# SEC08-BP03 Automatisieren des Schutzes von Daten im Ruhezustand
<a name="sec_protect_data_rest_automate_protection"></a>

 Nutzen Sie die Automatisierung, um Daten im Ruhezustand zu validieren und zu kontrollieren.  Nutzen Sie automatisierte Scans, um Fehlkonfigurationen Ihrer Datenspeicherlösungen zu erkennen, und führen Sie, wenn möglich, Abhilfemaßnahmen durch automatisierte programmatische Reaktionen durch.  Integrieren Sie die Automatisierung in Ihre CI/CD-Prozesse, um Fehlkonfigurationen des Datenspeichers zu erkennen, bevor sie in der Produktion bereitgestellt werden. 

 **Gewünschtes Ergebnis:** Automatisierte Systeme scannen und überwachen Datenspeicher auf Fehlkonfigurationen der Kontrollen, unbefugten Zugriff und unerwartete Nutzung.  Die Erkennung von falsch konfigurierten Speicherorten leitet automatische Abhilfemaßnahmen ein.  Automatisierte Prozesse erstellen Datensicherungen und speichern unveränderliche Kopien außerhalb der ursprünglichen Umgebung. 

 **Typische Anti-Muster:** 
+  Keine Berücksichtigung von Optionen zur Aktivierung der Verschlüsselung in den Standardeinstellungen, sofern unterstützt. 
+  Keine Berücksichtigung von Sicherheitsereignissen neben den betrieblichen Ereignissen bei der Formulierung einer automatisierten Backup- und Wiederherstellungsstrategie. 
+  Keine Durchsetzung der Einstellungen für den öffentlichen Zugriff auf Speicherservices. 
+  Keine Überwachung und Prüfung Ihrer Kontrollen zum Schutz von Daten im Ruhezustand. 

 **Vorteile der Einführung dieser bewährten Methode:** Die Automatisierung hilft, das Risiko einer Fehlkonfiguration Ihrer Datenspeicher zu vermeiden. Dieses Vorgehen hilft zu verhindern, dass Fehlkonfigurationen in Ihre Produktionsumgebungen gelangen. Diese bewährte Methode trägt außerdem dazu bei, Fehlkonfigurationen zu erkennen und zu beheben, falls sie auftreten.  

 **Risikostufe, wenn diese bewährte Methode nicht eingeführt wird:** mittel 

## Implementierungsleitfaden 
<a name="implementation-guidance"></a>

 Die Automatisierung zieht sich wie ein roter Faden durch die Praktiken zum Schutz Ihrer Daten im Ruhezustand. [SEC01-BP06 Automatisieren der Bereitstellung von Standard-Sicherheitskontrollen](https://docs.aws.amazon.com/wellarchitected/latest/framework/sec_securely_operate_automate_security_controls.html) beschreibt, wie Sie die Konfiguration Ihrer Ressourcen mithilfe von *Infrastructure as Code* (IaC)-Vorlagen erfassen können, z. B. mit [AWS CloudFormation](https://aws.amazon.com/cloudformation/).  Diese Vorlagen werden in ein Versionskontrollsystem übertragen und zur Bereitstellung von Ressourcen in AWS über eine CI/CD-Pipeline verwendet.  Diese Techniken gelten auch für die Automatisierung der Konfiguration Ihrer Datenspeicherlösungen, z. B. für die Verschlüsselungseinstellungen in Amazon S3-Buckets.   

 Sie können die Einstellungen, die Sie in Ihren IaC-Vorlagen definieren, mithilfe von Regeln in [AWS CloudFormation Guard](https://docs.aws.amazon.com/cfn-guard/latest/ug/what-is-guard.html) auf Fehlkonfigurationen in Ihren CI/CD-Pipelines überprüfen.  Sie können Einstellungen, die noch nicht in CloudFormation oder anderen IaC-Tools verfügbar sind, mit [AWS Config](https://aws.amazon.com/config/) auf Fehlkonfigurationen überwachen.  Warnungen, die Config für Fehlkonfigurationen erzeugt, können automatisch behoben werden, wie in [SEC04-BP04 Initiate remediation for non-compliant resources](https://docs.aws.amazon.com/wellarchitected/latest/framework/sec_detect_investigate_events_noncompliant_resources.html) beschrieben. 

