הפעלת פעולות גילוי

בקטע הזה מוסבר איך מציינים פעולות שרוצים שמערכת Sensitive Data Protection תבצע אחרי יצירת פרופיל של משאב. הפעולות האלה שימושיות אם רוצים לשלוח תובנות שנאספו מפרופילי נתונים לשירותים אחרים שלGoogle Cloud .

כדי להפעיל פעולות גילוי, יוצרים או עורכים הגדרה של סריקת גילוי. בקטעים הבאים מפורטות הפעולות השונות שאפשר להפעיל בקטע הוספת פעולות בהגדרות הסריקה.

לא כל הפעולות בדף הזה זמינות לכל סוגי הקמפיינים לגילוי אפליקציות. לדוגמה, אי אפשר לצרף תגים למשאבים אם מגדירים גילוי למשאבים מספק שירותי ענן אחר. למידע נוסף, ראו פעולות נתמכות בדף הזה.

מידע נוסף על מיון מידע אישי רגיש זמין במאמר פרופילי נתונים.

לפעולות של בדיקה וניתוח סיכונים יש קבוצה שונה של פעולות. מידע נוסף מופיע במאמר הפעלת פעולות של בדיקה או ניתוח סיכונים.

פרסום ב-Google Security Operations

מדדים שנאספים מפרופילי נתונים יכולים להוסיף הקשר לממצאים של Google Security Operations. ההקשר הנוסף יכול לעזור לכם להחליט מהן בעיות האבטחה שהכי חשוב לטפל בהן.

לדוגמה, אם אתם בודקים סוכן שירות מסוים, Google Security Operations יכול לקבוע לאילו משאבים סוכן השירות ניגש, ואם יש במשאבים האלה נתונים רגישים.

כדי לשלוח את פרופילי הנתונים למופע של Google Security Operations, מפעילים את האפשרות פרסום ב-Google Security Operations.

אם לא הפעלתם מכונה של Google Security Operations בארגון – דרך המוצר הנפרד או דרך Security Command Center Enterprise – להפעלת האפשרות הזו לא תהיה השפעה.

פרסום ב-Security Command Center

הממצאים מפרופילי הנתונים מספקים הקשר כשממיינים ומפתחים תוכניות תגובה לממצאי הפגיעות והאיומים ב-Security Command Center.

כדי להשתמש בפעולה הזו, צריך להפעיל את Security Command Center ברמת הארגון. כשמפעילים את Security Command Center ברמת הארגון, הממצאים משירותים משולבים כמו Sensitive Data Protection מתחילים לזרום. ‫Sensitive Data Protection פועל עם Security Command Center בכל רמות השירות.

אם Security Command Center לא מופעל ברמת הארגון, הממצאים של Sensitive Data Protection לא יופיעו ב-Security Command Center. מידע נוסף זמין במאמר בנושא בדיקת רמת ההפעלה של Security Command Center.

כדי לשלוח את התוצאות של פרופילי הנתונים ל-Security Command Center, ודאו שהאפשרות Publish to Security Command Center מופעלת.

מידע נוסף זמין במאמר בנושא פרסום פרופילי נתונים ב-Security Command Center.

שמירת עותקים של פרופיל הנתונים ב-BigQuery

‫Sensitive Data Protection שומר עותק של כל פרופיל נתונים שנוצר בטבלה ב-BigQuery. אם לא תספקו את פרטי הטבלה המועדפת, Sensitive Data Protection תיצור מערך נתונים וטבלה בקונטיינר של סוכן השירות. כברירת מחדל, שם קבוצת הנתונים הוא sensitive_data_protection_discovery ושם הטבלה הוא discovery_profiles.

הפעולה הזו מאפשרת לכם לשמור היסטוריה של כל הפרופילים שיצרתם. היסטוריה כזו יכולה להיות שימושית ליצירת דוחות ביקורת ולהצגה חזותית של פרופילי נתונים. אפשר גם לטעון את המידע הזה למערכות אחרות.

בנוסף, האפשרות הזו מאפשרת לכם לראות את כל פרופילי הנתונים בתצוגה אחת, בלי קשר למיקום אחסון הנתונים שלכם. אפשר גם לראות את פרופילי הנתונים דרך מסוףGoogle Cloud , אבל במסוף מוצגים הפרופילים רק באזור אחד בכל פעם.

