Überprüfung der Details zur Datensensitivität für S3-Buckets - Amazon Macie

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Überprüfung der Details zur Datensensitivität für S3-Buckets

Während die automatische Erkennung sensibler Daten voranschreitet, können Sie detaillierte Ergebnisse in Statistiken und anderen Informationen überprüfen, die Amazon Macie zu jedem Ihrer Amazon Simple Storage Service (Amazon S3) -Buckets bereitstellt. Wenn Sie der Macie-Administrator einer Organisation sind, schließt dies auch Buckets ein, die Ihren Mitgliedskonten gehören.

Die Statistiken und Informationen enthalten Details, die Aufschluss über die Sicherheit und den Datenschutz der Daten eines S3-Buckets geben. Sie erfassen auch die Ergebnisse automatisierter Aktivitäten zur Erkennung sensibler Daten, die Macie bisher für einen Bucket durchgeführt hat. In einem Bucket finden Sie beispielsweise eine Liste von Objekten, die Macie analysiert hat. Sie finden dort auch eine Aufschlüsselung der Typen und der Anzahl der Vorkommen sensibler Daten, die Macie in einem Bucket gefunden hat. Beachten Sie, dass diese Daten nicht die Ergebnisse von Discovery-Jobs für sensible Daten enthalten, die Sie erstellen und ausführen.

Macie berechnet und aktualisiert Statistiken und Details für Ihre S3-Buckets automatisch neu und führt gleichzeitig die automatische Erkennung sensibler Daten durch. Zum Beispiel:

  • Wenn Macie keine sensiblen Daten in einem S3-Objekt findet, senkt Macie den Vertraulichkeitswert des Buckets und aktualisiert das Vertraulichkeitslabel des Buckets nach Bedarf. Macie fügt das Objekt auch der Liste der Objekte hinzu, die es für die Analyse ausgewählt hat.

  • Wenn Macie sensible Daten in einem S3-Objekt findet, fügt Macie diese Vorkommen der Aufschlüsselung der sensiblen Datentypen hinzu, die Macie im Bucket gefunden hat. Macie erhöht außerdem den Sensitivitätswert des Buckets und aktualisiert bei Bedarf das Sensitivitätslabel des Buckets. Darüber hinaus fügt Macie das Objekt der Liste der Objekte hinzu, die es für die Analyse ausgewählt hat. Diese Aufgaben umfassen zusätzlich zur Erstellung eines Findens sensibler Daten für das Objekt.

  • Wenn Macie sensible Daten in einem S3-Objekt findet, das anschließend geändert oder gelöscht wurde, entfernt Macie vertrauliche Datenvorkommen für das Objekt aus der Aufschlüsselung sensibler Datentypen im Bucket. Macie senkt außerdem den Sensitivitätswert des Buckets und aktualisiert bei Bedarf das Sensitivitätslabel des Buckets. Darüber hinaus entfernt Macie das Objekt aus der Liste der Objekte, die es für die Analyse ausgewählt hat.

  • Wenn Macie versucht, ein S3-Objekt zu analysieren, aber ein Problem oder ein Fehler die Analyse verhindert, fügt Macie das Objekt der Liste der für die Analyse ausgewählten Objekte hinzu und gibt an, dass das Objekt nicht analysiert werden konnte.

Wenn Sie der Macie-Administrator einer Organisation sind oder über ein eigenständiges Macie-Konto verfügen, können Sie diese Informationen optional verwenden, um bestimmte automatische Erkennungseinstellungen für einen S3-Bucket zu bewerten und anzupassen. Sie können beispielsweise bestimmte Arten sensibler Daten in die Bewertung eines Buckets aufnehmen oder daraus ausschließen. Weitere Informationen finden Sie unter Anpassen der Empfindlichkeitswerte für S3-Buckets.

Um die Details zur Datensensitivität für einen S3-Bucket zu überprüfen

Um die Datensensitivität und andere Details für einen S3-Bucket zu überprüfen, können Sie die Amazon Macie Macie-Konsole oder die Amazon Macie Macie-API verwenden. Auf der Konsole bietet das Detailfenster einen zentralen Zugriff auf diese Informationen. Mit der API können Sie die Daten programmgesteuert abrufen und verarbeiten.

Console

Gehen Sie wie folgt vor, um die Datensensitivität und andere Details für einen S3-Bucket mithilfe der Amazon Macie Macie-Konsole zu überprüfen.

Um die Details für einen S3-Bucket zu überprüfen

  1. Öffnen Sie die Amazon Macie Macie-Konsole unter https://console.aws.amazon.com/macie/.

  2. Wählen Sie im Navigationsbereich S3-Buckets aus. Auf der Seite S3-Buckets wird eine interaktive Karte Ihres Bucket-Inventars angezeigt. Wählen Sie optional Tabelle ( The table view button, which is a button that displays three black horizontal lines. ) oben auf der Seite aus, um Ihr Inventar stattdessen in tabellarischer Form anzuzeigen.

    Standardmäßig werden auf der Seite keine Daten für Buckets angezeigt, die derzeit von der automatischen Erkennung sensibler Daten ausgeschlossen sind. Wenn Sie der Macie-Administrator einer Organisation sind, werden dort auch keine Daten für Konten angezeigt, für die die automatische Erkennung sensibler Daten derzeit deaktiviert ist. Um diese Daten anzuzeigen, wählen Sie im Filtertoken Wird durch automatische Erkennung überwacht unter dem Filter die Option X.

  3. Um die neuesten Bucket-Metadaten von Amazon S3 abzurufen, wählen Sie oben auf der Seite refresh ( The refresh button, which is a button that displays an empty blue circle with an arrow. ).

  4. Wählen Sie den Bucket aus, dessen Details Sie überprüfen möchten. Im Bereich „Details“ werden Statistiken zur Datensensitivität und andere Informationen zum Bucket angezeigt.

Im oberen Bereich des Fensters werden allgemeine Informationen zum Bucket angezeigt: der Name des Buckets, die Konto-ID des Buckets AWS-Konto , dem der Bucket gehört, und der aktuelle Sensibilitätswert des Buckets. Wenn Sie ein Macie-Administrator sind oder ein eigenständiges Macie-Konto haben, bietet es auch Optionen zum Ändern bestimmter Einstellungen für die automatische Erkennung für den Bucket. Zusätzliche Einstellungen und Informationen sind in den folgenden Tabs organisiert:

Sensitivität | Bucket-Details | Objektbeispiele | Erkennung sensibler Daten

Die einzelnen Einstellungen und Informationen auf jeder Registerkarte lauten wie folgt.

Empfindlichkeit

Auf dieser Registerkarte wird der aktuelle Sensitivitätswert des Buckets angezeigt, der zwischen -1 und 100 liegt. Informationen über den von Macie definierten Bereich der Sensitivitätswerte finden Sie unterEmpfindlichkeitsbewertung für S3-Buckets.

Die Registerkarte enthält auch eine Aufschlüsselung der Typen sensibler Daten, die Macie in den Objekten des Buckets gefunden hat, sowie die Anzahl der Vorkommen der einzelnen Typen:

  • Vertraulicher Datentyp — Der eindeutige Bezeichner (ID) für den verwalteten Datenbezeichner, der die Daten erkannt hat, oder der Name des benutzerdefinierten Datenbezeichners, der die Daten erkannt hat.

    Die ID einer verwalteten Daten-ID beschreibt den Typ der sensiblen Daten, für deren Erkennung sie konzipiert ist, z. B. USA_PASSPORT_NUMBER für US-Passnummern. Einzelheiten zu den einzelnen verwalteten Datenkennungen finden Sie unter. Verwenden von verwalteten Datenbezeichnern

  • Anzahl — Die Gesamtzahl der Vorkommen der Daten, die von der verwalteten oder benutzerdefinierten Daten-ID erkannt wurden.

  • Bewertungsstatus — Dieses Feld wird angezeigt, wenn Sie ein Macie-Administrator sind oder ein eigenständiges Macie-Konto haben. Es gibt an, ob Vorkommen der Daten in die Vertraulichkeitsbewertung des Buckets ein- oder ausgeschlossen werden.

