AWS DLP

AWS DLP é a aplicação de práticas de prevenção contra perda de dados aos dados que ficam ou trafegam pela Amazon Web Services. É uma parte específica da plataforma dentro da disciplina mais ampla de DLP em nuvem, então valem as mesmas perguntas: o que é sensível, onde está e por onde sai.

O erro mais comum é tratar a AWS como um lugar só. Armazenamento, processamento e transferências são coisas separadas, e um controle que cobre uma delas raramente cobre as outras.

Os três estados dos dados exigem controles diferentes. Para dados em repouso, a proteção começa encontrando onde estão os dados sensíveis, classificando-os e limitando quem pode acessá-los. Dados em uso são o estado mais esquecido, porque ficam nos computadores das pessoas, e não no console da nuvem.

Cada estado tem exposição própria, então uma política escrita para um não cobre os outros.

Pelo modelo de responsabilidade compartilhada da AWS, a AWS protege a infraestrutura. O cliente continua responsável pelos dados, pelos direitos de acesso e pela configuração.

A maioria dos incidentes de exposição de dados na AWS começa do lado do cliente: armazenamento deixado com leitura pública, credenciais com permissões excessivas ou usuários movendo dados para locais não aprovados. Esse último caso é o que os controles nativos veem menos, por isso vazamentos de dados precisam de controles que vão além do console da nuvem.

As organizações costumam combinar três modelos. Os recursos nativos da AWS governam o armazenamento, a inspeção de rede observa o tráfego de saída, e o DLP de endpoint lê os arquivos na estação onde as pessoas os usam.

A inspeção de rede é boa no tráfego de saída, mas não enxerga transferências criptografadas, e a inspeção no endpoint exige um agente em cada máquina. Uma não substitui a outra.

Os cenários abaixo combinam configuração incorreta do lado da nuvem com transferências feitas pelos usuários. Cada um é uma forma de exfiltração de dados, intencional ou não. Só os casos do lado do usuário chegam à estação, então os dois primeiros exigem controles do lado da nuvem.

• Um bucket S3 mal configurado e deixado com leitura pública.
• Credenciais roubadas usadas para extrair dados armazenados em grande volume.
• Um funcionário copiando arquivos de uma aplicação hospedada na AWS para armazenamento pessoal na nuvem, um mensageiro ou um pen drive USB.
• Um colaborador que está saindo arquivando em massa documentos antes de deixar a empresa, padrão que programas de ameaça interna observam.

O console do Anexet lista serviços de armazenamento em nuvem como Dropbox, OneDrive e Google Drive, para que o administrador defina regras de acesso, auditoria e cópia sombra para cada um.

As regras de conteúdo funcionam do mesmo jeito. A condição de bloqueio HTTP pode verificar um texto em busca de números de cartão bancário ou de uma expressão regular, o que na prática é bloqueio com base no conteúdo.

1 / 2

• 
• 

A cobertura de dados ligados à AWS segue a mesma ordem de qualquer programa de DLP: definir o que deve ficar dentro, configurar as regras e depois revisar as evidências.

1. 1

   Listar os dados hospedados na AWS

   Identifique quais buckets, bancos e aplicações guardam dados que não podem sair, e quem os usa.

2. 2

   Classificar o que importa

   Marque os dados por sensibilidade, para que a política distinga uma exportação rotineira de um vazamento.

3. 3

   Definir regras do lado do usuário

   Escolha quais canais monitorar e bloquear, começando por armazenamento em nuvem, mensageiros e mídias removíveis.

4. 4

   Revisar o log de auditoria

   Confira os eventos registrados toda semana e ajuste regras que bloqueiam trabalho legítimo.

Comece pelos dados que mais prejudicariam a empresa se saíssem, depois pelos canais que as pessoas realmente usam para movê-los. Regras escritas para todos os arquivos de uma vez acabam bloqueando o trabalho comum e são desligadas.

Para o lado do endpoint dessa cobertura, veja o Anexet DLP.

Leitura adicional: Como comprar um sistema DLP?.