Шифрование S3, EBS и RDS в состоянии покоя

Шифрование данных в состоянии покоя защищает данные, хранящиеся на диске, чтобы украденные носители или снимки нельзя было прочитать.

Сервисы хранения AWS интегрируются с KMS для прозрачного шифрования данных. Приложение видит обычные данные, а шифрование автоматически выполняется на нижележащем уровне.

Amazon S3 предлагает несколько вариантов серверного шифрования (SSE):

• SSE-S3: ключи полностью управляются S3 (AES-256); теперь это вариант по умолчанию.
• SSE-KMS: ключи хранятся в KMS, доступны аудит и управление доступом.
• SSE-C: Вы передаёте ключ с каждым запросом.

Выбирайте режим SSE в зависимости от требуемого уровня контроля:

• SSE-KMS, если Вам нужны аудит и управление доступом к ключам через CloudTrail и политики ключей.
• SSE-S3 для простого автоматического шифрования.
• SSE-C, если Вы должны самостоятельно хранить ключи.

SSE-KMS выполняет вызов KMS для каждого объекта, что при большом масштабе может быть дорого. Ключи сегмента S3 значительно сокращают эти расходы.

Краткоживущий ключ данных уровня сегмента обрабатывает множество объектов, сокращая количество запросов к KMS и затраты до 99 %, при этом шифрование по-прежнему поддерживается KMS.

Тома EBS (Elastic Block Store) можно шифровать с помощью KMS.

• Шифрование охватывает том, его снимки и данные, передаваемые между томом и экземпляром.
• Для экземпляра EC2 оно прозрачно и практически не влияет на производительность.

Нельзя напрямую зашифровать существующий незашифрованный том EBS. Вместо этого:

• Создайте снимок, скопируйте его с включённым шифрованием и создайте новый том из зашифрованной копии.

Включение шифрования EBS по умолчанию на уровне учётной записи или региона предотвращает создание новых незашифрованных томов.

RDS (Relational Database Service) шифрует с помощью KMS хранилище базы данных, автоматические резервные копии, реплики для чтения и снимки.

• Шифрование необходимо настроить при создании.
• Чтобы зашифровать существующий незашифрованный экземпляр, восстановите зашифрованную копию из снимка.

Главное, что нужно запомнить для экзамена: состояние шифрования сохраняется в снимках.

• Снимки зашифрованного тома или базы данных шифруются тем же ключом.
• Чтобы предоставить доступ к зашифрованному снимку другой учётной записи, необходимо также предоставить доступ к ключу KMS.

Большинство сервисов хранения и баз данных поддерживают шифрование данных в состоянии покоя с помощью KMS, включая:

• DynamoDB, EFS, Redshift, SQS, SNS и Secrets Manager.

Принцип везде одинаков: выберите ключ KMS, а сервис прозрачно выполнит конвертное шифрование.

Часто возникает опасение, что шифрование замедлит работу. На практике шифрование на основе KMS в EBS, S3 и RDS является прозрачным и практически не влияет на производительность.

Приложениям не нужны изменения кода: они как обычно читают и записывают данные, пока сервис шифрует их на нижележащем уровне. Поэтому отказываться от шифрования ради производительности не имеет смысла.

Проверяйте и принудительно включайте шифрование с помощью:

• Правил AWS Config, таких как s3-bucket-server-side-encryption-enabled и encrypted-volumes.
• Стандартов Security Hub, которые выявляют незашифрованные ресурсы.

Они непрерывно обнаруживают ресурсы, которые были созданы без шифрования.

Вы изучили шифрование данных в состоянии покоя.

• S3 поддерживает SSE-S3, SSE-KMS и SSE-C; ключи бакета снижают расходы на KMS.
• EBS и RDS используют KMS; шифрование задаётся при создании и сохраняется в снимках.
• Правила Config и Security Hub проверяют шифрование повсюду.