Nesta página, descrevemos como ativar a descoberta de dados sensíveis usando caso você tenha uma assinatura no nível Enterprise e ative Proteção de Dados Sensíveis, um produto com preço separado. É possível personalizar configurações a qualquer momento depois de ativar a descoberta.
Quando você ativa a descoberta, a Proteção de Dados Sensíveis gera descobertas do Security Command Center que mostram a sensibilidade e os níveis de risco de dados dados em toda a organização.
Para saber como ativar a descoberta de dados sensíveis, independentemente nível de serviço do Security Command Center, consulte as páginas a seguir na Documentação da Proteção de Dados Sensíveis:
- Publicar perfis de dados no Security Command Center
- Informe secrets em variáveis de ambiente para o Security Command Center
Como funciona
O serviço de descoberta da proteção de dados sensíveis ajuda você a proteger os dados em toda a organização, identificando onde os dados sensíveis e de alto risco residir. Na Proteção de Dados Sensíveis, o serviço gera dados de perfis, que apresentam métricas e insights sobre seus dados em vários níveis de detalhes. No Security Command Center, a faz o seguinte:
Gerar descobertas de observação no Security Command Center que mostrem os confidencialidade e os níveis de risco dos dados. Você pode usar essas descobertas para informar sua resposta quando encontrar ameaças e vulnerabilidades relacionadas a seus recursos de dados. Para uma lista dos tipos de descoberta gerados, consulte Observação descobertas da descoberta serviço.
Essas descobertas podem orientar a designação automática de recursos de alto valor com base na sensibilidade dos dados. Para mais informações, consulte Usar insights de descoberta para identificar recursos de alto valor nesta página.
Gerar descobertas de vulnerabilidade no Security Command Center quando A Proteção de Dados Sensíveis detecta a presença de dados altamente sensíveis ou dados não protegidos. Para uma lista dos tipos de descoberta gerados, consulte Descobertas de vulnerabilidades da descoberta da Proteção de Dados Sensíveis serviço.
Para ativar a descoberta de dados sensíveis na sua organização, crie uma da verificação de descoberta para cada conteúdo recurso que você quer verificar.
Preços
A descoberta de dados sensíveis é cobrada separadamente do Security Command Center independentemente do nível de serviço. Se você não comprar uma assinatura para descoberta, você é cobrado com base no consumo (bytes verificados). Para mais informações, consulte Descoberta preços na documentação de proteção de dados sensíveis.
Antes de começar
Conclua essas tarefas antes de concluir as tarefas restantes nesta página.
Ativar o nível Security Command Center Enterprise
Conclua as etapas 1 e 2 do guia de configuração para ativar o nível Security Command Center Enterprise. Para mais informações, consulte Ativar o Security Command Center Enterprise nível 2.
Ativar a proteção de dados sensíveis como um serviço integrado
Se a proteção de dados sensíveis ainda não estiver ativada como um serviço integrado, ativá-la. Para mais informações, acesse Adicionar uma conta do Google Cloud serviço.
Configurar permissões
Para receber as permissões necessárias para configurar a descoberta de dados sensíveis, peça que o administrador conceda a você os seguintes papéis do IAM na organização:
Finalidade | Papel predefinido | Permissões relevantes |
---|---|---|
Criar uma configuração de verificação de descoberta e ver perfis de dados | Administrador do DLP (roles/dlp.admin ) |
|
Criar um projeto para ser usado como o contêiner do agente de serviço1 | roles/resourcemanager.projectCreator Criador do projeto |
|
Conceder acesso de descoberta2 | Uma das seguintes opções:
|
|
1 Se você não tiver o projeto
Criador (roles/resourcemanager.projectCreator
), você ainda pode criar uma verificação
mas o agente de serviço
O contêiner usado precisa ser um projeto atual.
2 Se você não tiver a organização
Administrador (roles/resourcemanager.organizationAdmin
) ou Administrador de segurança
(roles/iam.securityAdmin
), ainda será possível criar uma configuração de verificação. Depois de
criar a configuração de verificação, alguém em sua organização que tenha um desses papéis deverá conceder acesso de descoberta ao
agente de serviço.
Para mais informações sobre como conceder papéis, consulte Gerenciar .
Também é possível conseguir as permissões necessárias por meio de configurações de ou outras funções predefinidas papéis.
Ativar descoberta com as configurações padrão
Para ativar a descoberta, crie uma configuração de descoberta para cada fonte de dados que você quer verificar. Esse procedimento permite criar essas descobertas automaticamente usando as definições padrão. É possível personalizar configurações a qualquer momento depois de realizar esse procedimento.
Se você quiser personalizar as configurações desde o início, consulte as páginas a seguir como alternativa:
- Criar perfil de dados do BigQuery em uma organização ou pasta
- Criar perfil de dados do Cloud SQL em uma organização ou pasta
- Criar perfil de dados do Cloud Storage em uma organização ou pasta
- Descoberta de dados sensíveis para o Amazon S3
- Informe secrets em variáveis de ambiente para o Security Command Center
Para ativar a descoberta com as configurações padrão, siga estas etapas:
No console do Google Cloud, acesse "Proteção de dados sensíveis" Ativar descoberta.
