Ce qu'est AWS DLP
AWS DLP est l'application des pratiques de prévention de la perte de données aux données stockées ou transférées dans Amazon Web Services. C'est une partie propre à la plateforme du domaine plus large du DLP cloud, donc les mêmes questions s'appliquent : qu'est-ce qui est sensible, où se trouve-t-il et comment en sort-il ?
L'erreur la plus courante consiste à traiter AWS comme un lieu unique. Le stockage, le traitement et les transferts sont distincts, et un contrôle qui couvre l'un ne couvre que rarement les autres.
Où se trouvent les données AWS
Les trois états des données demandent des contrôles différents. Pour les données au repos, la protection commence par repérer où se trouvent les données sensibles, les classer et limiter qui peut y accéder. Les données en cours d'utilisation sont l'état le plus souvent oublié, car elles se trouvent sur les postes des personnes et non dans la console cloud.
Chaque état a sa propre exposition, donc une politique écrite pour l'un ne couvre pas les autres.
| État | Ce qu'il couvre |
|---|---|
| Données au repos | Objets dans les buckets S3, volumes EC2, bases de données gérées, snapshots, sauvegardes |
| Données en transit | Trafic entre charges de travail cloud et l'extérieur : appels d'API, réplication, envois de fichiers |
| Données en cours d'utilisation | Données manipulées par des personnes sur des bureaux cloud ou des postes d'entreprise |
Responsabilité partagée
Selon le modèle de responsabilité partagée d'AWS, AWS sécurise l'infrastructure. Le client reste responsable des données, des droits d'accès et de la configuration.
La plupart des incidents d'exposition de données sur AWS viennent du côté du client : un stockage laissé en lecture publique, des identifiants trop permissifs ou des utilisateurs qui déplacent des données vers des lieux non approuvés. Ce dernier cas est celui que les contrôles natifs voient le moins, c'est pourquoi les fuites de données exigent des contrôles qui vont au-delà de la console cloud.
Où se fait l'inspection
Les organisations combinent souvent trois modèles. Les fonctions natives d'AWS gouvernent le stockage, l'inspection réseau surveille le trafic sortant, et la prévention des pertes de données sur les endpoints lit les fichiers sur le poste où les personnes les utilisent.
L'inspection réseau est efficace sur le trafic sortant, mais elle est aveugle aux transferts chiffrés, et l'inspection sur endpoint exige un agent sur chaque machine. Aucune des deux ne remplace l'autre.
| Capacité | Contrôles natifs AWS | Inspection réseau | Inspection sur endpoint |
|---|---|---|---|
| Gouverne l'accès aux buckets et leur configuration | |||
| Inspecte le trafic sortant du réseau | |||
| Lit le contenu du fichier avant chiffrement | |||
| Voit l'usage de l'USB, de l'impression et du presse-papiers |
Scénarios typiques
Les scénarios ci-dessous combinent une mauvaise configuration côté cloud et des transferts effectués par les utilisateurs. Chacun est une forme d'exfiltration de données, intentionnelle ou non. Seuls les cas côté utilisateur atteignent le poste, donc les deux premiers exigent des contrôles côté cloud.
- Un bucket S3 mal configuré, laissé en lecture publique.
- Des identifiants volés servant à extraire des données stockées à grande échelle.
- Un employé qui copie des fichiers d'une application hébergée sur AWS vers un stockage cloud personnel, une messagerie instantanée ou une clé USB.
- Un collaborateur qui part et archive en masse des documents avant son départ, un schéma que surveillent les programmes contre les menaces internes.
À quoi cela ressemble dans Anexet
La console Anexet liste des services de stockage cloud comme Dropbox, OneDrive et Google Drive, afin que l'administrateur définisse des règles d'accès, d'audit et de copie fantôme pour chacun.
Les règles de contenu fonctionnent sur le même principe. La condition de blocage HTTP peut rechercher dans un texte des numéros de carte bancaire ou une expression régulière, ce qui correspond en pratique au blocage fondé sur le contenu.
1 / 2
Mettre en place la couverture
La couverture des données liées à AWS suit le même ordre que tout programme DLP : définir ce qui doit rester à l'intérieur, configurer les règles, puis examiner les preuves.
- 1
Recenser les données hébergées sur AWS
Identifiez les buckets, bases de données et applications qui contiennent des données qui ne doivent pas sortir, et qui les utilise.
- 2
Classer ce qui compte
Qualifiez les données selon leur sensibilité, pour que la politique distingue un export courant d'une fuite.
- 3
Définir les règles côté utilisateur
Choisissez les canaux à surveiller et à bloquer, en commençant par le stockage cloud, les messageries et les supports amovibles.
- 4
Examiner la piste d'audit
Vérifiez chaque semaine les événements enregistrés et ajustez les règles qui bloquent un travail légitime.
Par où commencer
Commencez par les données dont la fuite ferait le plus de dégâts, puis par les canaux que les personnes utilisent réellement pour les déplacer. Des règles écrites pour chaque fichier à la fois finissent par bloquer le travail ordinaire, et elles sont désactivées.
Pour le volet endpoint de cette couverture, voir Anexet DLP.
Pour aller plus loin : Comment acheter un système DLP ?.
Beaucoup de fuites sur AWS commencent sur un ordinateur portable, avec un envoi de fichier qui semblait anodin.
Anexet TeamComment Anexet traite ce sujet
Anexet n'analyse pas l'infrastructure AWS. Il n'a aucun module qui lit les buckets S3 ou les volumes EC2, et il ne se déploie pas dans AWS. Sa couverture des données liées à AWS vient des postes où les personnes déplacent ces données, le serveur central restant sur site.
La couverture sur endpoint complète les contrôles natifs d'AWS pour les données au repos, sans les remplacer : les politiques de bucket et la gestion de configuration gouvernent le stockage, tandis que l'endpoint gouverne les transferts déclenchés par les utilisateurs que ces contrôles ne voient jamais.
Visibilité au point d'usage. L'agent Anexet inspecte le contenu sur le poste avant son chiffrement pour le transport : envois vers les versions web de services de stockage cloud, e-mails, messageries, périphériques amovibles, impression et presse-papiers.
Détection fondée sur le contenu. Les transferts sont comparés à des thésaurus de sécurité (dictionnaires), à des banques de hachage pour les correspondances exactes de fichiers, à des empreintes numériques et aux conditions d'étiquettes de sensibilité, si bien qu'un transfert est jugé sur son contenu.
Application des blocages. Les règles peuvent bloquer le transfert, placer l'élément en quarantaine pour examen, le journaliser ou déclencher une alerte, selon la gravité.
Piste d'audit. Chaque événement est enregistré avec l'utilisateur, l'heure, le canal, la classification du contenu et l'action effectuée.
Traitement sur site. Les bases de classification, les contenus capturés et les journaux restent dans l'infrastructure propre de l'organisation.
Anexet DLP
En savoir plus