אם Sensitive Data Protection לא מצליח ליצור פרופיל של משאב, הוא מנסה שוב באופן תקופתי. כדי לצמצם את הרעשים בנתונים המיוצאים, Sensitive Data Protection מייצא ל-BigQuery רק את הפרופילים שנוצרו בהצלחה.

הייצוא של הפרופילים ב-Sensitive Data Protection מתחיל מרגע שמפעילים את האפשרות הזו. פרופילים שנוצרו לפני שהפעלתם את הייצוא לא נשמרים ב-BigQuery.

לדוגמה, שאילתות שאפשר להשתמש בהן כשמנתחים פרופילי נתונים מופיעות במאמר ניתוח פרופילי נתונים.

שמירת ממצאים לדוגמה של גילוי ב-BigQuery

‫Sensitive Data Protection יכול להוסיף ממצאים לדוגמה לטבלה ב-BigQuery לבחירתכם. הממצאים לדוגמה מייצגים קבוצת משנה של כל הממצאים, ויכול להיות שהם לא מייצגים את כל סוגי המידע שהמערכת גילתה. בדרך כלל, המערכת יוצרת כ-10 ממצאים לדוגמה לכל משאב, אבל המספר הזה יכול להשתנות בכל הרצת גילוי.

כל ממצא כולל את המחרוזת בפועל (שנקראת גם ציטוט) שזוהתה ואת המיקום המדויק שלה.

הפעולה הזו שימושית אם רוצים לבדוק אם הגדרת הבדיקה תואמת לסוג המידע שרוצים לסמן כרגיש. בעזרת פרופילי הנתונים שיוצאו והממצאים לדוגמה שיוצאו, אתם יכולים להריץ שאילתות כדי לקבל מידע נוסף על הפריטים הספציפיים שסומנו, על סוגי המידע שהם תאמו, על המיקומים המדויקים שלהם, על רמות הרגישות המחושבות שלהם ועל פרטים נוספים.

בדוגמה הזו צריך להפעיל גם את האפשרות שמירת עותקים של פרופילי נתונים ב-BigQuery וגם את האפשרות שמירת ממצאים לדוגמה של סריקה ב-BigQuery.

השאילתה הבאה משתמשת בפעולה INNER JOIN גם בטבלה של פרופילי הנתונים המיוצאים וגם בטבלה של ממצאי הדוגמה המיוצאים. בטבלה שמתקבלת, כל רשומה מציגה את הציטוט של הממצא, את ה-infoType שתאם לו, את המשאב שמכיל את הממצא ואת רמת הרגישות המחושבת של המשאב. 

SELECT
 findings_table.quote,
 findings_table.infotype.name,
 findings_table.location.container_name,
 profiles_table.file_store_profile.file_store_path as bucket_name,
 profiles_table.file_store_profile.sensitivity_score as bucket_sensitivity_score
FROM
 `FINDINGS_TABLE_PROJECT_ID.FINDINGS_TABLE_DATASET_ID.FINDINGS_TABLE_ID_latest_v1` AS findings_table
INNER JOIN
 `PROFILES_TABLE_PROJECT_ID.PROFILES_TABLE_DATASET_ID.PROFILES_TABLE_ID_latest_v1` AS profiles_table
ON
 findings_table.data_profile_resource_name=profiles_table.file_store_profile.name
 AND findings_table.timestamp.timestamp=profiles_table.file_store_profile.profile_last_generated.timestamp

כדי להשתמש בדוגמה הזו, צריך להפעיל את האפשרויות שמירת עותקים של פרופיל הנתונים ב-BigQuery ושמירת ממצאי גילוי לדוגמה ב-BigQuery.

בשאילתה הבאה נעשה שימוש בפעולת INNER JOIN גם בטבלה של פרופילי הנתונים שיוצאו וגם בטבלה של הממצאים לדוגמה שיוצאו. בטבלה שנוצרת, כל רשומה מציגה את הציטוט של הממצא, את ה-infoType שתואם לו, את המשאב שמכיל את הממצא ואת רמת הרגישות המחושבת של המשאב. 

