Sensible Daten mit Amazon Macie finden

Sie können keine Daten schützen, von deren Existenz Sie nichts wissen. Mit der Zeit füllen sich S3-Buckets mit Dateien, und darunter können sich personenbezogene Kundendaten, Zugangsdaten oder Finanzunterlagen befinden, an deren Speicherung sich niemand mehr erinnert.

Amazon Macie löst dieses Problem, indem es vertrauliche Daten in Ihrem S3-Speicher automatisch erkennt und klassifiziert.

Macie ist ein Datensicherheitsdienst, der maschinelles Lernen und Mustererkennung verwendet, um vertrauliche Daten in S3 zu finden.

Der Dienst erkennt PII (personenbezogene Daten) wie Namen, Adressen und staatliche Ausweisnummern sowie Finanz- und Anmeldedaten. Anschließend meldet er, wo diese Daten gespeichert sind und wie stark sie offengelegt werden.

Macie führt Erkennungsaufträge aus, die Objekte in ausgewählten Buckets stichprobenartig untersuchen oder vollständig scannen und deren Inhalte klassifizieren.

Ein Auftrag erzeugt Ergebnisse mit Angaben dazu, welche Art vertraulicher Daten in welchem Objekt und in welcher Menge gefunden wurde. Sie können Aufträge einmalig oder nach einem Zeitplan ausführen, damit die Klassifizierung bei Änderungen der Daten aktuell bleibt.

Macie enthält verwaltete Datenbezeichner für gängige Datentypen wie Kreditkartennummern, geheime AWS-Schlüssel und Passnummern.

Sie können auch benutzerdefinierte Datenbezeichner mithilfe regulärer Ausdrücke definieren, um organisationsspezifische Muster zu erkennen – beispielsweise ein internes Kontonummernformat. So kann Macie nachvollziehen, welche Daten für Sie vertraulich sind.

Neben den Inhalten bewertet Macie kontinuierlich Ihren Sicherheitsstatus in S3. Der Dienst markiert Buckets, die öffentlich zugänglich, nicht verschlüsselt oder für andere Konten freigegeben sind.

Diese Inventaransicht beantwortet auf einen Blick eine entscheidende Frage: Welche Buckets enthalten vertrauliche Daten und sind gleichzeitig offengelegt? Diese Buckets haben höchste Priorität.

Macie erzeugt zwei Kategorien von Ergebnissen: Ergebnisse zu vertraulichen Daten (dieses Objekt enthält PII) und Richtlinienergebnisse (die Einstellungen dieses Buckets sind riskant).

Jedes Ergebnis enthält einen Schweregrad und weitere Details. Die riskanteste Kombination besteht darin, dass sich vertrauliche Daten in einem Bucket befinden, der zugleich öffentlich zugänglich oder nicht verschlüsselt ist.

Macie-Ergebnisse werden im normalisierten ASFF-Format an AWS Security Hub weitergeleitet und dort zusammen mit Warnungen von GuardDuty und anderen Diensten an einer zentralen Stelle gesammelt.

Sie können außerdem EventBridge-Regeln auslösen. So kann die Entdeckung offengelegter PII automatisch einen Behebungsprozess starten – beispielsweise den Bucket einschränken oder den Datenverantwortlichen benachrichtigen.

Das kontinuierliche Scannen jedes Objekts kann teuer sein, da Macie die Menge der untersuchten Daten abrechnet.

Verwenden Sie Stichproben, konzentrieren Sie sich auf Buckets, die wahrscheinlich vertrauliche Daten enthalten, und planen Sie Aufträge sinnvoll. Die automatisierte Erkennungsfunktion von Macie untersucht Buckets intelligent stichprobenartig und bietet eine breite Abdeckung bei kontrollierten Kosten.

Die Erkennung ist nur dann wertvoll, wenn Sie darauf reagieren. Wenn Macie PII in einem offengelegten Bucket findet, beheben Sie das Problem: Aktivieren Sie Block Public Access, schalten Sie die Verschlüsselung ein, verschärfen Sie die Bucket-Richtlinie oder verschieben Sie die Daten an einen angemessen gesicherten Ort.

Verfolgen Sie die Ergebnisse bis zu ihrer Behebung, damit vertrauliche Daten nicht ungeschützt bleiben.

Die automatisierte Erkennung vertraulicher Daten von Macie untersucht kontinuierlich stichprobenartig Buckets in Ihrem Konto und erstellt eine fortlaufend aktualisierte Übersicht darüber, wo vertrauliche Daten gespeichert sind, ohne dass Sie einzelne Aufträge planen müssen.

Kombinieren Sie diese Funktion mit geplanten detaillierten Erkennungsaufträgen für Ihre risikoreichsten Buckets. So erhalten Sie eine gründliche Abdeckung, die mit hinzugefügten und geänderten Daten Schritt hält.

Vorschriften wie DSGVO, HIPAA und PCI DSS verlangen, dass Sie wissen, wo regulierte Daten gespeichert sind. Die automatisierte Erkennung und Berichterstellung von Macie liefern genau diese Nachweise.

Dadurch wird eine manuelle, fehleranfällige Prüfung zu einem kontinuierlichen, maschinell gesteuerten Prozess – eine wichtige Unterstützung für Ihre Sicherheits- und Compliance-Verpflichtungen.

Ermitteln Sie Macies Kernaufgabe.

Amazon Macie erkennt und klassifiziert vertrauliche Daten wie PII in S3 automatisch. Dabei verwendet der Dienst maschinelles Lernen, verwaltete und benutzerdefinierte Datenbezeichner sowie Erkennungsaufträge. Außerdem bewertet Macie den Sicherheitsstatus von Buckets und markiert öffentliche oder nicht verschlüsselte Buckets, damit Sie vertrauliche und zugleich offengelegte Daten priorisieren können. Ergebnisse werden an Security Hub und EventBridge weitergeleitet, um Behebungsmaßnahmen auszulösen, die Compliance mit DSGVO und HIPAA zu unterstützen und stets bis zur Lösung verfolgt zu werden.