S3, EBS und RDS im Ruhezustand verschlüsseln

Die Verschlüsselung ruhender Daten schützt auf Datenträgern gespeicherte Daten, sodass gestohlene Medien oder Snapshots nicht lesbar sind.

AWS-Speicherservices integrieren KMS, um Daten transparent zu verschlüsseln. Die Anwendung sieht normale Daten; die Verschlüsselung erfolgt automatisch im Hintergrund.

Amazon S3 bietet mehrere Optionen für die serverseitige Verschlüsselung (SSE):

• SSE-S3: Schlüssel werden vollständig von S3 verwaltet (AES-256), inzwischen der Standard.
• SSE-KMS: Schlüssel liegen in KMS, mit Prüfung und Zugriffskontrolle.
• SSE-C: Sie stellen den Schlüssel mit jeder Anfrage bereit.

Wählen Sie den SSE-Modus nach den erforderlichen Kontrollmöglichkeiten:

• SSE-KMS, wenn Sie Prüfung und Zugriffskontrolle für Schlüssel über CloudTrail und Schlüsselrichtlinien benötigen.
• SSE-S3 für einfache, automatische Verschlüsselung.
• SSE-C, wenn Sie die Schlüssel selbst verwalten müssen.

SSE-KMS führt pro Objekt einen KMS-Aufruf durch, was bei großem Umfang kostspielig sein kann. S3 Bucket Keys reduzieren dies erheblich.

Ein kurzlebiger Datenschlüssel auf Bucket-Ebene verarbeitet viele Objekte und senkt KMS-Anfragen (und Kosten) um bis zu 99 %, während die KMS-gestützte Verschlüsselung erhalten bleibt.

EBS (Elastic Block Store)-Volumes können mit KMS verschlüsselt werden.

• Die Verschlüsselung umfasst das Volume, seine Snapshots und die während der Übertragung zwischen Volume und Instance befindlichen Daten.
• Für die EC2-Instance ist sie transparent und hat nur vernachlässigbare Auswirkungen auf die Leistung.

Ein vorhandenes unverschlüsseltes EBS-Volume können Sie nicht direkt verschlüsseln. Gehen Sie stattdessen so vor:

• Erstellen Sie einen Snapshot, kopieren Sie ihn mit aktivierter Verschlüsselung und erstellen Sie aus der verschlüsselten Kopie ein neues Volume.

Wenn Sie die standardmäßige EBS-Verschlüsselung auf Konto- oder Regionsebene aktivieren, verhindern Sie neue unverschlüsselte Volumes.

RDS (Relational Database Service) verschlüsselt den Datenbankspeicher, automatische Backups, Read Replicas und Snapshots mit KMS.

• Die Verschlüsselung muss bei der Erstellung festgelegt werden.
• Um eine vorhandene unverschlüsselte Instance zu verschlüsseln, stellen Sie aus einem Snapshot eine verschlüsselte Kopie wieder her.

Ein wichtiger Prüfungspunkt: Der Verschlüsselungsstatus wird von Snapshots übernommen.

• Snapshots eines verschlüsselten Volumes oder einer verschlüsselten Datenbank werden mit demselben Schlüssel verschlüsselt.
• Um einen verschlüsselten Snapshot kontenübergreifend freizugeben, müssen Sie auch den KMS-Schlüssel freigeben.

Die meisten Speicher- und Datenbankservices unterstützen die Verschlüsselung ruhender Daten mit KMS, darunter:

• DynamoDB, EFS, Redshift, SQS, SNS und Secrets Manager.

Das Vorgehen ist einheitlich: Sie wählen einen KMS-Schlüssel aus, und der Service übernimmt die Envelope-Verschlüsselung transparent.

Eine häufige Sorge ist, dass Verschlüsselung die Leistung beeinträchtigt. In der Praxis ist die KMS-gestützte Verschlüsselung von EBS, S3 und RDS transparent und hat nur vernachlässigbare Auswirkungen auf die Performance.

Anwendungen benötigen keine Codeänderungen. Sie lesen und schreiben normal, während der Service die Daten im Hintergrund verschlüsselt. Damit entfällt jeder Grund, Daten aus Performancegründen unverschlüsselt zu lassen.

Überprüfen und erzwingen Sie die Verschlüsselung mit:

• AWS-Config-Regeln wie s3-bucket-server-side-encryption-enabled und encrypted-volumes.
• Security-Hub-Standards, die unverschlüsselte Ressourcen melden.

Diese erkennen kontinuierlich alle Ressourcen, die versehentlich unverschlüsselt erstellt wurden.

Wählen Sie die richtige S3-Option aus.

Sie haben die Verschlüsselung ruhender Daten kennengelernt.

• S3 bietet SSE-S3, SSE-KMS und SSE-C; Bucket Keys senken die KMS-Kosten.
• EBS und RDS verwenden KMS. Die Verschlüsselung wird bei der Erstellung festgelegt und von Snapshots übernommen.
• Config-Regeln und Security Hub überprüfen die Verschlüsselung überall.