SELECT
 findings_table.quote,
 findings_table.infotype.name,
 findings_table.location.container_name,
 findings_table.location.data_profile_finding_record_location.field.name AS field_name,
 profiles_table.table_profile.dataset_project_id AS project_id,
 profiles_table.table_profile.dataset_id AS dataset_id,
 profiles_table.table_profile.table_id AS table_id,
 profiles_table.table_profile.sensitivity_score AS table_sensitivity_score
 FROM
 `FINDINGS_TABLE_PROJECT_ID.FINDINGS_TABLE_DATASET_ID.FINDINGS_TABLE_ID_latest_v1` AS findings_table
INNER JOIN
 `PROFILES_TABLE_PROJECT_ID.PROFILES_TABLE_DATASET_ID.PROFILES_TABLE_ID_latest_v1` AS profiles_table
ON
 findings_table.data_profile_resource_name=profiles_table.table_profile.name
 AND findings_table.timestamp.timestamp=profiles_table.table_profile.profile_last_generated.timestamp

כדי לשמור ממצאים לדוגמה בטבלה ב-BigQuery:

  1. מפעילים את האפשרות שמירת ממצאי גילוי לדוגמה ב-BigQuery.

  2. מזינים את הפרטים של הטבלה ב-BigQuery שבה רוצים לשמור את הממצאים לדוגמה.

    הטבלה שאתם מציינים לפעולה הזו צריכה להיות שונה מהטבלה שמשמשת לפעולה שמירת עותקים של פרופילי נתונים ב-BigQuery.

    • בשדה Project ID, מזינים את מזהה הפרויקט של פרויקט קיים שאליו רוצים לייצא את הממצאים.

    • בשדה Dataset ID מזינים את השם של מערך נתונים קיים בפרויקט.

    • בשדה Table ID, מזינים את שם הטבלה ב-BigQuery שבה רוצים לשמור את הממצאים. אם הטבלה הזו לא קיימת, Sensitive Data Protection יוצר אותה בשבילכם באופן אוטומטי באמצעות השם שסיפקתם.

למידע על התוכן של כל ממצא שנשמר בטבלה ב-BigQuery, אפשר לעיין במאמר DataProfileFinding.

צירוף תגים למשאבים

כשמפעילים את האפשרות Attach tags to resources, המערכת של Sensitive Data Protection מתייגת אוטומטית את הנתונים בהתאם לרמת הרגישות שחושבה. כדי לבצע את המשימות בקטע הזה, קודם צריך לבצע את המשימות בקטע שליטה בגישה של IAM למשאבים על סמך רגישות הנתונים.

כדי לתייג משאב באופן אוטומטי בהתאם לרמת הרגישות המחושבת שלו, פועלים לפי השלבים הבאים:

  1. מפעילים את האפשרות תיוג משאבים.

  2. לכל רמת רגישות (גבוהה, בינונית, נמוכה ולא ידועה), מזינים את הנתיב של ערך התג שיצרתם לרמת הרגישות הזו.

    אם מדלגים על רמת רגישות, לא מצורף תג בשבילה.

  3. כדי להוריד באופן אוטומטי את רמת הסיכון של נתונים במשאב כשתג רמת הרגישות קיים, בוחרים באפשרות When a tag is applied to a resource, lower the data risk of its profile to LOW. האפשרות הזו עוזרת למדוד את השיפור במצב אבטחת המידע והפרטיות.

  4. בוחרים אחת מהאפשרויות הבאות או את שתיהן:

    • תיוג משאב כשיוצרים לו פרופיל בפעם הראשונה

    • תיוג משאב כשהפרופיל שלו מתעדכן בוחרים באפשרות הזו אם רוצים ש-Sensitive Data Protection יחליף את הערך של תג רמת הרגישות בהפעלות גילוי עוקבות. כתוצאה מכך, הגישה של חשבון משתמש למשאב משתנה באופן אוטומטי כשרמת רגישות הנתונים המחושבת של אותו משאב עולה או יורדת.

      אל תבחרו באפשרות הזו אם אתם מתכננים לעדכן באופן ידני את ערכי התגים של רמת הרגישות ששירות הגילוי צירף למשאבים שלכם. אם בוחרים באפשרות הזו, יכול להיות ש-Sensitive Data Protection יחליף את העדכונים הידניים.

