经典配置漏洞发现

Microsoft Defender for Cloud为Azure SQL数据库提供漏洞评估。 漏洞评估会扫描数据库中的软件漏洞，并提供发现结果列表。 你可以利用发现结果来修复软件漏洞并禁用它们。

先决条件

在继续操作之前，请确定你使用的是快速配置还是经典配置。

若要确定配置，请执行以下操作：

1. 在 Azure 门户中，在Azure SQL Database、SQL Managed Instance或Azure Synapse中打开特定资源。

2. 在“安全性”下，选择“Defender for Cloud”。

3. 在 Enablement Status中，选择Configure以打开 Microsoft Defender for SQL 的设置，该设置适用于整个服务器或托管实例。

如果漏洞设置显示用于配置存储帐户的选项，则你使用的是经典配置。 否则，你使用的是快速配置。

查看扫描历史记录

选择漏洞评估窗格中的“扫描历史记录”，查看以前对此数据库运行的所有扫描的历史记录。

禁用或忽略 Microsoft Defender for Cloud 中的特定安全发现（预览版）

如果需要忽略查找结果而不是修正它，可以将其禁用。 禁用发现结果不会影响安全功能分数，也不会产生噪音。

当发现结果与禁用规则条件匹配时，它不会显示在发现结果列表中。 典型方案可能包括：

• 禁用严重性中等或更低的发现结果。
• 禁用不可修补的发现结果。
• 禁用与特定范围无关的基准检查结果。

禁用规则

Defender for Cloud 提供了禁用特定发现结果的方法。

1. 登录到 Azure 门户。

2. 导航到 Microsoft Defender for Cloud>Recommendations。

3. 搜索并选择“应修正关于计算机上 SQL 服务器的漏洞评估结果”。

4. 选择 禁用规则。

5. 选择范围。

6. 定义条件。 可使用以下条件：

   • 正在查找 ID
   • 严重程度
   • 基准

   

7. 选择 应用规则。

更改可能需要 24 小时才能生效。

查看、替代或删除规则

1. 选择 禁用规则。

2. 在范围列表中，具有有效规则的订阅显示为“已应用规则”。

   

3. 若要查看或删除规则，请选择省略号菜单（“...”）。

以编程方式管理漏洞评估

Azure PowerShell

可以使用 Azure PowerShell cmdlet 以编程方式管理漏洞评估。 受支持的 cmdlet 如下：

有关脚本示例，请参阅 Azure SQL 漏洞评估 PowerShell 支持。

Azure CLI

可以使用Azure CLI命令以编程方式管理漏洞评估。 支持的命令为：

Resource Manager模板

若要使用 Azure Resource Manager 模板配置漏洞评估基线，请使用 Microsoft.Sql/servers/databases/vulnerabilityAssessments/rules/baselines 类型。

在添加基线之前，请确保已启用 vulnerabilityAssessments。

下面是将基线规则 VA2065 定义为 master 数据库，将 VA1143 定义为 Resource Manager 模板中的资源，将 va1143 定义为 user 数据库的示例：

   "resources": [
      {
         "type": "Microsoft.Sql/servers/databases/vulnerabilityAapiVersion": "2018-06-01",
         "name": "[concat(parameters('server_name'),'/', parameters('database_name') , '/default/VA2065/master')]",
         "properties": {
            "baselineResults": [
               {
                  "result": [
                     "FirewallRuleName3",
                     "StartIpAddress",
                     "EndIpAddress"
                  ]
               },
               {
                  "result": [
                     "FirewallRuleName4",
                     "62.92.15.68",
                     "62.92.15.68"
                  ]
               }
            ]
         },
         "type": "Microsoft.Sql/servers/databases/vulnerabilityAapiVersion": "2018-06-01",
         "name": "[concat(parameters('server_name'),'/', parameters('database_name'), '/default/VA2130/Default')]",
         "dependsOn": [
            "[resourceId('Microsoft.Sql/servers/vulnerabilityAssessments', parameters('server_name'), 'Default')]"
         ],
         "properties": {
            "baselineResults": [
               {
                  "result": [
                     "dbo"
                  ]
               }
            ]
         }
      }
   ]

对于 master 数据库和 user 数据库，资源名称的定义方式不同：

• Master 数据库 - "name": "[concat(parameters('server_name'),'/', parameters('database_name'), '/default/VA2065/master')]",
• 用户数据库 - "name": "[concat(parameters('server_name'),'/', parameters('database_name'), '/default/VA2065/default')]",

若要将布尔类型处理为 true/false，请使用二进制输入（例如 "1"/"0"）设置基线结果。

   {
      "type": "Microsoft.Sql/servers/databases/vulnerabilityapiVersion": "2018-06-01",
      "name": "[concat(parameters('server_name'),'/', parameters('database_name'), '/default/VA1143/Default')]",

      "dependsOn": [
         "[resourceId('Microsoft.Sql/servers/vulnerabilityAssessments', parameters('server_name'), 'Default')]"
      ],

      "properties": {
         "baselineResults": [
            {
               "result": [
                  "1"
               ]
            }
         ]
      }

   }

相关内容

• 详细了解 Microsoft Defender for Azure SQL。
• 详细了解数据发现和分类。
• 了解关于将漏洞评估扫描结果存储在可从防火墙和 VNet 后面访问的存储帐户中的详细信息。
• 查看有关Azure SQL数据库的常见问题。