S3, EBS ve RDS’de Durağan Verileri Şifreleme

Beklemedeki verilerin şifrelenmesi, diskte saklanan verileri korur; böylece çalınan ortamlar veya anlık görüntüler okunamaz.

AWS depolama hizmetleri, verileri şeffaf biçimde şifrelemek için KMS ile bütünleşir. Uygulama normal verileri görür; şifreleme arka planda otomatik olarak gerçekleşir.

Amazon S3, sunucu tarafı şifreleme (SSE) için çeşitli seçenekler sunar:

• SSE-S3: anahtarlar tamamen S3 tarafından yönetilir (AES-256); artık varsayılandır.
• SSE-KMS: anahtarlar KMS'dedir; denetim ve erişim denetimi sağlar.
• SSE-C: anahtarı her istekle birlikte siz sağlarsınız.

SSE modunu denetim gereksinimlerinize göre seçin:

• CloudTrail ve anahtar politikaları aracılığıyla denetim ve anahtar erişimi denetimi gerektiğinde SSE-KMS.
• Basit, otomatik şifreleme için SSE-S3.
• Anahtarları kendiniz saklamanız gerektiğinde SSE-C.

SSE-KMS, her nesne için bir KMS çağrısı yapar; bu işlem büyük ölçekte maliyetli olabilir. S3 Kova Anahtarları bunu önemli ölçüde azaltır.

Kısa ömürlü, kova düzeyindeki bir veri anahtarı birçok nesneyi yönetir; KMS destekli şifrelemeyi korurken KMS isteklerini (ve maliyeti) %99'a kadar azaltır.

EBS (Elastic Block Store) birimleri KMS ile şifrelenebilir.

• Şifreleme; birimi, anlık görüntülerini ve birim ile bulut sunucusu arasındaki aktarım halindeki verileri kapsar.
• EC2 bulut sunucusu açısından şeffaftır ve performans etkisi yok denecek kadar azdır.

Mevcut, şifrelenmemiş bir EBS birimini doğrudan şifreleyemezsiniz. Bunun yerine:

• Bir anlık görüntü alın, şifrelemeyi etkinleştirerek kopyalayın ve şifrelenmiş kopyadan yeni bir birim oluşturun.

Hesap/bölge düzeyinde varsayılan EBS şifrelemesini etkinleştirmek, yeni şifrelenmemiş birimleri önler.

RDS (Relational Database Service), veritabanı depolamasını, otomatik yedekleri, salt okunur çoğaltmaları ve anlık görüntülerini KMS ile şifreler.

• Şifreleme oluşturma sırasında ayarlanmalıdır.
• Mevcut, şifrelenmemiş bir bulut sunucusunu şifrelemek için anlık görüntüden şifrelenmiş bir kopyayı geri yükleyin.

Sınavda önemli bir nokta: şifreleme durumu anlık görüntüleri izler.

• Şifrelenmiş bir birimin veya veritabanının anlık görüntüleri aynı anahtarla şifrelenir.
• Şifrelenmiş bir anlık görüntüyü hesaplar arasında paylaşmak için KMS anahtarını da paylaşmanız gerekir.

Çoğu depolama ve veritabanı hizmeti, aşağıdakiler de dâhil olmak üzere bekleyen veriler için KMS şifrelemesini destekler:

• DynamoDB, EFS, Redshift, SQS, SNS ve Secrets Manager.

İzlenen yaklaşım tutarlıdır: bir KMS anahtarı seçersiniz, hizmet de zarf şifrelemesini sizin fark etmenize gerek kalmadan yönetir.

Yaygın bir endişe, şifrelemenin işlemleri yavaşlatmasıdır. Uygulamada EBS, S3 ve RDS üzerindeki KMS destekli şifreleme şeffaftır ve performansa etkisi ihmal edilebilir düzeydedir.

Uygulamalarda kod değişikliği gerekmez; hizmet altta şifreleme yaparken uygulamalar normal şekilde okur ve yazar. Böylece performans gerekçesiyle verileri şifrelenmemiş bırakmak için hiçbir mazeret kalmaz.

Şifrelemeyi doğrulamak ve zorunlu kılmak için şunları kullanın:

• s3-bucket-server-side-encryption-enabled ve encrypted-volumes gibi AWS Config kuralları.
• Şifrelenmemiş kaynakları işaretleyen Security Hub standartları.

Bunlar, şifrelenmeden kalan kaynakları sürekli olarak tespit eder.

Bekleyen verilerin şifrelenmesini öğrendiniz.

• S3, SSE-S3, SSE-KMS ve SSE-C seçeneklerini sunar; kova anahtarları KMS maliyetini azaltır.
• EBS ve RDS KMS kullanır; şifreleme oluşturma sırasında ayarlanır ve anlık görüntüleri izler.
• Config kuralları ve Security Hub, her yerdeki şifrelemeyi doğrular.