Habilitar o gerenciamento de postura de segurança de dados para armazenamentos de dados do Azure

Pode ativar a gestão da postura de segurança de dados no Microsoft Defender para a Cloud. A gestão da postura de segurança dos dados ajuda-o a descobrir e classificar dados sensíveis, identificar riscos e priorizar a remediação.

Quando ativa os planos Gestão da Postura de Segurança da Cloud do Microsoft Defender ou Defender for Storage, a extensão de descoberta de dados sensíveis é automaticamente ativada. Podes desativar esta definição se não quiseres usar a gestão de postura de segurança de dados. Recomendamos que utilize a funcionalidade para tirar o máximo proveito do Defender para a Cloud.

O Defender para a Cloud identifica dados sensíveis com base nas definições de sensibilidade dos dados. Você pode personalizar as configurações de confidencialidade de dados para identificar os dados que sua organização considera confidenciais.

Leva até 24 horas para ver os resultados de uma primeira descoberta depois de ativar o recurso.

Pré-requisitos

Revise os seguintes pré-requisitos antes de ativar a gestão da postura de segurança dos dados:

• Antes de habilitar o gerenciamento de postura de segurança de dados, revise o suporte e os pré-requisitos.

Ativar no GPSC do Defender (Azure)

Siga estas etapas para habilitar o gerenciamento de postura de segurança de dados.

1. Vai a Microsoft Defender para Cloud>Definições de ambiente.

2. Selecione a subscrição do Azure relevante.

3. Para o plano GPSC do Defender, selecione o status Ativado .

   Se o GPSC do Defender já estiver ativo, selecione Definições na coluna de cobertura de monitorização do plano GPSC do Defender e certifique-se de que o componente de descoberta de dados sensíveisestá ativado.

4. Depois de a descoberta de dados sensíveis ser ativada no GPSC do Defender, esta incorpora automaticamente suporte para tipos de recursos adicionais à medida que a gama de tipos suportados se expande.

Ativar o GPSC do Defender (AWS)

Siga estes passos para permitir a gestão da postura de segurança de dados para os seus recursos AWS. Revê os pré-requisitos e depois configura a varredura para os teus buckets S3 e instâncias RDS.

Antes de começar na AWS

Complete as seguintes verificações antes de ativar a gestão da postura de segurança de dados para a Amazon Web Services (AWS):

• Revise os requisitos de descoberta AWS e as permissões exigidas para varredura S3 e RDS.
• Verifique se não há nenhuma política que bloqueie a conexão com seus buckets do Amazon S3.
• Para instâncias do Amazon Relational Database Service (RDS), é suportada a encriptação entre contas do AWS Key Management Service (KMS), mas políticas adicionais de acesso KMS podem impedir o acesso.

Habilite para recursos da AWS

Depois de completares os pré-requisitos, configura a análise dos teus recursos AWS.

Configurar buckets S3 e instâncias RDS

Para ativar a análise de buckets do S3 e instâncias do RDS:

1. No Defender para a Cloud, vai a Definições de Ambiente e seleciona o teu conector AWS.
2. Ative o GPSC do Defender com a Descoberta de dados sensíveis.
3. Siga as instruções para descarregar o modelo CloudFormation e executá-lo na AWS.

A descoberta dos buckets S3 na conta AWS começa automaticamente.

Para buckets do S3, o scanner do Defender para a Cloud é executado em sua conta da AWS e se conecta aos buckets do S3.

Para instâncias de RDS, quando a Descoberta de Dados Sensíveis está ativada, a descoberta começa. O scanner tira o snapshot automatizado mais recente de uma instância, cria um snapshot manual na conta de origem e copia-o para um ambiente isolado propriedade da Microsoft na mesma região.

O scanner usa o snapshot para criar uma instância em tempo real que lança, digitaliza e depois destrói imediatamente, juntamente com o snapshot copiado.

A plataforma de varrimento apenas reporta os resultados da varredura.

Verifique se há políticas de bloqueio do S3

Se ativar a análise de buckets S3 e instâncias RDS não funcionou devido a uma política bloqueada, verifique as seguintes condições:

• Certifique-se de que a política do bucket S3 não bloqueia a ligação. No bucket AWS S3, selecione o separador Permissões e depois a política Bucket. Verifique os detalhes da política para garantir que o serviço scanner Defender para a Cloud que corre na conta Microsoft na AWS não está bloqueado.
• Assegura-te de que não existe nenhuma política SCP que bloqueie a ligação ao bucket S3. Por exemplo, sua política de SCP pode bloquear chamadas de API de leitura para a região da AWS onde seu bucket do S3 está hospedado.
• Verifique se a sua política SCP permite estas chamadas de API obrigatórias: AssumeRole, GetBucketLocation, GetObject, ListBucket e GetBucketPublicAccessBlock.
• Verifique se a sua política SCP permite chamadas para a us-east-1 Região AWS, que é a região padrão para chamadas API.

Habilite o monitoramento com reconhecimento de dados no Defender for Storage

A deteção de ameaças a dados confidenciais é habilitada por padrão quando o componente de descoberta de dados confidenciais está habilitado no plano do Defender for Storage. Para mais informações, consulte Deteção de ameaças de dados sensíveis no Defender for Storage.

Passo seguinte