Activer la gestion de la posture de sécurité des données pour des magasins de données Azure

Vous pouvez activer la gestion de la posture de sécurité des données dans Microsoft Defender for Cloud. La gestion de la posture de sécurité des données vous permet de découvrir et de classer les données sensibles, d’identifier les risques et de hiérarchiser la correction.

Lorsque vous activez les plans Gestion de la posture de sécurité cloud Microsoft Defender ou Defender for Storage, l’extension de découverte de données sensibles est automatiquement activée. Vous pouvez désactiver ce paramètre si vous ne souhaitez pas utiliser la gestion de la posture de sécurité des données. Nous vous recommandons d’utiliser cette fonctionnalité pour tirer le meilleur parti de Defender for Cloud.

Defender for Cloud identifie les données sensibles en fonction des paramètres de sensibilité des données. Vous pouvez personnaliser les paramètres de confidentialité des données pour identifier les données que votre organisation considère comme sensibles.

Il faut jusqu’à 24 heures pour voir les résultats d’une première découverte après l’activation de la fonctionnalité.

Prerequisites

Passez en revue les conditions préalables suivantes avant d’activer la gestion de la posture de sécurité des données :

• Avant d’activer la gestion de la posture de sécurité des données, passez en revue la prise en charge et les prérequis.

Activer dans CSPM Defender (Azure)

Suivez ces étapes pour activer la gestion de la posture de sécurité des données.

1. Accédez aux paramètres Microsoft Defender for Cloud>Environment.

2. Sélectionnez l’abonnement Azure approprié.

3. Pour le plan CSPM Defender, sélectionnez l’état Activé .

   Si CSPM Defender est déjà activé, sélectionnez Paramètres dans la colonne Surveillance de couverture du plan CSPM Defender et assurez-vous que le composant Découverte de données sensibles est réglé sur Activé.

4. Après l’activation de la découverte de données sensibles dans CSPM Defender, il intègre automatiquement la prise en charge de types de ressources supplémentaires à mesure que la gamme des types de ressources supportés s’élargit.

Activer dans CSPM Defender (AWS)

Suivez ces étapes pour activer la gestion de la posture de sécurité des données pour vos ressources AWS. Examinez les prérequis puis configurez le balayage pour vos buckets S3 et instances RDS.

Avant de commencer dans AWS

Effectuez les vérifications suivantes avant d’activer la gestion de la posture de sécurité des données pour Amazon Web Services (AWS) :

• Examinez les exigences de découverte AWS et les autorisations requises pour le scan S3 et RDS.
• Vérifiez qu’il n’existe aucune stratégie qui bloque la connexion à vos compartiments Amazon S3.
• Pour les instances Amazon Relational Database Service (RDS), le chiffrement AWS Key Management Service (KMS) inter-comptes est pris en charge, mais des stratégies d’accès KMS supplémentaires peuvent empêcher l’accès.

Activer pour les ressources AWS

Après avoir rempli les prérequis, configurez la numérisation de vos ressources AWS.

Configurer des buckets S3 et des instances RDS

Pour activer l’analyse des buckets S3 et des instances RDS :

1. Dans Defender for Cloud, accédez aux paramètres Environment et sélectionnez votre connecteur AWS.
2. Activez CSPM Defender avec la fonctionnalité Découverte des données sensibles.
3. Suivez les instructions pour télécharger le modèle CloudFormation et l’exécuter dans AWS.

La découverte des buckets S3 dans le compte AWS commence automatiquement.

Pour les compartiments S3, le scanneur Defender pour Cloud s’exécute dans votre compte AWS et se connecte à vos compartiments S3.

Pour les instances RDS, lorsque la Découverte de Données Sensibles est activée, la découverte commence. Le scanner prend le dernier instantané automatisé pour une instance, crée un instantané manuel dans le compte source, puis le copie dans un environnement isolé appartenant à Microsoft dans la même région.

Le scanner utilise l’instantané pour créer une instance active qu’il démarre, analyse, puis détruit immédiatement, ainsi que l’instantané copié.

La plateforme d’analyse signale uniquement les résultats de l’analyse.

Vérifiez les politiques de blocage S3

Si l’activation du balayage pour les buckets S3 et les instances RDS ne fonctionnait pas à cause d’une politique bloquée, vérifiez les conditions suivantes :

• Assurez-vous que la politique du bucket S3 ne bloque pas la connexion. Dans le compartiment AWS S3, sélectionnez l’onglet Permissions , puis la politique Bucket. Vérifiez les détails de la politique pour vous assurer que le service de scanner Defender for Cloud qui tourne dans le compte compte Microsoft dans AWS n'est pas bloqué.
• Assurez-vous qu’aucune politique SCP ne bloque la connexion au compartiment S3. Par exemple, votre stratégie SCP peut bloquer les appels d’API de lecture vers la région AWS où votre compartiment S3 est hébergé.
• Vérifiez que votre politique SCP permet ces appels API requis : AssumeRole, GetBucketLocation, GetObject, ListBucket et GetBucketPublicAccessBlock.
• Vérifiez que votre politique SCP permet les appels vers la us-east-1 région AWS, qui est la région par défaut pour les appels API.

Activer la surveillance prenant en charge les données dans Defender pour le stockage

La détection des menaces de données sensibles est activée par défaut lorsque le composant de découverte de données sensibles est activé dans le plan Defender pour le stockage. Pour plus d’informations, voir Détection des menaces de données sensibles dans Defender for Storage.

Étape suivante