Compatibilidad y requisitos previos para la posición de seguridad con reconocimiento de datos
Revise los requisitos de esta página antes de configurar la posición de seguridad con reconocimiento de datos en Microsoft Defender for Cloud.
Habilitación de la detección de datos confidenciales
La detección de datos confidenciales está disponible en los planes de Defender CSPM, Defender for Storage y Defender for Databases.
- Al habilitar uno de los planes, la extensión de detección de datos confidenciales se activa como parte del plan.
- Si tiene planes existentes en ejecución, la extensión está disponible, pero está desactivada de manera predeterminada.
- El estado del plan existente se muestra como "Parcial" en lugar de "Completo" si una o varias extensiones no están activadas.
- La característica está activada en el nivel de suscripción.
- Si la detección de datos confidenciales está activada, pero Defender CSPM no está habilitado, solo se analizarán los recursos de almacenamiento.
- Si una suscripción está habilitada con CSPM de Defender y en paralelo ha examinado los mismos recursos con Purview, el resultado del examen de Purview se omite y se muestran de forma predeterminada los resultados del examen de Microsoft Defender for Cloud para el tipo de recurso admitido.
Lo que se admite
En la tabla se resumen la disponibilidad y los escenarios admitidos para la detección de datos confidenciales.
| Soporte técnico | Detalles |
|---|---|
| ¿Qué recursos de datos de Azure puedo detectar? | Almacenamiento de objetos: Cuentas de almacenamiento de blob en bloques en Azure Storage v1/v2 Azure Data Lake Storage Gen2 Se admiten cuentas de almacenamiento detrás de redes privadas. Se admiten las cuentas de almacenamiento cifradas con una clave del lado servidor administrada por el cliente. Las cuentas no se admiten si alguna de estas opciones de configuración está habilitada: la cuenta de almacenamiento se establece en Zona DNS de Azure; el punto de conexión de la cuenta de almacenamiento tiene un dominio personalizado asignado. Bases de datos Azure SQL Database |
| ¿Qué recursos de datos de AWS puedo detectar? | Almacenamiento de objetos: Cubos de AWS S3 Defender for Cloud puede detectar los datos cifrados de KMS, pero no los datos cifrados con una clave administrada por el cliente. Bases de datos - Amazon Aurora - RDS de Amazon para PostgreSQL - RDS de Amazon para MySQL - RDS de Amazon para MariaDB - RDS de Amazon para SQL Server (no personalizado) - RDS de Amazon para Oracle Database (no personalizado, solo SE2 Edition) Requisitos previos y limitaciones: - Es necesario habilitar las copias de seguridad automatizadas. - El rol de IAM creado para los fines de examen (DefenderForCloud-DataSecurityPostureDB de forma predeterminada) debe tener permisos para la clave KMS que se usa para el cifrado de la instancia de RDS. - No se puede compartir una instantánea de base de datos que use un grupo de opciones con opciones permanentes o persistentes, excepto para las instancias de base de datos de Oracle que tengan la opción Zona horaria o OLS (o ambas). Más información |
| ¿Qué recursos de datos de GCP puedo descubrir? | Depósitos de almacenamiento de GCP Clase estándar Geo: región, dual región, multi región |
| ¿Qué permisos necesito para detectar? | Cuenta de almacenamiento: propietario de la suscripción or Microsoft.Authorization/roleAssignments/* (lectura, escritura, eliminación) yMicrosoft.Security/pricings/* ( lectura, escritura, eliminación) yMicrosoft.Security/pricings/SecurityOperators ( lectura, escritura)Cubos de Amazon S3 e instancias de RDS: permiso de cuenta de AWS para ejecutar Cloud Formation (para crear un rol). Cubos de almacenamiento de GCP: permiso de cuenta de Google para ejecutar script (para crear un rol). |
