Włączanie zarządzania stanem zabezpieczeń danych dla magazynów danych platformy Azure

Możesz włączyć zarządzanie bezpieczeństwem danych w Microsoft Defender dla Chmury. Zarządzanie stanem zabezpieczeń danych ułatwia odnajdywanie i klasyfikowanie poufnych danych, identyfikowanie zagrożeń i ustalanie priorytetów korygowania.

Gdy włączysz plany Zarządzanie Stanem Zabezpieczeń Chmury w usłudze Microsoft Defender lub Defender for Storage, rozszerzenie do wykrywania wrażliwych danych zostaje automatycznie włączone. Możesz wyłączyć tę opcję, jeśli nie chcesz korzystać z zarządzania stanem bezpieczeństwa danych. Zalecamy korzystanie z tej funkcji, aby uzyskać jak najwięcej korzyści z Defender dla Chmury.

Defender dla Chmury identyfikuje wrażliwe dane na podstawie ustawień wrażliwości danych. Ustawienia poufności danych można dostosować , aby zidentyfikować dane, które organizacja uważa za poufne.

Wyświetlenie wyników pierwszego odnajdywania po włączeniu funkcji może potrwać do 24 godzin.

Wymagania wstępne

Przed włączeniem zarządzania stanem zabezpieczeń danych zapoznaj się z następującymi wymaganiami wstępnymi:

Włącz w CSPM w usłudze Defender (Azure)

Wykonaj następujące kroki, aby włączyć zarządzanie stanem zabezpieczeń danych.

  1. Przejdź do Microsoft Defender dla Chmury>Ustawienia środowiska.

  2. Wybierz odpowiednią subskrypcję usługi Azure.

  3. W przypadku planu CSPM w usłudze Defender wybierz Włączone jako stan.

    Jeśli CSPM w usłudze Defender jest już włączony, wybierz Ustawienia w kolumnie Monitorowanie zasięgu w planie CSPM w usłudze Defender i upewnij się, że komponent Wykrywanie wrażliwych danych jest ustawiony na Włączony.

  4. Po włączeniu wykrywania danych wrażliwych w CSPM w usłudze Defender funkcja ta automatycznie obejmuje obsługę dodatkowych typów zasobów w miarę rozszerzania zakresu obsługiwanych typów zasobów.

Włącz w usłudze CSPM w usłudze Defender (AWS)

Wykonaj poniższe kroki, aby włączyć zarządzanie poziomem bezpieczeństwa danych dla zasobów AWS. Przejrzyj wymagania wstępne, a następnie skonfiguruj skanowanie dla swoich bucketów S3 i instancji RDS.

Przed rozpoczęciem pracy na platformie AWS

Przed włączeniem zarządzania stanem zabezpieczeń danych dla usług Amazon Web Services (AWS) wykonaj następujące kontrole:

  • Przejrzyj wymagania dotyczące wykrywania AWS oraz wymagane uprawnienia do skanowania S3 i RDS.
  • Sprawdź, czy nie ma żadnych zasad blokujących połączenie z zasobnikami usługi Amazon S3.
  • W przypadku instancji usługi Amazon Relational Database Service (RDS) obsługiwane jest szyfrowanie między kontami z użyciem usługi AWS Key Management Service (KMS), ale dodatkowe zasady dostępu w usłudze KMS mogą uniemożliwić dostęp.

Włączanie dla zasobów platformy AWS

Po spełnieniu wymagań wstępnych skonfiguruj skanowanie zasobów AWS.

Konfigurowanie zasobników S3 i instancji RDS

Aby włączyć skanowanie zasobników S3 i instancji RDS:

  1. W Defender dla Chmury przejdź do pozycji Ustawienia środowiska i wybierz łącznik platformy AWS.
  2. Włącz CSPM w usłudze Defender za pomocą funkcji Odkrywanie danych wrażliwych.
  3. Postępuj zgodnie z instrukcjami, aby pobrać szablon CloudFormation i uruchomić go w AWS.

Odkrywanie bucketów S3 na koncie AWS rozpoczyna się automatycznie.

W przypadku zasobników S3 skaner usługi Defender dla Chmury działa na koncie platformy AWS i nawiązuje połączenie z zasobnikami S3.

W przypadku instancji RDS, gdy Wykrywanie danych wrażliwych jest włączone, rozpoczyna się proces wykrywania. Skaner pobiera najnowszą automatyczną migawkę dla instancji, tworzy ręczną migawkę w koncie źródłowym i kopiuje ją do izolowanego środowiska należącego do firmy Microsoft w tym samym regionie.

Skaner wykorzystuje migawkę do utworzenia działającej instancji, którą uruchamia, skanuje, a następnie natychmiast usuwa wraz ze skopiowaną migawką.

Platforma skanująca raportuje tylko wyniki skanowania.

Diagram wyjaśniający platformę skanowania usług pulpitu zdalnego.

Sprawdzanie zasad blokowania usługi S3

Jeśli włączenie skanowania bucketów S3 i instancji RDS nie zadziałało z powodu zablokowanej polityki, sprawdź następujące warunki:

  • Upewnij się, że polityka zasobnika S3 nie blokuje połączenia. W bucket AWS S3 wybierz zakładkę Uprawnienia, a następnie politykę Bucket. Sprawdź szczegóły polityki, aby upewnić się, że usługa skanera Defender dla Chmury działająca na konto Microsoft w AWS nie jest zablokowana.
  • Upewnij się, że nie ma polityki SCP blokującej połączenie z bucketem S3. Na przykład zasady SCP mogą blokować wywołania API odczytu do regionu AWS, w którym jest hostowany zasobnik S3.
  • Sprawdź, czy twoja polityka SCP pozwala na wymagane wywołania API: AssumeRole, GetBucketLocation, GetObject, ListBucket oraz GetBucketPublicAccessBlock.
  • Sprawdź, czy twoja polityka SCP pozwala na połączenia do regionu us-east-1 AWS, który jest domyślnym regionem wywołań API.

Włącz monitorowanie z uwzględnieniem danych w oprogramowaniu Defender for Storage

Wykrywanie zagrożeń poufnych danych jest domyślnie włączone, gdy składnik odnajdywania poufnych danych jest włączony w planie usługi Defender for Storage. Więcej informacji można znaleźć w artykule Wykrywanie zagrożeń danych wrażliwych w Defender for Storage.

Note

Jeśli wyłączysz CSPM w usłudze Defender, skanowane są tylko Azure Storage zasoby.

Następny krok

Przeglądanie zagrożeń bezpieczeństwa w danych

  • Ostatnia aktualizacja o