Determinar os requisitos de residência dos dados

Overview

Este guia ajuda-o a determinar os requisitos de residência de dados para uma implementação multicloud que utilize soluções de gestão de postura de segurança na nuvem (CSPM) e plataforma de proteção de carga de trabalho na nuvem (CWPP) no Microsoft Defender para a Cloud.

Objetivos de planeamento da residência de dados

Identifique os requisitos de residência de dados para a sua implementação multicloud e compreenda como os planos e agentes do Defender para a Cloud afetam onde os dados são processados e armazenados.

Comece com o planeamento de residência de dados

Quando proteger ativos através das nuvens, identifique quais os planos a ativar e se cada plano requer agentes.

Como parte desta análise, identifique requisitos regionais e legais para o tratamento de dados.

Considerações de agentes para residência de dados

Considere as implicações de residência e gestão de dados para os agentes e extensões usados pelo Defender para a Cloud.

• CSPM: A funcionalidade de gestão da postura de segurança na cloud (CSPM) no Defender para a Cloud é sem agente. Não são necessários agentes para que o CSPM funcione.
• CWPP: A funcionalidade da Cloud Workload Protection Platform (CWPP) em Defender para a Cloud pode exigir que os agentes recolham dados.

Considerações sobre residência de dados para o Defender for Servers

Os agentes são usados no plano do Defender for Servers da seguinte maneira:

• As nuvens públicas que não são do Azure se conectam ao Azure aproveitando o serviço Azure Arc .
• O agente Azure Connected Machine é instalado em máquinas multicloud que são incorporadas como máquinas do Azure Arc. O Defender para a Cloud deve ser habilitado na assinatura na qual as máquinas do Azure Arc estão localizadas.
• O Defender para a Cloud aproveita o agente da Máquina Conectada para instalar extensões (como o Microsoft Defender para Endpoint) necessárias para a funcionalidade do Defender for Servers .

Considerações sobre residência de dados para o Defender for Containers

O Defender for Containers protege suas implantações de contêineres multicloud executadas em:

• Azure Kubernetes Service (AKS) - o serviço gerenciado da Microsoft para desenvolver, implantar e gerenciar aplicativos em contêineres.
• Amazon Elastic Kubernetes Service (EKS) em uma conta da AWS conectada - serviço gerenciado da Amazon para executar o Kubernetes na AWS sem a necessidade de instalar, operar e manter seu próprio plano ou nós de controle do Kubernetes.
• Google Kubernetes Engine (GKE) em um projeto GCP conectado - ambiente gerenciado do Google para implantar, gerenciar e dimensionar aplicativos usando a infraestrutura GCP.
• Outras distribuições do Kubernetes - com o Kubernetes com Azure Arc, que permite ligar e configurar clusters do Kubernetes executados em qualquer local, incluindo outras clouds públicas e infraestruturas no local.

O Defender for Containers tem componentes baseados em sensores e sem agente.

• Recolha sem agente de dados do registo de auditoria do Kubernetes: Amazon CloudWatch ou GCP Cloud Logging recolhem dados do registo de auditoria e enviam os dados para o Defender para a Cloud para análise adicional.
• Recolha sem agente para inventário do Kubernetes: recolha dados nos seus clusters Kubernetes e sobre os respetivos recursos, tais como: Namespaces, Deployments, Pods e Ingresses.
• Kubernetes ativado pelo Azure Arc baseado em sensores: liga os seus clusters EKS e GKE ao Azure através de agentes do Azure Arc, para que sejam tratados como recursos do Azure Arc.
• Defender sensor: Um DaemonSet que recolhe sinais de hosts utilizando a tecnologia estendida Berkeley Packet Filter (eBPF) e fornece proteção em tempo de execução. A extensão está registada num espaço de trabalho do Log Analytics e é utilizada como uma canalização de dados. Os dados de registo de auditoria do Kubernetes não são armazenados no espaço de trabalho do Log Analytics.
• Política do Azure para Kubernetes: as informações de configuração são coletadas pela Política do Azure para Kubernetes.
  • A Política do Azure para Kubernetes estende o webhook do controlador de admissão de código aberto do Gatekeeper v3 para o Open Policy Agent.
  • A extensão regista-se como um webhook para o controlo de admissão do Kubernetes e permite aplicar políticas em grande escala, salvaguardando os seus clusters de forma centralizada e consistente.

Considerações sobre residência de dados para o Defender for Databases

Para o plano Defender para Bases de Dados num cenário multicloud, utiliza-se o Azure Arc para gerir bases de dados do SQL Server em multicloud. A instância do SQL Server é instalada numa máquina virtual ou física ligada ao Azure Arc.

• A descoberta e o registro automáticos do SQL Server precisam ser definidos como Ativado para permitir a descoberta do banco de dados SQL nas máquinas.
• O agente Azure Connected Machine é instalado em máquinas conectadas ao Azure Arc.
• O plano do Defender for Databases deve ser habilitado na assinatura na qual as máquinas do Azure Arc estão localizadas.
• O agente do Log Analytics para Microsoft Defender SQL Servers deve ser provisionado nas máquinas Azure Arc. Ele coleta definições de configuração relacionadas à segurança e logs de eventos de máquinas.

Para recursos AWS e GCP protegidos pelo Defender para a Cloud, a localização dos recursos é determinada diretamente pela AWS e GCP.

Passos seguintes