| ¿Qué tipos de archivo se admiten para la detección de datos confidenciales? | Tipos de archivos admitidos (no es posible seleccionar un subconjunto): .doc, .docm, .docx, .dot, .gz, .odp, .ods, .odt, .pdf, .pot, .pps, .ppsx, .ppt, .pptm, .pptx, .xlc, .xls, .xlsb, .xlsm, .xlsx, .xlt, .csv, .json, .psv, .ssv, .tsv, .txt., xml, .parquet, .avro, .orc. |
| ¿Qué regiones de Azure se admiten? | Puede detectar cuentas de almacenamiento de Azure en: Este de Asia; Sudeste asiático; Centro de Australia; Centro de Australia 2; Este de Australia; Sudeste de Australia; Sur de Brasil; Sudeste de Brasil; Centro de Canadá; Este de Canadá; Norte de Europa; Oeste de Europa; Centro de Francia; Sur de Francia; Norte de Alemania; Centro-oeste de Alemania; Centro de la India; Sur de la India; Japón Oriental; Japón Occidental; Jio India Occidental; Centro de Corea; Corea del Sur; Este de Noruega; Oeste de Noruega; Norte de Sudáfrica; Oeste de Sudáfrica; Centro de Suecia; Norte de Suiza; Oeste de Suiza; Norte de Emiratos Árabes Unidos; Sur de Reino Unido; Oeste del Reino Unido; Centro de EE. UU.; Este de EE. UU.; Este de EE. UU. 2; Centro-norte de EE. UU.; Centro-sur de EE. UU.; Oeste de EE. UU. Oeste de EE. UU. 2; Oeste de EE. UU. 3; Centro-oeste de EE. UU.; Puede detectar instancias de Azure SQL Database en cualquier región donde se admitan Defender CSPM y Azure SQL Database. |
| ¿Qué regiones de AWS se admiten? | S3: Asia Pacífico (Mumbai); Asia Pacífico (Singapur); Asia Pacífico (Sídney); Asia Pacífico (Tokio); Canadá (Montreal); Europa (Fráncfort); Europa (Irlanda); Europa (Londres); Europa (París); Europa (Estocolmo); Sudamérica (São Paulo); Este de EE. UU. (Ohio); Este de EE. UU. (N. Virginia); Oeste de EE. UU. (N. California); Oeste de EE. UU. (Oregón). RDS: África (Ciudad del Cabo); Asia Pacífico (RAE de Hong Kong); Asia Pacífico (Hyderabad); Asia Pacífico (Melbourne); Asia Pacífico (Bombay); Asia Pacífico (Osaka); Asia Pacífico (Seúl); Asia Pacífico (Singapur); Asia Pacífico (Sídney); Asia Pacífico (Tokio); Canadá (Central); Europa (Fráncfort); Europa (Irlanda); Europa (Londres); Europa (París); Europa (Estocolmo); Europa (Zúrich); Oriente Medio (EAU); Sudamérica (São Paulo); Este de EE. UU. (Ohio); Este de EE. UU. (N. Virginia); Oeste de EE. UU. (N. California): Oeste de EE. UU. (Oregón). La detección se realiza localmente en la región. |
| ¿Qué regiones se admiten en GCP? | europe-west1, us-east1, us-west1, us-central1, us-east4, asia-south1, northamerica-northeast1 |
| ¿Es necesario instalar un agente? | No, la detección no requiere ninguna instalación del agente. |
| ¿Cuál es el costo? | La característica se incluye con los planes de Defender CSPM y Defender para Storage, y no conlleva costes adicionales, salvo los de los respectivos planes. |
| ¿Qué permisos necesito para ver o editar la configuración de confidencialidad de datos? | Necesita uno de estos roles de Microsoft Entra: Administrador global, Administrador de cumplimiento, Administrador de datos de cumplimiento, Administrador de seguridad, Operador de seguridad. |
| ¿Qué permisos necesito para realizar la incorporación? | Necesita uno de estos roles de control de acceso basado en roles de Azure: Administrador de seguridad, Colaborador, Propietario en el nivel de suscripción (en el que residen los proyectos de GCP). Para consumir los resultados de seguridad: Lector de seguridad, Administración de seguridad, Lector, Colaborador, Propietario en el nivel de suscripción (donde residen los proyectos de GCP). |
Configuración de los valores de confidencialidad de datos
Entre los pasos principales para configurar los valores de confidencialidad de datos se incluyen los siguientes:
- Importar tipos o etiquetas de información confidencial personalizados del portal de cumplimiento Microsoft Purview
- Personalización de categorías o tipos de datos confidenciales
- Establecer el umbral para las etiquetas de confidencialidad
Obtenga más información sobre las etiquetas de confidencialidad en Microsoft Purview.
