Что такое Microsoft Defender для хранилища

Microsoft Defender для облака предоставляет встроенный в Azure уровень аналитики безопасности, который определяет потенциальные угрозы для учетных записей хранения с помощью планом Defender для хранилищ.

Defender для хранилища предотвращает распространение вредоносных файлов путем сканирования объектов при загрузке и по запросу, утечку конфиденциальных данных и повреждение данных, обеспечивая безопасность и целостность ваших данных и рабочих нагрузок.

Defender для хранилища обеспечивает комплексную безопасность, анализируя телеметрию уровня данных и уровня управления, создаваемую службами Хранилище BLOB-объектов Azure, Файлы Azure и Azure Data Lake Storage. В ней используются расширенные возможности обнаружения угроз с помощью Аналитика угроз Microsoft Defender, антивирусной программы Microsoft Defender и обнаружения чувствительных данных для выявления и устранения потенциальных угроз.

Анимированная схема, показывающая, как Defender для хранилища защищает от распространенных угроз для данных.

Функции Defender для хранилища

Defender для хранилища включает следующие функции:

Мониторинг действий . Обнаружение необычных и потенциально опасных действий с учетом учетных записей хранения путем анализа шаблонов доступа и поведения. Это полезно для выявления несанкционированного доступа, попыток кражи данных и других угроз безопасности.
Обнаружение угроз конфиденциальных данных. Определение и защита конфиденциальных данных в учетных записях хранения путем обнаружения подозрительных действий, которые могут указывать на потенциальную угрозу безопасности. Defender для хранилища повышает безопасность конфиденциальной информации, хранящейся в Azure, отслеживая такие действия, как необычные шаблоны доступа к данным или потенциальные кражи данных.
Проверка на наличие вредоносных программ — проверка учетных записей хранения на наличие вредоносных программ путем анализа объектов на наличие известных угроз и подозрительного содержимого. Это помогает выявлять и устранять потенциальные риски безопасности от вредоносных объектов, которые могут храниться или загружаться в учетных записях хранения Azure. В результате это повышает общую безопасность хранилища данных.
Ответ на основе событий — активируйте автоматическое исправление при обнаружении вредоносных программ путем интеграции с Сетка событий Azure. Подключите Функции Azure или Logic Apps, чтобы автоматически удалять вредоносные BLOB-объекты, помещать их в карантин или отправлять оповещения о них почти в реальном времени. См. настройка автоматического устранения при обнаружении вредоносных программ.

Вы можете включить Defender для хранилища без участия агента на уровне подписки, уровне ресурсов или в широком масштабе.

При включении Defender для хранилища на уровне подписки все существующие и вновь созданные учетные записи хранения в этой подписке автоматически включены и защищены. Вы можете исключить определенные учетные записи хранения из защищенных подписок.

Note

Если у вас включен Защитник для хранилища (классическая версия) и вы хотите получить доступ к текущим функциям безопасности и ценам, вам потребуется перейти на новый тарифный план.

Benefits

Схема, показывающая преимущества использования Defender для хранения данных.

Defender для хранилища предоставляет следующие функции:

Улучшенная защита от вредоносных программ: сканирование вредоносных программ обнаруживает вредоносные программы в объектах (больших двоичных объектах и файлах). Она обеспечивает быстрые и надежные результаты, предотвращая использование учетных записей хранения в качестве точки входа и распространения для угроз. Дополнительные сведения о сканировании вредоносных программ.
Улучшено обнаружение угроз и защита конфиденциальных данных: обнаружение угроз конфиденциальной информации помогает специалистам по безопасности определять приоритеты и эффективно проверять оповещения системы безопасности. Он рассматривает конфиденциальность данных, подверженных риску, улучшение обнаружения и защиты от потенциальных угроз. Эта возможность снижает вероятность нарушений данных путем выявления и решения наиболее важных рисков. Она улучшает защиту конфиденциальных данных, обнаруживая события воздействия и подозрительные действия в ресурсах, содержащих конфиденциальные данные. Дополнительные сведения об обнаружении угроз конфиденциальных данных.
Обнаружение сущностей без удостоверений: Defender для Хранилища обнаруживает подозрительные действия от сущностей без удостоверений, обращающиеся к данным с использованием неправильно настроенных и чрезмерно разрешительных Подписей общего доступа (SAS). Эти SAS могут быть утечкой или скомпрометированы. Вы можете повысить безопасность и снизить риск несанкционированного доступа. Эта возможность расширяет набор оповещений системы безопасности мониторинга активности.
Освещение основных угроз облачного хранилища: Defender Storage работает с помощью Microsoft Threat Intelligence, моделей поведения и моделей машинного обучения для обнаружения нестандартных и подозрительных действий. Оповещения системы безопасности защитника для хранилища охватывают основные угрозы облачного хранилища, такие как утечка конфиденциальных данных, повреждение данных и отправка вредоносных файлов.
Комплексная безопасность без включения журналов. При активации Microsoft Defender для хранилища, он непрерывно анализирует потоки данных и телеметрии из служб Хранилище BLOB-объектов Azure, Файлы Azure и Azure Data Lake Storage. Не нужно включать журналы диагностики для анализа.
Беспрепятственное обеспечение в масштабе: Microsoft Defender для хранилища — это решение без агентов, простое в развертывании и позволяющее обеспечивать безопасность в масштабе с помощью встроенного решения Azure.

Как работает Defender для хранилища?

Мониторинг активности

Defender для хранилища постоянно анализирует журналы данных и уровней управления из защищенных учетных записей хранения. Не нужно включать журналы ресурсов для получения преимуществ безопасности. Microsoft Threat Intelligence определяет подозрительные подписи, такие как вредоносные IP-адреса, узлы выхода tor и потенциально опасные приложения. Он создает модели данных и использует статистические и методы машинного обучения для выявления аномалий базовых действий, которые могут указывать на вредоносное поведение. Вы получаете оповещения о подозрительных действиях, но система Defender для хранения гарантирует, что вы не будете получать слишком много подобных уведомлений. Мониторинг активности не влияет на производительность, емкость приема или доступ к данным.

Схема, показывающая, как мониторинг действий определяет угрозы для данных.

Сканирование на наличие вредоносных программ (на базе антивирусной программы Microsoft Defender)

Сканирование вредоносного ПО в Defender for Storage защищает аккаунты хранения от вредоносных объектов путём полного сканирования загруженных объектов на вредоносное ПО или с помощью сканирования по требованию — включая целенаправленное сканирование определённых скоплений, файлов, контейнеров или совместных файлов — с применением возможностей антивируса Microsoft Defender. Он выполняет требования к безопасности и соответствию требованиям для обработки ненадежного содержимого. После сканирования файла результаты возвращаются с помощью различных методов. Сканирование вредоносных программ — это решение SaaS без агента, которое позволяет выполнять простую настройку в масштабе с нулевым обслуживанием и поддерживает исправление вредоносных файлов в большом масштабе. Сканирование вредоносных программ — это настраиваемая функция в новом плане Защитника для хранилища, который предоставляется по цене за отсканированные ГБ. Дополнительные сведения о сканировании вредоносных программ.

Обнаружение угроз конфиденциальных данных (с поддержкой функции Обнаружения конфиденциальных данных)

Обнаружение угроз конфиденциальной данных помогает группам безопасности определять приоритеты и эффективно проверять оповещения системы безопасности. Он рассматривает конфиденциальность данных, подверженных риску, улучшение обнаружения и предотвращения нарушений данных. Обнаружение угроз конфиденциальных данных осуществляется с помощью "Sensitive Data Discovery" — системы без агентов, использующей интеллектуальный метод выборки для нахождения ресурсов с конфиденциальными данными. Обнаружение конфиденциальных данных интегрируется с типами конфиденциальной информации (SIT) и метками классификации Microsoft Purview, что упрощает наследование настроек уровня конфиденциальности вашей организации.

Обнаружение угроз для конфиденциальных данных — это настраиваемая функция в новом плане Defender для хранилища. Вы можете включить или отключить его без дополнительных затрат. Дополнительные сведения см. в статье "Обнаружение угроз конфиденциальных данных".

Элементы управления ценами и затратами

Цены за учетную запись хранения

Новый план Microsoft Defender для хранения имеет прогнозируемую цену, основанную на количестве защищаемых хранилищ. Если вы можете включить на уровне подписки или ресурса и исключить определенные учетные записи хранения из защищенных подписок, у вас есть повышенная гибкость для управления покрытием безопасности. План ценообразования упрощает процесс вычисления затрат, позволяя легко масштабироваться по мере изменения потребностей. Другие расходы могут применяться к учетным записям хранения с большим объемом транзакций.

Защитник для хранилища также обрабатывает внутренние транзакции, включая транзакции управления жизненным циклом Хранилище BLOB-объектов Azure. Защитник для Хранилища может взимать плату за транзакции, сгенерированные политикой жизненного цикла.

