Amazon Macie – Funktionen

Was ist Amazon Macie?

Amazon Macie ist ein Datensicherheitsdienst, der mithilfe von Machine Learning und Musterabgleich sensible Daten erkennt, Einblicke in Datensicherheitsrisiken bietet und Ihnen das Automatisieren des Schutzes vor diesen Risiken ermöglicht. Macie unterstützt Sie bei der Verwaltung des Sicherheitsstatus der Daten in Ihrer Amazon-S3-Umgebung, indem es fortlaufend die Sicherheits- und Zugriffskontrollen Ihrer S3-Buckets auswertet und Ergebnisse generiert, um Sie über entsprechende Probleme zu informieren. Dies können beispielsweise unverschlüsselte Buckets, öffentlich zugängliche Buckets oder Buckets, die für AWS-Konten außerhalb Ihrer Organisation freigegeben sind, sein. Macie erstellt dann automatisch Stichproben von den Objekten in Ihren S3-Buckets und analysiert diese, um zu prüfen, ob sie sensible Daten wie persönlich identifizierbare Informationen (PII) enthalten. Außerdem erstellt Macie eine interaktive Datenkarte, die aufzeigt, wo sich Ihre sensiblen Daten in S3 in den Konten befinden, und es wird eine Sensibilitätsbewertung für jeden Bucket generiert. Mithilfe der interaktiven Datenkarte können Sie bestimmen, welche S3-Buckets genauer untersucht werden sollten, indem Sie mit Macie gezielte Aufträge zur Erkennung sensibler Daten ausführen. Solche Aufträge können Ihnen dabei helfen, Vorschriften wie den Health Insurance Portability and Accountability Act (HIPAA) und die Datenschutz-Grundverordnung (DSGVO) einzuhalten. Alle von Macie generierten Ergebnisse werden an Amazon EventBridge gesendet und können auch auf AWS Security Hub veröffentlicht werden, um automatisierte Abhilfemaßnahmen wie das Sperren des öffentlichen Zugangs für Ihren S3-Speicher einzuleiten. Für Ihre ersten Schritte mit Macie können Sie die 30-tägige kostenlose Testversion nutzen, die die automatisierte Erkennung sensibler Daten und die Auswertung auf S3-Bucket-Ebene ermöglicht. Mit der kostenlosen Testversion können Sie sich außerdem ein Bild von den ungefähren Kosten machen, die für die Nutzung der kostenpflichtigen Version anfallen würden.

Page Topics

Wichtigste Funktionen

Wichtigste Funktionen

Amazon Macie beurteilt kontinuierlich Ihre Amazon-S3-Umgebung und stellt eine Zusammenfassung des Sicherheitsstatus der Daten für all Ihre Konten bereit. Sie können S3-Buckets nach Metadatenvariablen durchsuchen, filtern und sortieren, z. B. nach Bucket-Namen, Tags und Sicherheitskontrollen wie dem Verschlüsselungsstatus oder der öffentlichen Zugänglichkeit. Über alle unverschlüsselten Buckets, öffentlich zugänglichen Buckets oder für AWS-Konten freigegebenen Buckets außerhalb der von Ihnen in AWS Organizations definierten Buckets, können Sie benachrichtigt werden, um Maßnahmen ergreifen zu können. Macie erstellt dann automatisch Stichproben von den Objekten in Ihren S3-Buckets und analysiert diese, um zu prüfen, ob sie sensible Daten wie persönlich identifizierbare Informationen (PII) enthalten. Außerdem erstellt Macie eine interaktive Datenkarte, die aufzeigt, wo sich Ihre sensiblen Daten in S3 in den Konten befinden, und es wird eine Sensibilitätsbewertung für jeden Bucket generiert. Mithilfe der interaktiven Datenkarte können Sie bestimmen, welche S3-Buckets genauer untersucht werden sollten, indem Sie mit Macie gezielte Aufträge zur Erkennung sensibler Daten ausführen.

