Datenermittlung und -klassifizierung

Gilt für:Azure SQL-DatenbankAzure SQL Managed InstanceAzure Synapse Analytics

Datenermittlung und -klassifizierung ist in Azure SQL-Datenbank, verwaltete Azure SQL-Instanzen und Azure Synapse Analytics integriert. Sie bietet grundlegende Funktionen zum Ermitteln, Klassifizieren und Bezeichnen vertraulicher Daten in Ihren Datenbanken und zum Erstellen von Berichten zu diesen Daten.

Zu den vertraulichsten Daten gehören Geschäfts-, Finanz-, Gesundheits- und personenbezogene Informationen. Sie kann für Folgendes als Infrastruktur gelten:

  • Unterstützung bei der Einhaltung von Standards für den Datenschutz und von gesetzlichen Bestimmungen
  • Verschiedene Sicherheitsszenarien, z. B. Überwachung (Auditing) des Zugriffs auf vertrauliche Daten.
  • Steuern des Zugriffs auf und Härten der Sicherheit von Datenbanken mit vertraulichen Daten

Informationen zu lokalen SQL Server-Instanzen finden Sie unter SQL-Datenermittlung und -klassifizierung.

Hinweis

Labelbasierter Zugriffsschutz, der die Microsoft Purview Information Protection-Richtlinien (Vorschau) verwendet, ist eingestellt und nicht mehr verfügbar. Weitere Informationen finden Sie in den Microsoft Purview Information Protection-Richtlinien für Azure SQL-Datenbank.

Was ist die Datenermittlung und -klassifizierung?

Die Datenermittlung und -klassifizierung unterstützt derzeit die folgenden Funktionen:

  • Ermittlung und Empfehlungen: Das Klassifizierungsmodul scannt Ihre Datenbank und identifiziert Spalten, die unter Umständen vertrauliche Daten enthalten. Es bietet dann eine einfache Möglichkeit, die Ergebnisse zu überprüfen und die empfohlenen Klassifizierungen über das Azure-Portal anzuwenden.

  • Kennzeichnung: Sie können Vertraulichkeitsklassifizierungsbezeichnungen permanent auf Spalten anwenden, indem Sie neue Metadatenattribute nutzen, die der SQL Server-Datenbank-Engine hinzugefügt wurden. Diese Metadaten können dann für Auditierungsszenarien auf Basis der Sensitivität verwendet werden.

  • Vertraulichkeit von Abfrageergebnissen: Die Vertraulichkeit von Abfrageergebnissen wird zu Überwachungszwecken in Echtzeit berechnet.

  • Transparenz: Der Klassifizierungsstatus der Datenbank kann in einem detaillierten Dashboard im Azure-Portal angezeigt werden. Darüber hinaus können Sie einen Bericht (im Excel-Format) herunterladen, der für Compliance- und Überwachungszwecke und andere Anforderungen verwendet werden kann.

Entdecken, Klassifizieren und Kennzeichnen von vertraulichen Spalten

In diesem Abschnitt werden die Schritte für folgende Maßnahmen beschrieben:

  • Ermitteln, Klassifizieren und Bezeichnen von Spalten mit vertraulichen Daten in Ihrer Datenbank
  • Anzeigen des aktuellen Klassifizierungsstatus Ihrer Datenbank und Exportieren von Berichten

Die Klassifizierung umfasst zwei Metadatenattribute:

  • Bezeichnungen: Die wichtigsten Klassifizierungsattribute zum Definieren der Vertraulichkeitsstufe der in der Spalte gespeicherten Daten.
  • Informationstypen: Attribute mit detaillierteren Informationen zum Typ der in der Spalte gespeicherten Daten.

Information Protection-Richtlinie

Azure SQL bietet sowohl die SQL Information Protection-Richtlinie als auch die Microsoft Information Protection-Richtlinie in der Datenklassifizierung, und Sie können eine dieser beiden Richtlinien basierend auf Ihrer Anforderung auswählen.

Screenshot verschiedener Arten von Information Protection-Richtlinien.

