SQL-adatok felderítése és besorolása

A következőre vonatkozik: :SQL Server

Az adatfelderítés és -besorolás funkciókkal bővíti az adatbázisokban lévő bizalmas adatok felderítését, besorolását, címkézését és jelentéskészítését . Ez a T-SQL-en keresztül vagy SQL Server Management Studio (SSMS) használatával végezhető el. A legérzékenyebb adatok (üzleti, pénzügyi, egészségügyi stb.) felderítése és besorolása kulcsfontosságú szerepet játszhat a szervezeti information protection termetében. Infrastruktúraként szolgálhat a következőkhöz:

• Segítség az adatvédelmi előírásoknak való megfeleléshez.
• Nagyon bizalmas adatokat tartalmazó adatbázisokra/oszlopokra access monitorozása.

Megjegyzés:

Adatfelderítés és besorolás támogatott az SQL Server 2012 és az újabb verziók esetén, és használható a SSMS 17.5 vagy újabb verziókkal. A Azure SQL Database lásd: Azure SQL Database Adatfelderítés és Besorolás.

Áttekintés

Adatfelderítés és A besorolás az SQL Database, SQL Managed Instance és Azure Synapse új információvédelmi paradigmát alkot, amelynek célja az adatok védelme és nem csak az adatbázis védelme. Jelenleg a következő képességeket támogatja:

• Felderítés és javaslatok – A besorolási motor megvizsgálja az adatbázist, és azonosítja a potenciálisan bizalmas adatokat tartalmazó oszlopokat. Így egyszerűen áttekintheti és alkalmazhatja a megfelelő besorolási javaslatokat, valamint manuálisan osztályozhatja az oszlopokat.
• Címkézés – A bizalmassági besorolás címkéi folyamatosan címkézhetők az oszlopokon.
• Láthatóság – Az adatbázis besorolási állapota egy részletes jelentésben tekinthető meg, amely kinyomtatható vagy exportálható megfelelőségi és naplózási célokra.

Bizalmas oszlopok felderítése, besorolása és címkézése

Az alábbi szakasz a bizalmas adatokat tartalmazó oszlopok felderítésének, besorolásának és címkézésének, valamint az adatbázis aktuális besorolási állapotának megtekintésének és a jelentések exportálásának lépéseit ismerteti.

A besorolás két metaadat-attribútumot tartalmaz:

• Címkék – Az oszlopban tárolt adatok bizalmassági szintjének meghatározásához használt fő besorolási attribútumok.
• Információtípusok – Részletesebben megadhatja az oszlopban tárolt adatok típusát.

A SQL Server-adatbázis besorolása:

1. Az SQL Server Management Studio (SSMS) alkalmazásban csatlakozzon az SQL Serverhez.

2. Az SSMS Object Explorer válassza ki a besorolni kívánt adatbázist, és válassza a Tasks>Adatfelderítés és -besorolás>Osztályozási adatok... .

   

3. A besorolási motor megvizsgálja az adatbázist olyan (csak oszlopneveken alapuló) oszlopokat, amelyek potenciálisan bizalmas adatokat tartalmaznak, és felsorolja az ajánlott oszlopbesorolásokat:

   • Az ajánlott oszlopbesorolások listájának megtekintéséhez válassza a javaslatok értesítési mezőjét a tetején, vagy az ablak alján található Javaslatok panelt:

     

     

   • Tekintse át a javaslatok listáját:

     • Ha egy adott oszlopra vonatkozó javaslatot szeretne elfogadni, jelölje be a megfelelő sor bal oldali oszlopában lévő jelölőnégyzetet. Az összes javaslatot elfogadva is megjelölheti, ha bejelöli a javaslatok táblafejlécének jelölőnégyzetét.

     • Az ajánlott információtípust és bizalmassági címkét a legördülő menük használatával is módosíthatja.

     

   • A kijelölt javaslatok alkalmazásához válassza a Kijelölt javaslatok mentése gombot.

     

Megjegyzés:

A javaslatmotor, amely automatikus adatfelderítést végez, és bizalmas oszlopjavaslatokat biztosít, le van tiltva Microsoft Purview Information Protection szabályzatmód használata esetén.

