Co oznacza AWS DLP
AWS DLP to stosowanie praktyk ochrony danych przed utratą do danych, które znajdują się w Amazon Web Services lub przez nie przepływają. To część szerszej dziedziny cloud DLP, więc obowiązują te same pytania: co jest wrażliwe, gdzie to leży i jak wycieka.
Najczęstszy błąd to traktowanie AWS jak jednego miejsca. Przechowywanie, przetwarzanie i transfery to osobne obszary, a kontrola obejmująca jeden z nich rzadko obejmuje pozostałe.
Gdzie leżą dane w AWS
Trzy stany danych wymagają różnych kontroli. Dla danych w spoczynku ochrona zaczyna się od znalezienia miejsc, w których leżą dane wrażliwe, ich klasyfikacji i ograniczenia dostępu. Dane w użyciu są najczęściej pomijane, bo leżą na komputerach ludzi, a nie w konsoli chmury.
Każdy stan ma własną ekspozycję, więc polityka napisana dla jednego nie obejmuje pozostałych.
| Stan | Co obejmuje |
|---|---|
| Dane w spoczynku | Obiekty w bucketach S3, woluminy EC2, zarządzane bazy danych, migawki, kopie zapasowe |
| Dane w ruchu | Ruch między obciążeniami w chmurze a światem zewnętrznym: wywołania API, replikacja, przesyłanie plików |
| Dane w użyciu | Dane obsługiwane przez ludzi na pulpitach w chmurze lub firmowych stacjach roboczych |
Odpowiedzialność współdzielona
Zgodnie z modelem odpowiedzialności współdzielonej AWS, AWS zabezpiecza infrastrukturę. Klient pozostaje odpowiedzialny za dane, prawa dostępu i konfigurację.
Większość incydentów z ujawnieniem danych w AWS wynika ze strony klienta: magazyn pozostawiony z publicznym odczytem, zbyt szerokie poświadczenia albo użytkownicy przenoszący dane do niezatwierdzonych miejsc. Ten ostatni przypadek natywne kontrole widzą najsłabiej, dlatego wycieki danych wymagają kontroli sięgających poza konsolę chmury.
Gdzie zachodzi inspekcja
Organizacje często łączą trzy modele. Natywne funkcje AWS zarządzają magazynem, inspekcja sieciowa sprawdza ruch wychodzący, a ochrona danych na punktach końcowych czyta pliki na stacji roboczej, na której ludzie z nich korzystają.
Inspekcja sieciowa dobrze działa na ruchu wychodzącym, ale nie widzi transferów szyfrowanych, a inspekcja punktowa wymaga agenta na każdej maszynie. Żadna z nich nie zastępuje drugiej.
| Możliwość | Natywne kontrole AWS | Inspekcja sieciowa | Inspekcja punktowa |
|---|---|---|---|
| Zarządza dostępem do bucketów i ich konfiguracją | |||
| Sprawdza ruch wychodzący z sieci | |||
| Czyta zawartość plików przed szyfrowaniem | |||
| Widzi użycie USB, drukowania i schowka |
Typowe scenariusze
Poniższe scenariusze łączą błędną konfigurację po stronie chmury z transferami wykonywanymi przez użytkowników. Każdy z nich jest formą eksfiltracji danych, czy zamierzonej, czy nie. Tylko przypadki po stronie użytkownika docierają do stacji roboczej, więc dwa pierwsze wymagają kontroli po stronie chmury.
- Źle skonfigurowany bucket S3 pozostawiony z publicznym odczytem.
- Skradzione poświadczenia użyte do masowego wyciągania przechowywanych danych.
- Pracownik kopiujący pliki z aplikacji hostowanej w AWS do prywatnej chmury, komunikatora lub pamięci USB.
- Odchodzący pracownik masowo archiwizujący dokumenty przed wyjściem, wzorzec, który obserwują programy zagrożeń wewnętrznych.
Jak to wygląda w Anexet
Konsola Anexet wyświetla usługi chmurowe takie jak Dropbox, OneDrive i Google Drive, dzięki czemu administrator może ustawić reguły dostępu, audytu i kopii cieniowej dla każdej z nich.
Reguły treści działają na tej samej zasadzie. Warunek blokowania HTTP może sprawdzić tekst pod kątem numerów kart bankowych lub wyrażenia regularnego, czyli w praktyce blokowanie z uwzględnieniem treści.
1 / 2
Konfiguracja pokrycia
Pokrycie danych związanych z AWS buduje się w tej samej kolejności co każdy program DLP: określić, co musi zostać w środku, ustawić reguły, a potem przejrzeć dowody.
- 1
Spisać dane hostowane w AWS
Ustal, które buckety, bazy i aplikacje przechowują dane, których nie wolno wynosić, oraz kto z nich korzysta.
- 2
Sklasyfikować to, co ważne
Oznacz dane według wrażliwości, aby polityka odróżniała zwykły eksport od wycieku.
- 3
Ustawić reguły po stronie użytkownika
Wybierz kanały do monitorowania i blokowania, zaczynając od chmury, komunikatorów i nośników wymiennych.
- 4
Przeglądać ślad audytu
Sprawdzaj zarejestrowane zdarzenia co tydzień i koryguj reguły blokujące uczciwą pracę.
Od czego zacząć
Zacznij od danych, których wyciek zaszkodziłby najbardziej, a potem od kanałów, którymi ludzie faktycznie je przenoszą. Reguły napisane dla każdego pliku naraz blokują zwykłą pracę i zostają wyłączone.
Stronę punktową tego pokrycia opisuje Anexet DLP.
Czytaj dalej: Jak kupić system DLP?.
Wiele wycieków z AWS zaczyna się na laptopie, od jednego przesłania pliku, które wyglądało zwyczajnie.
Anexet TeamJak rozwiązuje to Anexet
Anexet nie skanuje infrastruktury AWS. Nie ma modułu, który czyta buckety S3 ani woluminy EC2, i nie wdraża się w AWS. Pokrycie danych związanych z AWS pochodzi ze stacji roboczych, na których ludzie przenoszą te dane, a serwer centralny pozostaje po stronie organizacji.
Ochrona punktowa uzupełnia, a nie zastępuje natywne kontrole AWS dla danych w spoczynku: polityki bucketów i zarządzanie konfiguracją regulują magazyn, a punkt końcowy kontroluje transfery wykonywane przez użytkowników, których tamte kontrole nie widzą.
Widoczność w miejscu użycia. Agent Anexet sprawdza treść na stacji roboczej, zanim zostanie zaszyfrowana do przesłania: wysyłanie do webowych wersji usług chmurowych, e-mail, komunikatory, urządzenia wymienne, drukowanie i schowek.
Wykrywanie oparte na treści. Transfery są sprawdzane przez słowniki bezpieczeństwa, banki skrótów dla dokładnych dopasowań plików, cyfrowe odciski palców i warunki etykiet poufności, więc transfer ocenia się po zawartości.
Egzekwowanie blokad. Reguły mogą zablokować transfer, przenieść element do kwarantanny do przeglądu, zarejestrować go lub wygenerować alert, zależnie od wagi zdarzenia.
Ślad audytu. Każde zdarzenie jest zapisywane z użytkownikiem, czasem, kanałem, klasyfikacją treści i podjętym działaniem.
Przetwarzanie lokalne. Bazy klasyfikacji, przechwycona treść i logi pozostają w infrastrukturze organizacji.
Anexet DLP
Dowiedz się więcej