בעבר כתבנו על האופן שבו שימוש ברשימות תיוג יכול למנוע שגיאות תצורה , וזוהי פרקטיקה שימושית להגנה על נתונים. הצפנה היא אחת הפרקטיקות הבסיסיות ביותר בהגנה על נתונים מכיוון שהיא הופכת נתונים לבלתי קריאים אם הם אובדים, נגנבים או ניגשים אליהם בצורה לא הולמת. לכן, שגיאת תצורה משמעותית ב-AWS S3 אינה מאפשרת הצפנה בצד השרת, שכן הזנחתה עלולה להשאיר מידע סודי חשוף בטקסט רגיל.
הצפנת נתונים מגנה על נתונים במנוחה (נתונים המאוחסנים ב-S3) ועל נתונים בתהליך העברה (נתונים הנעים אל/מ-S3). ניתן להגן על נתונים בתהליך העברה באמצעות SSL/TLS, בעוד שניתן להגן על נתונים במנוחה באמצעות הצפנה בצד השרת או הצפנה בצד הלקוח.
הצפנה בצד הלקוח דורשת מהלקוח לנהל את תהליך ההצפנה, הכלים והמפתחות, דבר שיכול להיות גוזל זמן ויקר למדי עבור מנהלי IT, ולעתים קרובות מורכב מדי. כתוצאה מכך, רוב הארגונים מעדיפים הצפנה בצד השרת מכיוון שאמזון מנהלת את תהליכי הצפנת הנתונים שלהם לפני אחסונם ופענוחם כאשר משתמש מורשה ומאומת ניגש אליהם.
אמזון מציעה שלוש דרכים לפרוס הצפנה בצד השרת:
- מפתחות מנוהלים של Amazon S3 (SSE-S3) – אמזון מצפינה כל אובייקט באמצעות מפתח ייחודי של 256 סיביות בתקן הצפנה מתקדם (AES-256), ולאחר מכן מצפינה את המפתח באמצעות מפתח בסיס שמסתובב לעתים קרובות. אין תשלום נוסף עבור SSE-S3, מה שהופך אותו להצעה אטרקטיבית. ארגונים הדואגים לאבטחת מידע צריכים לאמץ הצעה בסיסית זו.
- מפתחות KMS המאוחסנים בשירות ניהול המפתחות של AWS (SSE-KMS) – KMS היא הצעה פרימיום של אמזון, המוסיפה מערכת ניהול מפתחות בעלות נוספת. פתרון זה אטרקטיבי יותר לארגונים בוגרים שצריכים להגדיר הרשאות גישה או לספק נתיב ביקורת לצורך תאימות.
- מפתחות המסופקים על ידי הלקוח (SSE-C) – בדומה להצפנה בצד הלקוח, מפתחות המסופקים על ידי הלקוח דורשים מהלקוח לנהל את מפתחות ההצפנה, אך אמזון עדיין מטפלת בהצפנת הנתונים. גישה מסוג זה עשויה להיות אטרקטיבית יותר עבור ארגונים בעלי מודעות לאבטחה שרוצים להימנע מלהניח את כל הביצים שלהם בסל אחד, אך היא תציג את אותן בעיות ניהול כמו הצפנה בצד הלקוח.
כל לקוח אמזון המשתמש ב-SSE-C צריך להיות בעל הבנה מעמיקה של קריפטוגרפיה יישומית, אחרת הוא עלול לסכן את נתוני הארגון שלו. אם הוא יתחבר באמצעות HTTP, אמזון תדחה את הבקשה, והמפתח שלו עלול להיחשף. גרוע מכך, אם הלקוח מאבד את מפתח ההצפנה שלו, הוא לא יוכל לגשת לנתונים. כתוצאה מכך, SSE-S3 או SSE-KMS עשויים להיות גישה נוחה יותר לניהול עבור רוב הארגונים.
ארגונים המשתמשים ב-SSE-S3 יכולים להשתמש במדיניות דלי כדי להצפין את כל האובייקטים בדלי או להשתמש ב-REST. API פקודות להצפנת אובייקטים ספציפיים. ישנן אפשרויות רבות מדי מכדי להסביר את כולן, לכן ארגונים צריכים לעיין בתיעוד של Amazon SSE-S3 . באופן דומה, SSE-KMS מציע פונקציונליות הצפנה דומה, כמו גם גמישות ובקרה (ועלויות) מתקדמות, לכן מומלץ לארגונים לעיין בתיעוד של Amazon SSE-KMS . אמזון אף מספקת ייעוץ כיצד לשמור על עלויות SSE-KMS נמוכות בעזרת מפתחות בודדים .
הימנע משגיאות תצורה נפוצות עם OPSWAT
כשמדובר בשגיאות תצורה נפוצות, כגון הפעלת הצפנה בצד השרת, ארגונים צריכים להשתמש ברשימות תיוג כדי לוודא שהם מיישמים שיטות עבודה מומלצות . אוטומציה של תהליך זה באמצעות טכנולוגיה יכולה לסייע במניעת שגיאות ידניות גוזלות זמן ויקרות.
חברת MetaDefender Storage Security משפרת את פתרון אבטחת אחסון הענן שלה עם רשימת בדיקה משולבת לאבטחה, כך שאנשי אבטחת סייבר יכולים להבטיח שאחסון הענן של הארגון שלהם לא מוגדר בצורה שגויה בעת הקצאתו, כולל שלבי הפיתוח והייצור של אחסון הענן.
הפעלת הצפנה בצד השרת היא פריט חשוב ברשימת הבדיקה MetaDefender Storage Security , אבל זה לא היחיד. בבלוגים עתידיים, נחקור שגיאות תצורה עיקריות אחרות להגנה על נתונים במנוחה.
צור קשר עם OPSWAT מומחה אבטחת סייבר כדי ללמוד עוד.
קראו את הבלוגים הקודמים בסדרה זו:
