Amazon Macieによる機密データ検出を理解する
Amazon MacieでS3内の機密データを見つけ、公開設定等のリスクを把握する方法を学びます。検出対象の条件と所見の意味を押さえ、発見した情報を適切な保護へつなげます。
この単元で学ぶこと
- Macieの機密データ発見とバケット評価を説明する
- 識別子・ジョブ・サンプリングの範囲を区別する
- 検出の限界と利用者に必要な対応を判断する
本文解説
1. 何が保存されているかを知る Macieは機械学習やパターン照合等でS3内の機密データを発見します。個人情報、財務情報、認証情報等を含むデータがどこにあるかを理解する助けになります。ファイルが悪意あるプログラムかを調べるマルウェア検出とは、調べる性質が異なります。
2. バケットの状態を把握する S3の汎用バケットの一覧と、公開・共有・暗号化等に関する情報を把握できます。Macieはバケットの安全性やプライバシーの問題に関するポリシー所見も生成します。内容に機密データがあるという所見と、設定の問題に関する所見を区別して読みます。
3. マネージド識別子 AWSが用意する検出基準をマネージドデータ識別子と呼びます。対応する個人情報等を見つけるのに利用します。ただし自社独自のコード体系が標準の基準に当てはまるとは限りません。何を検出したいのかを整理して識別子の範囲を確認します。
4. カスタム識別子 独自の社員番号等を見つけたい場合、正規表現や必要に応じて周辺のキーワード等を使うカスタムデータ識別子を作れます。例えば特定の桁数だけで判断すると一般の番号も一致し得るため、業務上の表記や文脈を確かめます。作成しただけでなく対象の分析に利用する設定も確認します。
5. 二つの分析方法 自動機密データ検出はS3の一覧から代表的なオブジェクトをサンプリングして分析し、広く状況を把握します。検出ジョブは対象バケット、分析の深さ、条件を指定して実施し、単発または定期の実行を選べます。代表の抽出を全オブジェクトの全件検査とはみなしません。
6. 対応するデータを確認 分析には対象の保存クラスやファイル形式、アクセス等の条件があります。現在の公式資料では汎用バケット内の対応する形式を扱い、画像・音声・動画の内容の分析は対象ではありません。未対応や取得できないオブジェクトを、機密データなしと同じ分類にしないようにします。
7. 見つかった後の対応 機密データの所見があることは、それが漏えいしたと確定した意味でも、自動で削除・暗号化された意味でもありません。必要な保管か、アクセス権は適切か、業務上どう保護するかを確認します。通知や対応はEventBridgeやSecurity Hub CSPMとの連携で運用へつなげられます。
8. 結果の範囲を説明 誰がどの情報をどの条件で分析したかを記録します。サンプルで所見がなくても未分析の情報までは断定できません。個人情報を検出したら利用者が分類と保護を判断し、アクセス設定等を見直して確認します。自動発見は自社のデータ管理責任を支える手段です。
図解
重要ポイント
- 機密情報の内容とバケット設定の両方を把握する。
- 独自の形式にはカスタム識別子を検討する。
- 未分析と検出なしを区別する。
間違えやすい点
- 機密情報をマルウェアと同じ意味で扱う。
- サンプリング結果を全件検査として報告する。
用語解説
- 機密データ
- 個人情報や認証情報等、適切な保護が必要な情報。
- マネージドデータ識別子
- AWSが提供する機密データの検出基準。
- カスタムデータ識別子
- 正規表現や関連キーワード等で利用者が定める検出基準。
- サンプリング
- 全体から一部を選び分析すること。
関連教材
参考資料
教材データに登録された参考リンクです。リンク先の内容や更新日は提供元でご確認ください。
確認問題の出題・採点や学習履歴の保存にはログインが必要です。