Sicherheitslücken in S3-Buckets sind für viele Datenschutzverletzungen verantwortlich

Für diejenigen, die es nicht wissen: Ein Amazon S3-Bucket ist ein Simple Storage Service (S3), der von Amazon Web Services (AWS) - dem beliebtesten Cloud-Service der Welt - angeboten wird. S3-Buckets werden von einer Reihe bekannter Dienstanbieter wie Netflix, Tumblr und Reddit verwendet. Sie ermöglichen die Speicherung großer Datenmengen zu relativ geringen Kosten, bieten eine „Verfügbarkeit von 99,99 %“ und sind im Allgemeinen einfach zu verwalten. Allerdings waren schlecht konfigurierte S3-Buckets die Ursache für eine große Zahl von Datenschutzverletzungen.

Sunshine Behavioral Health, LLC - ein privates Netzwerk von Einrichtungen zur Behandlung von Drogen- und Alkoholabhängigkeit in Kalifornien, Texas und Colorado - wurde kürzlich Opfer eines Datenlecks mit falsch konfigurierten Amazon S3 Buckets. Es wurde berichtet, dass etwa 93.000 Patientenakten aus den Wiederherstellungseinrichtungen Monarch Shore, Chapters Capistrano und Willow Springs online durchgesickert sind. Obwohl dies nicht 93.000 einzelne Patienten darstellt, ist die Menge der offengelegten Daten immer noch riesig (und vermeidbar).

Sicher, wenn ein Unternehmen plant, sensible Daten in der Cloud zu speichern, könnten wir argumentieren, dass es in der Verantwortung liegt, sicherzustellen, dass es die Dokumentation gelesen und die Sicherheitseinstellungen genau geprüft hat, bevor es fortfährt. Viele haben jedoch auch argumentiert, dass Amazon es den Benutzern viel zu einfach gemacht hat, die Buckets falsch zu konfigurieren und so sensible Daten der Öffentlichkeit zugänglich zu machen. Ein häufiges Missverständnis bei der Konfiguration von S3-Buckets bezieht sich auf die Einstellung „Alle authentifizierten AWS-Benutzer“, was wörtlich bedeutet, dass jeder authentifizierte AWS-Benutzer auf die Daten im Bucket zugreifen kann. Viele gehen jedoch fälschlicherweise davon aus, dass dies nur für diejenigen gilt, die berechtigt sind, auf das mit dem Bucket verknüpfte Konto zuzugreifen. Selbst wenn der Benutzer über eine ACL verfügt, kann ein falsch konfigurierter Bucket dennoch dazu führen, dass Daten allen AWS-Benutzern und damit potenziell jedem offengelegt werden.

Angesichts der Beliebtheit von Amazon Web Services können wir davon ausgehen, dass sie alles getan haben, um dieses Problem anzugehen, oder? Nicht wirklich. Sie haben einige kleinere Verbesserungen vorgenommen, wie zum Beispiel eine bessere Kennzeichnung, Überwachung und Identitäts- und Zugriffsverwaltung (IAM). Allerdings sind die Buckets weiterhin standardmäßig für die Öffentlichkeit zugänglich und die S3-IAM-Richtlinien wurden kritisiert, weil sie selbst für erfahrene Benutzer zu kompliziert seien. Warum machen sie die Buckets nicht standardmäßig privat? Denn dadurch könnten bestehende Anwendungen für Zehntausende Kunden kaputt gehen. So wie es aussieht, müssen wir mit dem klarkommen, was wir haben.

Neben der sorgfältigen Überprüfung der Sicherheitseinstellungen Ihres S3-Buckets, einschließlich der Sicherstellung, dass der Schreibzugriff in der Gruppe „Jeder authentifizierte AWS-Benutzer“ deaktiviert ist, ist es von entscheidender Bedeutung, dass wir in der Lage sind, anomale Aktivitäten im Zusammenhang mit unserem zu erkennen, zu warnen und darauf zu reagieren S3-Eimer. Dazu gehört die Überwachung von Änderungen an Sicherheitseinstellungen und Zugriffskontrolllisten sowie die Überwachung des Zugriffs auf vertrauliche Dateien und Ordner. Es gibt verschiedene Lösungen von Drittanbietern, die eine Echtzeitprüfung von S3-Buckets ermöglichen.

Sie müssen außerdem sicherstellen, dass alle sensiblen Daten verschlüsselt werden. AWS bietet native serverseitige Verschlüsselungstools, die Daten automatisch verschlüsseln, während sie im Bucket gespeichert werden, und die Daten entschlüsseln, wenn sie heruntergeladen werden (vorausgesetzt, der Benutzer hat Zugriff auf den Entschlüsselungsschlüssel). Allerdings muss der Benutzer die Standardverschlüsselung entweder über das S3 SDK, die REST-API oder die Befehlszeilenschnittstelle (CLI) aktivieren, was einige technische Kenntnisse erfordert. Das Problem bei der serverseitigen Verschlüsselung besteht natürlich darin, dass Amazon Zugriff auf den Entschlüsselungsschlüssel hat, was für diejenigen, die hochsensible Daten speichern, ein Problem darstellen könnte. In einem solchen Szenario wäre es für den Benutzer besser, auch die clientseitige Verschlüsselung zu verwenden.

Wenn Sie sehen möchten, wie die Lepide Data Security Platform Ihnen bei der Prüfung von Änderungen an Ihren S3-Buckets helfen kann, um Datenschutzverletzungen zu vermeiden, vereinbaren Sie noch heute eine Demo mit einem unserer Techniker.