Filtrar el inventario del bucket de S3 con Amazon Macie

Para identificar los buckets que tienen características específicas y centrarse en ellos, puede filtrar el inventario de buckets de S3 en la consola de Amazon Macie y en las consultas que envíe mediante programación a través de la API de Amazon Macie. Al crear un filtro, utiliza atributos de bucket específicos para definir los criterios para incluir o excluir los buckets de una vista o de los resultados de una consulta. Un atributo de bucket es un campo que almacena metadatos específicos para un bucket.

En Macie, un filtro consta de una o más condiciones. Cada condición, también denominada criterio, consta de tres partes:

La forma en que defina y aplique las condiciones de filtrado depende de si utiliza la consola de Amazon Macie o la API de Amazon Macie.

Filtrar su inventario en la consola de Amazon Macie

Si utiliza la consola de Amazon Macie para filtrar el inventario de buckets de S3, Macie ofrece opciones que le ayudan a elegir campos, operadores y valores para condiciones individuales. Para acceder a estas opciones, utilice el cuadro de filtro de la página Buckets de S3, como se muestra en la siguiente imagen.

Al colocar el cursor en el cuadro de filtrado, Macie muestra una lista de campos que puede utilizar en las condiciones de filtrado. Los campos están organizados por categorías lógicas. Por ejemplo, la categoría Campos comunes incluye campos que almacenan información general sobre un bucket de S3. Las categorías de Acceso público incluyen campos que almacenan datos sobre los distintos tipos de configuraciones de acceso público que se pueden aplicar a un bucket. Los campos se ordenan alfabéticamente dentro de cada categoría.

Para añadir una condición, comience por elegir un campo de la lista. Para buscar un campo, navegue por la lista completa o introduzca parte del nombre del campo para reducir la lista de campos.

Dependiendo del campo que elija, Macie muestra diferentes opciones. Las opciones reflejan el tipo y la naturaleza del campo que elija. Por ejemplo, si elige el campo Acceso compartido, Macie mostrará una lista de valores entre los que elegir. Si selecciona el campo Nombre del bucket, Macie mostrará un cuadro de texto en el que podrá introducir el nombre del bucket de S3. Sea cual sea el campo que elija, Macie le guiará por los pasos necesarios para añadir una condición que incluya los ajustes necesarios para el campo.

Tras añadir una condición, Macie aplica los criterios de la condición y la añade a un token de filtro en el cuadro de filtrado, como se muestra en la imagen siguiente.

En este ejemplo, la condición está configurada para incluir todos los buckets a los que se puede acceder públicamente y para excluir todos los demás buckets. Devuelve los buckets en los que el valor del campo de Permiso efectivo es igual a Público.

A medida que añada más condiciones, Macie aplicará sus criterios y los mostrará debajo del cuadro de filtrado. Si añade varias condiciones, Macie utiliza la lógica AND (Y) para unir las condiciones y evaluar los criterios de filtrado. Esto significa que un bucket de S3 coincide con los criterios de filtrado solo si coincide con todas las condiciones en el filtro. Puede consultar el área debajo del cuadro de filtrado en cualquier momento para determinar qué criterios has aplicado.

Filtrar el inventario mediante programación con la API Amazon Macie

Para filtrar su inventario de buckets de S3 mediante programación, especifique los criterios de filtrado en las consultas que envíe mediante la DescribeBucketsoperación de la API Amazon Macie. Esta operación devuelve una matriz de objetos. Cada objeto contiene datos estadísticos y otra información sobre un bucket que coincide con los criterios de filtrado.

Para especificar los criterios de filtrado en una consulta, incluya una asignación de las condiciones del filtrado en la solicitud. Para cada condición debe especificar un campo, un operador y uno o varios valores para el campo. El tipo y el número de valores dependen del campo y el operador que elija. Para obtener información sobre los campos, los operadores y los tipos de valores que puede usar en una condición, consulte Fuentes de datos de Amazon S3 en la Referencia de la API de Amazon Macie.

En los siguientes ejemplos, se muestra cómo especificar los criterios de filtrado en las consultas que se envían mediante AWS Command Line Interface (AWS CLI). También puede hacerlo utilizando una versión actual de otra herramienta de línea de AWS comandos o un AWS SDK, o enviando las solicitudes HTTPS directamente a Macie. Para obtener más información sobre AWS las herramientas y los SDK, consulte Herramientas sobre las que construir. AWS

Los ejemplos utilizan el comando describe-buckets. Si un ejemplo se ejecuta correctamente, Macie devuelve una matriz buckets. La matriz contiene un objeto para cada depósito que se encuentra en el bloque actual Región de AWS y que coincide con los criterios del filtro. Para ver un ejemplo de esta salida, amplíe la siguiente sección.

