Τι σημαίνει το AWS DLP
Το AWS DLP είναι η εφαρμογή πρακτικών πρόληψης απώλειας δεδομένων σε δεδομένα που βρίσκονται ή διακινούνται μέσα στην Amazon Web Services. Είναι ένα κομμάτι της πλατφόρμας μέσα στον ευρύτερο κλάδο του DLP σε cloud, οπότε ισχύουν οι ίδιες ερωτήσεις: τι είναι ευαίσθητο, πού βρίσκεται και πώς φεύγει.
Το πιο συνηθισμένο λάθος είναι να αντιμετωπίζεται το AWS σαν ένας μόνο χώρος. Η αποθήκευση, η επεξεργασία και οι μεταφορές είναι ξεχωριστά πράγματα, και ένας έλεγχος που καλύπτει το ένα σπάνια καλύπτει τα υπόλοιπα.
Πού βρίσκονται τα δεδομένα στο AWS
Οι τρεις καταστάσεις των δεδομένων χρειάζονται διαφορετικούς ελέγχους. Για δεδομένα σε αποθήκευση, η προστασία ξεκινά με τον εντοπισμό του σημείου όπου βρίσκονται τα ευαίσθητα δεδομένα, την ταξινόμησή τους και τον περιορισμό της πρόσβασης. Τα δεδομένα σε χρήση είναι η κατάσταση που παραμελείται συχνότερα, γιατί βρίσκονται στους υπολογιστές των ανθρώπων και όχι στην κονσόλα του cloud.
Κάθε κατάσταση έχει τη δική της έκθεση, οπότε μια πολιτική γραμμένη για τη μία δεν καλύπτει τις άλλες.
| Κατάσταση | Τι καλύπτει |
|---|---|
| Δεδομένα σε αποθήκευση | Αντικείμενα σε buckets S3, τόμοι EC2, διαχειριζόμενες βάσεις, στιγμιότυπα, αντίγραφα ασφαλείας |
| Δεδομένα σε μετάδοση | Κίνηση μεταξύ φορτίων εργασίας στο cloud και του εξωτερικού κόσμου: κλήσεις API, αντιγραφή, μεταφορτώσεις |
| Δεδομένα σε χρήση | Δεδομένα που χειρίζονται άνθρωποι σε cloud desktops ή σε εταιρικούς σταθμούς εργασίας |
Κοινή ευθύνη
Σύμφωνα με το μοντέλο κοινής ευθύνης του AWS, το AWS προστατεύει την υποδομή. Ο πελάτης παραμένει υπεύθυνος για τα δεδομένα, τα δικαιώματα πρόσβασης και τις ρυθμίσεις.
Τα περισσότερα περιστατικά έκθεσης δεδομένων στο AWS προέρχονται από την πλευρά του πελάτη: αποθηκευτικός χώρος με δημόσια ανάγνωση, υπερβολικά ευρέα διαπιστευτήρια ή χρήστες που μεταφέρουν δεδομένα σε μη εγκεκριμένους προορισμούς. Η τελευταία περίπτωση είναι αυτή που οι εγγενείς έλεγχοι βλέπουν λιγότερο, γι' αυτό οι διαρροές δεδομένων χρειάζονται έλεγχους που φτάνουν πέρα από την κονσόλα του cloud.
Πού γίνεται η επιθεώρηση
Οι οργανισμοί συχνά συνδυάζουν τρία μοντέλα. Οι εγγενείς δυνατότητες του AWS διαχειρίζονται την αποθήκευση, η επιθεώρηση δικτύου παρακολουθεί την εξερχόμενη κίνηση, και το DLP σε τελικά σημεία διαβάζει τα αρχεία στον σταθμό εργασίας όπου τα χρησιμοποιούν οι άνθρωποι.
Η επιθεώρηση δικτύου είναι ισχυρή στην εξερχόμενη κίνηση, αλλά είναι τυφλή στις κρυπτογραφημένες μεταφορές, και η επιθεώρηση στο τελικό σημείο απαιτεί πράκτορα σε κάθε μηχάνημα. Το ένα δεν αντικαθιστά το άλλο.
| Δυνατότητα | Εγγενείς έλεγχοι AWS | Επιθεώρηση δικτύου | Επιθεώρηση τελικού σημείου |
|---|---|---|---|
| Διαχειρίζεται την πρόσβαση και τις ρυθμίσεις των buckets | |||
| Επιθεωρεί την εξερχόμενη κίνηση του δικτύου | |||
| Διαβάζει το περιεχόμενο του αρχείου πριν την κρυπτογράφηση | |||
| Βλέπει τη χρήση USB, εκτύπωσης και προχείρου |
Τυπικά σενάρια
Τα παρακάτω σενάρια συνδυάζουν λανθασμένη ρύθμιση στο cloud με μεταφορές που κάνουν οι χρήστες. Καθένα είναι μορφή εξαγωγής δεδομένων, είτε σκόπιμα είτε όχι. Μόνο οι περιπτώσεις από την πλευρά του χρήστη φτάνουν στον σταθμό εργασίας, οπότε τα δύο πρώτα χρειάζονται έλεγχους στο cloud.
- Ένα bucket S3 με λάθος ρύθμιση, αφημένο με δημόσια ανάγνωση.
- Κλεμμένα διαπιστευτήρια που χρησιμοποιούνται για εξαγωγή αποθηκευμένων δεδομένων σε μεγάλη κλίμακα.
- Ένας υπάλληλος που αντιγράφει αρχεία από εφαρμογή φιλοξενούμενη στο AWS σε προσωπικό αποθηκευτικό χώρο cloud, σε μέσο άμεσης ανταλλαγής μηνυμάτων ή σε μονάδα USB.
