Profila i dati di Azure Blob Storage

Mantieni tutto organizzato con le raccolte Salva e classifica i contenuti in base alle tue preferenze.

Questa pagina descrive come configurare il rilevamento di Sensitive Data Protection per Azure Blob Storage. Questa funzionalità è disponibile solo per i clienti che hanno attivato Security Command Center a livello di Enterprise.

La funzionalità di rilevamento di Sensitive Data Protection ti aiuta a conoscere i tipi di dati che stai archiviando in Archiviazione BLOB e i relativi livelli di sensibilità. Quando profili i dati di Cloud Storage, generi profili di dati del file system, che forniscono approfondimenti e metadati sui tuoi container Cloud Storage. Per ogni contenitore Blob Storage, un profilo di dati del repository di file include le seguenti informazioni:

• I tipi di file archiviati nel contenitore, categorizzati in cluster di file
• Il livello di sensibilità dei dati nel contenitore
• Un riepilogo di ogni cluster di file rilevato, inclusi i tipi di informazioni sensibili rilevate

Per un elenco completo di approfondimenti e metadati in ogni profilo dati dell'archivio file, consulta Profili dati dell'archivio file.

Per ulteriori informazioni sul servizio di rilevamento, consulta Profili di dati.

Flusso di lavoro

Il flusso di lavoro di alto livello per creare il profilo dei dati di Azure Blob Storage è il seguente:

1. In Security Command Center, crea un connettore per Microsoft Azure. Assicurati di selezionare Concedi le autorizzazioni per il rilevamento Sensitive Data Protection.

2. Crea un modello di ispezione nella regione global o nella regione in cui prevedi di archiviare la configurazione della scansione di scoperta e tutti i profili dei dati generati.

3. Crea una configurazione di scansione di rilevamento per Azure Blob Storage.

   Sensitive Data Protection profila i tuoi dati in base alla pianificazione che specifichi.

Considerazioni sulla residenza dei dati

Tieni presente quanto segue quando prevedi di creare il profilo dei dati di altri cloud provider:

• I profili dati vengono archiviati insieme alla configurazione della scansione di rilevamento. Al contrario, quando profili i dati Google Cloud , i profili vengono archiviati nella stessa regione dei dati da profilare.
• Se archivi il modello di ispezione nella regione global, una copia in memoria del modello viene letta nella regione in cui hai archiviato la configurazione della scansione di rilevamento.
• I dati non vengono modificati. Una copia in memoria dei dati viene letta nella regione in cui è archiviata la configurazione della ricerca di dati. Tuttavia, Sensitive Data Protection non fornisce alcuna garanzia su dove passano i dati dopo aver raggiunto la rete internet pubblica. I dati vengono criptati con SSL.

File e contenitori vuoti

Discovery non esegue la scansione di file e contenitori di Blob Storage vuoti e non li prende in considerazione quando elenca le estensioni dei file rilevate. Anche un contenitore con solo file vuoti è considerato vuoto.

Prima di iniziare

1. In Security Command Center, crea un connettore per Microsoft Azure. Per ulteriori informazioni, consulta Connettersi a Microsoft Azure per la raccolta dei dati di configurazione e delle risorse nella documentazione di Security Command Center.

2. Verifica di disporre delle autorizzazioni IAM necessarie per configurare i profili dei dati a livello di organizzazione.

   Se non disponi del ruolo Amministratore dell'organizzazione (roles/resourcemanager.organizationAdmin) o Amministratore sicurezza (roles/iam.securityAdmin), puoi comunque creare una configurazione di scansione. Tuttavia, dopo aver creato la configurazione della scansione, un utente con uno di questi ruoli deve concedere l'accesso alla profilazione dei dati all'agente di servizio.

3. Verifica di avere un modello di ispezione nella regione global o nella regione in cui prevedi di archiviare la configurazione della scansione del rilevamento e tutti i profili dei dati generati.

   Questa attività ti consente di creare automaticamente un modello di ispezione solo nella regione global. Se i criteri dell'organizzazione ti impediscono di creare un modello di ispezione nella regione global, prima di eseguire questa attività devi creare un modello di ispezione nella regione in cui prevedi di archiviare la configurazione della scansione del rilevamento.

4. Per inviare notifiche Pub/Sub a un argomento quando si verificano determinati eventi, ad esempio quando Sensitive Data Protection profila un nuovo contenitore, crea un argomento Pub/Sub prima di eseguire questa operazione.

Per generare profili di dati, devi disporre di un container per l'agente di servizio e di un agente di servizio. Questa attività ti consente di crearli automaticamente.

Creazione di una configurazione di scansione

1. Vai alla pagina Crea configurazione scansione.

   Vai a Crea configurazione di scansione

2. Vai alla tua organizzazione. Nella barra degli strumenti, fai clic sul selettore di progetti e seleziona la tua organizzazione.

Le sezioni seguenti forniscono ulteriori informazioni sui passaggi nella pagina Crea configurazione di scansione. Al termine di ogni sezione, fai clic su Continua.

Seleziona un tipo di rilevamento

Seleziona Azure Blob Storage.

Seleziona ambito

Esegui una di queste operazioni:

• Per eseguire la scansione di tutti gli asset Blob Storage a cui ha accesso il connettore Azure, seleziona Scanna tutti gli asset Azure disponibili tramite il connettore.
• Per eseguire la scansione dei dati di Blob Storage in un singolo abbonamento Azure, seleziona Scansiona un abbonamento Azure. Inserisci l'ID abbonamento.
• Per eseguire la scansione di un singolo contenitore Blob Storage, seleziona Esegui la scansione di un contenitore Azure Blob Storage. Inserisci i dettagli del contenuto che vuoi scansionare.

Gestisci pianificazioni

Se la frequenza di analisi predefinita soddisfa le tue esigenze, puoi saltare questa sezione della pagina Crea configurazione di analisi.

Configura questa sezione per i seguenti motivi:

• Per apportare aggiustamenti granulari alla frequenza di profilazione di tutti i dati o di determinati sottoinsiemi di dati.
• Per specificare i contenitori di cui non vuoi creare il profilo.
• Per specificare i contenitori di cui non vuoi creare il profilo più di una volta.

Per apportare modifiche precise alla frequenza di profilazione:

1. Fai clic su Aggiungi pianificazione.

2. Nella sezione Filtri, definisci uno o più filtri che specificano i container che rientrano nell'ambito della pianificazione.

   Specifica almeno uno dei seguenti elementi:

   • Un ID abbonamento o un'espressione regolare che specifica uno o più ID abbonamento
   • Un nome contenitore o un'espressione regolare che specifica uno o più contenitori

   Le espressioni regolari devono rispettare la sintassi RE2.

   Ad esempio, se vuoi che tutti i contenitori di un account vengano inclusi nel filtro, inserisci l'ID abbonamento nel campo ID abbonamento.

   Per aggiungere altri filtri, fai clic su Aggiungi filtro e ripeti questo passaggio.

3. Fai clic su Frequenza.

4. Nella sezione Frequenza, specifica se creare il profilo dei contenitori selezionati e, in caso affermativo, con quale frequenza:

   • Se non vuoi mai che venga eseguito il profilo dei contenitori, disattiva Esegui il profilo di questi dati.

   • Se vuoi che i contenitori vengano profilati almeno una volta, lascia attiva l'opzione Esegui il profilo di questi dati.

     Specifica se ricreare il profilo dei dati e quali eventi devono attivare un'operazione di ricreazione del profilo. Per ulteriori informazioni, consulta la sezione Frequenza di generazione del profilo dei dati.

     1. Per In base a una pianificazione, specifica la frequenza con cui vuoi eseguire il nuovo profilo dei contenitori. La nuova profilazione dei container viene eseguita indipendentemente dal fatto che siano stati sottoposti a modifiche.
     2. Per Quando si esaminano le modifiche al modello, specifica se vuoi che i dati vengano riprofilato quando il modello di ispezione associato viene aggiornato e, in questo caso, con quale frequenza.