Mit Amazon Macie können Sie einmalige, tägliche, wöchentliche oder monatliche Aufgaben für die Erkennung vertraulicher Daten für alle Objekte oder eine Untergruppe an Objekten in einem Amazon-S3-Bucket ausführen. Für zielgerichtete Aufträge zur Erkennung sensibler Daten verfolgt Amazon Macie im Laufe der Zeit automatisch Änderungen am Bucket nach und beurteilt nur neue oder bearbeitete Objekte.

Von Amazon Macie wird eine wachsende Liste an vertraulichen Datentypen gepflegt, die gemäß Datenschutzbestimmungen wie DSGVO, PCI-DSS und HIPAA personenbezogene Daten (Personally Identifiable Information, PII) und andere vertrauliche Datentypen enthält. Diese Datentypen verwenden verschiedene Methoden zur Datenerkennung, darunter Machine Learning. Diese werden fortlaufend ergänzt und im Laufe der Zeit verbessert.

Amazon Macie stellt Ihnen die Möglichkeit zum Hinzufügen benutzerdefinierter Datentypen mithilfe von regulären Ausdrücken bereit, damit Macie proprietäre oder spezielle sensible Daten für Ihr Unternehmen erkennen kann.

Macie verringert die Anzahl an Warnungen und beschleunigt die Priorisierung durch die Zusammenfassung von Erkenntnissen nach Objekt oder Bucket. Anhand des Schweregrads werden die Erkenntnisse von Macie priorisiert und jedes Ergebnis enthält Details wie den vertraulichen Datentyp, Tags, die öffentliche Zugänglichkeit und den Verschlüsselungsstatus. Die Erkenntnisse werden für 30 Tage aufbewahrt und sind in der AWS-Managementkonsole oder über die API verfügbar. Die Details zur vollständigen Erkennung sensibler Daten werden automatisch in ein kundeneigenes S3-Bucket für Langzeitspeicherung geschrieben.

Macie bietet die Möglichkeit, bis zu 10 Beispiele für sensible Daten, die in S3 gefunden werden, durch eine Auswahl vorübergehend abzurufen. Mit dieser Funktion können Sie leichter sehen und verstehen, welche Inhalte eines S3-Objekts als sensibel identifiziert wurden, damit Sie diese Daten prüfen, validieren und bei Bedarf schnell Maßnahmen ergreifen können. Alle erfassten Beispiele für sensible Daten werden mit vom Kunden verwalteten AWS-KMS (AWS Key Management Service)-Schlüsseln verschlüsselt und sind nach dem Abrufen vorübergehend in der Macie-Konsole einsehbar.

Durch den Einsatz von Genehmigungslisten in Macie lässt sich das Alarmvolumen verringern, die aufgrund von Datentext oder -formaten in Ihrer Umgebung, die keine Aktionen erfordern, entstehen könnten. Mit einer Genehmigungsliste wird bestimmter Text oder ein Textmuster definiert, das Macie ignoriert, wenn es S3-Objekte auf sensible Daten hin untersucht. Wenn Text mit einem Eintrag oder Muster in einer Genehmigungsliste übereinstimmt, meldet Macie diesen Text nicht in den Ergebnissen für sensible Daten oder für die Erkennung sensibler Daten – selbst wenn der Text den Kriterien für eine verwaltete oder benutzerdefinierte Datenkennung entspricht.

In der Multi-Account-Konfiguration kann ein einzelnes Macie-Administratorkonto alle Mitgliederkonten verwalten. Dies umfasst u. a. die Erstellung und Verwaltung von kontenübergreifenden Aufgaben zur Erkennung vertraulicher Daten. Macie unterstützt mehrere Konten durch die AWS Organizations-Integration. Sicherheitserkenntnisse und Ergebnisse der Erkennung vertraulicher Daten werden im Macie-Administratorkonto zusammengefasst und an Amazon EventBridge gesendet. Dazu wird jetzt ein Konto verwendet, das Sie in die Ereignisverwaltungs-, Workflow- und Ticketing-Systeme integrieren können. Wahlweise können Sie auch Macie-Ergebnisse mit AWS Step Functions verwenden, um Korrekturmaßnahmen zu automatisieren.