4. A besorolt oszlopok megjelenítéséhez válassza ki a megfelelő sémát és a megfelelő táblát a legördülő listában, majd válassza az Oszlopok betöltése lehetőséget.

   

5. Az oszlopokat manuálisan is besorolhatja a javaslatalapú besorolás alternatívaként vagy kiegészítéseként:

   • Válassza a Besorolás hozzáadása lehetőséget az ablak felső menüjében.

     

   • A megnyíló környezeti ablakban adja meg az osztályozni kívánt oszlop nevét, az információ típusát és a bizalmassági címkét. A séma és a táblázat a főoldal bejegyzései alapján van kiválasztva.

     

   • Ha egyetlen kísérletben egy adott tábla összes nem besorolt oszlopához szeretne besorolást adni, akkor a Besorolás hozzáadása lap Oszlop legördülő menüjében válassza a Minden besorolatlan lehetőséget.

     

6. A besorolás befejezéséhez és az adatbázisoszlopok állandó címkézéséhez (címkézéséhez) az új besorolási metaadatokkal kattintson a Mentés gombra az ablak felső menüjében.

   

7. Ha az adatbázis besorolási állapotának teljes összegzését tartalmazó jelentést szeretne létrehozni, válassza a Jelentés megtekintése lehetőséget az ablak felső menüjében. (SSMS használatával is létrehozhat jelentést. Válassza ki azt az adatbázist, amelyben létre szeretné hozni a jelentést, majd válassza a Tasks Data Discovery and Classification Generate Report( Tevékenységadatok>felderítése és besorolása>jelentés létrehozása) lehetőséget...)

   

   

Az adatbázis besorolása Microsoft Purview Information Protection Szabályzat használatával

Megjegyzés:

A Microsoft Information Protection (rövidítve MIP) Microsoft Purview Information Protection néven lett átállítva. A MIP és a Microsoft Purview Information Protection kifejezéseket gyakran használják felcserélhetően ebben a dokumentumban, de mindkettő ugyanarra a fogalomra hivatkozik.

Microsoft Purview Information Protection címkék egyszerű és egységes módot biztosítanak a felhasználók számára a bizalmas adatok besorolására SQL Server. A MIP érzékenységi címkéi a Microsoft 365 megfelelőségi központban vannak létrehozva és felügyelve [új néven Microsoft Purview megfelelőségi portálként]. A bizalmas MIP-címkék Microsoft Purview megfelelőségi portálon való létrehozásáról és közzétételéről a Microsoft Information Protection bizalmassági címkék című cikkben olvashat.

Mostantól az SSMS használatával a forrás (SQL Server) adatait Microsoft Purview Information Protection címkékkel osztályozhatja, amelyeket a Power BI, az Office és más Microsoft-termékek használnak. Ezeket a bizalmassági címkéket az adatbázis oszlopszintjén alkalmazza a rendszer, ugyanazzal, mint az SQL Information Protection szabályzat.

A támogatott adatforrásokban a bizalmassági címkével ellátott adatokhoz csatlakozó Power BI-adathalmazok vagy -jelentések automatikusan örökölhetik ezeket a címkéket, így az adatok besorolása a Power BI-ba való bekerüléskor és az alárendelt alkalmazásokba való exportáláskor is megmarad. A MIP-szabályzat rendelkezésre állása az SSMS-ben lehetővé teszi egy teljes körű, nagyvállalati szintű besorolási megoldás elérését.

A Microsoft Purview Information Protection szabályzat konfigurálásához szükséges lépések

1. Csatlakozzon az SQL Serverhez a SQL Server Management Studio (SSMS) alkalmazásban.

2. Az SSMS Objektumkezelőben válassza ki az osztályozni kívánt adatbázist, és válassza a Tasks>Adatfelderítés és -besorolás>Microsoft információvédelem irányelvének beállítása

   

3. Megjelenik a Microsoft 365 hitelesítési ablak, a Microsoft Információvédelem szabályzatának beállításához. Válassza a Sign In lehetőséget, és adjon meg vagy válasszon ki egy érvényes felhasználói hitelesítő adatot a Microsoft 365-bérlő hitelesítéséhez.