SQL Information Protection-Richtlinie

Die Datenermittlung- und klassifizierung verfügt über integrierte Vertraulichkeitsbezeichnungen und Informationstypen mit Ermittlungslogik, die auf dem logischen SQL-Server nativ ist. Sie können weiterhin die in der Standardrichtliniendatei verfügbaren Schutzbezeichnungen verwenden, oder Sie können diese Taxonomie anpassen. Sie können eine spezielle Gruppe und Rangfolge von Klassifizierungskonstrukten für Ihre Umgebung definieren.

Definieren und Anpassen der Klassifizierungstaxonomie

Die Definition und Anpassung Ihrer Klassifizierungstaxonomie erfolgt an zentraler Stelle für die ganze Azure-Organisation. Dieser Speicherort befindet sich im Rahmen Ihrer Sicherheitsrichtlinie in Microsoft Defender für Cloud. Nur Benutzer mit Administratorrechten für die Stammverwaltungsgruppe der Organisation können diese Aufgabe ausführen.

Im Rahmen der Richtlinienverwaltung können Sie benutzerdefinierte Bezeichnungen definieren, deren Rangfolge festlegen und sie einer ausgewählten Gruppe von Informationstypen zuordnen. Sie können auch eigene benutzerdefinierte Informationstypen hinzufügen und diese mit Zeichenfolgenmustern konfigurieren. Die Muster werden der Ermittlungslogik hinzugefügt, um diese Datentypen in Ihren Datenbanken zu identifizieren.

Weitere Informationen finden Sie unter Anpassen der SQL Information Protection-Richtlinie in Microsoft Defender für Cloud (Vorschau).

Nachdem die organisationsweite Richtlinie definiert wurde, können Sie die Klassifizierung einzelner Datenbanken mithilfe Ihrer benutzerdefinierten Richtlinie fortsetzen.

Klassifizieren der Datenbank im SQL Information Protection-Richtlinienmodus

Hinweis

Im folgenden Beispiel wird Azure SQL-Datenbank verwendet, aber Sie sollten das entsprechende Produkt auswählen, für das Sie die Datenermittlung und -klassifizierung konfigurieren möchten.

  1. Öffnen Sie das Azure-Portal.

  2. Navigieren Sie im Bereich von Azure SQL-Datenbank unter der Überschrift Sicherheit zu Datenermittlung und -klassifizierung. Die Registerkarte „Übersicht“ enthält eine Zusammenfassung des aktuellen Klassifizierungsstatus der Datenbank. Die Zusammenfassung enthält eine ausführliche Liste aller klassifizierten Spalten, die Sie auch filtern können, um nur bestimmte Schemateile, Informationstypen und Bezeichnungen anzuzeigen. Wenn Sie noch keine Spalten klassifiziert haben, fahren Sie mit Schritt 4 fort.

    Screenshot der Registerkarte „Übersicht“ mit hervorgehobenem Data Discovery & Classification.

  3. Um einen Bericht im Excel-Format herunterzuladen, wählen Sie oben im Fenster im Menü die Option Exportieren aus.

  4. Um mit der Klassifizierung Ihrer Daten zu beginnen, wählen Sie die Registerkarte Klassifizierung auf der Seite Datenermittlung und -klassifizierung aus.

    Die Klassifizierungs-Engine scannt Ihre Datenbank nach Spalten, die potenziell vertrauliche Daten enthalten, und erstellt eine Liste der empfohlenen Spaltenklassifizierungen.

  5. Anzeigen und Anwenden von Klassifizierungsempfehlungen:

    • Um die Liste der empfohlenen Spaltenklassifizierungen anzuzeigen, wählen Sie unten im Bereich den Empfehlungsbereich aus.

    • Zum Akzeptieren einer Empfehlung für eine bestimmte Spalte aktivieren Sie das Kontrollkästchen in der linken Spalte der entsprechenden Zeile. Sie können auch alle Empfehlungen als akzeptiert markieren, indem Sie das Kontrollkästchen ganz links im Tabellenkopf der Empfehlungen aktivieren.

    • Wählen Sie zum Anwenden der ausgewählten Empfehlungen die Option Ausgewählte Empfehlungen annehmen aus.

