Amazon Macie로 민감한 데이터 찾기

존재한다는 사실을 모르는 데이터는 보호할 수 없습니다. 시간이 지나면 S3 버킷에 파일이 쌓이고, 그중 어딘가에는 아무도 저장한 사실을 기억하지 못하는 고객 PII, 자격 증명 또는 금융 기록이 있을 수 있습니다.

아마존 Macie는 S3 저장소 전체에서 민감한 데이터를 자동으로 검색하고 분류하여 이 문제를 해결합니다.

Macie는 기계 학습과 패턴 일치를 사용하여 S3에서 민감한 데이터를 찾는 데이터 보안 서비스입니다.

이름, 주소, 정부 발급 신분증 번호와 같은 PII(개인 식별 정보)뿐 아니라 금융 데이터와 자격 증명 데이터도 식별한 다음, 해당 데이터가 어디에 있고 얼마나 노출되었는지 보고합니다.

Macie는 검색 작업을 실행하여 선택한 버킷의 객체를 샘플링하거나 검사하고 콘텐츠를 분류합니다.

작업 결과에는 어떤 유형의 민감한 데이터가 어떤 객체에서 얼마나 발견되었는지 자세히 기록됩니다. 작업을 한 번만 실행하거나 일정에 따라 실행하여 데이터가 변경될 때도 분류 상태를 최신으로 유지할 수 있습니다.

Macie에는 신용카드 번호, AWS 보안 키, 여권 번호와 같은 일반적인 유형을 위한 관리형 데이터 식별자가 기본 제공됩니다.

정규 표현식을 사용하여 사용자 지정 데이터 식별자를 정의할 수도 있습니다. 예를 들어 조직 내부의 계정 번호 형식을 찾아내도록 설정하면 Macie가 어떤 데이터를 민감하게 다뤄야 하는지 이해할 수 있습니다.

Macie는 콘텐츠뿐 아니라 S3의 보안 상태도 지속적으로 평가합니다. 공개적으로 액세스 가능하거나 암호화되지 않았거나 다른 계정과 공유된 버킷을 표시합니다.

이 인벤토리 화면은 중요한 질문에 즉시 답해 줍니다. 민감한 데이터를 보유하면서 동시에 노출된 버킷은 무엇일까요? 이러한 버킷이 최우선 처리 대상입니다.

Macie는 두 가지 결과 범주를 생성합니다. 민감한 데이터 결과(이 객체에 PII가 포함됨)와 정책 결과(이 버킷의 설정이 위험함)입니다.

각 결과에는 심각도와 세부 정보가 포함됩니다. 가장 위험한 조합은 민감한 데이터가 들어 있는 버킷이 공개적으로 액세스 가능하거나 암호화되지 않은 경우입니다.

Macie 결과는 정규화된 ASFF 형식으로 AWS 보안 허브에 전달되어 GuardDuty 및 다른 서비스의 경고와 한곳에서 통합됩니다.

또한 EventBridge 규칙을 트리거할 수 있으므로, 노출된 PII를 발견하면 자동으로 수정 작업을 시작할 수 있습니다. 예를 들어 버킷 액세스를 제한하거나 데이터 소유자에게 알림을 보낼 수 있습니다.

Macie는 검사한 데이터 양을 기준으로 요금을 부과하므로 모든 객체를 지속적으로 검사하면 비용이 많이 들 수 있습니다.

샘플링을 사용하고, 민감한 데이터를 보유할 가능성이 높은 버킷만 대상으로 지정하며, 작업 일정을 합리적으로 설정하십시오. Macie의 자동 검색 기능은 버킷을 지능적으로 샘플링하여 비용을 통제하면서 폭넓은 범위를 제공합니다.

발견은 대응할 때만 가치가 있습니다. Macie가 노출된 버킷에서 PII를 찾으면 수정 조치를 수행하십시오. 퍼블릭 액세스 차단을 활성화하고, 암호화를 켜고, 버킷 정책을 더 엄격하게 설정하거나, 데이터를 적절히 보호된 위치로 이동하십시오.

민감한 데이터가 보호되지 않은 채 남지 않도록 결과를 해결될 때까지 추적하십시오.

Macie의 자동 민감 데이터 검색은 계정 전체의 버킷을 지속적으로 샘플링하여, 개별 작업을 예약하지 않아도 민감한 데이터의 위치를 보여 주는 최신 지도를 만듭니다.

가장 위험한 버킷에는 예약된 심층 검색 작업을 함께 사용하십시오. 그러면 데이터가 추가되고 변경되는 상황에도 철저한 범위를 유지할 수 있습니다.

GDPR, HIPAA, PCI DSS와 같은 규정은 규제 대상 데이터가 어디에 있는지 파악하도록 요구합니다. Macie의 자동 검색 및 보고 기능은 바로 그 증거를 제공합니다.

수작업으로 진행하던 오류가 발생하기 쉬운 감사를 지속적인 기계 기반 프로세스로 바꾸어 보안과 규정 준수 의무를 모두 강력하게 지원합니다.

Macie의 핵심 작업을 식별하십시오.

아마존 Macie는 기계 학습, 관리형 및 사용자 지정 데이터 식별자, 검색 작업을 사용하여 S3의 PII와 같은 민감한 데이터를 자동으로 검색하고 분류합니다. 또한 버킷의 보안 상태를 평가하여 공개 버킷이나 암호화되지 않은 버킷을 표시하므로, 노출된 민감한 데이터의 우선순위를 정할 수 있습니다. 결과는 보안 허브와 EventBridge로 전달되어 수정 조치를 수행할 수 있고, GDPR 및 HIPAA 준수를 지원하며, 항상 해결될 때까지 처리해야 합니다.