Pré-requisitos para Microsoft Defender para Armazenamento
Este artigo lista os pré-requisitos e as permissões necessárias para habilitar o Defender para Armazenamento e seus recursos.
Pré-requisitos
É necessário ter uma assinatura do Microsoft Azure . Se você não tiver uma assinatura do Azure, você pode se inscrever para uma assinatura gratuita.
Você deve habilitar o Microsoft Defender para Nuvem em sua assinatura do Azure.
Há suporte para os tipos de armazenamento a seguir:
- Armazenamento de Blobs (Standard/Premium StorageV2, incluindo Data Lake Gen2) Monitoramento de atividades, verificação de malware, Descoberta de Dados confidenciais.
- Arquivos do Azure (por meio da API REST e do SMB): Monitoramento de atividades.
Permissões necessárias para habilitar o Defender para Armazenamento
Dependendo do cenário, você precisará de diferentes níveis de permissões para habilitar o Defender para Armazenamento e seus recursos. Você pode habilitar e configurar o Defender para Armazenamento no nível da assinatura ou no nível da conta de armazenamento. Também é possível utilizar as políticas internas do Azure para habilitar o Defender para Armazenamento e impor sua habilitação em um escopo desejado.
A seguinte tabela resume as permissões necessárias para cada cenário. As permissões são funções internas do Azure ou conjuntos de ações que você pode atribuir a funções personalizadas.
| Funcionalidade | Nível de assinatura | Nível da conta de armazenamento |
|---|---|---|
| Monitorando de atividades | Administrador de Segurança ou Preços/leitura, Preços/gravação | Administração de Segurança ou Microsoft.Security/defenderforstoragesettings/read, Microsoft.Security/defenderforstoragesettings/write |
| Verificação de Malware | Proprietário da Assinatura ou conjunto de ações 1 | Proprietário da Conta de Armazenamento ou conjunto de ações 2 |
| Detecção de ameaças de dados confidenciais | Proprietário da Assinatura ou conjunto de ações 1 | Proprietário da Conta de Armazenamento ou conjunto de ações 2 |
Observação
O monitoramento de atividades sempre é habilitado quando você habilita o Defender para Armazenamento.
Os conjuntos de ações são coleções de operações do provedor de recursos do Azure que você pode utilizar para criar funções personalizadas. Os conjuntos de ações para habilitar o Defender para Armazenamento e seus recursos são:
Conjunto de ações 1: habilitação e configuração no nível da assinatura
- Microsoft.Security/pricings/write
- Microsoft.Security/pricings/read
- Microsoft.Security/pricings/SecurityOperators/read
- Microsoft.Security/pricings/SecurityOperators/write
- Microsoft.Authorization/roleAssignments/read
- Microsoft.Authorization/roleAssignments/write
- Microsoft.Authorization/roleAssignments/delete
Conjunto de ações 2: habilitação e configuração no nível da conta de armazenamento
- Microsoft.Storage/storageAccounts/write
- Microsoft.Storage/storageAccounts/read
- Microsoft.Security/datascanners/read (deve ser concedido no nível da assinatura)
- Microsoft.Security/datascanners/write (deve ser concedido no nível da assinatura)
- Microsoft.Security/defenderforstoragesettings/read
- Microsoft.Security/defenderforstoragesettings/write
- Microsoft.EventGrid/eventSubscriptions/read
- Microsoft.EventGrid/eventSubscriptions/write
- Microsoft.EventGrid/eventSubscriptions/delete
- Microsoft.Authorization/roleAssignments/read
- Microsoft.Authorization/roleAssignments/write
- Microsoft.Authorization/roleAssignments/delete