Der S3-Objektspeicher ist zu einer beliebten Grundlage für die Speicherung unstrukturiert Dokumente und gemischte Dateitypen mit flexibler Skalierung. Wie bei jedem großen und tiefen Datensee entstehen jedoch einzigartige Herausforderungen und Risiken für die Datensicherheit, die unterschiedliche Mechanismen erfordern.
Identifizieren sensibler Daten in S3
Die Messung des Datenrisikos in S3 beginnt mit genaue Identifizierung der Daten in S3-Buckets. Aufgrund der Art der Objektspeicherung können nahezu alle Arten von Daten in S3-Buckets abgelegt werden – ob unstrukturiert, strukturiert oder eine Kombination davon. Dies erschwert die Analyse der vielfältigen Daten. Da es sich um einen offenen, unbegrenzt skalierbaren Datensee handelt, kann er auch eine Herausforderung für die Datenanalyse hinsichtlich Volumen und Geschwindigkeit darstellen.
Um das Datenrisiko zu verstehen, ist es wichtig zu verstehen, welche Kronjuwelen in S3 gespeichert sind und dort eingehen. Diese wertvollen und risikoreichen Daten können verschiedene Formen annehmen. Es könnten regulierte Daten sein wie GLBA, PHI, PCI oder NPI. Es könnten auch datenschutzrelevante persönliche Daten sein. Es können Anmeldeinformationen und Geheimnisse sein. Oder es können vom Kunden definierte Kronjuwelen wie geistiges Eigentum, Kundendaten, Rezepte oder irgendetwas dazwischen sein.
Um sensible, kritische und regulierte Daten in S3 genau zu inventarisieren, Metadaten-Scans sind typischerweise unzureichend, da Metadaten Die Daten selbst werden nicht immer korrekt gekennzeichnet sein und auch nicht die gesamte Bandbreite möglicher Inhalte erfassen. Stattdessen muss eine Möglichkeit geschaffen werden, Dateninhalte auf S3-Scans zu skalieren. Darüber hinaus muss es Möglichkeiten geben, die Definition dessen, was sensibel, kritisch und reguliert ist, anzupassen. Beispielsweise könnten GPS-Daten für manche als personenbezogene Daten im Sinne der DSGVO gelten, für andere jedoch nicht. Geheimnisse wie Passwörter und privilegierte Zugangsdaten könnten in manchen Kontexten personenbezogene Daten sein, in anderen jedoch nicht. Eine Einheitslösung für alle Klassifizieren von Daten wird für die Mehrheit der Unternehmen nicht funktionieren.
Schließlich ist der Aufbau eines dauerhaften Inventars oder Katalogs auch wichtig, um die Ergebnisse effektiv zu nutzen für Datenschutz, Sicherheit und Datenverwaltung Anwendungsfälle und gleichzeitig eine überschaubare Behebungsstrategie. Zustandslose Lösungen, die lediglich Warnmeldungen senden, erfordern sofortiges Handeln und verursachen unkontrollierbare Störungen für ein Security Operations Center. Die Einbettung der Ergebnisse in ein dynamisch aktualisiertes Inventar und einen Katalog erleichtert die Delegierung und Nachverfolgung von Behebungsmaßnahmen und ermöglicht gleichzeitig die Nutzung der Ergebnisse für gängige Datenschutzanwendungsfälle wie DSAR und Governance-Anwendungsfälle wie Metadatenkatalogisierung und -suche.
Messen des S3-Datenrisikos
Datenrisiken können viele Ursachen haben. Das Verständnis von Standort und Volumen sensibler, kritischer oder regulierter Daten trägt maßgeblich zum Risikoverständnis bei. Die Darstellung dieser Heatmap risikobehafteter Daten ist ein Ausgangspunkt für das Verständnis des umfassenderen Exfiltrationsrisikos von Insidern oder Outsidern. Sensibilität und Kritikalität der Daten (z. B. Passwörter) und die Regulierung abdecken.
