Detecção de Armazenamento Azure Mal configurado

Quando Usar

• Ao realizar uma auditoria de segurança de contas de armazenamento Azure em todas as assinaturas
• Ao responder a alertas do Microsoft Defender for Storage sobre acesso anônimo ou exfiltração de dados
• Quando a conformidade exige a verificação de criptografia, restrições de rede e registro de acesso
• Ao investigar potencial exposição de dados através de contêineres de blob acessíveis publicamente
• Ao integrar assinaturas Azure e estabelecer linhas de base de segurança de armazenamento

Não use para auditoria de segurança de Azure SQL ou Cosmos DB (use ferramentas dedicadas de segurança de banco de dados), para detecção de ameaças em tempo real em operações de armazenamento (use Defender for Storage), ou para auditoria específica de Azure Files ou Data Lake Gen2 sem adaptar as verificações.

Pré-requisitos

• Azure CLI instalado e autenticado (az login) com as funções Leitor e Colaborador da Conta de Armazenamento
• Módulo Az PowerShell instalado para consultas avançadas (Install-Module Az.Storage)
• Microsoft Defender for Storage habilitado para detecção de ameaças
• Acesso ao Azure Resource Graph para consultas entre assinaturas
• ScoutSuite ou Prowler Azure provider para avaliação automatizada

Fluxo de Trabalho

Etapa 1: Enumerar Todas as Contas de Armazenamento e Configuração Básica

Liste todas as contas de armazenamento em todas as assinaturas e avalie suas configurações de segurança básicas.

# List all storage accounts across all subscriptions
az storage account list \
  --query "[].{Name:name, ResourceGroup:resourceGroup, Location:location, Kind:kind, Sku:sku.name, HttpsOnly:enableHttpsTrafficOnly, MinTLS:minimumTlsVersion, PublicAccess:allowBlobPublicAccess}" \
  -o table

# Use Resource Graph for cross-subscription enumeration
az graph query -q "
  Resources
  | where type == 'microsoft.storage/storageaccounts'
  | project name, resourceGroup, subscriptionId, location,
    properties.allowBlobPublicAccess,
    properties.enableHttpsTrafficOnly,
    properties.minimumTlsVersion,
    properties.networkAcls.defaultAction
" -o table

Etapa 2: Detectar Contêineres de Blob Acessíveis Publicamente

Identifique contas de armazenamento e contêineres que permitem acesso público anônimo a dados de blob.

# Check each storage account for public blob access setting
for account in $(az storage account list --query "[].name" -o tsv); do
  public=$(az storage account show --name "$account" --query "allowBlobPublicAccess" -o tsv)
  echo "$account: allowBlobPublicAccess=$public"
done

# List containers with public access level set
for account in $(az storage account list --query "[?allowBlobPublicAccess==true].name" -o tsv); do
  key=$(az storage account keys list --account-name "$account" --query "[0].value" -o tsv)
  echo "=== $account ==="
  az storage container list \
    --account-name "$account" \
    --account-key "$key" \
    --query "[?properties.publicAccess!='off' && properties.publicAccess!=null].{Container:name, PublicAccess:properties.publicAccess}" \
    -o table 2>/dev/null
done

# Test anonymous access to discovered public containers
curl -s "https://ACCOUNT.blob.core.windows.net/CONTAINER?restype=container&comp=list" | head -50

Etapa 3: Auditar Regras de Acesso de Rede e Firewall

Verifique contas de armazenamento acessíveis de todas as redes em comparação com aquelas restritas a VNets ou intervalos de IP específicos.

# Find storage accounts with default network action set to Allow (open to all networks)
az storage account list \
  --query "[?networkRuleSet.defaultAction=='Allow'].{Name:name, DefaultAction:networkRuleSet.defaultAction, VNetRules:networkRuleSet.virtualNetworkRules}" \
  -o table

# Detailed network rule audit
for account in $(az storage account list --query "[].name" -o tsv); do
  echo "=== $account ==="
  az storage account show --name "$account" \
    --query "{DefaultAction:networkRuleSet.defaultAction, IPRules:networkRuleSet.ipRules[*].ipAddressOrRange, VNetRules:networkRuleSet.virtualNetworkRules[*].virtualNetworkResourceId, Bypass:networkRuleSet.bypass}" \
    -o json
done

# Find storage accounts with private endpoints
az network private-endpoint list \
  --query "[?privateLinkServiceConnections[0].groupIds[0]=='blob'].{Name:name, Storage:privateLinkServiceConnections[0].privateLinkServiceId}" \
  -o table

Etapa 4: Verificar Configurações de Criptografia e Gerenciamento de Chaves

Certifique-se de que todas as contas de armazenamento usam criptografia em repouso com gerenciamento de chaves apropriado (chaves gerenciadas pela Microsoft ou chaves gerenciadas pelo cliente).

# Verificar configuração de criptografia para todas as contas de armazenamento

…