Qué significa AWS DLP
AWS DLP es la aplicación de prácticas de prevención de pérdida de datos a la información que vive o se mueve dentro de Amazon Web Services. Es una parte específica de la plataforma dentro de la disciplina más amplia de DLP en la nube, así que aplican las mismas preguntas: qué es sensible, dónde está y cómo sale.
El error más común es tratar a AWS como un solo lugar. El almacenamiento, el procesamiento y las transferencias son cosas distintas, y un control que cubre una rara vez cubre las demás.
Dónde están los datos en AWS
Los tres estados de los datos requieren controles distintos. En datos en reposo, la protección empieza por encontrar dónde están los datos sensibles, clasificarlos y limitar quién puede acceder a ellos. Los datos en uso son el estado que más se pasa por alto, porque viven en las computadoras de las personas y no en la consola de la nube.
Cada estado tiene su propia exposición, así que una política escrita para uno no cubre a los demás.
| Estado | Qué cubre |
|---|---|
| Datos en reposo | Objetos en buckets de S3, volúmenes de EC2, bases de datos administradas, snapshots, respaldos |
| Datos en tránsito | Tráfico entre cargas de trabajo en la nube y el exterior: llamadas de API, replicación, cargas de archivos |
| Datos en uso | Datos que manejan personas en escritorios en la nube o en estaciones de trabajo corporativas |
Responsabilidad compartida
Según el modelo de responsabilidad compartida de AWS, AWS protege la infraestructura. El cliente sigue siendo responsable de los datos, los derechos de acceso y la configuración.
La mayoría de los incidentes de exposición de datos en AWS se originan del lado del cliente: almacenamiento con lectura pública, credenciales con permisos excesivos o usuarios que mueven datos a lugares no aprobados. Ese último caso es el que los controles nativos ven menos, por eso las fugas de datos necesitan controles que lleguen más allá de la consola de la nube.
Dónde ocurre la inspección
Las organizaciones suelen combinar tres modelos. Las capacidades nativas de AWS gobiernan el almacenamiento, la inspección de red vigila el tráfico saliente y el DLP en endpoints lee los archivos en la estación donde las personas los usan.
La inspección de red es sólida con el tráfico saliente, pero no ve las transferencias cifradas, y la inspección en el endpoint requiere un agente en cada equipo. Ninguna reemplaza a la otra.
| Capacidad | Controles nativos de AWS | Inspección de red | Inspección en el endpoint |
|---|---|---|---|
| Gobierna el acceso y la configuración de los buckets | |||
| Inspecciona el tráfico saliente de la red | |||
| Lee el contenido del archivo antes del cifrado | |||
| Ve el uso de USB, impresión y portapapeles |
Escenarios típicos
Los escenarios siguientes combinan una mala configuración en la nube con transferencias que hacen los usuarios. Cada uno es una forma de exfiltración de datos, sea intencional o no. Solo los casos del lado del usuario llegan a la estación de trabajo, así que los dos primeros necesitan controles en la nube.
- Un bucket de S3 mal configurado y dejado con lectura pública.
- Credenciales robadas que se usan para extraer datos almacenados a gran escala.
- Un empleado que copia archivos de una aplicación alojada en AWS a almacenamiento personal en la nube, a un mensajero o a una memoria USB.
- Un empleado que se va y archiva en masa documentos antes de salir, el patrón que vigilan los programas de amenazas internas.
Cómo se ve en Anexet
La consola de Anexet muestra servicios de almacenamiento en la nube como Dropbox, OneDrive y Google Drive, para que el administrador defina reglas de acceso, auditoría y copia sombra para cada uno.
Las reglas de contenido funcionan con el mismo principio. La condición de bloqueo HTTP puede revisar un texto en busca de números de tarjeta bancaria o de una expresión regular, y eso es, en la práctica, el bloqueo según el contenido.
1 / 2
Cómo montar la cobertura
La cobertura de los datos ligados a AWS se construye con el mismo orden que cualquier programa de DLP: definir qué debe quedarse adentro, configurar las reglas y luego revisar la evidencia.
- 1
Listar los datos alojados en AWS
Identifique qué buckets, bases de datos y aplicaciones guardan datos que no pueden salir, y quién los usa.
- 2
Clasificar lo que importa
Marque los datos por sensibilidad, para que la política distinga una exportación rutinaria de una fuga.
- 3
Definir reglas del lado del usuario
Elija qué canales vigilar y bloquear, empezando por el almacenamiento en la nube, los mensajeros y los medios extraíbles.
- 4
Revisar el registro de auditoría
Revise cada semana los eventos registrados y ajuste las reglas que bloquean trabajo legítimo.
Por dónde empezar
Empiece por los datos que más daño harían si salieran, y luego por los canales que las personas usan de verdad para moverlos. Las reglas escritas para cada archivo a la vez terminan bloqueando el trabajo normal y acaban desactivadas.
Para el lado de endpoints de esta cobertura, vea Anexet DLP.
Lectura recomendada: ¿Cómo comprar un sistema DLP?.
Muchas fugas en AWS empiezan en una laptop, con una carga de archivo que parecía normal.
Anexet TeamCómo lo resuelve Anexet
Anexet no escanea la infraestructura de AWS. No tiene un módulo que lea buckets de S3 ni volúmenes de EC2, y no se despliega dentro de AWS. Su cobertura de los datos relacionados con AWS viene de las estaciones de trabajo donde las personas mueven esos datos, con el servidor central en las instalaciones del cliente.
La cobertura en el endpoint complementa, y no reemplaza, los controles nativos de AWS para datos en reposo: las políticas de bucket y la gestión de configuración gobiernan el almacenamiento, mientras que el endpoint gobierna las transferencias que hacen los usuarios y que esos controles nunca ven.
Visibilidad en el punto de uso. El agente de Anexet inspecciona el contenido en la estación de trabajo antes de cifrarlo para su envío: cargas a versiones web de servicios de nube, correo, mensajeros, dispositivos extraíbles, impresión y portapapeles.
Detección basada en contenido. Las transferencias se comparan con tesauros de seguridad (diccionarios), bancos de hash para coincidencias exactas de archivos, huellas digitales y condiciones de etiquetas de sensibilidad, así que una transferencia se juzga por lo que contiene.
Aplicación de bloqueos. Las reglas pueden bloquear la transferencia, enviar el elemento a cuarentena para revisión, registrarlo o emitir una alerta, según la gravedad.
Registro de auditoría. Cada evento se guarda con usuario, hora, canal, clasificación del contenido y acción tomada.
Procesamiento local. Las bases de clasificación, el contenido capturado y los registros permanecen dentro de la infraestructura de la organización.
Anexet DLP
Más información