{
    "buckets": [
        {
            "accountId": "123456789012",
            "allowsUnencryptedObjectUploads": "FALSE",
            "automatedDiscoveryMonitoringStatus": "MONITORED", 
            "bucketArn": "arn:aws:s3:::DOC-EXAMPLE-BUCKET1",
            "bucketCreatedAt": "2020-05-18T19:54:00+00:00",
            "bucketName": "DOC-EXAMPLE-BUCKET1",
            "classifiableObjectCount": 13,
            "classifiableSizeInBytes": 1592088,
            "jobDetails": {
                "isDefinedInJob": "TRUE",
                "isMonitoredByJob": "TRUE",
                "lastJobId": "08c81dc4a2f3377fae45c9ddaexample",
                "lastJobRunTime": "2024-05-26T14:55:30.270000+00:00"
            },
            "lastAutomatedDiscoveryTime": "2024-06-07T19:11:25.364000+00:00",
            "lastUpdated": "2024-06-12T07:33:06.337000+00:00",
            "objectCount": 13,
            "objectCountByEncryptionType": {
                "customerManaged": 0,
                "kmsManaged": 2,
                "s3Managed": 7,
                "unencrypted": 4,
                "unknown": 0
            },
            "publicAccess": {
                "effectivePermission": "NOT_PUBLIC",
                "permissionConfiguration": {
                    "accountLevelPermissions": {
                        "blockPublicAccess": {
                            "blockPublicAcls": true,
                            "blockPublicPolicy": true,
                            "ignorePublicAcls": true,
                            "restrictPublicBuckets": true
                        }
                    },
                    "bucketLevelPermissions": {
                        "accessControlList": {
                            "allowsPublicReadAccess": false,
                            "allowsPublicWriteAccess": false
                        },
                        "blockPublicAccess": {
                            "blockPublicAcls": true,
                            "blockPublicPolicy": true,
                            "ignorePublicAcls": true,
                            "restrictPublicBuckets": true
                        },
                        "bucketPolicy": {
                            "allowsPublicReadAccess": false,
                            "allowsPublicWriteAccess": false
                        }
                    }
                }
            },
            "region": "us-east-1",
            "replicationDetails": {
                "replicated": false,
                "replicatedExternally": false,
                "replicationAccounts": []
            },
            "sensitivityScore": 78,
            "serverSideEncryption": {
                "kmsMasterKeyId": null,
                "type": "NONE"
            },
            "sharedAccess": "NOT_SHARED",
            "sizeInBytes": 4549746,
            "sizeInBytesCompressed": 0,
            "tags": [
                {
                    "key": "Division",
                    "value": "HR"
                },
                {
                    "key": "Team",
                    "value": "Recruiting"
                }
            ],
            "unclassifiableObjectCount": {
                "fileType": 0,
                "storageClass": 0,
                "total": 0
            },
            "unclassifiableObjectSizeInBytes": {
                "fileType": 0,
                "storageClass": 0,
                "total": 0
            },
            "versioning": true
        },
        {
            "accountId": "123456789012",
            "allowsUnencryptedObjectUploads": "TRUE",
            "automatedDiscoveryMonitoringStatus": "MONITORED",
            "bucketArn": "arn:aws:s3:::DOC-EXAMPLE-BUCKET2",
            "bucketCreatedAt": "2020-11-25T18:24:38+00:00",
            "bucketName": "DOC-EXAMPLE-BUCKET2",
            "classifiableObjectCount": 8,
            "classifiableSizeInBytes": 133810,
            "jobDetails": {
                "isDefinedInJob": "TRUE",
                "isMonitoredByJob": "FALSE",
                "lastJobId": "188d4f6044d621771ef7d65f2example",
                "lastJobRunTime": "2024-04-09T19:37:11.511000+00:00"
            },
            "lastAutomatedDiscoveryTime": "2024-06-07T19:11:25.364000+00:00",
            "lastUpdated": "2024-06-12T07:33:06.337000+00:00",
            "objectCount": 8,
            "objectCountByEncryptionType": {
                "customerManaged": 0,
                "kmsManaged": 0,
                "s3Managed": 8,
                "unencrypted": 0,
                "unknown": 0
            },
            "publicAccess": {
                "effectivePermission": "NOT_PUBLIC",
                "permissionConfiguration": {
                    "accountLevelPermissions": {
                        "blockPublicAccess": {
                            "blockPublicAcls": true,
                            "blockPublicPolicy": true,
                            "ignorePublicAcls": true,
                            "restrictPublicBuckets": true
                        }
                    },
                    "bucketLevelPermissions": {
                        "accessControlList": {
                            "allowsPublicReadAccess": false,
                            "allowsPublicWriteAccess": false
                        },
                        "blockPublicAccess": {
                            "blockPublicAcls": true,
                            "blockPublicPolicy": true,
                            "ignorePublicAcls": true,
                            "restrictPublicBuckets": true
                        },
                        "bucketPolicy": {
                            "allowsPublicReadAccess": false,
                            "allowsPublicWriteAccess": false
                        }
                    }
                }
            },
            "region": "us-east-1",
            "replicationDetails": {
                "replicated": false,
                "replicatedExternally": false,
                "replicationAccounts": []
            },
            "sensitivityScore": 95,
            "serverSideEncryption": {
                "kmsMasterKeyId": null,
                "type": "AES256"
            },
            "sharedAccess": "EXTERNAL",
            "sizeInBytes": 175978,
            "sizeInBytesCompressed": 0,
            "tags": [
                {
                    "key": "Division",
                    "value": "HR"
                },
                {
                    "key": "Team",
                    "value": "Recruiting"
                }
            ],
            "unclassifiableObjectCount": {
                "fileType": 3,
                "storageClass": 0,
                "total": 3
            },
            "unclassifiableObjectSizeInBytes": {
                "fileType": 2999826,
                "storageClass": 0,
                "total": 2999826
            },
            "versioning": true
        }
    ]
}

Si ningún bucket coincide con los criterios de filtrado, Macie devuelve una matriz buckets vacía.

