Gegevensbeveiligingsstatusbeheer inschakelen voor Azure-gegevensopslagplaatsen

Je kunt databeveiligingsbeheer inschakelen in Microsoft Defender voor Cloud. Met het beheer van de gegevensbeveiligingspostuur kunt u gevoelige gegevens detecteren en classificeren, risico's identificeren en prioriteit geven aan herstel.

Wanneer je Microsoft Defender Cloud Security Posture Management of Defender for Storage plannen inschakelt, wordt de extensie voor het ontdekken van gevoelige gegevens automatisch ingeschakeld. Je kunt deze instelling uitschakelen als je geen data security posture management wilt gebruiken. We raden aan om de functie te gebruiken om het meeste uit Defender voor Cloud te halen.

Defender voor Cloud identificeert gevoelige gegevens op basis van de gegevensgevoeligheidsinstellingen. U kunt de instellingen voor gegevensgevoeligheid aanpassen om de gegevens te identificeren die door uw organisatie als gevoelig worden beschouwd.

Het duurt maximaal 24 uur om de resultaten van een eerste detectie te zien nadat de functie is ingeschakeld.

Prerequisites

Bekijk de volgende vereisten voordat u beheer van de beveiligingsstatus van gegevens inschakelt:

• Controleer de ondersteuning en vereisten voordat u het beheer van de gegevensbeveiligingspostuur inschakelt.

Inschakelen in Defender CSPM (Azure)

Volg deze stappen om het beheer van de gegevensbeveiligingspostuur in te schakelen.

1. Ga naar Microsoft Defender voor Cloud>Omgevingsinstellingen.

2. Selecteer het betreffende Azure-abonnement.

3. Selecteer voor het Defender CSPM-abonnement de status On .

   Als Defender CSPM al aan staat, selecteer dan Instellingen in de kolom Monitoring coverage van het Defender CSPM-plan en zorg ervoor dat de component Sensitive data discovery op Aan staat.

4. Nadat het ontdekken van gevoelige gegevens is ingeschakeld in Defender CSPM, wordt automatisch ondersteuning voor extra resourcetypen toegevoegd naarmate het bereik van ondersteunde resourcetypes toeneemt.

Inschakelen in Defender CSPM (AWS)

Volg deze stappen om databeveiligingsbeheer voor je AWS-resources mogelijk te maken. Bekijk de vereisten en configureer vervolgens het scannen voor je S3-buckets en RDS-instanties.

Voordat u begint in AWS

Voer de volgende controles uit voordat u het beheer van gegevensbeveiligingspostuur voor Amazon Web Services (AWS) inschakelt:

• Bekijk de AWS-ontdekkingsvereisten en vereiste rechten voor S3- en RDS-scanning.
• Controleer of er geen beleid is dat de verbinding met uw Amazon S3-buckets blokkeert.
• Voor RDS-exemplaren (Amazon Relational Database Service) wordt versleuteling van AWS Key Management Service (KMS) voor meerdere accounts ondersteund, maar het is mogelijk dat extra KMS-toegangsbeleid de toegang verhindert.

Inschakelen voor AWS-resources

Nadat je de vereisten hebt afgerond, configureer je het scannen voor je AWS-resources.

S3-buckets en RDS-instances configureren

Scannen voor S3-buckets en RDS-exemplaren inschakelen:

1. Ga in Defender voor Cloud naar Omgevingsinstellingen en selecteer uw AWS-connector.
2. Schakel Defender CSPM in met Gevoelige gegevensdetectie.
3. Volg de instructies om de CloudFormation-template te downloaden en deze in AWS uit te voeren.

De detectie van S3-buckets in het AWS-account start automatisch.

Bij S3-buckets draait de Defender voor Cloud-scanner in uw AWS-account en maakt deze verbinding met uw S3-buckets.

Voor RDS-instanties begint de ontdekking wanneer Sensitive Data Discovery wordt ingeschakeld. De scanner gebruikt de nieuwste geautomatiseerde snapshot voor een instantie, maakt een handmatige snapshot in het bronaccount en kopieert deze naar een geïsoleerde, door Microsoft beheerde omgeving in dezelfde regio.

De scanner gebruikt de snapshot om een actieve instantie te maken die hij opstart, scant en daarna meteen weer vernietigt, samen met de gekopieerde snapshot.

Het scanplatform rapporteert alleen scanresultaten.

Controleren op S3-blokkeringsbeleid

Als het inschakelen van scannen voor S3-buckets en RDS-instanties niet werkte vanwege een geblokkeerd beleid, controleer dan de volgende voorwaarden:

• Zorg ervoor dat het S3-bucketbeleid de verbinding niet blokkeert. Selecteer in de AWS S3-bucket het tabblad Permissions en vervolgens Bucket policy. Controleer de beleidsdetails om te controleren of de Defender voor Cloud-scannerservice die draait in het Microsoft-account in AWS niet geblokkeerd is.
• Zorg ervoor dat er geen SCP-beleid is dat de verbinding met de S3-bucket blokkeert. Uw SCP-beleid kan bijvoorbeeld lees-API-aanroepen blokkeren naar de AWS-regio waar uw S3-bucket wordt gehost.
• Controleer of je SCP-beleid deze vereiste API-aanroepen toestaat: AssumeRole, GetBucketLocation, GetObject, ListBucket en GetBucketPublicAccessBlock.
• Controleer of je SCP-beleid aanroepen naar de us-east-1 AWS-regio toestaat, wat de standaardregio is voor API-aanroepen.

Gegevensbewuste bewaking inschakelen in Defender for Storage

Detectie van bedreigingen voor gevoelige gegevens is standaard ingeschakeld wanneer het onderdeel voor detectie van gevoelige gegevens is ingeschakeld in het Defender for Storage-plan. Voor meer informatie, zie detectie van dreigingen van gevoelige gegevens in Defender for Storage.

Volgende stap