AWS EBSボリュームをDSPMに接続する

Overview

Netskope DSPMを使用すると、EC2インスタンス内のAWS Elastic Block Store（EBS）ボリュームにある非構造化データをスキャンでき、検出と分類をサポートすることで、非構造化データに関連付けられた機密情報を正確に検出できます。EBS Volumesデータストアの設定と接続を行うには、以下の手順に従ってください。

Prerequisites:

EBSボリュームを接続する前に、AWS環境が適切に準備されていることを確認してください。

• If Auto-Discover Unmanaged Data Stores was selected AWSアカウントのオンボーディング時には、追加の権限を付与する必要はありません。

• If Auto-Discover was not selected、以下の最小権限権限を持つ新しいポリシーを作成し、Netskopeロールに追加してEBSボリューム内の非構造化データをスキャンできるようにします。

  {
    "Version": "2012-10-17",
    "Statement": [
      {
        "Sid": "ScanEnvironmentCreation",
        "Effect": "Allow",
        "Action": [
          "ec2:CreateVpc",
          "ec2:CreateSecurityGroup",
          "ec2:CreateSubnet",
          "ec2:CreateSnapshot",
          "ec2:CreateVolume",
          "ec2:CreateInternetGateway"
        ],
        "Resource": "*",
        "Condition": {
          "StringEqualsIfExists": {
            "aws:RequestTag/Vendor": "Netskope",
            "aws:RequestTag/Product": "DSPM"
          }
        }
      },
      {
        "Sid": "RestrictedEC2InstanceLaunching",
        "Effect": "Allow",
        "Action": "ec2:RunInstances",
        "Resource": "*",
        "Condition": {
          "StringEqualsIfExists": {
            "aws:RequestTag/Vendor": "Netskope",
            "aws:RequestTag/Product": "DSPM"
          },
          "StringLikeIfExists": {
            "ec2:InstanceType": [
              "t3.*",
              "m5.*"
            ]
          }
        }
      },
      {
        "Sid": "NetworkConnectivityResourceCreation",
        "Effect": "Allow",
        "Action": [
          "ec2:CreateRoute",
          "ec2:ModifySubnetAttribute"
        ],
        "Resource": "*"
      },
      {
        "Sid": "EC2NetworkAndSGManagement",
        "Effect": "Allow",
        "Action": [
          "ec2:AttachInternetGateway",
          "ec2:ModifyVpcAttribute",
          "ec2:AuthorizeSecurityGroupIngress",
          "ec2:AuthorizeSecurityGroupEgress"
        ],
        "Resource": "*",
        "Condition": {
          "StringEquals": {
            "ec2:ResourceTag/Vendor": "Netskope",
            "ec2:ResourceTag/Product": "DSPM"
          }
        }
      },
      {
        "Sid": "MandatoryResourceTagging",
        "Effect": "Allow",
        "Action": "ec2:CreateTags",
        "Resource": "*",
        "Condition": {
          "StringEquals": {
            "ec2:CreateAction": [
              "CreateVpc",
              "CreateSecurityGroup",
              "CreateSubnet",
              "CreateSnapshot",
              "CreateVolume",
              "RunInstances",
              "CreateRoute",
              "CreateInternetGateway"
            ]
          }
        }
      },
      {
        "Sid": "EC2DeleteDSPMResources",
        "Effect": "Allow",
        "Action": [
          "ec2:DeleteSecurityGroup",
          "ec2:DeleteSubnet",
          "ec2:DetachInternetGateway",
          "ec2:DeleteInternetGateway",
          "ec2:DeleteVpc",
          "ec2:DeleteVolume",
          "ec2:DeleteSnapshot",
          "ec2:TerminateInstances"
        ],
        "Resource": "*",
        "Condition": {
          "StringEquals": {
            "ec2:ResourceTag/Vendor": "Netskope",
            "ec2:ResourceTag/Product": "DSPM"
          }
        }
      },
      {
        "Sid": "EC2DeleteRoute",
        "Effect": "Allow",
        "Action": "ec2:DeleteRoute",
        "Resource": "*"
      }
    ]
  }

スキャンインフラストラクチャの動作を理解する

EBSボリュームをスキャンする際、Netskope DSPMは一時的にリソースをプロビジョニングします。DSPMコンソールでのセットアップ中に、 Use Existing Network Resources トグルが表示され、各スキャン時のリソースの扱い方が決まります。