        Una modifica al modello di ispezione viene rilevata quando si verifica una delle seguenti condizioni:

        • Il nome di un modello di ispezione cambia nella configurazione della scansione.
        • Il valore updateTime di un modello di ispezione cambia.

     Ad esempio, se imposti un modello di ispezione per la regione us-west1 e lo aggiorni, verrà eseguita la nuova profilazione solo dei dati nella regione us-west1.

5. (Facoltativo) Fai clic su Condizioni.

   Nella sezione Condizioni, specifica le condizioni che i contenitori, definiti nei filtri, devono soddisfare prima che Sensitive Data Protection li profili.

   Per impostazione predefinita, Sensitive Data Protection analizza tutti gli oggetti in un contenitore. Se vuoi eseguire la scansione solo degli oggetti in un determinato livello di accesso ai blob, seleziona questi livelli. Per includere i blob che non hanno un livello di accesso, seleziona Non applicabile.

6. Fai clic su Fine.

7. Se vuoi aggiungere altre pianificazioni, fai clic su Aggiungi pianificazione e ripeti i passaggi precedenti.

8. Per specificare la precedenza tra le pianificazioni, riordinale utilizzando le frecce arrow_upward su e arrow_downward giù.

   L'ordine dei programmi specifica in che modo vengono risolti i conflitti tra i programmi. Se un contenitore corrisponde ai filtri di due pianificazioni diverse, la pianificazione più in alto nell'elenco delle pianificazioni determina la frequenza di profilazione per quel contenitore.

   L'ultima pianificazione nell'elenco è sempre quella etichettata come Pianificazione predefinita. Questa pianificazione predefinita copre i contenitori nell'ambito selezionato che non corrispondono a nessuna delle pianificazioni che hai creato. Questa pianificazione predefinita segue la frequenza di profilazione predefinita del sistema.

9. Se vuoi modificare la pianificazione predefinita, fai clic su edit Modifica pianificazione e modifica le impostazioni in base alle esigenze.

Seleziona un modello di ispezione

A seconda di come vuoi fornire una configurazione di ispezione, scegli una delle seguenti opzioni. Indipendentemente dall'opzione scelta, Sensitive Data Protection analizza i dati nella regione in cui sono archiviati. Ciò significa che i dati non vengono trasferiti dalla regione di origine.

Opzione 1: crea un modello di ispezione

Scegli questa opzione se vuoi creare un nuovo modello di ispezione nella regione global.

1. Fai clic su Crea nuovo modello di ispezione.

2. (Facoltativo) Per modificare la selezione predefinita degli infoType, fai clic su Gestisci infoType.

   Per ulteriori informazioni su come gestire gli infoType integrati e personalizzati, consulta Gestire gli infoType tramite la Google Cloud console.

   Per continuare, devi avere selezionato almeno un infoType.

3. (Facoltativo) Configura ulteriormente il modello di ispezione aggiungendo set di regole e impostando una soglia di confidenza. Per ulteriori informazioni, consulta Configurare il rilevamento.

Quando Sensitive Data Protection crea la configurazione di scansione, archivia questo nuovo modello di ispezione nella regione global.

Opzione 2: utilizza un modello di ispezione esistente

Scegli questa opzione se hai modelli di ispezione esistenti che vuoi utilizzare.

1. Fai clic su Seleziona un modello di ispezione esistente.
2. Inserisci il nome completo della risorsa del modello di ispezione che vuoi utilizzare. Il campo Regione viene compilato automaticamente con il nome della regione in cui è archiviato il modello di ispezione.

   Il modello di ispezione inserito deve trovarsi nella stessa regione in cui hai intenzione di archiviare questa configurazione di scansione di rilevamento e tutti i profili di dati generati.

   Per rispettare la residenza dei dati, Sensitive Data Protection non utilizza un modello di ispezione al di fuori della regione in cui è archiviato.

