Gestire le raccomandazioni di sicurezza con falsi positivi per Defender per archiviazione

Quando si abilita Microsoft Defender per Archiviazione a livello di sottoscrizione, vengono visualizzate raccomandazioni sulla sicurezza per tutti gli account di archiviazione protetti. Per gli account di archiviazione specializzati, come l'archiviazione radice di Azure Databricks File System (DBFS), alcune raccomandazioni rappresentano falsi positivi. L'implementazione di queste raccomandazioni può essere in conflitto con le normali operazioni, aumentare i costi inutilmente o interrompere la connettività del carico di lavoro.

Questo articolo illustra come identificare le raccomandazioni false positive, decidere quando esentare o correggere e creare esenzioni usando il portale di Azure, interfaccia della riga di comando di Azure o Criteri di Azure.

Prerequisiti

• ruolo Proprietario o Amministratore della sicurezza nell'ambito in cui vengono create le esenzioni.
• L'iniziativa Microsoft Cloud Security Benchmark (MCSB) assegnata nella sottoscrizione. Per informazioni dettagliate, vedere esentare le risorse dalle raccomandazioni .

Account Defender per l'archiviazione e Archiviazione di Databricks

Quando si abilita Defender per l'archiviazione a livello di sottoscrizione, Defender per il cloud genera una raccomandazione per abilitarla in tutti gli account di archiviazione non protetti nella sottoscrizione, inclusi gli account gestiti da Databricks. Poiché i criteri di negazione di Databricks impediscono l'esecuzione del piano, questa raccomandazione è un falso positivo per tali account.

L'azione corretta consiste nell'esentare la raccomandazione Abilita Microsoft Defender per archiviazione per tutti gli account di archiviazione gestiti da Databricks. Per altre raccomandazioni specifiche dell'archiviazione visualizzate negli account Databricks, usare la matrice decisionale seguente per determinare l'azione corretta.

Decidere quando esentare e quando correggere

Usare la matrice seguente per determinare l'azione corretta per ogni raccomandazione in base al tipo di account di archiviazione.

Creare un'esenzione per un account di archiviazione di Databricks

È possibile creare esenzioni usando il portale di Azure, il interfaccia della riga di comando di Azure o Criteri di Azure per le esenzioni automatizzate su larga scala.

Azure portal

1. Nel portale di Azure passare a Microsoft Defender per il cloud>Recommendations.
2. Trovare e aprire la raccomandazione da esentare.
3. Nella scheda Risorse interessate selezionare l'account di archiviazione databricks.
4. Selezionare Esentare.
5. Nel riquadro Esenzione immettere un nome e selezionare una categoria:
   • Rischio accettato : l'organizzazione ha esaminato e accettato il rischio.
   • Mitigato : il rischio è stato risolto tramite un altro controllo.
6. Facoltativamente, impostare una data di scadenza.
7. Nel campo Giustificazione descrivere il motivo per cui questa raccomandazione non è applicabile. Ad esempio: l'archiviazione radice DBFS di Databricks richiede l'accesso di rete aperto per la connettività del cluster.
8. Seleziona Salva.

interfaccia della riga di comando di Azure

Usare il comando seguente per creare un'esenzione con il interfaccia della riga di comando di Azure:

az policy exemption create \
  --name "DatabricksStorageExemption" \
  --resource-group "<resource-group>" \
  --scope "/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.Storage/storageAccounts/<storage-account-name>" \
  --policy-assignment "/subscriptions/<subscription-id>/providers/Microsoft.Authorization/policyAssignments/<assignment-id>" \
  --exemption-category "Waiver" \
  --description "Databricks DBFS root storage - network access restriction conflicts with cluster connectivity."

Sostituire <resource-group>, <subscription-id>, <storage-account-name> e <assignment-id> con i propri valori. Usare "Mitigated" invece di "Waiver" se si è risolto il rischio tramite un altro controllo.

Per trovare l'ID di assegnazione del criterio per una raccomandazione specifica, eseguire:

az policy assignment list --scope "/subscriptions/<subscription-id>" --query "[].{Name:name, DisplayName:displayName, Id:id}" -o table

Criteri di Azure per esenzioni automatizzate su larga scala

Per gli ambienti con molti account di archiviazione di Databricks, usare Criteri di Azure per creare automaticamente esenzioni in base ai tag delle risorse.

Passaggio 1: Contrassegna gli account di archiviazione di Databricks

Applicare un tag coerente a tutti gli account di archiviazione gestiti da Databricks:

az resource tag \
  --resource-group "<resource-group>" \
  --name "<storage-account-name>" \
  --resource-type "Microsoft.Storage/storageAccounts" \
  --tags workload=Databricks

Passaggio 2: Creare un'assegnazione di esenzione da un criterio

Crea una definizione dei criteri che riguarda gli account di archiviazione con il tag workload=Databricks e li esenti dalle raccomandazioni pertinenti. Distribuisci l'esenzione usando un modello ARM o un file Bicep.

Il seguente frammento di modello ARM crea un'esenzione per gli account di archiviazione contrassegnati workload=Databricks:

{
  "type": "Microsoft.Authorization/policyExemptions",
  "apiVersion": "2022-07-01-preview",
  "name": "DatabricksStorageSoftDeleteExemption",
  "properties": {
    "policyAssignmentId": "/subscriptions/<subscription-id>/providers/Microsoft.Authorization/policyAssignments/<assignment-id>",
    "exemptionCategory": "Waiver",
    "displayName": "Databricks DBFS - Soft delete exemption",
    "description": "Soft delete conflicts with Databricks DBFS cleanup operations.",
    "metadata": {
      "requestedBy": "Security team",
      "approvedBy": "Storage team"
    }
  }
}

Eseguire la distribuzione nell'ambito del gruppo di gestione o della sottoscrizione per coprire tutti gli account di archiviazione di Databricks esistenti e futuri.

Monitorare ed esaminare le esenzioni

Le esenzioni influiscono sul punteggio di sicurezza. Esaminare regolarmente le esenzioni per assicurarsi che rimangano valide:

1. Nel portale di Azure passare a Microsoft Defender per il cloud>Recommendations.
2. Selezionare Esenzioni per visualizzare tutte le esenzioni attive.
3. Esaminare la giustificazione e la data di scadenza per ogni esenzione.
4. Rimuovere le esenzioni che non si applicano più.

È anche possibile eseguire query sulle esenzioni tra sottoscrizioni usando Azure Resource Graph:

PolicyResources
| where type == "microsoft.authorization/policyexemptions"
| project name, properties.exemptionCategory, properties.description, properties.expiresOn

Contenuti correlati

• Escludere le risorse dalle raccomandazioni
• Esentare le risorse dalle raccomandazioni su larga scala
• Che cos'è Microsoft Defender per l'archiviazione
• Domande frequenti su Defender per Archiviazione