Che cos'è AWS DLP
AWS DLP è l'applicazione delle pratiche di prevenzione della perdita di dati ai dati che risiedono o transitano in Amazon Web Services. È una parte specifica della piattaforma all'interno della disciplina più ampia del DLP cloud, quindi valgono le stesse domande: cosa è sensibile, dove si trova e come esce.
L'errore più comune è trattare AWS come un unico luogo. Archiviazione, elaborazione e trasferimenti sono cose separate, e un controllo che copre l'una raramente copre le altre.
Dove si trovano i dati in AWS
I tre stati dei dati richiedono controlli diversi. Per i dati a riposo, la protezione inizia individuando dove si trovano i dati sensibili, classificandoli e limitando chi può raggiungerli. I dati in uso sono lo stato più spesso trascurato, perché si trovano sui computer delle persone e non nella console del cloud.
Ogni stato ha una propria esposizione, quindi una policy scritta per uno non copre gli altri.
| Stato | Cosa copre |
|---|---|
| Dati a riposo | Oggetti nei bucket S3, volumi EC2, database gestiti, snapshot, backup |
| Dati in transito | Traffico tra carichi di lavoro nel cloud e il mondo esterno: chiamate API, replica, caricamenti |
| Dati in uso | Dati gestiti dalle persone su desktop cloud o postazioni aziendali |
Responsabilità condivisa
Secondo il modello di responsabilità condivisa di AWS, AWS protegge l'infrastruttura. Il cliente resta responsabile dei dati, dei diritti di accesso e della configurazione.
La maggior parte degli incidenti di esposizione dei dati in AWS nasce dal lato del cliente: archiviazione lasciata leggibile pubblicamente, credenziali troppo permissive o utenti che spostano i dati verso luoghi non approvati. Quest'ultimo caso è quello che i controlli nativi vedono di meno, per questo le fughe di dati richiedono controlli che vadano oltre la console del cloud.
Dove avviene l'ispezione
Le organizzazioni spesso combinano tre modelli. Le funzioni native di AWS governano l'archiviazione, l'ispezione di rete osserva il traffico in uscita e la prevenzione della perdita di dati sugli endpoint legge i file sulla postazione in cui le persone li usano.
L'ispezione di rete è efficace sul traffico in uscita ma non vede i trasferimenti cifrati, mentre l'ispezione sull'endpoint richiede un agente su ogni macchina. Nessuna delle due sostituisce l'altra.
| Capacità | Controlli nativi AWS | Ispezione di rete | Ispezione sull'endpoint |
|---|---|---|---|
| Governa l'accesso ai bucket e la loro configurazione | |||
| Ispeziona il traffico in uscita dalla rete | |||
| Legge il contenuto del file prima della cifratura | |||
| Vede l'uso di USB, stampa e appunti |
Scenari tipici
Gli scenari seguenti combinano una configurazione errata lato cloud con trasferimenti fatti dagli utenti. Ciascuno è una forma di esfiltrazione di dati, intenzionale o no. Solo i casi lato utente arrivano alla postazione, quindi i primi due richiedono controlli lato cloud.
- Un bucket S3 configurato male e lasciato leggibile pubblicamente.
- Credenziali rubate usate per estrarre dati archiviati su larga scala.
- Un dipendente che copia file da un'applicazione ospitata su AWS verso un archivio cloud personale, un servizio di messaggistica o una chiavetta USB.
- Un dipendente in uscita che archivia in blocco documenti prima di andarsene, lo schema che i programmi contro le minacce interne osservano.
Come appare in Anexet
La console Anexet elenca servizi di archiviazione cloud come Dropbox, OneDrive e Google Drive, così l'amministratore può impostare regole di accesso, audit e copia ombra per ciascuno.
Le regole sul contenuto funzionano allo stesso modo. La condizione di blocco HTTP può verificare un testo alla ricerca di numeri di carte bancarie o di un'espressione regolare, e questo è in pratica il blocco basato sul contenuto.
1 / 2
Impostare la copertura
La copertura dei dati legati ad AWS segue lo stesso ordine di qualsiasi programma DLP: definire cosa deve restare dentro, impostare le regole e poi verificare le evidenze.
- 1
Censire i dati ospitati in AWS
Individuate quali bucket, database e applicazioni contengono dati che non devono uscire, e chi li usa.
- 2
Classificare ciò che conta
Etichettate i dati per sensibilità, così la policy distingue un'esportazione di routine da una fuga.
- 3
Definire le regole lato utente
Scegliete quali canali monitorare e bloccare, partendo dall'archiviazione cloud, dalla messaggistica e dai supporti rimovibili.
- 4
Rivedere il registro di audit
Controllate ogni settimana gli eventi registrati e tarate le regole che bloccano il lavoro legittimo.
Da dove cominciare
Partite dai dati che farebbero più danno se uscissero, poi dai canali che le persone usano davvero per spostarli. Le regole scritte per ogni file in una volta sola finiscono per bloccare il lavoro ordinario e vengono disattivate.
Per il lato endpoint di questa copertura, vedi Anexet DLP.
Per approfondire: Come acquistare un sistema DLP?.
Molte fughe da AWS iniziano da un portatile, con un caricamento che sembrava normale.
Anexet TeamCome Anexet affronta questo
Anexet non analizza l'infrastruttura AWS. Non ha un modulo che legge bucket S3 o volumi EC2, e non si distribuisce in AWS. La sua copertura dei dati legati ad AWS deriva dalle postazioni in cui le persone spostano quei dati, con il server centrale mantenuto in sede.
La copertura sull'endpoint integra, senza sostituirli, i controlli nativi di AWS per i dati a riposo: le policy dei bucket e la gestione della configurazione governano l'archiviazione, mentre l'endpoint governa i trasferimenti avviati dagli utenti che quei controlli non vedono mai.
Visibilità nel punto d'uso. L'agente Anexet ispeziona il contenuto sulla postazione prima che venga cifrato per il trasporto: caricamenti verso le versioni web dei servizi di archiviazione cloud, e-mail, messaggistica, dispositivi rimovibili, stampa e appunti.
Rilevamento basato sul contenuto. I trasferimenti vengono confrontati con tesauri di sicurezza (dizionari), banche dati hash per corrispondenze esatte di file, impronte digitali e condizioni sulle etichette di sensibilità, quindi un trasferimento viene giudicato per ciò che contiene.
Applicazione dei blocchi. Le regole possono bloccare il trasferimento, mettere l'elemento in quarantena per una verifica, registrarlo o generare un avviso, in base alla gravità.
Registro di audit. Ogni evento viene registrato con utente, orario, canale, classificazione del contenuto e azione intrapresa.
Elaborazione in sede. Le basi di classificazione, i contenuti acquisiti e i log restano nell'infrastruttura dell'organizzazione.
Anexet DLP
Scopri di più