AWS EFSボリュームをDSPMに接続する

Overview

Netskope DSPMはAWSエラスティックファイルシステム(EFS)ボリューム内の非構造化データをスキャンし、Discovery and Classificationをサポートして機密情報を正確に検出します。以下の指示に従ってEFSボリュームのデータストアを設定し接続してください。

Prerequisites:

EFSボリュームを接続する前に、AWS環境が適切に準備されていることを確認してください。

• If Auto-Discover Unmanaged Data Stores was selected AWSアカウントのオンボーディング時には、追加の権限を付与する必要はありません。

• If Auto-Discover was not selected以下の最小権限権限を持つ新しいポリシーを作成し、それをNetskopeロールに追加してEFSボリューム内の非構造化データをスキャンできるようにします。

  {
    "Version": "2012-10-17",
    "Statement": [
      {
        "Sid": "ScanEnvironmentCreation",
        "Effect": "Allow",
        "Action": [
          "ec2:CreateVpc",
          "ec2:CreateSecurityGroup",
          "ec2:CreateSubnet",
          "ec2:CreateSnapshot",
          "ec2:CreateVolume",
          "ec2:CreateInternetGateway"
        ],
        "Resource": "*",
        "Condition": {
          "StringEqualsIfExists": {
            "aws:RequestTag/Vendor": "Netskope",
            "aws:RequestTag/Product": "DSPM"
          }
        }
      },
      {
        "Sid": "RestrictedEC2InstanceLaunching",
        "Effect": "Allow",
        "Action": "ec2:RunInstances",
        "Resource": "*",
        "Condition": {
          "StringEqualsIfExists": {
            "aws:RequestTag/Vendor": "Netskope",
            "aws:RequestTag/Product": "DSPM"
          },
          "StringLikeIfExists": {
            "ec2:InstanceType": [
              "t3.*",
              "m5.*"
            ]
          }
        }
      },
      {
        "Sid": "NetworkConnectivityResourceCreation",
        "Effect": "Allow",
        "Action": [
          "ec2:CreateRoute",
          "ec2:ModifySubnetAttribute"
        ],
        "Resource": "*"
      },
      {
        "Sid": "EC2NetworkAndSGManagement",
        "Effect": "Allow",
        "Action": [
          "ec2:AttachInternetGateway",
          "ec2:ModifyVpcAttribute",
          "ec2:AuthorizeSecurityGroupIngress",
          "ec2:AuthorizeSecurityGroupEgress"
        ],
        "Resource": "*",
        "Condition": {
          "StringEquals": {
            "ec2:ResourceTag/Vendor": "Netskope",
            "ec2:ResourceTag/Product": "DSPM"
          }
        }
      },
      {
        "Sid": "MandatoryResourceTagging",
        "Effect": "Allow",
        "Action": "ec2:CreateTags",
        "Resource": "*",
        "Condition": {
          "StringEquals": {
            "ec2:CreateAction": [
              "CreateVpc",
              "CreateSecurityGroup",
              "CreateSubnet",
              "CreateSnapshot",
              "CreateVolume",
              "RunInstances",
              "CreateRoute",
              "CreateInternetGateway"
            ]
          }
        }
      },
      {
        "Sid": "EC2DeleteDSPMResources",
        "Effect": "Allow",
        "Action": [
          "ec2:DeleteSecurityGroup",
          "ec2:DeleteSubnet",
          "ec2:DetachInternetGateway",
          "ec2:DeleteInternetGateway",
          "ec2:DeleteVpc",
          "ec2:DeleteVolume",
          "ec2:DeleteSnapshot",
          "ec2:TerminateInstances"
        ],
        "Resource": "*",
        "Condition": {
          "StringEquals": {
            "ec2:ResourceTag/Vendor": "Netskope",
            "ec2:ResourceTag/Product": "DSPM"
          }
        }
      },
      {
        "Sid": "EC2DeleteRoute",
        "Effect": "Allow",
        "Action": "ec2:DeleteRoute",
        "Resource": "*"
      }
    ]
  }

  詳細については、 AWSのオンボーディングに関する記事をご覧ください。

  IAM Policy for Customer VPCs: 使う既存のAWS VPCでボリュームをスキャンする予定で( 使う 既存ネットワークリソース 機能を有効にして)、かつ以前に Netskope サービスアカウント使う IaCや手動手順を展開している場合は、IAMポリシーを更新する必要があります。
  
  – Netskopeタグ付きリソースのみにアクションを制限する条件ブロックを削除 ("Condition": { "StringEquals": { "aws:ResourceTag/CreatedBy": "Netskope" } })。この条件を残すと、既存のVPCでDSPMが動作しなくなります。

スキャンインフラストラクチャの動作を理解する

EFSボリュームをスキャンする際、Netskope DSPMは一時的にリソースをプロビジョニングします。DSPMコンソールでのセットアップ中に、 Use Existing Network Resources トグルが表示され、各スキャン時のリソースの扱い方が決まります。

データストアを接続する

ステップ 1: クレデンシャルを提供する

接続を設定するには、以下の手順に従ってください。

1. Data Stores > Data Store Inventoryへ移動してください。

2. 右上のCONNECT A DATA STOREクリックしてください。

   ヒント：または、データストアが自動検出によって既に見つかった場合は、 Discoveredタブに移動し、[アクション] 列のConnectをクリックします。

   

3. In the Connect a Data Store window, click the data store icon you wish to connect.

4. 「クレデンシャルの提供」セクションで、次のフィールドに入力します。

ステップ2：インフラストラクチャのスキャン

1. Nextをクリックしてください。
2. 「機能のSelect 」タブが表示されたら、以下のフィールドに入力してください。
   • Assign a Data Owner （オプション）：このデータストアの責任者であるユーザーを1人以上Select 。
   • Which databases should Netskope DSPM scan?監視する具体的なデータストアやスキーマ Select 、該当する場合は。
   • Features有効にしたい機能Select 。

分類機能を有効にすると、設定したサンプリングレートに基づいてファイルのスキャンが開始されます。Advanced Scanを使う場合、次の分類制限が適用されます。 Smart Scanが選択されている場合、ファイルの選択はクラスタリングアルゴリズムによって自動化され、これらの手動制限は適用されません。詳細については、 「データストアスマートスキャン」を参照してください。

• Scan Limits: DSPMは、サンプリングレートに関係なく、1回のスキャンで最大10万個のファイルを処理します。100%を選択した場合、システムはすべてのファイルがスキャンされるまで、10万個ずつのバッチでファイルをスキャンします。データストアごとに最大100万ファイルがスキャンされます。
• File Size Exclusions: スキャナーは128MBを超えるファイルをスキップします。
• Incremental Scanning: パフォーマンスを最適化するため、DSPMは前回のスキャン以降に変更されたファイルのみを再スキャンします。
• File Type Filtering: オプションで 正規表現を使用して、サンプリングを特定のファイルタイプに制限できます。

ステップ3：確認して保存する

1. Saveをクリックしてください。
   • Reviewタブが表示されたら、システムは設定を検証します。問題が発生した場合は、画面の指示に従って解決してください。
2. 接続を確定するには、 Saveをクリックしてください。

非構造化データストアのスキャンでサポートされるファイルの種類

DSPM今は、DLP アプライアンスによってサポートされるall file typesサポートします。