{
    "buckets": []
}

Ejemplo 1: buscar buckets por nombre de bucket

En este ejemplo, se utiliza el comando describe-buckets para consultar los metadatos de todos los depósitos cuyos nombres comiencen por my-S3 y estén en el valor actual. Región de AWS

Para Linux, macOS o Unix:

$ aws macie2 describe-buckets --criteria '{"bucketName":{"prefix":"my-S3"}}'

Para Microsoft Windows:

C:\> aws macie2 describe-buckets --criteria={\"bucketName\":{\"prefix\":\"my-S3\"}}

Donde:

Ejemplo 2: buscar buckets que sean de acceso público

En este ejemplo, se utiliza el comando describe-buckets para consultar los metadatos de los depósitos que están en el estado actual Región de AWS y que, en función de una combinación de configuraciones de permisos, son de acceso público.

Para Linux, macOS o Unix:

$ aws macie2 describe-buckets --criteria '{"publicAccess.effectivePermission":{"eq":["PUBLIC"]}}'

Para Microsoft Windows:

C:\> aws macie2 describe-buckets --criteria={\"publicAccess.effectivePermission\":{\"eq\":[\"PUBLIC\"]}}

Donde:

Ejemplo 3: busca depósitos que almacenen objetos no cifrados

En este ejemplo, se utiliza el comando describe-buckets para consultar los metadatos de los depósitos que se encuentran en la versión actual y que almacenan objetos no cifrados. Región de AWS

Para Linux, macOS o Unix:

$ aws macie2 describe-buckets --criteria '{"objectCountByEncryptionType.unencrypted":{"gte":1}}'

Para Microsoft Windows:

C:\> aws macie2 describe-buckets --criteria={\"objectCountByEncryptionType.unencrypted\":{\"gte\":1}}

Donde:

Ejemplo 4: buscar buckets que no estén supervisados por un trabajo

En este ejemplo, se utiliza el comando describe-buckets para consultar los metadatos de los depósitos que están en el estado actual Región de AWS y que no están asociados a ningún trabajo periódico de descubrimiento de datos confidenciales.

Para Linux, macOS o Unix:

$ aws macie2 describe-buckets --criteria '{"jobDetails.isMonitoredByJob":{"eq":["FALSE"]}}'

Para Microsoft Windows:

C:\> aws macie2 describe-buckets --criteria={\"jobDetails.isMonitoredByJob\":{\"eq\":[\"FALSE\"]}}

Donde:

Ejemplo 5: buscar buckets que repliquen datos en cuentas externas

En este ejemplo, se utiliza el comando describe-buckets para consultar los metadatos de los depósitos que están en el estado actual Región de AWS y que están configurados para replicar objetos en otros Cuenta de AWS que no forman parte de la organización.

Para Linux, macOS o Unix:

$ aws macie2 describe-buckets --criteria '{"replicationDetails.replicatedExternally":{"eq":["true"]}}'

Para Microsoft Windows:

C:\> aws macie2 describe-buckets --criteria={\"replicationDetails.replicatedExternally\":{\"eq\":[\"true\"]}}

Donde:

Ejemplo 6: bucar buckets en función de varios criterios

En este ejemplo, se utiliza el comando describe-buckets para consultar los metadatos de los depósitos que están en el estado actual Región de AWS y que cumplen los siguientes criterios: son de acceso público en función de una combinación de configuraciones de permisos, almacenan objetos no cifrados y no están asociados a ningún trabajo periódico de descubrimiento de datos confidenciales.

Para Linux, macOS o Unix, utilice el carácter de barra invertida (\) de continuación de línea para mejorar la legibilidad:

$ aws macie2 describe-buckets \
--criteria '{"publicAccess.effectivePermission":{"eq":["PUBLIC"]},"objectCountByEncryptionType.unencrypted":{"gte":1},"jobDetails.isMonitoredByJob":{"eq":["FALSE"]}}'

Para Microsoft Windows, utilice el carácter de continuación de línea de intercalación (^) para mejorar la legibilidad:

C:\> aws macie2 describe-buckets ^
--criteria={\"publicAccess.effectivePermission\":{\"eq\":[\"PUBLIC\"]},\"objectCountByEncryptionType.unencrypted\":{\"gte\":1},\"jobDetails.isMonitoredByJob\":{\"eq\":[\"FALSE\"]}}

Donde: