security - Azure 存储防御者

Question

基于https://docs.microsoft.com/en-us/azure/security-center/alerts-reference#alerts-azurestorage 我看到存储帐户默认启用了“对存储帐户的匿名访问”。我想知道是哪个政策或机制触发了这种情况？在 azure Defender 中，我看到只有对此的策略映射是“应启用 Azure Defender for Storage”。但我认为这只是对启用或禁用的审计检查。我认为它不会执行所有列出的警报检查。如果是这样，它是如何完成的？blob 或其他东西是否存储会触发这些的访问日志？在 VM 上，我知道它可能是代理等，它是如何在存储上完成的。

标签： securityazure-storageanonymous

Answer 1

目前，Azure Defender for Storage提供了在将文件上传到存储帐户时使用散列信誉分析检测恶意软件的能力，该分析利用 Microsoft 威胁情报的强大功能，其中包括病毒、特洛伊木马、间谍软件和勒索软件的散列

我们检查存储日志并将新上传文件的哈希值与已知病毒、木马、间谍软件和勒索软件的哈希值进行比较。当怀疑某个文件包含恶意软件时，安全中心会显示警报，并且可以选择通过电子邮件向存储所有者发送电子邮件，以获得删除可疑文件的批准。

1. 用于存储的 Azure Defender 基于对 Azure 存储遥测的分析。这也适用于哈希信誉分析，但这里的覆盖范围是部分的。当写入 blob 或文件时，它们可能伴随有文件 blob 的哈希，可用于信誉分析。然而，情况并非总是如此，有时我们没有可用的哈希，例如当使用 SMB 写入文件时。
2. 从上面你可能明白，这不是一个扫描过程，所以也没有审计。

请让我们知道上述内容是否有帮助，或者您在此问题上需要进一步的帮助。