啟用探索動作

本節說明如何指定您希望 Sensitive Data Protection 在剖析資源後執行的動作。如要將從資料剖析檔收集到的洞察資料傳送至其他Google Cloud 服務，這些動作就非常實用。

注意： 如要瞭解其他 Google Cloud 服務可能如何針對設定動作向您收費，請參閱「匯出資料設定檔的定價」一文。

如要啟用探索動作，請建立或編輯探索掃描設定。以下各節說明您可在掃描設定的「新增動作」部分啟用哪些動作。

本頁面的部分動作不適用於所有探索類型。舉例來說，如果您要為其他雲端服務供應商的資源設定探索功能，就無法將標記附加至資源。詳情請參閱本頁的「支援的動作」一文。

如要進一步瞭解機密資料探索，請參閱「資料剖析檔」。

檢查和風險分析作業有一組不同的動作。詳情請參閱「啟用檢查或風險分析動作」。

發布至 Google Security Operations

從資料設定檔收集的指標可為 Google Security Operations 發現的結果提供背景資訊。這些額外資訊有助於判斷哪些安全性問題最需要處理。

舉例來說，如果您正在調查特定服務代理，Google Security Operations 可以判斷服務代理存取了哪些資源，以及這些資源是否含有高機密性資料。

如要將資料剖析檔傳送至 Google Security Operations 執行個體，請開啟「Publish to Google Security Operations」(發布至 Google Security Operations)。

如果貴組織未透過獨立產品或 Security Command Center Enterprise 啟用 Google Security Operations 執行個體，則開啟這個選項不會有任何影響。

發布至 Security Command Center

在 Security Command Center 中，資料剖析檔的發現項目可提供背景資訊，協助您分類安全漏洞和威脅發現項目，並制定應對計畫。

注意： 您也可以設定 Security Command Center，根據資源所含資料的計算機密程度，自動排定攻擊路徑模擬功能的資源優先順序。詳情請參閱「自動依據資料機密程度設定資源優先順序值」。

您必須先在組織層級啟用 Security Command Center，才能使用這項動作。在機構層級啟用 Security Command Center 後，系統就能從 Sensitive Data Protection 等整合服務匯入發現項目。Sensitive Data Protection 適用於 Security Command Center 的所有服務級別。

如果未在組織層級啟用 Security Command Center，Sensitive Data Protection 發現項目就不會顯示在 Security Command Center 中。詳情請參閱「查看 Security Command Center 的啟用層級」。

如要將資料剖析檔結果傳送至 Security Command Center，請務必開啟「Publish to Security Command Center」(發布至 Security Command Center) 選項。

詳情請參閱「將資料剖析檔發布至 Security Command Center」。

將資料剖析檔副本儲存至 BigQuery

Sensitive Data Protection 會將每個產生的資料剖析檔副本，儲存在 BigQuery 資料表中。如果未提供偏好資料表的詳細資料，Sensitive Data Protection 會在服務代理程式容器中建立資料集和資料表。根據預設，資料集會命名為 sensitive_data_protection_discovery，資料表則會命名為 discovery_profiles。

重要事項： 輸出表格會使用 DataProfileBigQueryRowSchema 做為結構定義。隨著 Sensitive Data Protection 新增功能，這個結構定義可能會變更。請確保工作流程可以處理結構定義變更，例如忽略不明欄位。

這項操作可讓您保留所有產生的設定檔記錄。這項記錄有助於建立稽核報告和呈現資料設定檔。您也可以將這項資訊載入其他系統。

此外，無論資料位於哪個區域，您都能在單一檢視畫面中查看所有資料剖析檔。雖然您也可以透過Google Cloud 控制台查看資料剖析檔，但控制台一次只會顯示一個區域的剖析檔。

如果 Sensitive Data Protection 無法剖析資源，系統會定期重試。為盡量減少匯出資料中的雜訊，Sensitive Data Protection 只會將成功產生的設定檔匯出至 BigQuery。

啟用這個選項後，Sensitive Data Protection 就會開始匯出設定檔。啟用匯出功能前產生的剖析檔不會儲存至 BigQuery。

注意： 服務代理必須具備資料表的寫入權限，才能儲存設定檔副本。如果還沒有服務代理程式，Sensitive Data Protection 可讓您稍後在「建立掃描作業設定」頁面建立。

如需分析資料剖析時可使用的查詢範例，請參閱「分析資料剖析」。

將部分探索發現項目儲存至 BigQuery

Sensitive Data Protection 可將範例發現項目新增至您選取的 BigQuery 資料表。樣本發現項目代表所有發現項目的子集，可能不代表所有發現的 infoType。一般來說，系統會為每項資源產生約 10 個樣本發現項目，但每次探索作業的數量可能不同。

每個發現項目都會顯示偵測到的實際字串 (也稱為「引用內容」) 和確切位置。

如要評估檢查設定是否正確比對要標示為機密的資訊類型，這項操作就非常實用。匯出資料設定檔和樣本結果後，您就能執行查詢，進一步瞭解遭標記的特定項目、相符的 infoType、確切位置、計算出的敏感程度，以及其他詳細資料。