    Screenshot der Empfehlungen zur Klassifizierung.

    Hinweis

    Die Empfehlungs-Engine, die die automatische Datenerkennung durchführt und Empfehlungen für vertrauliche Spalten bereitstellt, wird deaktiviert, wenn der Richtlinienmodus für Microsoft Purview Information Protection verwendet wird.

  6. Alternativ oder zusätzlich zur empfehlungsbasierten Klassifizierung können Sie Spalten auch manuell klassifizieren:

    1. Wählen Sie im oberen Menü des Bereichs Klassifizierung hinzufügen aus.

    2. Wählen Sie im daraufhin geöffneten Kontextfenster das Schema, die Tabelle und dann die Spalte, die Sie klassifizieren möchten, sowie den Informationstyp und die Vertraulichkeitsbezeichnung aus.

    3. Wählen Sie dann am unteren Rand des Kontextfensters die Option Klassifizierung hinzufügen aus.

    Screenshot, der zeigt, wie man manuell Klassifizierung hinzufügt.

  7. Wählen Sie auf der Seite Klassifizierung die Option Speichern aus, um Ihre Klassifizierung abzuschließen und die Datenbankspalten dauerhaft mit den neuen Klassifizierungsmetadaten (Tags) zu bezeichnen.

Microsoft Purview Information Protection-Richtlinie

Hinweis

Microsoft Information Protection (MIP) wurde in Microsoft Purview Information Protection umbenannt. „MIP“ und „Microsoft Purview Information Protection“ werden im vorliegenden Dokument synonym verwendet, beziehen sich jedoch auf dasselbe Konzept.

Bezeichnungen für Microsoft Purview Information Protection bieten eine einfache und einheitliche Möglichkeit für Benutzer*innen, vertrauliche Daten einheitlich in verschiedenen Microsoft-Anwendungen zu klassifizieren. MIP-Vertraulichkeitsbezeichnungen werden im Microsoft Purview-Complianceportal erstellt und verwaltet. Informationen zum Erstellen und Veröffentlichen von MIP-Vertraulichkeitsbezeichnungen im Microsoft Purview-Complianceportal finden Sie unter Erstellen und Veröffentlichen von Vertraulichkeitsbezeichnungen.

Voraussetzungen für den Wechsel zur Microsoft Purview Information Protection-Richtlinie

  • Durch Festlegen/Ändern der Richtlinie zum Schutz von Informationen in der Azure SQL-Datenbank wird die entsprechende Informationsschutzrichtlinie für alle Datenbanken unter dem Mandanten festgelegt. Der Benutzer oder die Persona benötigt eine mandantenweite Sicherheitsadmin-Berechtigung, um die Informationsschutzrichtlinie von der SQL-Informationsschutzrichtlinie in eine MIP-Richtlinie zu ändern oder umgekehrt.

  • Der Benutzer oder die Benutzerin bzw. die Persona mit mandantenweiter Sicherheitsadmin-Berechtigung kann die Richtlinie auf der Ebene der Mandanten-Stammverwaltungsgruppe anwenden. Weitere Informationen finden Sie unter Erteilen von mandantenweiten Berechtigungen an sich selbst.

    Screenshot einer Azure-Portal-Anfrage für Tenant-Level Security Admin-Rechte.

  • Ihr Mandant verfügt über ein aktives Microsoft 365-Abonnement, und Sie haben Bezeichnungen für den aktuellen Benutzer veröffentlicht. Weitere Informationen dazu finden Sie unter Erstellen und Konfigurieren von Vertraulichkeitsbezeichnungen und deren Richtlinien.

Klassifizieren der Datenbank im Richtlinienmodus für Microsoft Purview Information Protection

  1. Öffnen Sie das Azure-Portal.

  2. Navigieren Sie zu Ihrer Datenbank in Azure SQL-Datenbank.

  3. Navigieren Sie im Bereich „Datenbank“ unter der Überschrift Sicherheit zu Datenermittlung und -klassifizierung.

  4. Um die Microsoft Information Protection-Richtlinie auszuwählen, wählen Sie die Registerkarte Übersicht und dann Konfigurieren aus.

