Håndhævelse af standardkryptering overalt

Hvis du stoler på, at folk husker at aktivere kryptering, er der garanti for huller. Den robuste tilgang er at gøre kryptering til standard og blokere alt, der ikke er krypteret.

Det ændrer fokus fra at håbe på overholdelse til strukturelt at håndhæve den på tværs af kontoen.

Alle S3-buckets anvender nu standardenkryptering; objekter krypteres på serversiden, selv hvis uploaderen ikke anmoder om det.

Du kan angive SSE-KMS med en bestemt nøgle som standard, så alle nye objekter er beskyttet og kan revideres uden ekstra arbejde ved hver upload.

Hvis du vil gå videre, kan en bucket-politik afvise enhver PutObject, der ikke anmoder om den krævede kryptering.

Det afviser skrivninger, der forsøger at omgå krypteringen, så intet placeres ubeskyttet. Det er et almindeligt mønster for følsomme buckets.

Du kan aktivere EBS-kryptering som standard pr. region.

Når den er aktiveret, krypteres alle nye EBS-diskenheder og snapshots i regionen automatisk med den valgte KMS-nøgle. Det lukker hullet, hvor der ved en fejl startes ukrypterede diskenheder.

Service Control Policies (SCP'er) håndhæver kryptering på tværs af en hel organisation.

En SCP kan afvise handlinger som at oprette en ukrypteret RDS-instans eller diskenhed i en medlemskonto. Da SCP'er begrænser tilladelserne, kan ingen, heller ikke en administrator, omgå dem.

AWS Config-regler kontrollerer løbende, om ressourcer er krypterede.

• Regler markerer ukrypterede diskenheder, buckets og databaser.
• Kombineret med automatisk afhjælpning kan de automatisk rette eller rapportere afvigelser.

Det giver løbende sikkerhed ud over indstillinger, der kun kontrolleres på et bestemt tidspunkt.

Standardindstillinger kan kræve ikke bare "en vilkårlig kryptering", men en bestemt KMS-nøgle.

Politikker bruger betingelser til at kræve en bestemt nøgle-ARN, så data krypteres med en nøgle, som dit team kontrollerer og reviderer, i stedet for en standardnøgle, der administreres af AWS.

Den stærkeste sikkerhedstilgang kombinerer begge:

• Forebyggende kontroller (SCP'er, bucket-politikker og standardindstillinger) forhindrer, at ukrypterede ressourcer oprettes.
• Detekterende kontroller (Config og Security Hub) opdager alt, der slipper igennem.

Forsvar i dybden gælder også for kryptering.

Flyt håndhævelsen til venstre ved at kontrollere infrastruktur-som-kode-skabeloner før implementeringen.

Værktøjer og brugerdefinerede politikontroller verificerer, at CloudFormation eller Terraform angiver kryptering, så ressourcer, der ikke overholder kravene, blokeres i pipelinen i stedet for i produktionen.

Standardkryptering betyder normalt kryptering af data i hvile, men du bør også håndhæve kryptering under overførsel.

En S3-bucket-politik, der bruger betingelsen aws:SecureTransport, afviser alle anmodninger, der ikke sendes over TLS. Når dette kombineres med standardkryptering af data i hvile, er data beskyttet både dér, hvor de ligger, og mens de flyttes.

En komplet strategi: Aktivér standardkryptering for S3 og EBS, afvis oprettelse uden kryptering med SCP'er og bucket-politikker, og kontrollér med Config og Security Hub.

Kryptering bliver garanteret i stedet for valgfri.

Du har lært at håndhæve standardkryptering.

• Standardkryptering på S3 og EBS gør beskyttelsen automatisk.
• SCP'er og bucket-politikker afviser oprettelse uden kryptering i hele organisationen.
• Config og Security Hub opdager alt, der slipper igennem.