S3-Bucket-Dateien mit einem Kennwort schützen
Mit dem direkten Datenrisiko ist auch das Zugriffsrisiko verbunden. Dies kann beispielsweise damit zusammenhängen, dass ein Mitarbeiter übermäßigen Zugriff auf sensible Daten hat oder dass Außenstehende aufgrund einer Fehlkonfiguration unbeabsichtigt Zugriff auf sensible Daten erhalten. Sowohl für Insider als auch für Außenstehende beginnt das Zugriffsrisiko mit der Identifizierung offener Zugriffe auf Buckets oder Ordner. Für S3 bedeutet dies beispielsweise passwortgeschützte Buckets. Für Insider bedeutet dies möglicherweise auch, zu verstehen, welche Personen über übermäßige Berechtigungen für Buckets mit sensiblen Daten verfügen. Für Insider ähnelt dieses S3-Problem dem geringste Zugriffsberechtigung Problem bei der Dateiordneranalyse – Kenntnis über offene und überprivilegierte Mitarbeiter.
Unabhängig vom Zugriff stellen Standort und grenzüberschreitende Übertragung neue Arten von Datenschutzrisiken dar. Neue Datenschutzbestimmungen auf Bundesstaats- und Landesebene gehen oft mit entsprechenden Beschränkungen hinsichtlich des Wohnsitzes und der grenzüberschreitenden Übertragung einher. Der Wohnsitz wiederum erfordert Kenntnis des Datenstandorts für die Souveränität sowie die Staatsbürgerschaft der betroffenen Person, der die Daten gehören. Die Kennzeichnung von Verstößen gegen den Wohnsitz oder grenzüberschreitende Verstöße ist ein wichtiger Risikoindikator.
Vermeiden Sie das Risiko einer S3-Datenexfiltration
Datenduplizierung und -redundanz sind ein weiteres Beispiel für ein Risiko, das leicht verbessert werden kann. In den meisten Fällen stellen doppelte Daten, ob strukturiert oder unstrukturiert, eine zusätzliche Angriffsfläche dar. Die Möglichkeit, Datenduplikate zu kennzeichnen, bietet Unternehmen die Möglichkeit, ihren Datenbedarf und das damit verbundene Exfiltrationsrisiko zu reduzieren. Für S3-Buckets, die sowohl strukturierte, halbstrukturierte als auch unstrukturierte Daten enthalten können, stellt dies eine einfache Möglichkeit zur Vorfallprävention dar und senkt gleichzeitig die Kosten.
S3-Verschlüsselung
Auch die Identifizierung unverschlüsselter Daten trägt dazu bei, Risiken schnell zu vermeiden. Nicht alle Daten sind überall verschlüsselt, aber die Möglichkeit, Fälle aufzulisten, in denen sensible, kritische oder regulierte Daten transparent sind – und in denen dies nicht der Fall sein sollte – kann Unternehmen helfen, schwerwiegende Sicherheitsverletzungen zu vermeiden.
Behebung und Reduzierung des S3-Datenrisikos
Sobald sensible Daten und das damit verbundene Datenrisiko identifiziert sind, stellt sich für Unternehmen die Frage: Was nun? Die Antwort lautet in der Regel: Sanierung oder Zugriffsbeschränkungen, die Insidern und Außenstehenden den Zugriff auf Daten verwehren.
Bei der Behebung von Daten werden bestimmte Aktionen manuell oder automatisch an den Dateneigentümer delegiert, damit dieser die Daten bereinigen kann. Dies kann beispielsweise durch Verschlüsselung, Maskierung, Löschung oder Archivierung geschehen. All dies sind präventive Maßnahmen.
Alternativ kann offener und überprivilegierter Zugriff dynamisch kontrolliert werden, mit Tools wie BigID und ihre nativen Steuerelemente für AWS.
Schutz von S3-Daten mit BigID
BigID bietet den gesamten Lebenszyklus des Datenrisikomanagements für sensible Daten. Dies umfasst alles von der Identifizierung der Daten über die Kennzeichnung der damit verbundenen Risiken durch die Konfiguration, Standort- oder Richtlinienverstöße und Bereitstellung eines integrierten Mechanismus zur Risikominderung. Holen Sie sich eine 1:1-Demo.
Autor
