Was AWS DLP bedeutet
AWS DLP ist die Anwendung von Data-Loss-Prevention-Praktiken auf Daten, die in Amazon Web Services liegen oder dort übertragen werden. Es ist ein plattformspezifischer Teil des umfassenderen Feldes Cloud-DLP, daher gelten dieselben Fragen: Was ist sensibel, wo liegt es und wie verlässt es das Unternehmen?
Der häufigste Fehler ist, AWS als einen einzigen Ort zu behandeln. Speicherung, Verarbeitung und Übertragungen sind getrennte Vorgänge, und eine Kontrolle, die einen davon abdeckt, deckt selten die anderen ab.
Wo AWS-Daten liegen
Die drei Zustände von Daten brauchen unterschiedliche Kontrollen. Bei ruhenden Daten beginnt der Schutz damit, zu finden, wo sensible Daten liegen, sie zu klassifizieren und den Zugriff zu begrenzen. Daten in Verwendung werden am häufigsten übersehen, weil sie auf den Rechnern der Mitarbeitenden liegen und nicht in der Cloud-Konsole.
Jeder Zustand hat eine eigene Exposition, deshalb deckt eine für einen Zustand geschriebene Richtlinie die übrigen nicht ab.
| Zustand | Was er umfasst |
|---|---|
| Ruhende Daten | Objekte in S3-Buckets, EC2-Volumes, verwaltete Datenbanken, Snapshots, Backups |
| Daten in Übertragung | Verkehr zwischen Cloud-Workloads und der Außenwelt: API-Aufrufe, Replikation, Uploads |
| Daten in Verwendung | Daten, die Personen auf Cloud-Desktops oder Firmen-Arbeitsplätzen bearbeiten |
Geteilte Verantwortung
Nach dem Modell der geteilten Verantwortung von AWS sichert AWS die Infrastruktur. Der Kunde bleibt für Daten, Zugriffsrechte und Konfiguration verantwortlich.
Die meisten Vorfälle mit Datenexposition bei AWS gehen auf die Seite des Kunden zurück: öffentlich lesbarer Speicher, zu weitreichende Zugangsdaten oder Nutzende, die Daten an nicht freigegebene Orte verschieben. Der letzte Fall ist derjenige, den native Kontrollen am wenigsten sehen. Deshalb brauchen Datenlecks Kontrollen, die über die Cloud-Konsole hinausreichen.
Wo die Prüfung stattfindet
Unternehmen kombinieren häufig drei Modelle. Native AWS-Funktionen steuern den Speicher, die Netzwerkprüfung beobachtet den ausgehenden Verkehr, und der Endpoint-Data-Loss-Prevention-Schutz liest die Dateien auf dem Arbeitsplatz, an dem Menschen sie verwenden.
Die Netzwerkprüfung ist beim ausgehenden Verkehr stark, bleibt aber bei verschlüsselten Übertragungen blind, und die Endpunktprüfung braucht auf jedem Gerät einen Agenten. Keines der beiden ersetzt das andere.
| Fähigkeit | Native AWS-Kontrollen | Netzwerkprüfung | Endpunktprüfung |
|---|---|---|---|
| Steuert Bucket-Zugriff und Konfiguration | |||
| Prüft den ausgehenden Verkehr im Netzwerk | |||
| Liest den Dateiinhalt vor der Verschlüsselung | |||
| Sieht USB-, Druck- und Zwischenablage-Nutzung |
Typische Szenarien
Die folgenden Szenarien verbinden eine Fehlkonfiguration auf Cloud-Seite mit Übertragungen durch Nutzende. Jedes davon ist eine Form von Datenexfiltration, ob absichtlich oder nicht. Nur die Fälle auf Nutzerseite erreichen den Arbeitsplatz, deshalb brauchen die ersten beiden Kontrollen auf Cloud-Seite.
- Ein falsch konfigurierter S3-Bucket, der öffentlich lesbar ist.
- Gestohlene Zugangsdaten, mit denen gespeicherte Daten in großem Umfang abgezogen werden.
- Ein Mitarbeitender kopiert Dateien aus einer bei AWS gehosteten Anwendung in einen persönlichen Cloud-Speicher, einen Messenger oder auf einen USB-Stick.