Сканирование вредоносных программ — выставление счетов за ГБ, ежемесячное ограничение и настройка

Оплата за сканирование вредоносных программ производится за каждый гигабайт сканированных данных. Чтобы обеспечить прогнозируемость затрат, можно установить ежемесячное ограничение на объем загружаемых отсканированных данных для каждой учетной записи хранения. Это ограничение можно задать на уровне подписки, влияя на все учетные записи хранения в подписке или применяться к отдельным учетным записям хранения. В разделе защищенных подписок можно задать определенные учетные записи хранения с различными ограничениями.

По умолчанию лимит составляет 10 000 ГБ отправленных BLOB-объектов в месяц на одну учетную запись хранения. После превышения этого порогового значения сканирование прекращается для оставшихся больших двоичных объектов с доверительным интервалом в 20 ГБ. Дополнительные сведения о конфигурации см. в разделе "Настройка Defender для хранилища".

Это важно

Вы можете оценить затраты с помощью калькулятора затрат Defender для облака. Сканирование вредоносных программ влечет дополнительные расходы для других служб Azure: операций чтения данных служба хранилища Azure, индексирования BLOB-объектов служба хранилища Azure и уведомлений Сетка событий Azure.

Масштабируемое развертывание с точными инструментами управления

Microsoft Defender для хранилища защищает данные в масштабе с помощью детализированных элементов управления. Вы можете применять согласованные политики безопасности во всех учетных записях хранения в подписке или настраивать их для определенных учетных записей в соответствии с потребностями бизнеса. Вы можете управлять затратами, выбрав уровень защиты, необходимый для каждого ресурса. См. раздел "Включить Defender для хранилища".

Следите за лимитами проверки вредоносных программ при загрузке

Чтобы обеспечить непрерывную защиту при эффективном управлении затратами, существуют два оповещения системы безопасности, связанные с использованием лимита сканирования вредоносных программ при загрузке. Первое оповещение Malware scanning will stop soon: 75% of monthly gigabytes scan cap reached"активируется, когда использование приближается к 75 % установленного месячного лимита, предупреждая о необходимости корректировки, если это нужно. Второе оповещение Malware scanning stopped: monthly gigabytes scan cap reached уведомляет вас о достижении ограничения и приостановке сканирования на месяц, что потенциально может оставить новые загрузки незасканированными. Оба оповещения включают сведения о затронутых учетных записях хранения для запроса и информирования о действиях, обеспечивая поддержание требуемого уровня безопасности без непредвиденных расходов.

Общие сведения о различиях между сканированием вредоносных программ и анализом репутации хэша

Defender for Storage обнаруживает вредоносное содержимое, загруженное в учетные записи хранения с помощью сканирования на вредоносное ПО и анализа репутации хэша.

Сканирование вредоносных программ

Сканирование вредоносных программ использует Microsoft Defender Антивирус (MDAV) для сканирования объектов в хранилище Azure или загружаемых в него объектов, предоставляя комплексный анализ, который включает глубокий анализ файлов и анализ репутации хэша. Эта функция улучшает обнаружение потенциальных угроз.

Сканирование вредоносных программ — это платная функция, доступная только в новом плане.

Анализ репутации хэша

Анализ репутации хэшей обнаруживает вредоносные программы в Blob-хранилище и Файлы Azure путем сравнения хэш-значений недавно загруженных блобов и файлов с известными вредоносными программами из Аналитика угроз Microsoft Defender. С этой возможностью поддерживаются не все протоколы файлов и типы операций, что приводит к тому, что некоторые операции не отслеживаются для отправки вредоносных программ. Неподдерживаемые варианты использования включают SMB файлы и когда блоб создается с помощью Put Block и Put Block List. Анализ репутации хэшей доступен во всех планах.

В итоге сканирование вредоносных программ, доступное исключительно в новом плане для хранилища BLOB-объектов, обеспечивает комплексный подход к обнаружению вредоносных программ. Это достигается путем анализа полного содержимого файлов и включения анализа хэш-репутации в методологию.

Включение Defender для хранилища

Вы можете включить Defender для службы хранилища на уровне подписки или на уровне учетной записи хранения данных. Рекомендуется включить на уровне подписки, чтобы обеспечить комплексное покрытие.

Scope	Покрытие	лучше всего подходит для
Subscription	Все существующие и новые учетные записи хранения в подписке автоматически защищены.	Большинство организаций. Гарантирует, что ни одна учетная запись не будет пропущена.
учетная запись хранения	Защита применяется к одной конкретной учетной записи хранения.	Сценарии, в которых требуются пользовательские параметры для отдельных учетных записей или где невозможно включить уровень подписки.