Encontrando Dados Sensíveis com o Amazon Macie

Você não pode proteger dados cuja existência desconhece. Com o tempo, os buckets do S3 se enchem de arquivos, e entre eles podem estar PII de clientes, credenciais ou registros financeiros que ninguém se lembra de ter armazenado.

O Amazon Macie resolve isso descobrindo e classificando automaticamente dados confidenciais em todo o seu armazenamento do S3.

O Macie é um serviço de segurança de dados que usa aprendizado de máquina e correspondência de padrões para encontrar dados confidenciais no S3.

Ele identifica PII (informações de identificação pessoal), como nomes, endereços e documentos de identificação emitidos pelo governo, além de dados financeiros e credenciais — e depois informa onde esses dados estão e quão expostos estão.

O Macie executa tarefas de descoberta que coletam amostras ou examinam objetos em buckets selecionados e classificam seu conteúdo.

Uma tarefa gera descobertas detalhando que tipo de dado confidencial foi encontrado, em qual objeto e em que quantidade. Você pode executar tarefas uma vez ou em uma programação para manter as classificações atualizadas à medida que os dados mudam.

O Macie inclui identificadores de dados gerenciados para tipos comuns, como números de cartão de crédito, chaves secretas da AWS e números de passaporte.

Você também pode definir identificadores de dados personalizados usando expressões regulares para detectar padrões específicos da organização — por exemplo, um formato interno de número de conta — para que o Macie entenda o que é confidencial para você.

Além do conteúdo, o Macie avalia continuamente sua postura de segurança do S3. Ele sinaliza buckets que estão acessíveis publicamente, sem criptografia ou compartilhados com outras contas.

Essa visão de inventário responde de imediato a uma pergunta crítica: quais buckets contêm dados confidenciais e também estão expostos? Essas são suas principais prioridades.

O Macie produz duas categorias de descobertas: descobertas de dados confidenciais (este objeto contém PII) e descobertas de política (as configurações deste bucket são arriscadas).

Cada descoberta apresenta uma gravidade e detalhes. A combinação de maior risco é ter dados confidenciais em um bucket que também esteja acessível publicamente ou sem criptografia.

As descobertas do Macie fluem para o AWS Security Hub no formato ASFF normalizado, reunindo em um só lugar alertas do GuardDuty e de outros serviços.

Elas também podem acionar regras do EventBridge, para que a descoberta de PII exposta possa iniciar automaticamente um fluxo de trabalho de correção — por exemplo, restringir o bucket ou alertar o proprietário dos dados.

Examinar continuamente todos os objetos pode ser caro, pois o Macie cobra pela quantidade de dados inspecionados.

Use amostragem, direcione o exame apenas aos buckets que provavelmente contêm dados confidenciais e programe as tarefas de forma sensata. O recurso de descoberta automatizada do Macie coleta amostras dos buckets de modo inteligente para oferecer ampla cobertura a um custo controlado.

A descoberta só é valiosa se você agir. Quando o Macie encontrar PII em um bucket exposto, corrija o problema: habilite o Bloqueio de Acesso Público, ative a criptografia, torne a política de bucket mais restritiva ou mova os dados para um local devidamente protegido.

Acompanhe as descobertas até a conclusão para que dados confidenciais não permaneçam desprotegidos.

A descoberta automatizada de dados confidenciais do Macie coleta continuamente amostras dos buckets em toda a sua conta, criando um mapa atualizado de onde os dados confidenciais estão, sem que você precise programar tarefas individuais.

Combine esse recurso com tarefas programadas de descoberta aprofundada nos buckets de maior risco para obter uma cobertura completa que acompanhe a adição e a alteração dos dados.

Regulamentações como GDPR, HIPAA e PCI DSS exigem que você saiba onde os dados regulamentados estão armazenados. A descoberta e os relatórios automatizados do Macie fornecem exatamente essa evidência.

O serviço transforma uma auditoria manual e propensa a erros em um processo contínuo conduzido por máquinas — um forte apoio tanto à sua segurança quanto às suas obrigações de conformidade.

Identifique a principal função do Macie.

O Amazon Macie descobre e classifica automaticamente dados confidenciais, como PII, no S3 usando aprendizado de máquina, identificadores de dados gerenciados e personalizados e tarefas de descoberta. Ele também avalia a postura dos buckets, sinalizando buckets públicos ou sem criptografia, para que você possa priorizar dados confidenciais que também estejam expostos. As descobertas fluem para o Security Hub e o EventBridge para correção, dão suporte à conformidade com GDPR e HIPAA e devem sempre ser acompanhadas até a resolução.