Aktivieren der Datensicherheitsstatusverwaltung für Azure-Datenspeicher

Sie können das Management der Datensicherheit in Microsoft Defender for Cloud aktivieren. Die Verwaltung von Datensicherheitsstatus hilft Ihnen, vertrauliche Daten zu ermitteln und zu klassifizieren, Risiken zu identifizieren und Korrekturen zu priorisieren.

Wenn Sie Microsoft Defender Cloud Security Posture Management oder Defender for Storage Pläne aktivieren, wird die Erweiterung zur Discovery sensibler Daten automatisch aktiviert. Du kannst diese Einstellung deaktivieren, wenn du kein Data Security Posture Management verwenden möchtest. Wir empfehlen, die Funktion zu nutzen, um den größtmöglichen Nutzen aus Defender for Cloud zu ziehen.

Defender for Cloud identifiziert sensible Daten basierend auf den Datensensitivitätseinstellungen. Sie können die Datenempfindlichkeitseinstellungen anpassen , um die Daten zu identifizieren, die Ihre Organisation als vertraulich erachtet.

Nach dem Aktivieren des Features dauert es bis zu 24 Stunden, bis die Ergebnisse einer ersten Ermittlung angezeigt werden.

Voraussetzungen

Überprüfen Sie die folgenden Voraussetzungen, bevor Sie die Verwaltung von Datensicherheitsstatus aktivieren:

• Bevor Sie die Verwaltung von Datensicherheitsstatus aktivieren, überprüfen Sie Support und Voraussetzungen.

Aktivieren in Defender CSPM (Azure)

Führen Sie die folgenden Schritte zum Aktivieren der Datensicherheitsstatusverwaltung aus.

1. Wechseln Sie zu Microsoft Defender for Cloud>Umgebungseinstellungen.

2. Wählen Sie das relevante Azure-Abonnement aus.

3. Wählen Sie für den Defender CSPM-Plan den Status " Ein " aus.

   Wenn Defender CSPM bereits aktiviert ist, wählen Sie Einstellungen in der Spalte Überwachungsabdeckung des Defender CSPM-Plans aus und stellen Sie sicher, dass die Komponente zur Identifikation sensibler Daten auf An steht.

4. Nachdem die Entdeckung sensibler Daten in Defender CSPM aktiviert wurde, wird automatisch Unterstützung für zusätzliche Ressourcentypen integriert, wenn der Bereich der unterstützten Ressourcentypen wächst.

Aktivieren in Defender CSPM (AWS)

Befolgen Sie diese Schritte, um das Management der Datensicherheit für Ihre AWS-Ressourcen zu ermöglichen. Überprüfen Sie die Voraussetzungen und konfigurieren Sie dann das Scannen für Ihre S3-Buckets und RDS-Instanzen.

Bevor Sie mit AWS beginnen

Führen Sie die folgenden Überprüfungen aus, bevor Sie die Verwaltung von Datensicherheitsstatus für Amazon Web Services (AWS) aktivieren:

• Überprüfen Sie die Anforderungen an die AWS-Discovery und die erforderlichen Berechtigungen für S3- und RDS-Scans.
• Überprüfen Sie, ob keine Richtlinie vorhanden ist, die die Verbindung zu Ihren Amazon S3-Buckets blockiert.
• Für Amazon Relational Database Service (RDS)-Instanzen wird die kontoübergreifende AWS Key Management Service (KMS)-Verschlüsselung unterstützt, aber zusätzliche KMS-Zugriffsrichtlinien verhindern möglicherweise den Zugriff.

Aktivieren für AWS-Ressourcen

Nachdem du die Voraussetzungen erfüllt hast, konfiguriere das Scannen für deine AWS-Ressourcen.

Konfigurieren von S3-Buckets und RDS-Instanzen

So aktivieren Sie die Suche nach S3-Buckets und RDS-Instanzen:

1. Wechseln Sie in Defender for Cloud zu Environment-Einstellungen und wählen Sie Ihren AWS-Connector aus.
2. Aktivieren Sie Defender CSPM mit Sensitive Datenermittlung.
3. Befolgen Sie die Anweisungen, um die CloudFormation-Vorlage herunterzuladen und sie in AWS auszuführen.

Die Entdeckung von S3-Buckets im AWS-Konto beginnt automatisch.

Für S3-Buckets wird der Defender for Cloud-Scanner in Ihrem AWS-Konto ausgeführt und stellt eine Verbindung mit Ihren S3-Buckets bereit.

Bei RDS-Instanzen beginnt die Entdeckung, wenn die Sensitive Data Discovery aktiviert ist. Der Scanner verwendet den neuesten automatisch erstellten Snapshot einer Instanz, erstellt einen manuellen Snapshot im Quellkonto und kopiert ihn in eine isolierte, Microsoft-eigene Umgebung in derselben Region.

Der Scanner nutzt den Snapshot, um eine Live-Instanz zu erstellen, die er aufdreht, scannt und dann sofort zerstört, zusammen mit dem kopierten Snapshot.

Die Scan-Plattform meldet nur Scan-Befunde.

Überprüfung von S3-Sperrrichtlinien

Wenn das Aktivieren des Scannens für S3-Buckets und RDS-Instanzen wegen einer blockierten Richtlinie nicht funktioniert hat, prüfen Sie die folgenden Bedingungen:

• Stellen Sie sicher, dass die S3-Bucket-Policy die Verbindung nicht blockiert. Wählen Sie im AWS S3-Bucket die Registerkarte Berechtigungen und dann Bucket policy aus. Überprüfen Sie die Richtliniendetails, um sicherzustellen, dass der Defender for Cloud-Scanner-Service, der im Microsoft Account in AWS läuft, nicht blockiert ist.
• Stellen Sie sicher, dass keine SCP-Richtlinie die Verbindung zum S3-Bucket blockiert. Ihre SCP-Richtlinie kann beispielsweise Lese-API-Aufrufe an die AWS-Region blockieren, in der Ihr S3-Bucket gehostet wird.
• Überprüfen Sie, ob Ihre SCP-Richtlinie diese erforderlichen API-Aufrufe erlaubt: AssumeRole, GetBucketLocation, GetObject, ListBucket und GetBucketPublicAccessBlock.
• Überprüfen Sie, ob Ihre SCP-Richtlinie Aufrufe in die us-east-1 AWS-Region erlaubt, die Standardregion für API-Aufrufe ist.

Aktivieren Sie die datenbewusste Überwachung in Defender for Storage

Die Bedrohungserkennung für vertrauliche Daten ist standardmäßig aktiviert, wenn die Komponente zur Erkennung vertraulicher Daten im Defender for Storage-Plan aktiviert ist. Weitere Informationen finden Sie unter Erkennung sensibler Datenbedrohungen in Defender for Storage.

Nächster Schritt