Mengenkripsi S3, EBS, dan RDS saat Tersimpan

Enkripsi saat data disimpan melindungi data yang tersimpan di disk agar media atau snapshot yang dicuri tidak dapat dibaca.

Layanan penyimpanan AWS terintegrasi dengan KMS untuk mengenkripsi data secara transparan. Aplikasi melihat data normal; enkripsi berlangsung secara otomatis di baliknya.

Amazon S3 menyediakan beberapa opsi enkripsi sisi server (SSE):

• SSE-S3: kunci dikelola sepenuhnya oleh S3 (AES-256), dan kini menjadi bawaan.
• SSE-KMS: kunci berada di KMS, dengan audit dan kontrol akses.
• SSE-C: Anda menyediakan kunci pada setiap permintaan.

Pilih mode SSE berdasarkan kebutuhan pengendalian:

• SSE-KMS saat Anda memerlukan audit dan kontrol akses kunci melalui CloudTrail dan kebijakan kunci.
• SSE-S3 untuk enkripsi sederhana dan otomatis.
• SSE-C saat Anda harus menyimpan sendiri kuncinya.

SSE-KMS melakukan satu panggilan KMS untuk setiap objek, yang dapat mahal dalam skala besar. Kunci Bucket S3 mengurangi hal ini secara signifikan.

Kunci data tingkat bucket yang berumur singkat menangani banyak objek, sehingga mengurangi permintaan KMS (dan biaya) hingga 99% sekaligus mempertahankan enkripsi yang didukung KMS.

Volume EBS (Elastic Block Store) dapat dienkripsi dengan KMS.

• Enkripsi mencakup volume, snapshot-nya, dan data yang bergerak antara volume dan instans.
• Enkripsi ini transparan bagi instans EC2, dengan dampak kinerja yang dapat diabaikan.

Anda tidak dapat mengenkripsi volume EBS yang sudah ada dan belum terenkripsi secara langsung. Sebagai gantinya:

• Buat snapshot, salin dengan enkripsi diaktifkan, lalu buat volume baru dari salinan terenkripsi tersebut.

Mengaktifkan enkripsi EBS secara bawaan pada tingkat akun/wilayah mencegah pembuatan volume baru yang tidak terenkripsi.

RDS (Relational Database Service) mengenkripsi penyimpanan basis data, cadangan otomatis, replika baca, dan snapshot menggunakan KMS.

• Enkripsi harus ditetapkan saat pembuatan.
• Untuk mengenkripsi instans yang sudah ada dan belum terenkripsi, pulihkan salinan terenkripsi dari snapshot.

Poin penting dalam ujian: status enkripsi mengikuti snapshot.

• Snapshot dari volume atau DB terenkripsi akan dienkripsi dengan kunci yang sama.
• Untuk membagikan snapshot terenkripsi antar-akun, Anda juga harus membagikan kunci KMS.

Sebagian besar layanan penyimpanan dan basis data mendukung enkripsi KMS saat data tersimpan, termasuk:

• DynamoDB, EFS, Redshift, SQS, SNS, dan Secrets Manager.

Polanya konsisten: pilih kunci KMS, lalu layanan menangani enkripsi amplop secara transparan.

Kekhawatiran yang umum adalah enkripsi memperlambat kinerja. Dalam praktiknya, enkripsi yang didukung KMS pada EBS, S3, dan RDS bersifat transparan dengan dampak kinerja yang dapat diabaikan.

Aplikasi tidak memerlukan perubahan kode; aplikasi membaca dan menulis seperti biasa sementara layanan mengenkripsi data di bawahnya. Dengan demikian, tidak ada alasan untuk membiarkan data tidak terenkripsi demi alasan kinerja.

Verifikasi dan terapkan enkripsi dengan:

• Aturan AWS Config seperti s3-bucket-server-side-encryption-enabled dan encrypted-volumes.
• Standar Security Hub yang menandai sumber daya tidak terenkripsi.

Fitur-fitur ini secara terus-menerus mendeteksi sumber daya yang terlanjur tidak terenkripsi.

Pilih opsi S3 yang tepat.

Anda telah mempelajari enkripsi saat data tersimpan.

• S3 menyediakan SSE-S3, SSE-KMS, dan SSE-C; kunci bucket mengurangi biaya KMS.
• EBS dan RDS menggunakan KMS; enkripsi ditetapkan saat pembuatan dan mengikuti snapshot.
• Aturan Config dan Security Hub memverifikasi enkripsi di seluruh lingkungan.