   

4. Ha a hitelesítés sikeres, megjelenik egy előugró ablak, amelynek állapota sikeres.

   

5. Nem kötelező – Ha a microsoftos szuverén felhőbe szeretne bejelentkezni a Microsoft 365 hitelesítéshez, lépjen az SSMS >Tools>Options>Azure Services>Azure Cloud, és módosítsa a Name a megfelelő Microsoft szuverén felhőre.

   

6. Az SSMS Object Explorer ablakban Kattintson a jobb gombbal a besorolni kívánt adatbázisra, és válassza a Tasks>Data Discovery and Classification>Classify Data lehetőséget. Mostantól hozzáadhat új besorolást a Microsoft 365-bérlőben definiált MIP bizalmassági címkék használatával, és ezekkel a címkékkel osztályozhatja a SQL Server oszlopait.

   

   Az automatikus adatfelderítés és -javaslat le van tiltva a Microsoft Information Protection Szabályzat módban. Jelenleg csak SQL Information Protection Szabályzat módban érhető el.

Az Information Protection szabályzat alapértelmezettre vagy az SQL Information Protection visszaállításához nyissa meg az SSMS Object Explorer, kattintson a jobb gombbal az adatbázisra, és válassza a Feladatok>Adatfeltárás és osztályozás>Az alapértelmezett információvédelmi házirendet. Ez az alapértelmezett vagy az SQL Information Protection szabályzatot alkalmazza, és MIP-címkék helyett SQL bizalmassági címkékkel osztályozhatja az adatokat.

Ha egyéni JSON-fájlból szeretné engedélyezni Information Protection szabályzatot, nyissa meg az SSMS Object Explorer, kattintson a jobb gombbal az adatbázisra, és válassza a Tasks>Data Discovery and Classification>Set Information Protection Házirendfájlt.

Megjegyzés:

A figyelmeztető ikon azt jelzi, hogy az oszlopot korábban egy másik információvédelmi szabályzat használatával sorolták be, mint a jelenleg megadott szabályzati módot. Ha például jelenleg a Microsoft Information Protection módban van, és az egyik oszlopot korábban sql Information Protection Policy vagy Information Protection Policy használatával osztályozták egy egyéni szabályzatfájlból, az oszlopra figyelmeztető ikon jelenik meg. Eldöntheti, hogy módosítani szeretné-e az oszlop besorolását az aktuális házirend módban elérhető bizalmassági címkék bármelyikére, vagy hagyja meg azt.

Information Protection szabályzat kezelése SSMS-sel

A Information Protection szabályzatot a SQL Server Management Studio:

1. Az SQL Server Management Studio (SSMS) használatával csatlakozzon az SQL Serverhez.

2. Az SSMS-Object Explorer válasszon egy adatbázist, és válassza a Tasks>Adatfelderítés és -besorolás lehetőséget.

   Az alábbi menübeállítások lehetővé teszik a Information Protection szabályzat kezelését:

• Set Microsoft Information Protection Policy: Az Information Protection szabályzatot a Microsoft Purview Information Protection szabályzatra állítja.

• Információvédelmi házirend fájl beállítása: a kiválasztott JSON-fájlban meghatározott SQL Információvédelmi házirendet használja. (Lásd az alapértelmezett Information Protection házirendfájlt)

• Export Information Protection Szabályzat: Az Information Protection Szabályzatot JSON-fájlba exportálja.

• Reset Information Protection Policy: alaphelyzetbe állítja a Information Protection szabályzatot az alapértelmezett SQL Information Protection Szabályzatra.

Fontos

Az információvédelmi házirendfájl nincs az SQL Serverben tárolva. Az SSMS alapértelmezett Information Protection szabályzatot használ. Ha egy testre szabott Information Protection szabályzat meghiúsul, az SSMS nem használhatja az alapértelmezett szabályzatot. Az adatbesorolás sikertelen. A probléma megoldásához kattintson a Reset Information Protection Házirend elemre az alapértelmezett szabályzat használatához és az adatbesorolás újbóli engedélyezéséhez.