重要事項： 輸出表格會使用 DataProfileFinding 做為結構定義。隨著 Sensitive Data Protection 新增功能，這個結構定義可能會變更。請確保工作流程可以處理結構定義變更，例如忽略不明欄位。

查詢範例：顯示與檔案儲存庫資料剖析檔相關的發現項目範例

這個範例需要啟用「將資料剖析檔副本儲存至 BigQuery」和「將部分探索發現項目儲存至 BigQuery」。

下列查詢會對匯出的資料剖析表和匯出的樣本發現項目表執行 INNER JOIN 作業。在產生的表格中，每筆記錄都會顯示發現項目的引用內容、相符的 infoType、包含發現項目的資源，以及資源的計算敏感度等級。

SELECT
 findings_table.quote,
 findings_table.infotype.name,
 findings_table.location.container_name,
 profiles_table.file_store_profile.file_store_path as bucket_name,
 profiles_table.file_store_profile.sensitivity_score as bucket_sensitivity_score
FROM
 `FINDINGS_TABLE_PROJECT_ID.FINDINGS_TABLE_DATASET_ID.FINDINGS_TABLE_ID_latest_v1` AS findings_table
INNER JOIN
 `PROFILES_TABLE_PROJECT_ID.PROFILES_TABLE_DATASET_ID.PROFILES_TABLE_ID_latest_v1` AS profiles_table
ON
 findings_table.data_profile_resource_name=profiles_table.file_store_profile.name
 AND findings_table.timestamp.timestamp=profiles_table.file_store_profile.profile_last_generated.timestamp

查詢範例：顯示與資料表資料剖析檔相關的發現項目範例

這個範例需要啟用「將資料剖析檔副本儲存至 BigQuery」和「將部分探索發現項目儲存至 BigQuery」。

下列查詢會對匯出的資料剖析檔資料表和匯出的樣本發現項目資料表，使用 INNER JOIN 作業。在產生的表格中，每筆記錄都會顯示發現項目的引用內容、相符的 infoType、包含發現項目的資源，以及資源的計算敏感度等級。

SELECT
 findings_table.quote,
 findings_table.infotype.name,
 findings_table.location.container_name,
 findings_table.location.data_profile_finding_record_location.field.name AS field_name,
 profiles_table.table_profile.dataset_project_id AS project_id,
 profiles_table.table_profile.dataset_id AS dataset_id,
 profiles_table.table_profile.table_id AS table_id,
 profiles_table.table_profile.sensitivity_score AS table_sensitivity_score
 FROM
 `FINDINGS_TABLE_PROJECT_ID.FINDINGS_TABLE_DATASET_ID.FINDINGS_TABLE_ID_latest_v1` AS findings_table
INNER JOIN
 `PROFILES_TABLE_PROJECT_ID.PROFILES_TABLE_DATASET_ID.PROFILES_TABLE_ID_latest_v1` AS profiles_table
ON
 findings_table.data_profile_resource_name=profiles_table.table_profile.name
 AND findings_table.timestamp.timestamp=profiles_table.table_profile.profile_last_generated.timestamp

如要將發現項目示例儲存至 BigQuery 資料表，請按照下列步驟操作：

1. 開啟「將部分探索發現項目儲存至 BigQuery」。

2. 輸入要儲存發現項目示例的 BigQuery 資料表詳細資料。

   您為這項動作指定的資料表，必須與「將資料剖析檔副本儲存至 BigQuery」動作使用的資料表不同。

   • 在「Project ID」(專案 ID) 中，輸入要匯出發現項目的現有專案 ID。

   • 在「Dataset ID」(資料集 ID) 部分，輸入專案中現有資料集的名稱。

   • 在「Table ID」(資料表 ID)，輸入要儲存發現項目的 BigQuery 資料表名稱。如果這個資料表不存在，Sensitive Data Protection 會自動使用您提供的名稱建立資料表。

注意： 服務代理必須具備資料表的寫入權限。如果您還沒有服務代理，可以稍後在 Sensitive Data Protection 的「Create scan configuration」(建立掃描設定) 頁面建立。

如要瞭解儲存在 BigQuery 資料表中的每個發現項目內容，請參閱DataProfileFinding。

將標記附加至資源

開啟「Attach tags to resources」(將標記附加至資源)，Sensitive Data Protection 就會根據計算出的機密程度，自動標記資料。如要完成本節內容，請先完成「根據資料機密程度控管資源的 IAM 存取權」中的工作。

如要根據資源的計算敏感度等級自動加上標記，請按照下列步驟操作：

1. 開啟「標記資源」選項。

2. 針對每個機密程度 (高、中、低和未知)，輸入您為該機密程度建立的標記值路徑。

   如果略過某個敏感度層級，系統就不會為該層級附加標記。

3. 如要在資源有機密等級標記時，自動降低資源的資料風險等級，請選取「為資源加上標記後，將其剖析檔的資料風險降至『低』」。這個選項可協助您評估資料安全性和隱私權防護機制的改善情況。

