Microsoft Defender for Cloudでデータセキュリティの状況管理を有効にすることができます。 データ セキュリティ体制管理は、機密データの検出と分類、リスクの特定、修復の優先順位付けを行うのに役立ちます。
Microsoft Defender クラウド セキュリティ態勢管理 または Defender for Storage プランを有効にすると、機密データ検出拡張機能が自動的に有効になります。 データセキュリティの状況管理を使いたくない場合は、この設定を無効にできます。 Defender for Cloudの価値を最大限に引き出すために、この機能の活用をお勧めします。
Defender for Cloudは、データセンシティブ設定に基づいて機密データを識別します。 データの秘密度設定をカスタマイズして、組織が機密と見なすデータを特定できます。
機能を有効にした後、最初の検出の結果が表示されるまでに最大 24 時間かかります。
前提条件
データ セキュリティ体制管理を有効にする前に、次の前提条件を確認してください。
- データ セキュリティ体制管理を有効にする前に、 サポートと前提条件を確認してください。
Defender CSPM で有効にする (Azure)
データ セキュリティ体制管理を有効にするには、次の手順に従います。
Microsoft Defender for Cloud>Environment settings に移動します。
適切な Azure サブスクリプションを選択します。
Defender CSPM プランの場合は、[ オン ] 状態を選択します。
Defender CSPMがすでにオンになっている場合は、Defender CSPMプランのモニタリングカバレッジ欄で設定を選択し、Sensitive Data DiscoveryコンポーネントがOnに設定されていることを確認してください。
Defender CSPMで機密データ検出がオンになると、サポートされるリソースの種類が拡大するにつれて、自動的に追加のリソースタイプのサポートが組み込まれます。
Defender CSPM で有効にする (AWS)
以下のステップに従って、AWSリソースのデータセキュリティ体制管理を有効にしてください。 前提条件を確認し、S3バケットやRDSインスタンスのスキャンを設定しましょう。
AWS で開始する前に
アマゾン ウェブ サービス (AWS) のデータ セキュリティ体制管理を有効にする前に、次のチェックを完了します。
- S3およびRDSスキャンに関するAWSのディスカバリー要件と必要な権限を確認しましょう。
- Amazon S3 バケットへの接続をブロックするポリシーがないことを確認します。
- Amazon Relational Database Service (RDS) インスタンスでは、クロスアカウント AWS キー管理サービス (KMS) 暗号化がサポートされていますが、追加の KMS アクセス ポリシーによってアクセスが妨げられる可能性があります。
AWS リソースに対して有効にする
前提条件を満たしたら、AWSリソースのスキャン設定をしてください。
S3 バケットと RDS インスタンスを構成する
S3 バケットと RDS インスタンスのスキャンを有効にするには:
- Defender for Cloudで、Environment settings に移動し、AWS コネクタを選択します。
- 機密データの検出で Defender CSPM を有効化する。
- 説明に従ってCloudFormationテンプレートをダウンロードし、AWSで実行してください。
AWSアカウント内のS3バケットの発見は自動的に始まります。
S3 バケットの場合、Defender for Cloud スキャナーは AWS アカウントで実行され、S3 バケットに接続されます。
RDSインスタンスでは、 Sensitive Data Discovery が有効になるとディスカバリーが始まります。 スキャナーはインスタンスの最新の自動スナップショットを取得し、元のアカウントで手動スナップショットを作成し、同じリージョン内の孤立したMicrosoft所有環境にコピーします。
スナップショットを使ってライブインスタンスを作成し、それを起動してスキャンし、コピーしたスナップショットとともに即座に破棄します。
スキャンプラットフォームはスキャン結果のみを報告します。
S3 ブロック ポリシーを確認する
もしS3バケットやRDSインスタンスのスキャンを有効にしてもブロックポリシーのため機能しない場合は、以下の条件を確認してください。
- S3バケットポリシーが接続をブロックしていないか確認してください。 AWS S3のバケットで「 Permissions 」タブを選択し、次に 「Bucket policy」を選択してください。 ポリシーの詳細を確認し、AWSのMicrosoft アカウントで動作しているDefender for Cloudスキャナーサービスがブロックされていないか確認してください。
- S3バケットへの接続をブロックするSCPポリシーがないか確認してください。 たとえば、SCP ポリシーによって、S3 バケットがホストされている AWS リージョンへの読み取り API 呼び出しがブロックされる場合があります。
- SCPポリシーが以下のAPI呼び出しを許可しているか確認してください: AssumeRole、 GetBucketLocation、 GetObject、 ListBucket、 GetBucketPublicAccessBlock。
- SCPポリシーで
us-east-1AWSリージョンへの呼び出しが許可されているか確認してください。AWSリージョンはAPI呼び出しのデフォルトリージョンです。
Defender for Storage でデータ対応の監視を有効にする
Defender for Storage プランで機密データ検出コンポーネントが有効になっている場合、機密データの脅威検出は既定で有効になります。 詳細については、Defender for Storageの「Sensitive Data Threat detection」をご覧ください。
注
Defender CSPMをオフにすると、Azure Storageリソースのみがスキャンされます。