‏AWS DLP

AWS DLP هو تطبيق ممارسات منع فقدان البيانات على البيانات المخزنة في Amazon Web Services أو المتنقلة عبرها. وهو جزء خاص بالمنصة ضمن مجال DLP السحابي الأوسع، لذلك تنطبق الأسئلة نفسها: ما الذي يعد حساسا، وأين يوجد، وكيف يغادر المؤسسة.

الخطأ الأكثر شيوعا هو التعامل مع AWS كمكان واحد. التخزين والمعالجة والنقل أمور منفصلة، والضابط الذي يغطي واحدا منها نادرا ما يغطي البقية.

تحتاج الحالات الثلاث للبيانات إلى ضوابط مختلفة. بالنسبة للبيانات الساكنة، تبدأ الحماية بتحديد مكان البيانات الحساسة وتصنيفها وتقييد من يمكنه الوصول إليها. البيانات قيد الاستخدام هي الحالة الأكثر إهمالا، لأنها موجودة على أجهزة الأشخاص لا في لوحة تحكم السحابة.

لكل حالة مخاطرها الخاصة، لذلك لا تغطي السياسة المكتوبة لواحدة منها الحالات الأخرى.

وفق نموذج المسؤولية المشتركة في AWS، تؤمن AWS البنية التحتية. ويبقى العميل مسؤولا عن البيانات وحقوق الوصول والإعدادات.

معظم حوادث كشف البيانات في AWS تعود إلى جانب العميل: تخزين متاح للقراءة العامة، أو بيانات اعتماد بصلاحيات أوسع من اللازم، أو مستخدمون ينقلون البيانات إلى مواقع غير معتمدة. وهذه الحالة الأخيرة هي التي تراها الضوابط الأصلية بأقل قدر، لذلك تحتاج تسريبات البيانات إلى ضوابط تتجاوز لوحة السحابة.

تجمع المؤسسات عادة بين ثلاثة نماذج. تتولى إمكانات AWS الأصلية إدارة التخزين، ويراقب فحص الشبكة حركة المرور الخارجة، بينما تقرأ الحماية من فقدان البيانات على نقاط النهاية الملفات على محطة العمل التي يستخدمها الأشخاص.

فحص الشبكة قوي مع حركة المرور الخارجة لكنه لا يرى عمليات النقل المشفرة، أما فحص نقطة النهاية فيتطلب عميلا على كل جهاز. ولا يحل أي منهما محل الآخر.

تجمع السيناريوهات التالية بين سوء إعداد من جانب السحابة وعمليات نقل يقوم بها المستخدمون. وكل منها شكل من استخراج البيانات، سواء كان مقصودا أم لا. الحالات التي تصدر من جانب المستخدم فقط تصل إلى محطة العمل، لذلك تحتاج أول حالتين إلى ضوابط على جانب السحابة.

• حاوية S3 مُعدة بشكل خاطئ ومتاحة للقراءة العامة.
• بيانات اعتماد مسروقة تُستخدم لاستخراج البيانات المخزنة على نطاق واسع.
• موظف ينسخ ملفات من تطبيق مستضاف على AWS إلى تخزين سحابي شخصي أو تطبيق مراسلة أو وحدة USB.
• موظف يغادر المؤسسة ويؤرشف وثائق بكميات كبيرة قبل رحيله، وهو النمط الذي تراقبه برامج التهديدات الداخلية.

تعرض لوحة تحكم Anexet خدمات التخزين السحابي مثل Dropbox وOneDrive وGoogle Drive، فيستطيع المسؤول ضبط قواعد الوصول والتدقيق والنسخ الظلي لكل منها.

تعمل قواعد المحتوى بالمبدأ نفسه. يمكن لشرط حظر HTTP أن يفحص النص بحثا عن أرقام البطاقات المصرفية أو عن تعبير نمطي، وهذا هو الحظر القائم على المحتوى عمليا.

1 / 2

• 
• 

تُبنى تغطية البيانات المرتبطة بـ AWS بالترتيب نفسه لأي برنامج DLP: تحديد ما يجب أن يبقى داخل المؤسسة، ثم ضبط القواعد، ثم مراجعة الأدلة.

1. 1

   جرد البيانات المستضافة في AWS

   حدد الحاويات وقواعد البيانات والتطبيقات التي تحتفظ ببيانات لا يجب أن تغادر المؤسسة، ومن يستخدمها.

2. 2

   تصنيف ما له أهمية

   ضع علامات على البيانات حسب حساسيتها، حتى تفرّق السياسة بين تصدير روتيني وتسريب.

3. 3

   تحديد القواعد على جانب المستخدم

   اختر القنوات التي تراقبها وتحظرها، مبتدئا بالتخزين السحابي وتطبيقات المراسلة والوسائط القابلة للإزالة.

4. 4

   مراجعة سجل التدقيق

   راجع الأحداث المسجلة كل أسبوع، وعدّل القواعد التي تحظر العمل المشروع.

ابدأ بالبيانات التي يكون تسربها أشد ضررا، ثم بالقنوات التي يستخدمها الناس فعلا لنقلها. القواعد التي تُكتب لكل الملفات دفعة واحدة تنتهي بحظر العمل العادي، ثم يتم تعطيلها.

للاطلاع على جانب نقاط النهاية من هذه التغطية، راجع Anexet DLP.

للمزيد من القراءة: كيف تشتري نظام DLP؟.