   重要事項： 這個選項會覆寫剖析資源的計算資料風險等級。

4. 選取下列其中一個或兩個選項：

   • 初次剖析資源時加上標記。

   • 更新資源的剖析檔時加上標記。如果希望 Sensitive Data Protection 在後續執行探索作業時，覆寫機密等級標記值，請選取這個選項。因此，當資源的計算資料機密程度提高或降低時，主體對該資源的存取權會自動變更。

     如果您打算手動更新探索服務附加至資源的機密層級標記值，請勿選取這個選項。如果選取這個選項，Sensitive Data Protection 可能會覆寫您手動更新的內容。

發布至 Pub/Sub

開啟「發布至 Pub/Sub」後，您就能根據剖析結果採取程式輔助動作。您可以使用 Pub/Sub 通知開發工作流程，找出並修復資料風險或機密性較高的發現項目。

如要將通知傳送至 Pub/Sub 主題，請按照下列步驟操作：

1. 開啟「發布至 Pub/Sub」。

   畫面上會顯示選項清單。每個選項都會說明導致 Sensitive Data Protection 傳送通知至 Pub/Sub 的事件。

2. 選取應觸發 Pub/Sub 通知的事件。

   如果選取「每當更新設定檔時傳送 Pub/Sub 通知」，當設定檔中的機密程度、資料風險等級、偵測到的 infoType、公開存取權和其他重要指標有所變更時，Sensitive Data Protection 就會傳送通知。

3. 針對您選取的每個事件，按照下列步驟操作：

   1. 輸入主題名稱。名稱必須採用以下格式：

      projects/PROJECT_ID/topics/TOPIC_ID
      

      更改下列內容：

      • PROJECT_ID：與 Pub/Sub 主題相關聯的專案 ID。
      • TOPIC_ID：Pub/Sub 主題 ID。

   2. 指定要在通知中加入完整資源設定檔，還是只加入已設定檔資源的完整資源名稱。

   3. 設定 Sensitive Data Protection 傳送通知時，必須達到的最低資料風險和機密等級。

   4. 指定是否必須同時符合資料風險和敏感度條件，或只要符合其中一項即可。舉例來說，如果選擇 AND，則必須同時符合資料風險和機密程度條件，Sensitive Data Protection 才會傳送通知。

注意： 服務代理必須擁有 Pub/Sub 主題的發布存取權。舉例來說，Pub/Sub 發布者角色 (roles/pubsub.publisher) 具有發布權限。如果您還沒有服務代理，可以稍後在 Sensitive Data Protection 的「Create scan configuration」(建立掃描設定) 頁面建立。如果 Pub/Sub 主題有設定或權限問題，Sensitive Data Protection 會重試傳送 Pub/Sub 通知，最長兩週。兩週後，系統會捨棄通知。

傳送至 Knowledge Catalog 做為切面

這項操作可讓您根據資料剖析檔的深入分析，將 Knowledge Catalog 切面新增至剖析過的資源。這項操作只會套用至新建立和更新的設定檔。 未更新的現有設定檔不會傳送至 Knowledge Catalog。

啟用這項動作後，Sensitive Data Protection 會將 Sensitive Data Protection profile 切面附加至您剖析的每個新資源或更新資源的 Knowledge Catalog 項目。生成的切面包含從資料剖析檔收集的洞察資料。接著，您可以在組織和專案中，搜尋具有特定 Sensitive Data Protection profile 類型值的項目。

如要將資料剖析檔傳送至 Knowledge Catalog，請務必開啟「Send to Dataplex Catalog as aspects」(傳送至 Dataplex Catalog 做為切面) 選項。

詳情請參閱「根據資料剖析洞察資訊新增 Knowledge Catalog 切面」。

支援的動作

下表列出各探索類型支援的操作。

	發布至 Google Security Operations	發布至 Security Command Center	將資料剖析檔副本儲存至 BigQuery	將部分探索發現項目儲存至 BigQuery	為資源附加標記	發布至 Pub/Sub	傳送至 Knowledge Catalog 做為切面
Amazon S3	✓	✓	✓	✓		✓
Azure Blob 儲存體	✓	✓	✓	✓		✓
BigQuery	✓	✓	✓	✓	✓	✓	✓
Cloud SQL	✓	✓	✓	✓	✓	✓	✓
Cloud Storage	✓	✓	✓	✓	✓	✓
Vertex AI	✓	✓	✓	✓		✓	✓

後續步驟

• 瞭解如何在 Google Security Operations 中使用資料剖析檔的比對內容資料。
• 瞭解 Sensitive Data Protection 可在 Security Command Center 中產生的發現項目。
• 瞭解如何在 BigQuery 和數據分析中分析資料剖析檔。
• 瞭解如何根據資料敏感程度控管資源的 IAM 存取權。
• 瞭解如何接收及剖析資料剖析檔的 Pub/Sub 訊息。
• 瞭解如何根據資料剖析的洞察資料新增 Knowledge Catalog 切面。