Anforderungen an die Datenresidenz ermitteln

Overview

Dieser Leitfaden hilft Ihnen, die Anforderungen an die Datenresidenz für eine Multicloud-Implementierung zu bestimmen, die Cloud Security Posture Management (CSPM) und Cloud Workload Protection Platform (CWPP)-Lösungen in Microsoft Defender for Cloud verwendet.

Ziele der Datenresidenzplanung

Identifizieren Sie die Anforderungen an die Datenresidenz für Ihre Multicloud-Bereitstellung und machen Sie sich damit vertraut, wie die Defender for Cloud-Pläne und -Agents beeinflussen, wo Daten verarbeitet und gespeichert werden.

Fang mit der Planung von Datenresidenz an

Wenn Sie Vermögenswerte über Clouds hinweg schützen, identifizieren Sie, welche Pläne aktiviert werden sollen und ob jeder Plan Agenten benötigt.

Identifizieren Sie im Rahmen dieser Analyse regionale und rechtliche Anforderungen für die Datenverarbeitung.

Überlegungen für den Agent bei der Datenresidenz

Betrachten Sie die Auswirkungen auf Datenresidenz und Datenverarbeitung für die Agenten und Erweiterungen, die von Defender for Cloud verwendet werden.

• CSPM: Die CSPM-Funktionalität (Cloud security posture management) in Defender for Cloud ist agentlos. Es sind keine Agents erforderlich, damit CSPM funktioniert.
• CWPP: Cloud Workload Protection Platform (CWPP)-Funktionen in Defender for Cloud erfordern, dass Agents Daten sammeln.

Überlegungen zur Datenresidenz für Defender for Server

Agents werden im Defender for Servers-Plan wie folgt verwendet:

• Andere öffentliche Clouds als Azure stellen über den Azure Arc-Dienst eine Verbindung mit Azure her.
• Der Azure Connected Machine-Agent wird auf Multicloud-Computern installiert, die als Azure Arc-Computer integriert werden. Defender for Cloud muss im Abonnement aktiviert werden, in dem sich die Azure Arc-Computer befinden.
• Defender for Cloud nutzt den Connected Machine-Agent, um Erweiterungen (z. B. Microsoft Defender for Endpoint) zu installieren, die für die Funktionalität von Defender for Servers benötigt werden.

Überlegungen zur Datenresidenz für Defender for Containers

Defender for Containers schützt Ihre Multicloud-Containerbereitstellungen, die ausgeführt werden in:

• Azure Kubernetes Service (AKS) – Der verwaltete Dienst von Microsoft zum Entwickeln, Bereitstellen und Verwalten von containerisierten Anwendungen.
• Amazon Elastic Kubernetes Service (EKS) in einem verbundenen AWS-Konto: Der verwaltete Amazon-Dienst zum Ausführen von Kubernetes in AWS, ohne dass Sie Ihre eigene Kubernetes-Steuerungsebene oder -Knoten installieren, betreiben und verwalten müssen.
• Google Kubernetes Engine (GKE) in einem GCP-Projekt: Die verwaltete Google-Umgebung zum Bereitstellen, Verwalten und Skalieren von Anwendungen mithilfe der GCP-Infrastruktur.
• Andere Kubernetes-Distributionen, die Kubernetes mit Azure Arc-Unterstützung verwenden, sodass Kubernetes-Cluster, die an einer beliebigen Stelle ausgeführt werden, einschließlich anderer öffentlicher Clouds und lokal, angefügt und konfiguriert werden können.

Defender for Containers umfasst sowohl sensorbasierte als auch agentlose Komponenten.

• Agentenlose Erfassung von Kubernetes-Überwachungsprotokolldaten: Amazon CloudWatch oder GCP Cloud Logging erfasst Überwachungsprotokolldaten und sendet die Daten zur weiteren Analyse an Defender for Cloud.
• Agentenlose Erfassung für das Kubernetes-Inventar: Erfassen Sie Daten zu Ihren Kubernetes-Clustern und deren Ressourcen, z. B. Namespaces, Deployments, Pods und Ingresses.
• Sensorbasiertes Kubernetes mit Azure Arc-Unterstützung: EKS- und GKE-Cluster werden mithilfe von Azure Arc-Agents mit Azure verbunden, sodass sie als Azure Arc-Ressourcen behandelt werden.
• Defender sensor: Ein DaemonSet, das Signale von Hosts mithilfe erweiterter Technologie des Berkeley Packet Filters (eBPF) sammelt und Laufzeitschutz bietet. Die Erweiterung wird bei einem Log Analytics-Arbeitsbereich registriert und als Datenpipeline verwendet. Kubernetes-Überwachungsprotokolldaten werden nicht im Log Analytics Arbeitsbereich gespeichert.
• Azure Policy für Kubernetes: Die Konfigurationsinformationen werden von Azure Policy für Kubernetes gesammelt.
  • Azure Policy für Kubernetes erweitert das Open-Source-Zugangscontrollerwebhook von Gatekeeper v3 für Open Policy Agent.
  • Die Erweiterung registriert sich als Webhook bei der Kubernetes-Zugangssteuerung und ermöglicht das zentrale, konsistente Anwenden von Skalierungs- und Sicherheitsvorkehrungen in Ihren Clustern.

Überlegungen zur Datenresidenz für Defender for Databases

Für den Plan Defender für Datenbanken in einem Szenario mit mehreren Clouds verwenden Sie Azure Arc zum Verwalten von SQL-Serverdatenbanken (Multicloud Structured Query Language). Die SQL Server Instanz wird auf einem virtuellen oder physischen Computer installiert, der mit Azure Arc verbunden ist.

• Die automatische SQL-Serverermittlung und -registrierung muss aktiviert werden, um die SQL-Datenbankermittlung auf den Computern zu ermöglichen.
• Der Azure Connected Machine-Agent wird auf Computern installiert, die mit Azure Arc verbunden sind.
• Der Defender for Databases-Plan muss im Abonnement aktiviert werden, in dem sich die Azure Arc-Computer befinden.
• Der Log Analytics-Agent für Microsoft Defender for SQL Server muss auf den Azure Arc-Computern bereitgestellt werden. Er erfasst sicherheitsbezogene Konfigurationseinstellungen und Ereignisprotokolle von Computern.

Für AWS- und GCP-Ressourcen, die von Defender for Cloud geschützt sind, wird der Ressourcenstandort direkt von AWS und GCP bestimmt.

Nächste Schritte