用途：保护 Azure Blob Storage、Azure Files 和 Azure Data Lake Storage Gen2，防御恶意上传、敏感数据外泄和可疑访问。当前为 Defender for Storage v2，按存储账户计费，可选上传恶意软件扫描和敏感数据威胁检测附加项。适用于接收不可信或合作方上传、托管应用内容（Web 应用、ML 数据集）或含 Purview 分类敏感数据的存储账户；不适用于 SQL/Cosmos 数据面、VM 磁盘级恶意软件或 M365 文件工作负载。
主要能力：v2 基础版提供活动监控（异常访问、可疑提取、异常删除）；上传恶意软件扫描对每个上传 Blob（最大 2 GB）做 Defender AV 扫描，产出结果标签和 Event Grid 事件，按扫描 GB 计费且可按账户设上限；敏感数据威胁检测集成 Purview 敏感信息类型，在敏感 Blob 被可疑主体访问时告警，v2 内含不额外收费。v1 按事务计费已弃用，应迁移到 v2。
使用方式：在订阅范围启用 v2 并开启恶意软件扫描，设置每账户每月 GB 上限（默认 5,000 GB）。对仅追加的日志账户、大型遥测接收端或已在应用层扫描的账户可覆盖关闭扫描；对租户级诊断账户（活动日志导出、NSG 流日志）可整体关闭。为每个受保护账户建立 Event Grid 系统主题，订阅 Function/Logic App 将恶意 Blob 移入隔离容器或删除、写入索引标签并通知 SOC。可用 EICAR 测试文件验证：2 分钟内 Blob 应被标记为 Malicious 并触发隔离流程。敏感数据检测需先由 Purview 完成分类。告警先基线 7 天再抑制噪声，剩余告警经 Defender for Cloud 连接器送入 Sentinel。
限制与护栏：必须设置每账户 GB 上限，否则重复上传大文件可能产生高额扫描账单；超过 2 GB 的文件不扫描；扫描是异步的，通常需数秒到数分钟，不应假设亚秒级延迟，需用 Event Grid 门控下游处理；不要在诊断导出账户启用；敏感数据告警依赖 Purview 分类，否则仅有弱启发式信号；公共匿名访问属配置问题，应通过 allowBlobPublicAccess = false 和 Azure Policy 在平台层阻断，Defender 只做检测不做预防。常见反模式包括全订阅无排除启用、仅依赖标签而无 Event Grid 动作、上传后立即读取、扫描上限设为无限、v1 与 v2 同时启用导致重复计费，以及用 Defender for Storage 代替 Purview DLP 处理 SharePoint/OneDrive。