   Per trovare il nome completo della risorsa di un modello di ispezione, segui questi passaggi:

   1. Vai all'elenco dei modelli di ispezione. Questa pagina si apre in una scheda separata.

      Vai ai modelli di ispezione

   2. Passa al progetto che contiene il modello di ispezione che vuoi utilizzare.
   3. Nella scheda Modelli, fai clic sull'ID del modello che vuoi utilizzare.
   4. Nella pagina visualizzata, copia il nome completo della risorsa del modello. Il nome completo della risorsa segue questo formato:

      projects/PROJECT_ID/locations/REGION/inspectTemplates/TEMPLATE_ID

   5. Nella pagina Crea configurazione di scansione, incolla il nome completo della risorsa del modello nel campo Nome modello.

Aggiungi azioni

Nelle sezioni seguenti, specifica le azioni che vuoi che Sensitive Data Protection esegua dopo aver generato i profili dei dati.

Per informazioni su come altri Google Cloud servizi potrebbero addebitarti costi per la configurazione delle azioni, consulta Prezzi per l'esportazione dei profili dei dati.

Pubblica in Google Security Operations

Le metriche raccolte dai profili dei dati possono aggiungere contesto alle tue operazioni di sicurezza. Il contesto aggiunto può aiutarti a determinare i problemi di sicurezza più importanti da risolvere.

Ad esempio, se stai esaminando un determinato agente di servizio, puoi determinare a quali risorse ha avuto accesso e se alcune di queste risorse contenevano dati altamente sensibili.

Per inviare i profili dei dati al componente Google Security Operations di Security Command Center Enterprise, attiva Pubblica in Chronicle.

Pubblica su Security Command Center

I risultati dei profili di dati forniscono il contesto quando valuti e sviluppi piani di risposta per i risultati relativi a vulnerabilità e minacce in Security Command Center.

Per inviare i risultati dei profili di dati a Security Command Center, assicurati che l'opzione Pubblica in Security Command Center sia attivata.

Per ulteriori informazioni, vedi Pubblicare i profili di dati in Security Command Center.

Salva le copie dei profili dati su BigQuery

Sensitive Data Protection salva una copia di ogni profilo dati generato in una tabella BigQuery. Se non fornisci i dettagli della tabella preferita, Sensitive Data Protection crea un set di dati e una tabella nel contenitore dell'agente di servizio. Per impostazione predefinita, il set di dati si chiama sensitive_data_protection_discovery e la tabella discovery_profiles.

Questa azione ti consente di conservare una cronologia di tutti i profili generati. Questa cronologia può essere utile per creare report di controllo e visualizzare i profili dei dati. Puoi anche caricare queste informazioni in altri sistemi.

Inoltre, questa opzione ti consente di visualizzare tutti i tuoi profili di dati in un'unica visualizzazione, indipendentemente dalla regione in cui si trovano i dati. Anche se puoi visualizzare i profili dei dati anche tramite la consoleGoogle Cloud , la console mostra i profili in una sola regione alla volta.

Quando Sensitive Data Protection non riesce a creare il profilo di un contenitore, lo riprova periodicamente. Per ridurre al minimo il rumore nei dati esportati, Sensitive Data Protection esporta in BigQuery solo i profili generati correttamente.

Sensitive Data Protection inizia a esportare i profili dal momento in cui attivi questa opzione. I profili generati prima dell'attivazione dell'esportazione non vengono salvati in BigQuery.

Ad esempio, consulta Analisi dei profili di dati per le query che puoi utilizzare durante l'analisi dei profili di dati.

Salva i risultati del rilevamento di esempio in BigQuery

Sensitive Data Protection può aggiungere risultati di esempio a una tabella BigQuery a tua scelta. I risultati di esempio rappresentano un sottoinsieme di tutti i risultati e potrebbero non rappresentare tutti gli infoType rilevati. In genere, il sistema genera circa 10 risultati di esempio per contenitore, ma questo numero può variare per ogni esecuzione del rilevamento.

Ogni risultato include la stringa effettiva (chiamata anche citazione) rilevata e la relativa posizione esatta.