A besorolási metaadatok elérése

SQL Server 2019 sys.sensitivity_classifications rendszerkatalógus nézetet vezet be. Ez a nézet adattípusokat és bizalmassági címkéket ad vissza.

A 2019-SQL Server példányokon a sys.sensitivity_classifications lekérdezésével tekintse át az összes besorolással rendelkező minősített oszlopot. Például:

SELECT 
    schema_name(O.schema_id) AS schema_name,
    O.NAME AS table_name,
    C.NAME AS column_name,
    information_type,
	label,
	rank,
	rank_desc
FROM sys.sensitivity_classifications sc
    JOIN sys.objects O
    ON  sc.major_id = O.object_id
	JOIN sys.columns C 
    ON  sc.major_id = C.object_id  AND sc.minor_id = C.column_id

2019 SQL Server előtt az információtípusok és bizalmassági címkék besorolási metaadatai a következő kiterjesztett tulajdonságokban találhatók:

• sys_information_type_name
• sys_sensitivity_label_name

A 2017-SQL Server és az azt megelőző példányok esetében az alábbi példa az összes besorolt oszlopot a hozzájuk tartozó besorolásokkal adja vissza:

SELECT
    schema_name(O.schema_id) AS schema_name,
    O.NAME AS table_name,
    C.NAME AS column_name,
    information_type,
    sensitivity_label 
FROM
    (
        SELECT
            IT.major_id,
            IT.minor_id,
            IT.information_type,
            L.sensitivity_label 
        FROM
        (
            SELECT
                major_id,
                minor_id,
                value AS information_type 
            FROM sys.extended_properties 
            WHERE NAME = 'sys_information_type_name'
        ) IT 
        FULL OUTER JOIN
        (
            SELECT
                major_id,
                minor_id,
                value AS sensitivity_label 
            FROM sys.extended_properties 
            WHERE NAME = 'sys_sensitivity_label_name'
        ) L 
        ON IT.major_id = L.major_id AND IT.minor_id = L.minor_id
    ) EP
    JOIN sys.objects O
    ON  EP.major_id = O.object_id 
    JOIN sys.columns C 
    ON  EP.major_id = C.object_id AND EP.minor_id = C.column_id

Engedélyek

A SQL Server 2019 példányokon a bizalmassági besorolások megtekintéséhez VIEW ANY SENSITIVITY CLASSIFICATION engedély szükséges. További információ: Metaadatok láthatóságának konfigurációja.

2019 SQL Server előtt a metaadatok a Kiterjesztett tulajdonságok katalógusnézet sys.extended_properties használatával érhetők el.

A besorolás kezeléséhez a BIZALMASSÁGI BESOROLÁS MÓDOSÍTÁSA engedély szükséges. Az ALTER ANY BIZALMASSÁGI BESOROLÁSt az adatbázis-engedély alter vagy a kiszolgálói engedély CONTROL SERVERe feltételezi.

Besorolások kezelése

T-SQL

A T-SQL használatával oszlopbesorolásokat vehet fel vagy távolíthat el, valamint lekérheti a teljes adatbázis összes besorolását.

• Egy vagy több oszlop besorolásának hozzáadása/frissítése: BIZALMASSÁGI BESOROLÁS HOZZÁADÁSA
• Egy vagy több oszlopról távolítsa el a besorolást: DROP SENSITIVITY CLASSIFICATION

PowerShell-parancsmag

A PowerShell-parancsmaggal oszlopbesorolásokat vehet fel vagy távolíthat el, valamint lekérheti az összes besorolást, és javaslatokat kaphat a teljes adatbázishoz.

• Get-SqlSensitivityClassification
• Get-SqlSensitivityRecommendations
• Set-SqlSensitivityClassification
• Remove-SqlSensitivityClassification

Következő lépések

A Azure SQL Database lásd: Azure SQL Database Adatfelderítés és Besorolás.

Fontolja meg a bizalmas oszlopok védelmét oszlopszintű biztonsági mechanizmusok alkalmazásával:

• Dinamikus adatmaszkolás a használatban lévő bizalmas oszlopok elhomályosításához.
• Always Encrypted az inaktív bizalmas oszlopok titkosításához.