データストアを接続する

ステップ 1: クレデンシャルを提供する

接続を設定するには、以下の手順に従ってください。

1. Data Stores > Data Store Inventoryへ移動してください。

2. 右上のCONNECT A DATA STOREクリックしてください。

   ヒント：または、データストアが自動検出によって既に見つかった場合は、 Discoveredタブに移動し、[アクション] 列のConnectをクリックします。

   

3. In the Connect a Data Store window, click the data store icon you wish to connect.

4. 「クレデンシャルの提供」セクションで、次のフィールドに入力します。

Field	Value
AWSアカウント名	インフラストラクチャ接続画面で定義されているAWSアカウントのいずれかSelect 。 AWSアカウントが1つだけ設定されている場合は、このフィールドにデフォルト値が設定されます。
データストア識別子	データストアを分かりやすく表現する名前。あなたの値は、ポリシー管理や分類管理など、Netskope DSPMの他の画面にも表示されます。
Volume ID	スキャン対象のEBSボリュームのボリュームID。AWS S3コンソールから取得してください。
既存のネットワークリソースを使う (切り替え)	デフォルトで有効になっています。ボリュームをスキャンするには、オンにしてください。 一時的なNetskope VPC ではなく、既存の AWS VPC を使用してください。
サブネットID	（必須） 既存のネットワークリソースが有効になっている場合のみ。 DSPMに処理させたい特定のAWSサブネットのIDを入力してください 。 これらの値は、お客様自身のAWSアカウントから提供されます。 Note:このサブネットは、スキャン対象の EBS データ ストアと同じ可用性ゾーンにある必要があります。
セキュリティグループID	（必須） 既存のネットワークリソースが有効になっている場合のみ。 DSPMが一時的なスキャンリソースにアタッチするAWSセキュリティグループのIDを入力してください。これらの値は、お客様ご自身のAWSアカウントから取得されます。
サイドカープール	EBSボリュームのスキャンごとに新しいサイドカーが作成され、スキャンが完了すると削除されます。このサイドカーはEBSボリューム専用であり、手動で編集または削除することはできません。
自動スキャン、スキャン頻度	データストアの変更を確認する頻度を制御します。Netskope DSPM の推奨頻度がデフォルト値として設定されていますが、必要に応じて上書きすることもできます。

ステップ2：インフラストラクチャのスキャン

1. Nextをクリックしてください。
2. 「機能のSelect 」タブが表示されたら、以下のフィールドに入力してください。
   • Assign a Data Owner （オプション）：このデータストアの責任者であるユーザーを1人以上Select 。
   • Which databases should Netskope DSPM scan?監視する具体的なデータストアやスキーマ Select 、該当する場合は。
   • Features有効にしたい機能Select 。

分類機能を有効にすると、設定したサンプリングレートに基づいてファイルのスキャンが開始されます。Advanced Scanを使う場合、次の分類制限が適用されます。 Smart Scanが選択されている場合、ファイルの選択はクラスタリングアルゴリズムによって自動化され、これらの手動制限は適用されません。詳細については、 「データストアスマートスキャン」を参照してください。

• Scan Limits: DSPMは、サンプリングレートに関係なく、1回のスキャンで最大10万個のファイルを処理します。100%を選択した場合、システムはすべてのファイルがスキャンされるまで、10万個ずつのバッチでファイルをスキャンします。データストアごとに最大100万ファイルがスキャンされます。
• File Size Exclusions: スキャナーは128MBを超えるファイルをスキップします。
• Incremental Scanning: パフォーマンスを最適化するため、DSPMは前回のスキャン以降に変更されたファイルのみを再スキャンします。
• File Type Filtering: オプションで 正規表現を使用して、サンプリングを特定のファイルタイプに制限できます。

ステップ3：確認して保存する

1. Saveをクリックしてください。
   • Reviewタブが表示されたら、システムは設定を検証します。問題が発生した場合は、画面の指示に従って解決してください。
2. 接続を確定するには、 Saveをクリックしてください。

非構造化データストアのスキャンでサポートされるファイルの種類

DSPM今は、DLP アプライアンスによってサポートされるall file typesサポートします。