Aktivera hantering av datasäkerhetsstatus för Azure-datalager

Du kan aktivera hantering av datasäkerhet i Microsoft Defender för molnet. Hantering av datasäkerhetsstatus hjälper dig att identifiera och klassificera känsliga data, identifiera risker och prioritera reparation.

När du aktiverar Microsoft Defender hantering av molnsäkerhetsstatus eller Defender for Storage planer, aktiveras tillägget känslig dataupptäckt automatiskt. Du kan inaktivera denna inställning om du inte vill använda datasäkerhetsstatushantering. Vi rekommenderar att du använder funktionen för att få ut mest av Defender för molnet.

Defender för molnet identifierar känslig data baserat på inställningarna för datakänslighet. Du kan anpassa känslighetsinställningarna för data för att identifiera de data som din organisation anser vara känsliga.

Det tar upp till 24 timmar att se resultatet av en första identifiering när funktionen har aktiverats.

Prerequisites

Granska följande krav innan du aktiverar hantering av datasäkerhetsstatus:

• Innan du aktiverar hantering av datasäkerhetsstatus bör du granska support och krav.

Aktivera i Defender CSPM (Azure)

Följ dessa steg för att aktivera hantering av datasäkerhetsstatus.

1. Gå till Microsoft Defender för molnet>Miljöinställningar.

2. Välj relevant Azure-prenumeration.

3. För Defender CSPM-planen väljer du Status på .

   Om Defender CSPM redan är påslaget, välj Inställningar i kolumnen Övervakningstäckning i Defender CSPM-planen och se till att komponenten Känslig dataupptäckt är inställd på På.

4. Efter att känslig dataupptäckt har aktiverats i Defender CSPM, införlivas automatiskt stöd för ytterligare resurstyper när utbudet av stödda resurstyper ökar.

Aktivera i Defender CSPM (AWS)

Följ dessa steg för att möjliggöra hantering av datasäkerhetspositionen för dina AWS-resurser. Gå igenom förkunskaperna och konfigurera sedan skanning för dina S3-buckets och RDS-instanser.

Innan du börjar i AWS

Slutför följande kontroller innan du aktiverar hantering av datasäkerhetsstatus för Amazon Web Services (AWS):

• Gå igenom AWS upptäcktskrav och nödvändiga behörigheter för S3- och RDS-skanning.
• Kontrollera att det inte finns någon policy som blockerar anslutningen till dina Amazon S3-bucket.
• För Amazon Relational Database Service-instanser (RDS) stöds kms-kryptering (cross-account AWS Key Management Service), men ytterligare KMS-åtkomstprinciper kan förhindra åtkomst.

Aktivera för AWS-resurser

När du har slutfört förkunskaperna, konfigurera skanning för dina AWS-resurser.

Konfigurera S3-bucketar och RDS-instanser

Så här aktiverar du skanning av S3-bucketar och RDS-instanser:

1. I Defender för molnet går du till Environment-inställningar och väljer din AWS-anslutning.
2. Aktivera Defender CSPM med identifiering av känsliga data.
3. Följ instruktionerna för att ladda ner CloudFormation-mallen och kör den i AWS.

Upptäckten av S3-hinkar i AWS-kontot startar automatiskt.

För S3-bucketar körs Defender för molnet-skannern i ditt AWS-konto och ansluter till dina S3-bucketar.

För RDS-instanser börjar upptäckten när Sensitive Data Discovery är aktiverad. Scannern tar den senaste automatiserade snapshoten för en instans, skapar en manuell snapshot i källkontot och kopierar den till en isolerad Microsoft-ägd miljö i samma region.

Skannern använder ögonblicksbilden för att skapa en körande instans som den startar upp, skannar av och sedan omedelbart förstör, tillsammans med den kopierade ögonblicksbilden.

Skanningsplattformen rapporterar endast skanningsresultat.

Sök efter S3-blockeringsprinciper

Om det inte fungerade att aktivera skanning för S3-hinkar och RDS-instanser på grund av en blockerad policy, kontrollera följande villkor:

• Se till att S3:s bucketpolicy inte blockerar anslutningen. I AWS S3-hinken, välj fliken Behörigheter och sedan Bucket policy. Kontrollera policydetaljerna för att säkerställa att Defender för molnet-scannertjänsten som körs i Microsoft-konto i AWS inte är blockerad.
• Se till att det inte finns någon SCP-policy som blockerar anslutningen till S3-hinken. Din SCP-princip kan till exempel blockera läs-API-anrop till den AWS-region där S3-bucketen finns.
• Kontrollera att din SCP-policy tillåter dessa obligatoriska API-anrop: AssumeRole, GetBucketLocation, GetObject, ListBucket och GetBucketPublicAccessBlock.
• Kontrollera att din SCP-policy tillåter anrop till us-east-1 AWS-regionen, som är standardregionen för API-anrop.

Aktivera datamedveten övervakning i Defender för lagring

Hotidentifiering av känsliga data aktiveras som standard när komponenten för identifiering av känsliga data är aktiverad i Defender for Storage-planen. För mer information, se Hotidentifiering av känsliga data i Defender for Storage.

Nästa steg