Detección
Defender for Cloud comienza a detectar datos inmediatamente después de habilitar un plan o después de activar la característica en planes que ya se están ejecutando.
Para el almacenamiento de objetos:
- Se tarda hasta 24 horas en ver los resultados de una primera detección.
- Una vez actualizados los archivos en los recursos detectados, los datos se actualizan en un plazo de ocho días.
- Una nueva cuenta de almacenamiento de Azure que se agrega a una suscripción ya detectada se detecta en un plazo de 24 horas o menos.
- Un nuevo bucket de AWS S3 o bucket de almacenamiento de GCP que se agrega a una cuenta de AWS o Google ya detectada se detecta en 48 horas o menos.
Para las bases de datos:
- Las bases de datos se examinan semanalmente.
- En el caso de las suscripciones recién habilitadas, los resultados aparecen en un plazo de 24 horas.
Detectar cubos de AWS S3
Para proteger los recursos de AWS en Defender for Cloud, configure un conector de AWS mediante una plantilla de CloudFormation para incorporar la cuenta de AWS.
- Para detectar los recursos de datos de AWS, Defender for Cloud actualiza la plantilla de CloudFormation.
- La plantilla de CloudFormation crea un nuevo rol de IAM en AWS para permitir que el explorador de Defender for Cloud acceda a los datos de los cubos de S3.
- Para conectar cuentas de AWS, necesita permisos de administrador en la cuenta.
- El rol permite estos permisos: S3 de solo lectura; Descifrado de KMS.
Detección de instancias de AWS RDS
Para proteger los recursos de AWS en Defender for Cloud, configure un conector de AWS mediante una plantilla de CloudFormation para incorporar la cuenta de AWS.
- Para detectar las instancias de AWS RDS, Defender for Cloud actualiza la plantilla de CloudFormation.
- La plantilla de CloudFormation crea un nuevo rol en AWS IAM, para permitir que el analizador de Defender for Cloud tome la última instantánea automatizada disponible de la instancia y la ponga en línea en un entorno de análisis aislado dentro de la misma región de AWS.
- Para conectar cuentas de AWS, necesita permisos de administrador en la cuenta.
- Las instantáneas automatizadas deben habilitarse en las instancias o clústeres de RDS pertinentes.
- El rol permite estos permisos (revise la plantilla de CloudFormation para ver las definiciones exactas):
- Enumeración de todas las bases de datos o clústeres de RDS
- Copia de todas las instantáneas de base de datos o clúster
- Eliminación o actualización de la instantánea de la base de datos o del clúster con el prefijo defenderfordatabases
- Enumeración de todas las claves de KMS
- Uso de todas las claves de KMS solo para RDS en la cuenta de origen
- Creación y control total en todas las claves de KMS con el prefijo de etiqueta DefenderForDatabases
- Creación de alias para claves de KMS
- Las claves de KMS se crean una vez para cada región que contiene instancias de RDS. La creación de una clave de KMS puede suponer un coste adicional mínimo, según los precios de AWS KMS.
Detección de los buckets de almacenamiento de GCP
Para proteger los recursos de GCP en Defender for Cloud, puede configurar un conector de Google utilizando una plantilla de script para incorporar la cuenta de GCP.
