 알아봅니다.

맬웨어 검사 결과에 대한 응답을 설정하는 방법에 대해 자세히 알아봅니다.

ARM 템플릿 - 스토리지 계정

ARM 템플릿을 사용하여 스토리지 계정 수준에서 스토리지용 Microsoft Defender를 사용하도록 설정하고 구성하려면 ARM 템플릿의 리소스 섹션에 다음 JSON 조각을 추가합니다.

{
    "type": "Microsoft.Security/DefenderForStorageSettings",
    "apiVersion": "2022-12-01-preview",
    "name": "current",
    "properties": {
        "isEnabled": true,
        "malwareScanning": {
            "onUpload": {
                "isEnabled": true,
                "capGBPerMonth": 5000
            }
        },
        "sensitiveDataDiscovery": {
            "isEnabled": true
        },
        "overrideSubscriptionLevelSettings": true
    },
    "scope": "[resourceId('Microsoft.Storage/storageAccounts', parameters('StorageAccountName'))]"
}

맬웨어 검사에 대한 월별 한도 수정:

스토리지 계정의 맬웨어 검사에 대한 월별 임계값을 수정하려면 간단히 capGBPerMonth 매개 변수를 원하는 값으로 조정합니다. 이 매개 변수는 스토리지 계정당 매월 맬웨어를 검사할 수 있는 최대 데이터의 한도를 설정합니다. 무제한 검사를 허용하려면 "-1" 값을 할당합니다. 기본 제한은 5,000GB로 설정됩니다.

기능 사용 안 함:

업로드 시 맬웨어 검사 또는 중요한 데이터 위협 검색 기능을 끄려면 malwareScanning 또는 sensitiveDataDiscovery 속성 섹션 아래에서 isEnabled 값을 False로 변경하면 됩니다.

전체 스토리지용 Defender 계획 사용 안 함:

스토리지 계정용 전체 Defender 계획을 사용하지 않도록 설정하려면 isEnabled 속성 값을 False로 설정하고 속성에서 malwareScanning 및 sensitiveDataDiscovery 섹션을 제거합니다.

다음 단계

Microsoft.Security/DefenderForStorageSettings API 설명서에 대해 자세히 알아봅니다.