Questa azione è utile se vuoi valutare se la configurazione dell'ispezione corrisponde correttamente al tipo di informazioni che vuoi segnalare come sensibili. Utilizzando i profili dei dati esportati e i risultati del campione esportati, puoi eseguire query per ottenere ulteriori informazioni sugli elementi specifici segnalati, sugli infoType corrispondenti, sulle relative posizioni esatte, sui livelli di sensibilità calcolati e su altri dettagli.

SELECT
 findings_table.quote,
 findings_table.infotype.name,
 findings_table.location.container_name,
 profiles_table.file_store_profile.file_store_path as bucket_name,
 profiles_table.file_store_profile.sensitivity_score as bucket_sensitivity_score
FROM
 `FINDINGS_TABLE_PROJECT_ID.FINDINGS_TABLE_DATASET_ID.FINDINGS_TABLE_ID_latest_v1` AS findings_table
INNER JOIN
 `PROFILES_TABLE_PROJECT_ID.PROFILES_TABLE_DATASET_ID.PROFILES_TABLE_ID_latest_v1` AS profiles_table
ON
 findings_table.data_profile_resource_name=profiles_table.file_store_profile.name

Per salvare i risultati di esempio in una tabella BigQuery, segui questi passaggi:

1. Attiva Salva i risultati del rilevamento di esempio in BigQuery.

2. Inserisci i dettagli della tabella BigQuery in cui vuoi salvare i risultati di esempio.

   La tabella specificata per questa azione deve essere diversa da quella utilizzata per l'azione Salva le copie dei profili di dati in BigQuery.

   • In ID progetto, inserisci l'ID di un progetto esistente in cui vuoi esportare i risultati.

   • In ID set di dati, inserisci il nome di un set di dati esistente nel progetto.

   • Per ID tabella, inserisci il nome della tabella BigQuery in cui vuoi salvare i risultati. Se questa tabella non esiste, Sensitive Data Protection la crea automaticamente utilizzando il nome fornito.

Per informazioni sui contenuti di ogni risultato salvato nella tabella BigQuery, consulta DataProfileFinding.

Pubblica in Pub/Sub

L'attivazione di Pubblica in Pub/Sub ti consente di eseguire azioni programmatiche in base ai risultati del profilo. Puoi utilizzare le notifiche Pub/Sub per sviluppare un flusso di lavoro per rilevare e correggere i risultati con rischio o sensibilità dei dati significativi.

Per inviare notifiche a un argomento Pub/Sub:

1. Attiva Pubblica in Pub/Sub.

   Viene visualizzato un elenco di opzioni. Ogni opzione descrive un evento che causa la spedizione di una notifica da parte di Sensitive Data Protection a Pub/Sub.

2. Seleziona gli eventi che devono attivare una notifica Pub/Sub.

   Se selezioni Invia una notifica Pub/Sub ogni volta che un profilo viene aggiornato, Sensitive Data Protection invia una notifica quando si verifica una variazione nel livello di sensibilità, nel livello di rischio dei dati, negli infoType rilevati, nell'accesso pubblico e in altre metriche importanti nel profilo.

3. Per ogni evento selezionato:

   1. Inserisci il nome dell'argomento. Il nome deve avere il seguente formato:

      projects/PROJECT_ID/topics/TOPIC_ID
      

      Sostituisci quanto segue:

      • PROJECT_ID: l'ID del progetto associato all'argomento Pub/Sub.
      • TOPIC_ID: l'ID dell'argomento Pub/Sub.

   2. Specifica se includere nella notifica il profilo completo del contenitore o solo il nome completo della risorsa del contenitore di cui è stato eseguito il profilo.

   3. Imposta i livelli minimi di rischio e sensibilità dei dati che devono essere soddisfatti affinché Sensitive Data Protection invii una notifica.

   4. Specifica se deve essere soddisfatta una sola o entrambe le condizioni di rischio e sensibilità dei dati. Ad esempio, se scegli AND, devono essere soddisfatte sia le condizioni relative al rischio dei dati sia quelle relative alla sensibilità prima che Sensitive Data Protection invii una notifica.

