经典配置漏洞发现

Microsoft Defender for Cloud 为 Azure SQL 数据库提供了漏洞评估。 漏洞评估会扫描数据库中的软件漏洞，并提供发现结果列表。 你可以利用发现结果来修复软件漏洞并禁用它们。

先决条件

在继续操作之前，请确定你使用的是快速配置还是经典配置。

若要确定配置，请执行以下操作：

1. 在 Azure 门户中打开 Azure SQL 数据库、SQL 托管实例或 Azure Synapse 中的特定资源。

2. 在“安全性”下，选择“Defender for Cloud”。

3. 在“启用状态”中，选择“配置”以打开适用于整个服务器和托管实例的 Microsoft Defender for SQL 设置。

如果漏洞设置显示用于配置存储帐户的选项，则你使用的是经典配置。 否则，你使用的是快速配置。

查看扫描历史记录

选择漏洞评估窗格中的“扫描历史记录”，查看以前对此数据库运行的所有扫描的历史记录。

禁用 Microsoft Defender for Cloud 的特定检测结果（预览）

如果需要忽略查找结果而不是修正它，可以将其禁用。 禁用发现结果不会影响安全功能分数，也不会产生噪音。

当发现结果与禁用规则条件匹配时，它不会显示在发现结果列表中。 典型方案可能包括：

• 禁用严重性中等或更低的发现结果。
• 禁用不可修补的发现结果。
• 禁用与特定范围无关的基准检查结果。

禁用规则

Defender for Cloud 提供了禁用特定发现结果的方法。

1. 登录到 Azure 门户。

2. 导航到Microsoft Defender for Cloud>建议。

3. 搜索并选择“应修正关于计算机上 SQL 服务器的漏洞评估结果”。

4. 选择 禁用规则。

5. 选择范围。

6. 定义条件。 可使用以下条件：

   • 正在查找 ID
   • 严重程度
   • 基准

   

7. 选择 应用规则。

更改可能需要 24 小时才能生效。

查看、替代或删除规则

1. 选择 禁用规则。

2. 在范围列表中，具有有效规则的订阅显示为“已应用规则”。

   

3. 若要查看或删除规则，请选择省略号菜单（“...”）。

以编程方式管理漏洞评估

Azure PowerShell

可以使用 Azure PowerShell cmdlet 以编程方式管理漏洞评估。 受支持的 cmdlet 如下：

有关脚本示例，请参阅 Azure SQL 漏洞评估 PowerShell 支持。

Azure CLI

可以使用 Azure CLI 命令以编程方式管理漏洞评估。 支持的命令为：

资源管理器模板

若要使用 Azure 资源管理器模板配置漏洞评估基线，请使用 Microsoft.Sql/servers/databases/vulnerabilityAssessments/rules/baselines 类型。

在添加基线之前，请确保已启用 vulnerabilityAssessments。

下面是一个示例，演示了如何将 master 数据库的基线规则 VA2065 和 user 数据库的基线规则 VA1143 定义为资源管理器模板中的资源：

   "resources": [
      {
         "type": "Microsoft.Sql/servers/databases/vulnerabilityAapiVersion": "2018-06-01",
         "name": "[concat(parameters('server_name'),'/', parameters('database_name') , '/default/VA2065/master')]",
         "properties": {
            "baselineResults": [
               {
                  "result": [
                     "FirewallRuleName3",
                     "StartIpAddress",
                     "EndIpAddress"
                  ]
               },
               {
                  "result": [
                     "FirewallRuleName4",
                     "62.92.15.68",
                     "62.92.15.68"
                  ]
               }
            ]
         },
         "type": "Microsoft.Sql/servers/databases/vulnerabilityAapiVersion": "2018-06-01",
         "name": "[concat(parameters('server_name'),'/', parameters('database_name'), '/default/VA2130/Default')]",
         "dependsOn": [
            "[resourceId('Microsoft.Sql/servers/vulnerabilityAssessments', parameters('server_name'), 'Default')]"
         ],
         "properties": {
            "baselineResults": [
               {
                  "result": [
                     "dbo"
                  ]
               }
            ]
         }
      }
   ]

对于 master 数据库和 user 数据库，资源名称的定义方式不同：

• Master 数据库 - "name": "[concat(parameters('server_name'),'/', parameters('database_name'), '/default/VA2065/master')]",
• 用户数据库 - "name": "[concat(parameters('server_name'),'/', parameters('database_name'), '/default/VA2065/default')]",

若要将布尔类型处理为 true/false，请使用二进制输入（例如 "1"/"0"）设置基线结果。

   {
      "type": "Microsoft.Sql/servers/databases/vulnerabilityapiVersion": "2018-06-01",
      "name": "[concat(parameters('server_name'),'/', parameters('database_name'), '/default/VA1143/Default')]",

      "dependsOn": [
         "[resourceId('Microsoft.Sql/servers/vulnerabilityAssessments', parameters('server_name'), 'Default')]"
      ],

      "properties": {
         "baselineResults": [
            {
               "result": [
                  "1"
               ]
            }
         ]
      }

   }

相关内容

• 详细了解 Microsoft Defender for Azure SQL。
• 详细了解数据发现和分类。
• 了解关于将漏洞评估扫描结果存储在可从防火墙和 VNet 后面访问的存储帐户中的详细信息。
• 查看有关 Azure SQL 数据库的常见问题。