- Ένας εργαζόμενος που αποχωρεί και αρχειοθετεί μαζικά έγγραφα πριν φύγει, το μοτίβο που παρακολουθούν τα προγράμματα για εσωτερικές απειλές.
Πώς φαίνεται στο Anexet
Η κονσόλα του Anexet εμφανίζει υπηρεσίες αποθήκευσης στο cloud, όπως Dropbox, OneDrive και Google Drive, ώστε ο διαχειριστής να ορίζει κανόνες πρόσβασης, ελέγχου και σκιώδους αντιγράφου για καθεμία.
Οι κανόνες περιεχομένου λειτουργούν με την ίδια αρχή. Η συνθήκη αποκλεισμού HTTP μπορεί να ελέγξει ένα κείμενο για αριθμούς τραπεζικών καρτών ή για κανονική έκφραση, και αυτό είναι στην πράξη ο αποκλεισμός με βάση το περιεχόμενο.
1 / 2
Ρύθμιση της κάλυψης
Η κάλυψη των δεδομένων που σχετίζονται με το AWS χτίζεται με την ίδια σειρά με κάθε πρόγραμμα DLP: ορισμός του τι πρέπει να μείνει μέσα, ρύθμιση των κανόνων και έπειτα έλεγχος των αποδείξεων.
- 1
Καταγραφή των δεδομένων στο AWS
Προσδιορίστε ποια buckets, βάσεις και εφαρμογές κρατούν δεδομένα που δεν πρέπει να φύγουν, και ποιος τα χρησιμοποιεί.
- 2
Ταξινόμηση του σημαντικού
Σημειώστε τα δεδομένα ανάλογα με την ευαισθησία, ώστε η πολιτική να ξεχωρίζει μια συνηθισμένη εξαγωγή από διαρροή.
- 3
Ορισμός κανόνων για τον χρήστη
Επιλέξτε ποια κανάλια θα παρακολουθείτε και θα αποκλείετε, ξεκινώντας από το cloud, τις μηνυματικές εφαρμογές και τα αφαιρούμενα μέσα.
- 4
Έλεγχος του αρχείου ελέγχου
Ελέγχετε κάθε εβδομάδα τα καταγεγραμμένα συμβάντα και ρυθμίζετε τους κανόνες που μπλοκάρουν νόμιμη εργασία.
Από πού να ξεκινήσετε
Ξεκινήστε από τα δεδομένα που θα έβλαπταν περισσότερο αν έφευγαν, και μετά από τα κανάλια που πράγματι χρησιμοποιούν οι άνθρωποι για να τα μεταφέρουν. Κανόνες γραμμένοι για κάθε αρχείο ταυτόχρονα καταλήγουν να μπλοκάρουν τη συνηθισμένη εργασία και να απενεργοποιούνται.
Για την πλευρά των τελικών σημείων αυτής της κάλυψης, δείτε το Anexet DLP.
Περισσότερα: Πώς να αγοράσετε σύστημα DLP;.
Πολλές διαρροές από το AWS ξεκινούν από έναν φορητό υπολογιστή, με μια μεταφόρτωση που έμοιαζε συνηθισμένη.
Anexet TeamΠώς το αντιμετωπίζει η Anexet
Το Anexet δεν σαρώνει την υποδομή του AWS. Δεν διαθέτει μονάδα που διαβάζει buckets S3 ή τόμους EC2, και δεν αναπτύσσεται μέσα στο AWS. Η κάλυψή του για δεδομένα που σχετίζονται με το AWS προέρχεται από τους σταθμούς εργασίας όπου οι άνθρωποι μετακινούν αυτά τα δεδομένα, με τον κεντρικό διακομιστή στις εγκαταστάσεις του οργανισμού.
Η κάλυψη στο τελικό σημείο συμπληρώνει, και δεν αντικαθιστά, τους εγγενείς ελέγχους του AWS για δεδομένα σε αποθήκευση: οι πολιτικές των buckets και η διαχείριση ρυθμίσεων διέπουν την αποθήκευση, ενώ το τελικό σημείο διέπει τις μεταφορές που κάνουν οι χρήστες και που αυτοί οι έλεγχοι δεν βλέπουν ποτέ.
Ορατότητα στο σημείο χρήσης. Ο πράκτορας του Anexet επιθεωρεί το περιεχόμενο στον σταθμό εργασίας πριν κρυπτογραφηθεί για μετάδοση: μεταφορτώσεις σε web εκδόσεις υπηρεσιών cloud, email, μηνυματικές εφαρμογές, αφαιρούμενες συσκευές, εκτύπωση και πρόχειρο.
Ανίχνευση βάσει περιεχομένου. Οι μεταφορές ελέγχονται έναντι λεξικών ασφαλείας (θησαυρών), τραπεζών κατακερματισμού για ακριβείς αντιστοιχίες αρχείων, ψηφιακών αποτυπωμάτων και συνθηκών ετικετών ευαισθησίας, οπότε μια μεταφορά κρίνεται από το περιεχόμενό της.
Επιβολή αποκλεισμού. Οι κανόνες μπορούν να αποκλείσουν τη μεταφορά, να στείλουν το στοιχείο σε καραντίνα για έλεγχο, να το καταγράψουν ή να εκδώσουν ειδοποίηση, ανάλογα με τη σοβαρότητα.
Ίχνος ελέγχου. Κάθε συμβάν καταγράφεται με χρήστη, ώρα, κανάλι, ταξινόμηση περιεχομένου και ενέργεια που ελήφθη.
Επεξεργασία στις εγκαταστάσεις. Οι βάσεις ταξινόμησης, το καταγεγραμμένο περιεχόμενο και τα αρχεία καταγραφής παραμένουν μέσα στην υποδομή του οργανισμού.
Anexet DLP
Μάθετε περισσότερα