Gestisci container e fatturazione dell'agente di servizio

In questa sezione, specifica il progetto da utilizzare come container dell'agente di servizio. Puoi chiedere a Sensitive Data Protection di creare automaticamente un nuovo progetto oppure scegliere un progetto esistente.

Indipendentemente dal fatto che tu stia utilizzando un agente di servizio appena creato o ne stia riutilizzando uno esistente, assicurati che abbia accesso in lettura ai dati da profilare.

Creare automaticamente un progetto

Se non disponi delle autorizzazioni necessarie per creare un progetto nell'organizzazione, devi selezionarne uno esistente o ottenere le autorizzazioni richieste. Per informazioni sulle autorizzazioni richieste, consulta Ruoli richiesti per lavorare con i profili dei dati a livello di organizzazione o di cartella.

Per creare automaticamente un progetto da utilizzare come contenitore dell'agente di servizio, segui questi passaggi:

1. Nel campo Container dell'agente di servizio, controlla l'ID progetto suggerito e modificalo in base alle tue esigenze.
2. Fai clic su Crea.
3. (Facoltativo) Aggiorna il nome predefinito del progetto.

4. Seleziona l'account a cui fatturare tutte le operazioni fatturabili relative a questo nuovo progetto, incluse quelle non correlate al rilevamento.

5. Fai clic su Crea.

Sensitive Data Protection crea il nuovo progetto. L'agente di servizio all'interno di questo progetto verrà utilizzato per l'autenticazione in Sensitive Data Protection e altre API.

Seleziona un progetto esistente

Per selezionare un progetto esistente come contenitore dell'agente di servizio, fai clic sul campo Container dell'agente di servizio e seleziona il progetto.

Imposta la posizione in cui archiviare la configurazione

Fai clic sull'elenco Posizione della risorsa e seleziona la regione in cui vuoi archiviare questa configurazione di scansione. Anche tutte le configurazioni di scansione che creerai in seguito verranno archiviate in questa posizione.

La posizione in cui scegli di archiviare la configurazione della scansione non influisce sui dati da esaminare. I tuoi dati vengono sottoposti a scansione nella stessa regione in cui sono archiviati. Per ulteriori informazioni, consulta Considerazioni sulla residenza dei dati.

Rivedi e crea la configurazione

1. Se vuoi assicurarti che la profilazione non venga avviata automaticamente dopo la creazione della configurazione della scansione, seleziona Crea analisi in modalità in pausa.

   Questa opzione è utile nei seguenti casi:

   • L' Google Cloud amministratore deve comunque concedere all'agente di servizio l'accesso alla profilazione dei dati.
   • Vuoi creare più configurazioni di analisi e alcune di queste devono sostituire altre.
   • Hai scelto di salvare i profili dati in BigQuery e vuoi assicurarti che l'agente di servizio abbia accesso in scrittura alla tabella BigQuery in cui verranno salvate le copie del profilo dati.
   • Hai scelto di salvare i risultati del rilevamento di esempio in BigQuery e vuoi assicurarti che l'agente di servizio abbia accesso in scrittura alla tabella BigQuery in cui verranno salvati i risultati di esempio.
   • Hai configurato le notifiche Pub/Sub e vuoi concedere l'accesso in qualità di editore all'agente di servizio.
2. Rivedi le impostazioni e fai clic su Crea.

   Sensitive Data Protection crea la configurazione di scansione e la aggiunge all'elenco delle configurazioni di scansione del rilevamento.

Per visualizzare o gestire le configurazioni di scansione, consulta Gestire le configurazioni di scansione.

Passaggi successivi

• Se non disponi del ruolo Amministratore organizzazione (roles/resourcemanager.organizationAdmin) o Amministratore sicurezza (roles/iam.securityAdmin), un utente con uno di questi ruoli deve concedere l'accesso alla profilazione dei dati al tuo agente di servizio.
• Scopri come gestire i profili dei dati.
• Scopri come gestire le configurazioni di scansione.
• Scopri come ricevere e analizzare i messaggi Pub/Sub pubblicati dal profiler dei dati.
• Scopri come risolvere i problemi relativi ai profili dei dati.