Verifique se você está visualizando a organização ativada. Security Command Center ativado.
No campo Contêiner do agente de serviço, defina o projeto a ser usado como um agente de serviço contêiner do Docker. Nesse projeto, o sistema cria um agente de serviço e automaticamente concede a ele as permissões de descoberta necessárias.
Se você já usou o serviço de descoberta na sua organização, talvez já tem um projeto de contêiner de agente de serviço que pode ser reutilizado.
- Para criar automaticamente um projeto para usar como contêiner do agente de serviço, faça o seguinte: revise o ID do projeto sugerido e edite-o conforme necessário. Em seguida, clique em Criar. Pode levar alguns minutos para que as permissões sejam concedidas a agente de serviço do novo projeto.
- Para selecionar um projeto atual, clique no campo Contêiner do agente de serviço e selecione o projeto.
Para revisar as configurações padrão, clique no ícone de expansão
.Na seção Ativar descoberta, para cada tipo de descoberta que você ativar, clique em Ativar. A ativação de um tipo de descoberta faz o seguinte:
- BigQuery: cria uma configuração de descoberta para criação de perfil Tabelas do BigQuery em toda a organização. A Proteção de Dados Sensíveis começa a criar perfis os dados do BigQuery e envia os perfis para o Security Command Center.
- Cloud SQL: cria uma configuração de descoberta para criação de perfil tabelas do Cloud SQL em toda a organização. A Proteção de Dados Sensíveis começa a criar conexões padrão para cada uma das instâncias do Cloud SQL. Esse processo pode levar alguns do horário de funcionamento local. Quando as conexões padrão estiverem prontas, dê o acesso à proteção de dados sensíveis instâncias do Cloud SQL atualizando cada conexão com as credenciais do usuário do banco de dados.
- Vulnerabilidades de secrets/credenciais: cria uma configuração de descoberta. para detectar e relatar secrets não criptografados no Cloud Functions variáveis de ambiente. Início da proteção de dados sensíveis verificar as variáveis de ambiente.
- Cloud Storage: cria uma configuração de descoberta para criação de perfil buckets do Cloud Storage em toda a organização. A Proteção de Dados Sensíveis começa a criar perfis do Cloud Storage e envia os perfis para o Security Command Center.
Amazon S3 (pré-lançamento): cria uma configuração de descoberta para a criação de perfil. dados do Amazon S3 entre organizações, uma única conta do S3 ou uma única do Google Cloud.
Para conferir as configurações de descoberta recém-criadas, clique em Acessar descoberta do Terraform.
Se você ativou a descoberta do Cloud SQL, a configuração da descoberta será criado no modo pausado com erros que indicam a ausência de credenciais. Consulte Gerenciar conexões para usar com discovery para conceder a os papéis do IAM necessários ao agente de serviço e fornecer credenciais de usuário do banco de dados para cada instância do Cloud SQL.
Fechar painel.
A partir do momento em que a Proteção de Dados Sensíveis gera os perfis de dados, ela pode levar até seis horas para que as descobertas associadas apareçam o Security Command Center.
A partir do momento em que você ativa a descoberta de secrets na Proteção de Dados Sensíveis,
pode levar até 12 horas para que a verificação inicial das variáveis de ambiente seja concluída.
concluída e que as descobertas de Secrets in environment variables
apareçam em
o Security Command Center. Em seguida, a Proteção de Dados Sensíveis verifica o ambiente
a cada 24 horas. Na prática, as verificações podem ser executadas com mais frequência do que isso.
Para acessar as descobertas geradas pela Proteção de Dados Sensíveis, consulte Revisar descobertas sobre a proteção de dados sensíveis na Console do Google Cloud.
Usar insights de descoberta para identificar recursos de alto valor
O Security Command Center pode designar automaticamente um recurso que contém dados de alta ou média sensibilidade como um recurso de alto valor, ativando a opção de descoberta de insights da Proteção de Dados Sensíveis ao criar um valor de recurso configuração para o recurso de simulação do caminho de ataque.
Para recursos de alto valor, o Security Command Center fornece pontuações de exposição a ataques e visualizações de caminho de ataque, as quais podem ser usadas para priorizar a segurança recursos que contêm dados sensíveis.
As simulações de caminho de ataque podem definir automaticamente valores de prioridade com base nas classificações de sensibilidade de dados Proteção de Dados Sensíveis apenas para os seguintes tipos de recursos de dados:
bigquery.googleapis.com/Dataset
sqladmin.googleapis.com/Instance
storage.googleapis.com/Bucket
Personalizar as configurações de verificação
Depois de criar as configurações de verificação, elas podem ser personalizadas. Por exemplo: faça o seguinte:
- Ajuste as frequências de busca.
- Especifique filtros para os recursos de dados que você não quer recriar.
- Altere a inspeção modelo, que define as informações tipos que A Proteção de Dados Sensíveis verifica.
- Publicar os perfis de dados gerados em outros serviços do Google Cloud.
- Altere o contêiner do agente de serviço.
Para personalizar uma configuração de verificação, siga estas etapas:
- Abra a configuração de verificação para edição.
Atualize as configurações conforme necessário. Para mais informações sobre as opções na Editar configuração da verificação, consulte as seguintes páginas: