Habilitación de la administración de la posición de seguridad de datos para almacenes de datos de Azure

En este artículo se explica cómo habilitar la administración de la posición de seguridad de los datos en Microsoft Defender para la nube. La administración de la posición de seguridad de datos le ayuda a detectar y clasificar datos confidenciales, identificar riesgos y priorizar la corrección. Antes de empezar, revise los requisitos previos de este artículo.

Antes de comenzar

Revise los siguientes requisitos previos antes de habilitar la gestión de la postura de seguridad de los datos:

• Antes de habilitar la administración de la posición de seguridad de los datos, revise el soporte técnico y los requisitos previos.
• Cuando habilitas Defender CSPM o los planes de Defender para Almacenamiento, la extensión de detección de datos confidenciales se habilita automáticamente. Puede deshabilitar esta configuración si no desea usar la administración de la posición de seguridad de datos, pero se recomienda usar la característica para obtener el máximo valor de Defender for Cloud.
• Los datos confidenciales se identifican en función de la configuración de confidencialidad de datos en Defender for Cloud. Puede personalizar la configuración de confidencialidad de datos para identificar los datos que su organización considera confidenciales.
• Se tarda hasta 24 horas en ver los resultados de un primer descubrimiento después de activar la función.

Habilitación en la CSPM de Defender (Azure)

Siga estos pasos para habilitar la administración de la posición de seguridad de los datos. No olvide revisar los permisos necesarios antes de empezar.

1. Vaya a Microsoft Defender for Cloud>Configuración del entorno.

2. Seleccione la suscripción de Azure correspondiente.

3. Para el plan de CSPM de Defender, seleccione el estado Activado .

   Si CSPM de Defender ya está activado, seleccione Configuración en la columna Cobertura de supervisión del plan de CSPM de Defender y asegúrese de que el componente detección de datos confidenciales esté establecido en Estado Activado .

4. Una vez activada la detección de datos confidenciales en CSPM de Defender, incorporará automáticamente compatibilidad con tipos de recursos adicionales a medida que se expande el intervalo de tipos de recursos admitidos.

Habilitación en la CSPM de Defender (AWS)

Sigue estos pasos para habilitar la gestión de la postura de seguridad de datos para tus recursos de AWS. Revisa los requisitos previos y luego configura el escaneo para tus buckets S3 e instancias RDS.

Antes de empezar en AWS

Complete las siguientes comprobaciones antes de habilitar la administración de la posición de seguridad de los datos para Amazon Web Services (AWS):

• No olvides: requisitos de descubrimiento de AWS y permisos requeridos para escaneos S3 y RDS.
• Compruebe que no haya ninguna directiva que bloquee la conexión a los cubos de Amazon S3.
• En el caso de las instancias de Amazon Relational Database Service (RDS), se admite el cifrado de AWS Key Management Service (KMS) entre cuentas, pero es posible que las directivas de acceso de KMS adicionales impidan el acceso.

Habilitación para recursos de AWS

Después de completar los requisitos previos, configura el escaneo para tus recursos de AWS.

Configurar cubos de S3 e instancias de RDS

Para habilitar el escaneo de buckets de S3 e instancias de RDS:

1. En Defender for Cloud, vaya a Configuración del entorno y seleccione el conector de AWS.
2. Activa Defender CSPM con detección de datos confidenciales.
3. Continúe con las instrucciones para descargar la plantilla de CloudFormation y ejecutarla en AWS.

La detección automática de cubos de S3 en la cuenta de AWS se inicia automáticamente.

En el caso de los cubos S3, el escáner de Defender for Cloud se ejecuta en su cuenta de AWS y se conecta a los cubos de S3.

En el caso de las instancias de RDS, la detección se desencadenará una vez activada la detección de datos confidenciales . El escáner tomará la instantánea automatizada más reciente de una instancia, creará una instantánea manual dentro de la cuenta de origen y la copiará a un entorno aislado de propiedad de Microsoft dentro de la misma región.

La instantánea se usa para crear una instancia activa que se activa, examina y, a continuación, se destruye inmediatamente (junto con la instantánea copiada).

La plataforma de escaneo notifica solo los resultados del escaneo.

Comprobación de las directivas de bloqueo de S3

Si activar el escaneo para buckets S3 e instancias RDS no funcionó debido a una política bloqueada, comprueba lo siguiente:

• Asegúrese de que la política del bucket S3 no bloquee la conexión. En el cubo de AWS S3, seleccione la pestaña Permisos y la directiva de cubos >. Compruebe los detalles de la directiva para asegurarse de que el servicio de escáner de Microsoft Defender para la nube que se ejecuta en la cuenta microsoft de AWS no está bloqueado.
• Asegúrese de que no haya ninguna directiva SCP que bloquee la conexión al cubo S3. Por ejemplo, la directiva SCP podría bloquear las llamadas API de lectura a la región de AWS donde se aloja el bucket S3.
• Compruebe que la directiva de SCP permite estas llamadas API necesarias: AssumeRole, GetBucketLocation, GetObject, ListBucket, GetBucketPublicAccessBlock
• Compruebe que la directiva de SCP permite llamadas a la región de AWS us-east-1, que es la región predeterminada para las llamadas API.

Habilitación de la supervisión con reconocimiento de datos en Defender for Storage

La detección de amenazas de datos confidenciales está habilitada de forma predeterminada cuando el componente de detección de datos confidenciales está habilitado en el plan de Defender para Storage. Para obtener más información, consulte Sensitive data threat detection in Defender for Storage.

Pasos siguientes

Después de activar la gestión de postura de seguridad de datos, continúa con el siguiente paso: