Cómo supervisa Macie la seguridad de los datos de Amazon S3

Para generar y mantener los metadatos y las estadísticas de su inventario de buckets, Macie recupera los metadatos de los buckets y los objetos directamente de Amazon S3. Para cada bucket, los metadatos incluyen:

Macie le proporciona esta información directamente. Macie también utiliza la información para calcular estadísticas y evaluar la seguridad y la privacidad del inventario de cubos en general y de los grupos individuales de su inventario. Por ejemplo, puede encontrar el tamaño total de almacenamiento y el número de buckets de su inventario, el tamaño total del almacenamiento y el número de objetos de esos buckets, y el tamaño total del almacenamiento y el número de objetos que Macie puede analizar para detectar datos confidenciales en los buckets.

De forma predeterminada, los metadatos y las estadísticas incluyen los datos de cualquier parte del objeto que exista debido a una carga multiparte incompleta. Si actualiza manualmente los metadatos de los objetos de un bucket específico, Macie volverá a calcular las estadísticas del bucket y del inventario general del mismo, y excluirá los datos de las partes del objeto de los valores recalculados. La próxima vez que Macie recupere metadatos de buckets y objetos de Amazon S3 como parte del ciclo de actualización diario, Macie actualizará sus datos de inventario e incluirá de nuevo los datos de las partes del objeto. Para obtener información sobre cuándo recupera Macie los metadatos de los buckets y los objetos, consulte Actualizaciones de datos.

Es importante tener en cuenta que Macie no puede analizar partes de objetos para detectar datos confidenciales. Amazon S3 primero debe terminar de ensamblar las partes en uno o más objetos para que Macie los analice. Para obtener información sobre las cargas multiparte y las partes de objetos, incluido cómo eliminar partes automáticamente según las reglas del ciclo de vida, consulte Carga y copia de objetos mediante la carga multiparte en la Guía del usuario de Amazon Simple Storage Service. Para identificar los buckets que contienen partes de objetos, puede consultar las métricas de carga multiparte incompleta en Lente de almacenamiento de Amazon S3. Para obtener más información, consulte Evaluación de la actividad y el uso en la Guía del usuario de Amazon Simple Storage Service.

Para garantizar la precisión de los datos a nivel de bucket de su inventario, Macie supervisa y analiza determinados eventos AWS CloudTrail que pueden producirse en los datos de Amazon S3. Si se produce un evento relevante, Macie actualiza los datos de inventario correspondientes.

Por ejemplo, si habilita la configuración de bloqueo de acceso público para un bucket, Macie actualiza todos los datos sobre la configuración de acceso público del bucket. Del mismo modo, si añades o actualizas la política de cubos de un lote, Macie analiza la política y actualiza los datos correspondientes de tu inventario.

Si Macie determina que un evento reduce la seguridad o la privacidad de un depósito, Macie también crea una declaración de política para que la revises y la corrijas según sea necesario.

Macie monitorea y analiza los datos de los siguientes eventos: CloudTrail

No puede habilitar la supervisión de CloudTrail eventos adicionales ni deshabilitar la supervisión de ninguno de los eventos anteriores. Para obtener información detallada sobre las operaciones correspondientes de los eventos anteriores, consulte Referencia de la API de Amazon Simple Storage Service.

Para evaluar la seguridad y el control de acceso a nivel de bucket, Macie utiliza un razonamiento automatizado y basado en la lógica para analizar las políticas basadas en los recursos que se aplican a un bucket. Macie también analiza la configuración de permisos a nivel de cuenta y de bucket que se aplica a un bucket. Este análisis tiene en cuenta las políticas de los grupos y los ajustes de acceso público a nivel ACLs de grupo y bloquea el acceso público a la cuenta y al grupo.

Para las políticas basadas en recursos, Macie utiliza Zelkova. Zelkova es un motor de razonamiento automatizado que traduce las políticas AWS Identity and Access Management (IAM) en enunciados lógicos y utiliza un conjunto de soluciones lógicas especializadas y de uso general (teorías del módulo de satisfactibilidad) para resolver el problema de decisión. Para obtener más información sobre la naturaleza de los solucionadores que utiliza Zelkova, consulte Teorías de los módulos de satisfactibilidad.

Macie aplica Zelkova repetidamente a una política basada en los recursos, utilizando consultas cada vez más específicas para caracterizar las clases de comportamientos que permite la política. El análisis está diseñado para identificar los posibles riesgos de seguridad para sus datos de Amazon S3 y minimizar los falsos negativos. No incluye políticas de AWS Organizations autorización que definan los permisos máximos disponibles para los recursos de su organización, como las políticas de control de servicios (SCPs) o las políticas de control de recursos (RCPs). Tampoco incluye políticas clave para los asociados AWS KMS keys. Por ejemplo, si una política de bucket utiliza la clave condicionada s3: x-amz-server-side - encryption-aws-kms-key -id para restringir el acceso de escritura al bucket, Macie no analiza la política de claves para la clave especificada. Esto significa que Macie podría informar de que el depósito es de acceso público, en función de otros componentes de la política del depósito y de la configuración de permisos de Amazon S3 que se apliquen al depósito.

Además, cuando Macie evalúa la seguridad y la privacidad de un bucket, no examina los registros de acceso ni analiza los usuarios, las funciones y otras configuraciones relevantes de las cuentas. En su lugar, Macie analiza los datos e informa sobre los ajustes clave que indican posibles riesgos de seguridad. Por ejemplo, si el resultado de una política indica que un bucket es de acceso público, no significa necesariamente que una entidad externa haya accedido al bucket. Del mismo modo, si una conclusión de una política indica que un bucket se comparte con una Cuenta de AWS persona ajena a su organización, Macie no intentará determinar si este acceso es previsto y seguro. Por el contrario, estos resultados indican que una entidad externa podría acceder a los datos del bucket, lo que podría suponer un riesgo de seguridad imprevisto.

Si Macie informa de que una entidad externa podría acceder a un bucket de S3, le recomendamos que revise la política y la configuración del bucket para determinar si este acceso está previsto y es seguro. Si procede, revise también las políticas y la configuración de los recursos asociados AWS KMS keys, como las políticas de AWS Organizations autorización de su organización.