  5. Wählen Sie Microsoft Information Protection-Richtlinie in den Information Protection-Richtlinienoptionen aus, und wählen Sie Speichern aus.

    Screenshot der Auswahl der Microsoft Information Protection-Richtlinie für Azure SQL-Datenbank.

  6. Wenn Sie zum Tab Klassifikation gehen oder Hinzufügen Klassifizierung auswählen, erscheinen Microsoft 365 Sensitivitätslabels in der Dropdown-Liste für Sensitivitätsetiketten.

    Screenshot der Dropdown-Liste des Sensitivitätsetiketts.

    Screenshot einer Vertraulichkeitskennzeichnung auf der Registerkarte „Klassifizierung“.

  • Im MIP-Richtlinienmodus ist der Informationstyp [n/a], und die automatische Datenermittlung und die Empfehlungen bleiben deaktiviert.

  • Ein Warnsymbol könnte neben einer bereits klassifizierten Spalte angezeigt werden, wenn die Spalte mithilfe einer anderen Informationsschutzrichtlinie als der derzeit aktiven Richtlinie klassifiziert wurde. Wenn zum Beispiel die Spalte früher mit einem Label mit SQL Information Protection Policy klassifiziert wurde und Sie sich jetzt im Microsoft Information Protection Policy-Modus befinden, sehen Sie ein Warnsymbol hinter dieser Spalte. Das Warnsymbol ist informativ und zeigt kein Problem an.

    Screenshot von Warnungen zu klassifizierten Spalten wegen unterschiedlicher Richtlinien zum Schutz von Informationen.

Microsoft Purview Information Protection-Richtlinien für Azure SQL-Datenbank

Wichtig

Die Microsoft Purview Information Protection-Richtlinien für Azure SQL-Datenbank sind eingestellt. Sie können keine Zugriffskontrolle mehr für sensible Spalten über Microsoft Purview Information Protection (MIP) Zugriffsrichtlinien konfigurieren oder durchsetzen, und bestehende Zugriffsrichtlinien, die über diese Funktion konfiguriert sind, werden nicht mehr durchgesetzt.

Zuvor unterstützte Azure SQL-Datenbank die Durchsetzung von Zugriffskontrollen auf Spalten, die mit Microsoft Purview Information Protection-Sensitivitätsetiketten beschriftet waren, mittels Purview-Zugriffsrichtlinien.

Microsoft Purview-Schutzrichtlinien, die den Zugriff über Sensitivitätsetiketten steuern, sind weiterhin in Microsoft Fabric verfügbar. Weitere Informationen finden Sie unter Schutzrichtlinien in Microsoft Fabric.

Überwachen des Zugriffs auf vertrauliche Daten

Ein wichtiger Aspekt der Klassifizierung ist die Möglichkeit, den Zugriff auf vertrauliche Daten zu überwachen. Azure SQL Auditing enthält ein Feld im Auditlog namens data_sensitivity_information. Dieses Feld protokolliert die Sensitivitätsklassifikationen (Labels) der Daten, die eine Abfrage zurückgibt. Hier sehen Sie ein Beispiel:

Screenshot der Ergebnismenge einer Beispiel-Audit-Log-Abfrage.

Diese T-SQL-Aktivitäten sind mit Sensitivitätsinformationen prüfbar:

  • ALTER TABLE ... DROP COLUMN
  • BULK INSERT
  • SELECT
  • DELETE
  • INSERT
  • MERGE
  • UPDATE
  • UPDATETEXT
  • WRITETEXT
  • DROP TABLE
  • BACKUP
  • DBCC CloneDatabase
  • SELECT INTO
  • INSERT INTO EXEC
  • TRUNCATE TABLE
  • DBCC SHOW_STATISTICS
  • sys.dm_db_stats_histogram

Verwenden Sie sys.fn_get_audit_file, um Informationen aus einer Überwachungsdatei zurückzugeben, die in einem Azure Storage-Konto gespeichert ist.