פרסום ב-Pub/Sub

הפעלת האפשרות Publish to Pub/Sub מאפשרת לבצע פעולות פרוגרמטיות על סמך תוצאות הפרופיילינג. אתם יכולים להשתמש בהתראות של Pub/Sub כדי לפתח תהליך עבודה לזיהוי ולתיקון של ממצאים עם סיכון משמעותי או רגישות גבוהה של נתונים.

כדי לשלוח התראות לנושא Pub/Sub, פועלים לפי השלבים הבאים:

  1. מפעילים את האפשרות פרסום ב-Pub/Sub.

    מופיעה רשימה של אפשרויות. כל אפשרות מתארת אירוע שגורם ל-Sensitive Data Protection לשלוח התראה ל-Pub/Sub.

  2. בוחרים את האירועים שיפעילו התראת Pub/Sub.

    אם בוחרים באפשרות Send a Pub/Sub notification each time a profile is updated, ‏Sensitive Data Protection שולח התראה כשחל שינוי ברמת הרגישות, ברמת הסיכון של הנתונים, בסוגי המידע שזוהו, בגישה הציבורית ובמדדים חשובים אחרים בפרופיל.

  3. לכל אירוע שבוחרים, פועלים לפי השלבים הבאים:

    1. כותבים את שם הנושא. השם צריך להיות בפורמט הבא:

      projects/PROJECT_ID/topics/TOPIC_ID

      מחליפים את מה שכתוב בשדות הבאים:

      • ‫PROJECT_ID: מזהה הפרויקט שמשויך לנושא ב-Pub/Sub.
      • ‫TOPIC_ID: המזהה של נושא ה-Pub/Sub.

    2. ציינו אם לכלול בהתראה את פרופיל המשאב המלא, או רק את השם המלא של המשאב שנוצר לו פרופיל.

    3. מגדירים את רמות הסיכון והרגישות המינימליות של הנתונים שצריך לעמוד בהן כדי ש-Sensitive Data Protection ישלח התראה.

    4. מציינים אם צריך לעמוד רק בתנאי אחד או בשני התנאים של סיכון הנתונים והרגישות. לדוגמה, אם בוחרים באפשרות AND, גם התנאים של סיכון הנתונים וגם התנאים של רגישות הנתונים צריכים להתקיים כדי ש-Sensitive Data Protection ישלח התראה.

שליחה ל-Knowledge Catalog כהיבטים

הפעולה הזו מאפשרת להוסיף היבטים של Knowledge Catalog למשאבים עם פרופיל על סמך תובנות מפרופילי נתונים. הפעולה הזו חלה רק על פרופילים חדשים ומעודכנים. פרופילים קיימים שלא עודכנו לא נשלחים אל Knowledge Catalog.

כשמפעילים את הפעולה הזו, Sensitive Data Protection מצרף את ההיבט Sensitive Data Protection profile לרשומה ב-Knowledge Catalog לכל משאב חדש או מעודכן שיוצרים לו פרופיל. ההיבטים שנוצרו מכילים תובנות שנאספו מפרופילי הנתונים. לאחר מכן תוכלו לחפש בארגון ובפרויקטים רשומות עם ערכי היבטים ספציפיים של Sensitive Data Protection profile.

כדי לשלוח את פרופילי הנתונים ל-Knowledge Catalog, ודאו שהאפשרות Send to Dataplex Catalog as aspects מופעלת.

מידע נוסף זמין במאמר הוספת היבטים של Knowledge Catalog על סמך תובנות מפרופילי נתונים.

פעולות נתמכות

בטבלה הבאה מפורטות הפעולות שנתמכות בכל סוג גילוי.

פרסום ב-Google Security Operations פרסום ב-Security Command Center שמירת עותקים של פרופיל הנתונים ב-BigQuery שמירת ממצאים לדוגמה של נתונים שזוהו ב-BigQuery צירוף תגים למשאבים פרסום ב-Pub/Sub שליחה ל-Knowledge Catalog כהיבטים
Amazon S3 ✓ ✓ ✓ ✓ ✓
Azure Blob Storage ✓ ✓ ✓ ✓ ✓
BigQuery ✓ ✓ ✓ ✓ ✓ ✓ ✓
Cloud SQL ✓ ✓ ✓ ✓ ✓ ✓ ✓
Cloud Storage ✓ ✓ ✓ ✓ ✓ ✓
Vertex AI ✓ ✓ ✓ ✓ ✓ ✓

המאמרים הבאים