Habilitación de la administración de la posición de seguridad de datos para almacenes de datos de Azure

Puedes habilitar la gestión de postura de seguridad de datos en Microsoft Defender para la nube. La administración de la posición de seguridad de datos le ayuda a detectar y clasificar datos confidenciales, identificar riesgos y priorizar la corrección.

Cuando activas los planes Administración de la posición de seguridad en la nube de Microsoft Defender o Defender for Storage, la extensión de descubrimiento de datos sensibles se habilita automáticamente. Puedes desactivar esta opción si no quieres usar la gestión de postura de seguridad de datos. Recomendamos que utilices esta función para sacar el máximo provecho de Defender for Cloud.

Defender for Cloud identifica datos sensibles basándose en la configuración de sensibilidad de los datos. Puede personalizar la configuración de confidencialidad de datos para identificar los datos que su organización considera confidenciales.

Se tarda hasta 24 horas en ver los resultados de un primer descubrimiento después de activar la función.

Prerequisites

Revise los siguientes requisitos previos antes de habilitar la gestión de la postura de seguridad de los datos:

• Antes de habilitar la administración de la posición de seguridad de los datos, revise el soporte técnico y los requisitos previos.

Habilitación en la CSPM de Defender (Azure)

Siga estos pasos para habilitar la administración de la posición de seguridad de los datos.

1. Vaya a Microsoft Defender para la nube>Configuración del entorno.

2. Seleccione la suscripción de Azure correspondiente.

3. Para el plan de CSPM de Defender, seleccione el estado Activado .

   Si Defender CSPM ya está activado, selecciona Configuración en la columna de Cobertura de Monitorización del plan Defender CSPM y asegúrate de que el componente de descubrimiento de datos sensibles esté activado.

4. Una vez que la detección de datos confidenciales se activa En en Defender CSPM, incorpora automáticamente la compatibilidad con tipos de recursos adicionales a medida que se amplía la gama de tipos de recursos admitidos.

Habilitación en la CSPM de Defender (AWS)

Sigue estos pasos para activar la gestión de la posición de seguridad de los datos para tus recursos de AWS. Revisa los requisitos previos y luego configura el escaneo para tus buckets S3 e instancias RDS.

Antes de empezar en AWS

Complete las siguientes comprobaciones antes de habilitar la administración de la posición de seguridad de los datos para Amazon Web Services (AWS):

• Revisa los requisitos de descubrimiento de AWS y los permisos requeridos para escaneos S3 y RDS.
• Compruebe que no haya ninguna directiva que bloquee la conexión a los cubos de Amazon S3.
• En el caso de las instancias de Amazon Relational Database Service (RDS), se admite el cifrado de AWS Key Management Service (KMS) entre cuentas, pero es posible que las directivas de acceso de KMS adicionales impidan el acceso.

Habilitación para recursos de AWS

Después de completar los requisitos previos, configura el escaneo para tus recursos de AWS.

Configurar cubos de S3 e instancias de RDS

Para habilitar el escaneo de buckets de S3 e instancias de RDS:

1. En Defender for Cloud, vaya a Configuración del entorno y seleccione el conector de AWS.
2. Activa Defender CSPM con detección de datos confidenciales.
3. Sigue las instrucciones para descargar la plantilla de CloudFormation y ejecutarla en AWS.

El descubrimiento de los buckets S3 en la cuenta de AWS comienza automáticamente.

En el caso de los cubos S3, el escáner de Defender for Cloud se ejecuta en su cuenta de AWS y se conecta a los cubos de S3.

En las instancias de RDS, cuando se activa el Descubrimiento de Datos Sensibles , comienza el descubrimiento. El escáner toma la última instantánea automatizada de una instancia, crea una instantánea manual en la cuenta de origen y la copia a un entorno aislado propiedad de Microsoft en la misma región.

El escáner utiliza la instantánea para crear una instancia en tiempo real que pone en marcha, analiza y, a continuación, destruye inmediatamente, junto con la instantánea copiada.

La plataforma de escaneo solo informa de los hallazgos de escaneo.

Comprobación de las directivas de bloqueo de S3

Si habilitar el escaneo para buckets de S3 e instancias de RDS no funcionó porque una política estaba bloqueada, comprueba las siguientes condiciones:

• Asegúrate de que la política de buckets S3 no bloquee la conexión. En el bucket AWS S3, selecciona la pestaña Permisos y luego la política Bucket. Revisa los detalles de la política para asegurarte de que el servicio de escáner Defender for Cloud que se ejecuta en la cuenta de cuenta Microsoft en AWS no esté bloqueado.
• Asegúrate de que no exista ninguna política SCP que bloquee la conexión con el bucket de S3. Por ejemplo, la directiva SCP podría bloquear las llamadas API de lectura a la región de AWS donde se aloja el bucket S3.
• Comprueba que tu política SCP permita estas llamadas a la API requeridas: AssumeRole, GetBucketLocation, GetObject, ListBucket y GetBucketPublicAccessBlock.
• Comprueba que tu política SCP permita llamadas a la us-east-1 región AWS, que es la región predeterminada para las llamadas a la API.

Habilitación de la supervisión con reconocimiento de datos en Defender for Storage

La detección de amenazas de datos confidenciales está habilitada de forma predeterminada cuando el componente de detección de datos confidenciales está habilitado en el plan de Defender para Storage. Para más información, consulta Detección de amenazas de datos sensibles en Defender for Storage.

Paso siguiente