- Eine ausscheidende Person archiviert vor dem Weggang massenhaft Dokumente, das Muster, auf das Programme gegen Insider-Bedrohungen achten.
So sieht es in Anexet aus
Die Anexet-Konsole listet Cloud-Speicherdienste wie Dropbox, OneDrive und Google Drive auf, sodass Administratoren für jeden Dienst Zugriffs-, Audit- und Schattenkopie-Regeln festlegen können.
Inhaltsregeln funktionieren nach demselben Prinzip. Die HTTP-Sperrbedingung kann einen Text auf Bankkartennummern oder einen regulären Ausdruck prüfen. Praktisch ist das inhaltsbasiertes Sperren.
1 / 2
Abdeckung einrichten
Die Abdeckung von AWS-bezogenen Daten folgt derselben Reihenfolge wie jedes DLP-Programm: festlegen, was im Unternehmen bleiben muss, Regeln setzen und danach die Nachweise prüfen.
- 1
Bei AWS gehostete Daten erfassen
Ermitteln Sie, welche Buckets, Datenbanken und Anwendungen Daten enthalten, die nicht abfließen dürfen, und wer sie nutzt.
- 2
Wichtiges klassifizieren
Kennzeichnen Sie Daten nach Sensibilität, damit die Richtlinie einen Routine-Export von einem Leck unterscheiden kann.
- 3
Regeln auf Nutzerseite festlegen
Wählen Sie die Kanäle, die überwacht und gesperrt werden, beginnend mit Cloud-Speicher, Messengern und Wechseldatenträgern.
- 4
Audit-Protokoll prüfen
Prüfen Sie die erfassten Ereignisse jede Woche und passen Sie Regeln an, die legitime Arbeit blockieren.
Wo man anfängt
Beginnen Sie mit den Daten, deren Abfluss den größten Schaden anrichten würde, und dann mit den Kanälen, über die Menschen sie tatsächlich bewegen. Regeln, die gleichzeitig für jede Datei gelten, blockieren am Ende normale Arbeit und werden abgeschaltet.
Zur Endpunktseite dieser Abdeckung siehe Anexet DLP.
Weiterlesen: Wie kauft man ein DLP-System?.
Viele Datenlecks bei AWS beginnen auf einem Laptop, mit einem Upload, der harmlos aussah.
Anexet TeamWie Anexet das löst
Anexet prüft die AWS-Infrastruktur nicht. Es gibt kein Modul, das S3-Buckets oder EC2-Volumes liest, und es wird nicht in AWS bereitgestellt. Die Abdeckung von AWS-bezogenen Daten entsteht auf den Arbeitsplätzen, an denen Menschen diese Daten bewegen, während der zentrale Server beim Kunden bleibt.
Die Endpunktabdeckung ergänzt die nativen AWS-Kontrollen für ruhende Daten, ersetzt sie aber nicht: Bucket-Richtlinien und Konfigurationsmanagement steuern den Speicher, der Endpunkt steuert die von Nutzenden ausgelösten Übertragungen, die diese Kontrollen nie sehen.
Sichtbarkeit am Ort der Nutzung. Der Anexet-Agent prüft den Inhalt auf dem Arbeitsplatz, bevor er für die Übertragung verschlüsselt wird: Uploads in Web-Versionen von Cloud-Speicherdiensten, E-Mails, Messenger, Wechseldatenträger, Drucken und Zwischenablage.
Inhaltsbasierte Erkennung. Übertragungen werden gegen Sicherheitsthesauri (Wörterbücher), Hash-Banken für exakte Dateitreffer, digitale Fingerabdrücke und Bedingungen für Vertraulichkeitskennzeichnungen geprüft, sodass eine Übertragung nach ihrem Inhalt beurteilt wird.
Durchsetzung von Sperren. Regeln können die Übertragung blockieren, das Element zur Prüfung in Quarantäne verschieben, es protokollieren oder einen Alarm auslösen, je nach Schweregrad.
Audit-Protokoll. Jedes Ereignis wird mit Benutzer, Zeit, Kanal, Inhaltsklassifizierung und ergriffener Maßnahme erfasst.
Verarbeitung vor Ort. Klassifikationsdatenbanken, erfasste Inhalte und Protokolle bleiben in der eigenen Infrastruktur der Organisation.
Anexet DLP
Mehr erfahren