    Wenn Macie den Punktewert des Buckets berechnet, können Sie die Berechnung anpassen, indem Sie bestimmte Typen sensibler Daten in die Bewertung einbeziehen oder ausschließen: Aktivieren Sie das Kontrollkästchen für den Identifier, der die sensiblen Daten erkannt hat, um sie ein- oder auszuschließen, und wählen Sie dann eine Option im Menü Aktionen aus. Weitere Informationen finden Sie unter Anpassen der Empfindlichkeitswerte für S3-Buckets.

Wenn Macie keine sensiblen Daten in Objekten gefunden hat, die der Bucket derzeit speichert, wird in diesem Abschnitt die Meldung Keine Entdeckungen gefunden angezeigt.

Beachten Sie, dass die Registerkarte „Sensitivität“ keine Daten für Objekte enthält, die geändert oder gelöscht wurden, nachdem Macie sie analysiert hat. Wenn Objekte nach der Analyse geändert oder gelöscht werden, berechnet Macie automatisch die entsprechenden Statistiken und Daten neu und aktualisiert sie, um die Objekte auszuschließen.

Einzelheiten zum Bucket

Auf dieser Registerkarte finden Sie Details zu den Einstellungen des Buckets, einschließlich der Einstellungen für Datensicherheit und Datenschutz. Sie können beispielsweise die Aufschlüsselung der öffentlichen Zugriffseinstellungen des Buckets überprüfen und feststellen, ob der Bucket Objekte repliziert oder mit anderen gemeinsam genutzt wird. AWS-Konten

Besonders hervorzuheben ist, dass das Feld Letzte Aktualisierung angibt, wann Macie zuletzt Metadaten von Amazon S3 für den Bucket oder die Objekte des Buckets abgerufen hat. Das Feld Letzte automatische Erkennungsausführung gibt an, wann Macie zuletzt Objekte im Bucket analysiert hat, während er die automatische Erkennung sensibler Daten durchgeführt hat. Wenn diese Analyse nicht durchgeführt wurde, erscheint in diesem Feld ein Bindestrich (—).

Die Registerkarte enthält auch Statistiken auf Objektebene, anhand derer Sie beurteilen können, wie viele Daten Macie im Bucket analysieren kann. Außerdem wird angezeigt, ob Sie irgendwelche Discovery-Jobs für sensible Daten konfiguriert haben, um Objekte im Bucket zu analysieren. Wenn ja, können Sie auf Details zu dem Job zugreifen, der zuletzt ausgeführt wurde, und sich dann optional alle Ergebnisse anzeigen lassen, die der Job erbracht hat.

In bestimmten Fällen enthält diese Registerkarte möglicherweise nicht alle Details eines Buckets. Dies kann vorkommen, wenn Sie mehr als 10.000 Buckets in Amazon S3 speichern. Macie verwaltet vollständige Inventardaten für nur 10.000 Buckets für ein Konto — die 10.000 Buckets, die zuletzt erstellt oder geändert wurden. Macie kann jedoch Objekte in Buckets analysieren, die dieses Kontingent überschreiten. Verwenden Sie Amazon S3, um weitere Details zu den Buckets zu überprüfen.

Weitere Informationen zu den Informationen auf dieser Registerkarte finden Sie unterÜberprüfung der Details von S3-Buckets.

Beispiele für Objekte

Auf dieser Registerkarte werden Objekte aufgeführt, die Macie für die Analyse ausgewählt hat, während er die automatische Erkennung sensibler Daten für den Bucket durchgeführt hat. Wählen Sie optional den Namen eines Objekts, um die Amazon S3 S3-Konsole zu öffnen und die Eigenschaften des Objekts anzuzeigen.

Die Liste enthält Daten für bis zu 100 Objekte. Die Liste wird auf der Grundlage des Werts für das Feld Objektempfindlichkeit aufgefüllt: Sensitiv, gefolgt von Nicht sensibel, gefolgt von Objekten, die Macie nicht analysieren konnte.

In der Liste gibt das Feld Objektempfindlichkeit an, ob Macie sensible Daten in einem Objekt gefunden hat:

  • Sensibel — Macie hat mindestens ein Vorkommen sensibler Daten in dem Objekt gefunden.

  • Nicht sensibel — Macie hat keine sensiblen Daten im Objekt gefunden.

  • — (Strich) — Macie konnte die Analyse des Objekts aufgrund eines Problems oder Fehlers nicht abschließen.

Das Feld Klassifizierungsergebnis gibt an, ob Macie ein Objekt analysieren konnte:

  • Vollständig — Macie hat die Analyse des Objekts abgeschlossen.

  • Teilweise — Macie hat aufgrund eines Problems oder Fehlers nur eine Teilmenge der Daten im Objekt analysiert. Das Objekt ist beispielsweise eine Archivdatei, die Dateien in einem nicht unterstützten Format enthält.

  • Übersprungen — Macie konnte aufgrund eines Problems oder Fehlers keine Daten im Objekt analysieren. Das Objekt ist beispielsweise mit einem Schlüssel verschlüsselt, den Macie nicht verwenden darf.

Beachten Sie, dass die Liste keine Objekte enthält, die geändert oder gelöscht wurden, nachdem Macie sie analysiert oder versucht hat, sie zu analysieren. Macie entfernt ein Objekt automatisch aus der Liste, wenn das Objekt anschließend geändert oder gelöscht wird.

Entdeckung sensibler Daten

Auf dieser Registerkarte finden Sie aggregierte, automatisierte Statistiken zur Erkennung sensibler Daten für den Bucket:

  • Analysierte Byte — Die Gesamtmenge der Daten in Byte, die Macie im Bucket analysiert hat.

  • Klassifizierbare Byte — Die Gesamtspeichergröße aller Objekte, die Macie im Bucket analysieren kann, in Byte. Diese Objekte verwenden unterstützte Amazon S3 S3-Speicherklassen und haben Dateinamenerweiterungen für unterstützte Datei- oder Speicherformate. Weitere Informationen finden Sie unter Unterstützte Speicherklassen und Formate.

  • Gesamtzahl der Entdeckungen — Die Gesamtzahl der Vorkommen sensibler Daten, die Macie im Bucket gefunden hat. Dies schließt Ereignisse ein, die derzeit durch die Einstellungen für die Vertraulichkeitsbewertung für den Bucket unterdrückt werden.

Das Diagramm „Analysierte Objekte“ gibt die Gesamtzahl der Objekte an, die Macie im Bucket analysiert hat. Es bietet auch eine visuelle Darstellung der Anzahl der Objekte, in denen Macie sensible Daten gefunden hat oder nicht. Die Legende unter dem Diagramm zeigt eine Aufschlüsselung dieser Ergebnisse:

  • Vertrauliche Objekte (rot) — Die Gesamtzahl der Objekte, in denen Macie mindestens ein Vorkommen vertraulicher Daten gefunden hat.

  • Nicht sensible Objekte (blau) — Die Gesamtzahl der Objekte, in denen Macie keine sensiblen Daten gefunden hat.

  • Übersprungene Objekte (dunkelgrau) — Die Gesamtzahl der Objekte, die Macie aufgrund eines Problems oder Fehlers nicht analysieren konnte.

Der Bereich unter der Legende des Diagramms enthält eine Aufschlüsselung der Fälle, in denen Macie Objekte nicht analysieren konnte, weil bestimmte Arten von Berechtigungsproblemen oder kryptografischen Fehlern aufgetreten sind:

  • Übersprungen: Ungültige Verschlüsselung — Die Gesamtzahl der Objekte, die mit vom Kunden bereitgestellten Schlüsseln verschlüsselt wurden. Macie kann nicht auf diese Schlüssel zugreifen.

  • Übersprungen: Ungültiges KMS — Die Gesamtzahl der Objekte, die mit AWS Key Management Service (AWS KMS) -Schlüsseln verschlüsselt wurden, die nicht mehr verfügbar sind. Diese Objekte sind mit Objekten verschlüsselt AWS KMS keys , die deaktiviert wurden, deren Löschung geplant ist oder die gelöscht wurden. Macie kann diese Schlüssel nicht benutzen.

  • Übersprungen: Zugriff verweigert — Die Gesamtzahl der Objekte, auf die Macie aufgrund der Berechtigungseinstellungen für das Objekt oder der Berechtigungseinstellungen für den Schlüssel, mit dem das Objekt verschlüsselt wurde, nicht zugreifen darf.

Einzelheiten zu diesen und anderen Arten von Problemen und Fehlern, die auftreten können, finden Sie unter. Behebung von Deckungsproblemen Wenn Sie die Probleme und Fehler beheben, können Sie die Abdeckung der Daten des Buckets in nachfolgenden Analysezyklen erhöhen.

Die Statistiken auf der Registerkarte Erkennung vertraulicher Daten enthalten keine Daten für Objekte, die geändert oder gelöscht wurden, nachdem Macie sie analysiert oder versucht hat, sie zu analysieren. Wenn Objekte geändert oder gelöscht werden, nachdem Macie sie analysiert oder versucht hat, sie zu analysieren, berechnet Macie diese Statistiken automatisch neu, um die Objekte auszuschließen.

API

Um die Datensensitivität und andere Details für einen S3-Bucket programmgesteuert abzurufen, haben Sie mehrere Möglichkeiten. Die geeignete Option hängt von den Details ab, die Sie abrufen möchten:

  • Verwenden Sie den GetResourceProfileVorgang, um den aktuellen Sensitivitätswert und die aggregierten Analysestatistiken eines Buckets abzurufen. Oder, wenn Sie die AWS Command Line Interface (AWS CLI) verwenden, führen Sie den get-resource-profileBefehl aus. Die Statistiken umfassen Daten wie die Anzahl der Objekte, die Macie analysiert hat, und die Anzahl der Objekte, in denen Macie sensible Daten gefunden hat.

  • Verwenden Sie die Operation, um eine Aufschlüsselung der Typen und der Menge vertraulicher Daten abzurufen, die Macie in einem Bucket gefunden hat. ListResourceProfileDetections Oder, wenn Sie den verwenden AWS CLI, führen Sie den list-resource-profile-detectionsBefehl aus. Die Aufschlüsselung enthält auch Details zur verwalteten oder benutzerdefinierten Daten-ID, mit der die einzelnen Arten vertraulicher Daten erkannt wurden.

  • Verwenden Sie den ListResourceProfileArtifactsVorgang, um eine Liste mit bis zu 100 Objekten abzurufen, die Macie aus einem Bucket zur Analyse ausgewählt hat. Oder, wenn Sie den verwenden AWS CLI, führen Sie den list-resource-profile-artifactsBefehl aus. Für jedes Objekt gibt die Liste Folgendes an: den Amazon-Ressourcennamen (ARN) des Objekts, ob Macie die Analyse des Objekts abgeschlossen hat und ob Macie sensible Daten im Objekt gefunden hat.

Verwenden Sie in Ihrer Anfrage den resourceArn Parameter, um den ARN des Buckets anzugeben, für den die Details abgerufen werden sollen. Wenn Sie den verwenden AWS CLI, verwenden Sie den resource-arn Parameter, um den ARN anzugeben.

Verwenden Sie den DescribeBucketsVorgang, um weitere Informationen zu einem S3-Bucket zu erhalten, z. B. die Einstellungen für den öffentlichen Zugriff des Buckets. Wenn Sie den verwenden AWS CLI, führen Sie den Befehl describe-buckets aus, um diese Details abzurufen. Verwenden Sie in Ihrer Anfrage optional Filterkriterien, um den Namen des Buckets anzugeben. Weitere Informationen und Beispiele finden Sie unter Filterung Ihres S3-Bucket-Inventars.

Die folgenden Beispiele zeigen, wie Sie mithilfe von Details AWS CLI zur Datensensitivität für einen S3-Bucket abrufen können. In diesem ersten Beispiel werden der aktuelle Sensitivitätswert und die aggregierten Analysestatistiken für einen Bucket abgerufen.

$ aws macie2 get-resource-profile --resource-arn arn:aws:s3:::amzn-s3-demo-bucket

Wo arn:aws:s3:::amzn-s3-demo-bucket ist der ARN des Buckets. Wenn die Anfrage erfolgreich ist, erhalten Sie eine Ausgabe, die der folgenden ähnelt:

{
    "profileUpdatedAt": "2024-11-21T15:44:46+00:00",
    "sensitivityScore": 83,
    "sensitivityScoreOverridden": false,
    "statistics": {
        "totalBytesClassified": 933599,
        "totalDetections": 3641,
        "totalDetectionsSuppressed": 0,
        "totalItemsClassified": 111,
        "totalItemsSensitive": 84,
        "totalItemsSkipped": 1,
        "totalItemsSkippedInvalidEncryption": 0,
        "totalItemsSkippedInvalidKms": 0,
        "totalItemsSkippedPermissionDenied": 0
    }
}

