Cifrado de S3, EBS y RDS en reposo

El cifrado en reposo protege los datos almacenados en disco para que los medios o las instantáneas robados no puedan leerse.

Los servicios de almacenamiento de AWS se integran con KMS para cifrar los datos de forma transparente. La aplicación ve los datos normales; el cifrado se realiza automáticamente por debajo.

Amazon S3 ofrece varias opciones de cifrado del lado del servidor (SSE):

• SSE-S3: claves gestionadas completamente por S3 (AES-256), ahora la opción predeterminada.
• SSE-KMS: claves en KMS, con auditoría y control de acceso.
• SSE-C: usted proporciona la clave con cada solicitud.

Elija el modo SSE según sus necesidades de control:

• SSE-KMS cuando necesite auditoría y control de acceso a las claves mediante CloudTrail y las políticas de claves.
• SSE-S3 para un cifrado sencillo y automático.
• SSE-C cuando deba conservar usted mismo las claves.

SSE-KMS realiza una llamada a KMS por objeto, lo que puede resultar costoso a gran escala. Las S3 Bucket Keys reducen considerablemente este coste.

Una clave de datos de nivel de bucket y corta duración gestiona muchos objetos, reduciendo las solicitudes a KMS (y el coste) hasta un 99 %, mientras mantiene el cifrado respaldado por KMS.

Los volúmenes de EBS (Elastic Block Store) se pueden cifrar con KMS.

• El cifrado cubre el volumen, sus instantáneas y los datos en tránsito entre el volumen y la instancia.
• Es transparente para la instancia de EC2 y apenas afecta al rendimiento.

No puede cifrar directamente un volumen de EBS existente que no esté cifrado. En su lugar:

• Cree una instantánea, cópiela con el cifrado habilitado y cree un volumen nuevo a partir de la copia cifrada.

Habilitar el cifrado de EBS de forma predeterminada a nivel de cuenta o región evita la creación de nuevos volúmenes sin cifrar.

RDS (Relational Database Service) cifra con KMS el almacenamiento de la base de datos, las copias de seguridad automáticas, las réplicas de lectura y las instantáneas.

• El cifrado debe configurarse durante la creación.
• Para cifrar una instancia existente que no esté cifrada, restaure una copia cifrada a partir de una instantánea.

Un punto clave del examen: el estado del cifrado se conserva en los snapshots.

• Los snapshots de un volumen o una base de datos cifrados se cifran con la misma clave.
• Para compartir un snapshot cifrado entre cuentas, también debe compartir la clave de KMS.

La mayoría de los servicios de almacenamiento y bases de datos admiten el cifrado en reposo mediante KMS, incluidos:

• DynamoDB, EFS, Redshift, SQS, SNS y Secrets Manager.

El patrón es coherente: se elige una clave de KMS y el servicio gestiona el cifrado de sobre de forma transparente.

Una preocupación habitual es que el cifrado ralentice las operaciones. En la práctica, el cifrado respaldado por KMS en EBS, S3 y RDS es transparente y tiene un impacto mínimo en el rendimiento.

Las aplicaciones no necesitan cambios en el código: leen y escriben con normalidad mientras el servicio cifra los datos subyacentes. Esto elimina cualquier justificación para dejar los datos sin cifrar por motivos de rendimiento.

Verifique y aplique el cifrado mediante:

• Reglas de AWS Config, como s3-bucket-server-side-encryption-enabled y encrypted-volumes.
• Estándares de Security Hub que señalan los recursos sin cifrar.

Estas herramientas detectan continuamente cualquier recurso que se haya creado sin cifrado.

Elija la opción de S3 adecuada.

Ha aprendido sobre el cifrado en reposo.

• S3 ofrece SSE-S3, SSE-KMS y SSE-C; las claves de bucket reducen el coste de KMS.
• EBS y RDS utilizan KMS; el cifrado se establece durante la creación y se conserva en los snapshots.
• Las reglas de Config y Security Hub verifican el cifrado en todas partes.