- Para detectar los buckets de almacenamiento de GCP, Defender for Cloud debe actualizar la plantilla de script.
- La plantilla de script crea un nuevo rol en la cuenta de Google para permitir que el escáner de Defender for Cloud acceda a los datos de los buckets de almacenamiento de GCP.
- Para conectar cuentas de Google, necesita permisos de administrador en la cuenta.
Expuesto a Internet/permite el acceso público
Las rutas de acceso a ataque de y la información del grafo de seguridad en la nube de Defender CSPM incluyen información sobre los recursos de almacenamiento que están expuestos a Internet y permiten el acceso público. En la tabla siguiente se proporciona los detalles.
| State | Cuentas de almacenamiento de Azure | Cubos de AWS S3 | Buckets de almacenamiento GCP |
|---|---|---|---|
| Expuesto a Internet | Una cuenta de almacenamiento de Azure se considera expuesta a Internet si cualquiera de estas opciones está habilitada: Storage_account_name >Redes>Acceso a la red pública>Habilitado desde todas las redes or Storage_account_name >Redes>Acceso a la red pública>Habilitar desde redes virtuales y direcciones IP seleccionadas. |
Un cubo de AWS S3 se considera expuesto a Internet si las directivas de cubo de la cuenta de AWS/AWS S3 no tienen una condición establecida para las direcciones IP. | Todos los depósitos de almacenamiento de GCP se exponen a Internet de forma predeterminada. |
| Permite el acceso público | Un contenedor de cuenta de almacenamiento de Azure se considera que permite el acceso público si esta configuración está habilitada en la cuenta de almacenamiento: Storage_account_name >Configuración>Permitir el acceso público de blobs>Habilitado. y cualquiera de estas opciones: Storage_account_name >Contenedores> container_name >Nivel de acceso público establecido en Blob (acceso de lectura anónimo solo para blobs) O bien, Storage_account_name >Contenedores> container_name >Nivel de acceso público establecido en Contenedor (acceso de lectura anónimo para contenedores y blobs). |
Se considera que un cubo de AWS S3 permite el acceso público si la cuenta de AWS y el cubo de AWS S3 tienen Bloquear todo el acceso público establecido en Desactivado y se establece cualquiera de estas opciones: En la directiva, RestrictPublicBuckets no está habilitado y la configuración principal está establecida en * y Efecto está establecido en Permitir. O bien, en la lista de control de acceso, IgnorePublicAcl no está habilitado y se permite el permiso para Todos o para Usuarios autenticados. |
Se considera que un cubo de almacenamiento de GCP permite el acceso público si: tiene un rol de IAM (Administración de identidad y acceso) que cumple estos criterios: El rol se concede al principal allUsers o allAuthenticatedUsers. El rol tiene al menos un permiso de almacenamiento que no seastorage.buckets.create o storage.buckets.list. El acceso público en GCP se denomina "Público a Internet". |
Los recursos de base de datos no permiten el acceso público, pero todavía se pueden exponer a Internet.
La información sobre exposición a Internet está disponible para los siguientes recursos:
Azure:
- Azure SQL Server
- Azure Cosmos DB
- Instancia administrada de Azure SQL
- Azure MySQL (servidor único)
- Azure MySQL (servidor flexible)
- Azure PostgreSQL (servidor único)
- Azure PostgreSQL (servidor flexible)
- Azure MariaDB (servidor único)
- Área de trabajo de Synapse
AWS:
- Instancia de RDS
Nota:
- Las reglas de exposición que incluyen 0.0.0.0/0 se consideran "excesivamente expuestas", lo que significa que se puede acceder a ellas desde cualquier dirección IP pública.
- Los recursos de Azure con la regla de exposición "0.0.0.0" son accesibles desde cualquier recurso de Azure (independientemente del inquilino o la suscripción).
Paso siguiente
Habilite la posición de seguridad con reconocimiento de datos.