你可以在 適用於雲端的 Microsoft Defender 中調查攻擊路徑、Cloud Security Explorer 及相關警示中的敏感資料風險。 學習如何識別含有敏感資料的暴露資源、優先執行安全警示，以及匯出結果與資料擁有者分享以進行修復。
探索並審查敏感資料風險
適用於雲端的 Microsoft Defender提供幾種方法，讓您在發現資源後，探索敏感資料風險：
- 攻擊路徑：在 Defender 雲端安全性狀態管理 （CSPM） 方案中啟用敏感數據探索時，您可以使用攻擊路徑來探索數據外泄的風險。 如需詳細資訊，請參閱 Defender CSPM 中的資料安全性態勢管理。
- 安全性總管：在 Defender CSPM 方案中啟用敏感性資料探索時，您可以使用雲端安全性總管來尋找敏感性資料深入解析。 如需詳細資訊，請參閱 Defender CSPM 中的資料安全性態勢管理。
- Security alerts：當儲存計畫Defender啟用敏感資料發現時，您可以透過安全警示設定中的敏感度過濾器，優先排序並探索對敏感資料儲存的持續威脅。
透過攻擊路徑探索風險
檢視預先定義的攻擊路徑以探索數據外泄風險，並取得補救建議，如下所示：
在適用於雲端的Defender中，開啟 [攻擊路徑分析]。
依 [風險因素] 進行篩選，然後選取 [ 敏感數據 ] 來篩選數據相關的攻擊路徑。
檢閱數據攻擊路徑。
若要查看資料資源中偵測到的敏感資訊，請選擇資源名稱，然後 選擇洞察。 展開包含敏感性資料深入解析。
如需風險降低步驟，請開啟 [使用中建議]。
敏感資料攻擊路徑的其他範例包括：
- 暴露於網路的 Azure 儲存體 容器，包含敏感資料，公開存取
- 管理式資料庫，包含大量網路暴露與敏感資料，允許基本（本地使用者/密碼）認證
- 虛擬機存在高嚴重性弱點，且具有敏感資料存放區的讀取權限
- 暴露於網路的 AWS S3 儲存桶，內含敏感資料，對外開放
- 私有的 AWS S3 儲存桶會將資料複製到網際網路，會被公開並公開存取
- RDS 快照對所有 AWS 帳號公開開放
使用 Cloud Security Explorer 探索風險
透過查詢範本或定義手動查詢，探索雲端安全圖洞察中的資料風險與暴露。
在適用於雲端的Defender中，開啟 [雲端安全性總管]。
自行建立查詢，或選擇敏感資料查詢範本，選擇 「開放查詢」，並視需要修改。 以下為範例：
使用查詢範本
你不必自己建立查詢，也可以使用預先定義的查詢範本。 有數個敏感數據查詢範本可供使用。 例如：
- 網路暴露的儲存容器，包含敏感資料，允許公眾存取
- 具有敏感性資料且允許公用存取的網際網路公開 S3 貯體
當你開啟預設查詢時，它會自動被填入。 你可以根據需要調整。 例如，以下是 含有允許公開存取之敏感資料的暴露於網際網路的儲存容器 的預先填入欄位。
探索敏感數據安全性警示
當您在 Defender for Storage 計畫中啟用敏感資料發現時，您可以優先處理並專注於影響敏感資料資源的警示。 欲了解更多資訊，請參閱 Defender 儲存監控資料安全警示。
對於平台即服務（PaaS）資料庫及 Amazon S3 桶，發現結果會回報至 Azure Resource Graph（ARG）。 你可以在 Defender 雲端庫存、警示和推薦面板中，依敏感度標籤和敏感資訊類型篩選與排序。
匯出結果
負責在攻擊路徑或安全性總管中檢閱敏感性資料發現的安全性管理員，通常沒有資料存放區的直接存取權限。 因此，他們需要與數據擁有者共享結果，然後他們可以進行進一步的調查。
若要與資料擁有者分享發現，請使用「包含敏感資料洞察」中的匯出選項。
產生的 CSV 檔案包括：
- 範例名稱。 根據資源類型，這個值可以是資料庫欄位、檔案名稱或容器名稱。
- 敏感度標籤。 在此資源上找到的排名最高標籤，在所有資料列中皆為相同的值。
- 包含於 完整路徑範例：檔案路徑或欄位全名。
- 敏感性資訊類型。 每個樣本的偵測到的資訊類型。 如果偵測到多個資訊類型，則會為每個資訊類型加入新的數據列。 這種做法是為了讓過濾體驗更簡單。
備註
在雲端安全性總管頁面中，下載 CSV 報告 會以原始格式（JSON）匯出查詢擷取的所有見解。