Berechtigungen

Diese integrierten Rollen können die Datenklassifizierung einer Datenbank lesen:

  • Besitzer
  • Leser
  • Mitwirkender
  • SQL-Sicherheits-Manager
  • Benutzerzugriffsadministrator

Dies sind die erforderlichen Aktionen, um die Datenklassifizierung einer Datenbank zu lesen:

  • Microsoft.Sql/servers/databases/currentSensitivityLabels/*
  • Microsoft.Sql/servers/databases/recommendedSensitivityLabels/*
  • Microsoft.Sql/servers/databases/schemas/tables/columns/sensitivityLabels/*

Diese integrierten Rollen können die Datenklassifizierung einer Datenbank ändern:

  • Besitzer
  • Mitwirkender
  • SQL-Sicherheits-Manager

Dies ist die erforderliche Aktion, um die Datenklassifizierung einer Datenbank zu ändern:

  • Microsoft.Sql/servers/databases/schemas/tables/columns/sensitivityLabels/*

Hier erfahren Sie mehr über rollenbasierte Berechtigungen unter Azure RBAC.

Hinweis

Die in diesem Abschnitt eingebauten Azure SQL-Rollen gelten für einen dedizierten SQL-Pool (früher SQL DW), sind jedoch nicht für dedizierte SQL-Pools und andere SQL-Ressourcen innerhalb von Azure Synapse-Arbeitsbereichen verfügbar. Für SQL-Ressourcen in Azure Synapse-Arbeitsbereichen verwenden Sie die verfügbaren Aktionen für die Datenklassifikation, um benutzerdefinierte Azure-Rollen nach Bedarf für die Beschriftung zu erstellen. Weitere Informationen zu den Operationen des Microsoft.Synapse/workspaces/sqlPools-Anbieters finden Sie unter Microsoft.Synapse.

Verwalten von Klassifizierungen

Sie können zum Verwalten von Klassifizierungen T-SQL, eine REST-API oder PowerShell verwenden.

Verwenden von T-SQL

Mit T-SQL können Sie Spaltenklassifizierungen hinzufügen oder entfernen sowie alle Klassifizierungen für die gesamte Datenbank abrufen.

Hinweis

Bei der Verwendung von T-SQL zur Verwaltung von Bezeichnungen erfolgt keine Überprüfung, ob die einer Spalte hinzugefügten Bezeichnungen in der Datenschutzrichtlinie der Organisation (die in den Empfehlungen im Portal angezeigt werden) enthalten sind. Aus diesem Grund müssen Sie dies überprüfen.

Weitere Informationen zur Verwendung von T-SQL für Klassifizierungen finden Sie in den folgenden Ressourcen:

Verwenden von PowerShell-Cmdlets

Verwenden Sie PowerShell, um Klassifizierungen und Empfehlungen für Azure SQL-Datenbank und verwaltete Azure SQL-Instanzen zu verwalten.

PowerShell-Cmdlets für Azure SQL-Datenbank

PowerShell-Cmdlets für verwaltete Azure SQL-Instanzen

Verwenden der REST-API

Sie können die REST-API verwenden, um Klassifizierungen und Empfehlungen programmgesteuert zu verwalten. Die veröffentlichte REST-API unterstützt die folgenden Vorgänge:

Abrufen von Klassifizierungsmetadaten mit SQL-Treibern

Sie können die folgenden SQL-Treiber verwenden, um Klassifizierungsmetadaten abzurufen:

FAQ: Erweiterte Klassifizierungsfunktionen

Frage: Ersetzt Microsoft Purview die SQL-Datenermittlung und -klassifizierung, oder wird die SQL-Datenermittlung und -klassifizierung demnächst eingestellt? Antwort: Wir unterstützen weiterhin die SQL-Datenermittlung und -klassifizierung und empfehlen die Verwendung des Diensts Microsoft Purview, der umfassendere Funktionen für die erweiterte Klassifizierung und Data Governance bietet. Wenn wir uns entscheiden, einen Dienst, eine Funktion, eine API oder eine SKU einzustellen, erhalten Sie eine Vorankündigung, die einen Migrations- oder Übergangspfad enthält. Weitere Informationen finden Sie in den Microsoft Lifecycle-Richtlinien.

Verwandte Inhalte

  • Last updated on