Im nächsten Beispiel wird eine Aufschlüsselung der Typen sensibler Daten abgerufen, die Macie in einem S3-Bucket gefunden hat, sowie die Anzahl der Vorkommen jedes Typs. Die Aufschlüsselung gibt auch an, welcher verwaltete Datenbezeichner oder welcher benutzerdefinierte Datenbezeichner die Daten erkannt hat. Außerdem wird angezeigt, ob die Vorkommen derzeit nicht in der Sensitivitätsbewertung des Buckets enthalten sind (suppressed), sofern die Bewertung automatisch von Macie berechnet wird.

$ aws macie2 list-resource-profile-detections --resource-arn arn:aws:s3:::amzn-s3-demo-bucket

Wo arn:aws:s3:::amzn-s3-demo-bucket ist der ARN des Buckets. Wenn die Anfrage erfolgreich ist, erhalten Sie eine Ausgabe, die der folgenden ähnelt:

{
    "detections": [
        {
            "count": 8,
            "id": "AWS_CREDENTIALS",
            "name": "AWS_CREDENTIALS",
            "suppressed": false,
            "type": "MANAGED"
        },
        {
            "count": 1194,
            "id": "CREDIT_CARD_NUMBER",
            "name": "CREDIT_CARD_NUMBER",
            "suppressed": false,
            "type": "MANAGED"
        },
        {
            "count": 1194,
            "id": "CREDIT_CARD_SECURITY_CODE",
            "name": "CREDIT_CARD_SECURITY_CODE",
            "suppressed": false,
            "type": "MANAGED"
        },
        {
            "arn": "arn:aws:macie2:us-east-1:123456789012:custom-data-identifier/3293a69d-4a1e-4a07-8715-208ddexample",
            "count": 8,
            "id": "3293a69d-4a1e-4a07-8715-208ddexample",
            "name": "Employee IDs with keyword",
            "suppressed": false,
            "type": "CUSTOM"
        },
        {
            "count": 1237,
            "id": "USA_SOCIAL_SECURITY_NUMBER",
            "name": "USA_SOCIAL_SECURITY_NUMBER",
            "suppressed": false,
            "type": "MANAGED"
        }
    ]
}

In diesem Beispiel wird eine Liste von Objekten abgerufen, die Macie zur Analyse aus einem S3-Bucket ausgewählt hat. Für jedes Objekt gibt die Liste auch an, ob Macie die Analyse des Objekts abgeschlossen hat und ob Macie sensible Daten in dem Objekt gefunden hat.

$ aws macie2 list-resource-profile-artifacts --resource-arn arn:aws:s3:::amzn-s3-demo-bucket

Wo arn:aws:s3:::amzn-s3-demo-bucket ist der ARN des Buckets. Wenn die Anfrage erfolgreich ist, erhalten Sie eine Ausgabe, die der folgenden ähnelt:

{
    "artifacts": [
        {
            "arn": "arn:aws:s3:::amzn-s3-demo-bucket/amzn-s3-demo-object1.csv",
            "classificationResultStatus": "COMPLETE",
            "sensitive": true
        },
        {
            "arn": "arn:aws:s3:::amzn-s3-demo-bucket/amzn-s3-demo-object2.xlsx",
            "classificationResultStatus": "COMPLETE",
            "sensitive": true
        },
        {
            "arn": "arn:aws:s3:::amzn-s3-demo-bucket/amzn-s3-demo-object3.json",
            "classificationResultStatus": "COMPLETE",
            "sensitive": true
        },
        {
            "arn": "arn:aws:s3:::amzn-s3-demo-bucket/amzn-s3-demo-object4.pdf",
            "classificationResultStatus": "COMPLETE",
            "sensitive": true
        },
        {
            "arn": "arn:aws:s3:::amzn-s3-demo-bucket/amzn-s3-demo-object5.zip",
            "classificationResultStatus": "PARTIAL",
            "sensitive": true
        },
        {
            "arn": "arn:aws:s3:::amzn-s3-demo-bucket/amzn-s3-demo-object6.vssx",
            "classificationResultStatus": "SKIPPED"
        }
    ]
}