 Der Einsatz von Automatisierung als Teil Ihrer Strategie zur Verwaltung von Berechtigungen ist ebenfalls ein wesentlicher Bestandteil des automatisierten Datenschutzes. [SEC03-BP02 Gewähren des Zugriffs mit den geringsten Berechtigungen](https://docs.aws.amazon.com/wellarchitected/latest/framework/sec_permissions_least_privileges.html) und [SEC03-BP04 Kontinuierliche Reduzierung der Berechtigungen](https://docs.aws.amazon.com/wellarchitected/latest/framework/sec_permissions_continuous_reduction.html) beschreiben die Konfiguration von Zugriffsrichtlinien mit geringsten Berechtigungen, die kontinuierlich vom [AWS Identity and Access Management Access Analyzer](https://aws.amazon.com/iam/access-analyzer/) überwacht werden, um Erkenntnisse zu generieren, wenn die Berechtigung reduziert werden kann.  Über die Automatisierung der Überwachung von Berechtigungen hinaus können Sie [Amazon GuardDuty](https://aws.amazon.com/guardduty/) konfigurieren, um auf anomales Datenzugriffsverhalten für Ihre [EBS-](https://docs.aws.amazon.com/guardduty/latest/ug/guardduty_finding-types-ec2.html)Volumes (über eine EC2-Instance), [S3-Buckets](https://docs.aws.amazon.com/guardduty/latest/ug/s3-protection.html) und unterstützte [Amazon Relational Database Service-Datenbanken](https://docs.aws.amazon.com/guardduty/latest/ug/rds-protection.html) zu achten. 

 Automatisierung spielt auch eine Rolle bei der Erkennung, wenn sensible Daten an nicht autorisierten Orten gespeichert sind. [SEC07-BP03 Automatisieren der Identifizierung und Klassifizierung](https://docs.aws.amazon.com/wellarchitected/latest/framework/sec_data_classification_auto_classification.html) beschreibt, wie [Amazon Macie](https://aws.amazon.com/macie/) Ihre S3-Buckets auf unerwartete sensible Daten überwachen und Warnungen generieren kann, die eine automatisierte Reaktion auslösen können. 

 Befolgen Sie die Praktiken in [REL09 Daten sichern](https://docs.aws.amazon.com/wellarchitected/latest/reliability-pillar/back-up-data.html), um eine automatisierte Datensicherungs- und Wiederherstellungsstrategie zu entwickeln. Datensicherung und -wiederherstellung sind für die Wiederherstellung nach Sicherheitsereignissen ebenso wichtig wie für betriebliche Ereignisse. 

### Implementierungsschritte
<a name="implementation-steps"></a>

1.  Erfassen Sie die Konfiguration des Datenspeichers in IaC-Vorlagen.  Verwenden Sie automatische Prüfungen in Ihren CI/CD-Pipelines, um Fehlkonfigurationen zu erkennen. 

   1.  Sie können <ulink type="marketing" url="cloudformation">&CFN;</ulink> für Ihre IaC-Vorlagen verwenden und [CloudFormation Guard](https://docs.aws.amazon.com/cfn-guard/latest/ug/what-is-guard.html) um Vorlagen auf Fehlkonfigurationen zu überprüfen. 

   1.  Verwenden Sie [AWS Config](https://aws.amazon.com/config/), um Regeln in einem proaktiven Bewertungsmodus auszuführen. Verwenden Sie diese Einstellung, um die Konformität einer Ressource als Schritt in Ihrer CI/CD-Pipeline zu prüfen, bevor Sie sie erstellen. 

1.  Überwachen Sie Ressourcen auf Fehlkonfigurationen des Datenspeichers. 

   1.  Legen Sie [AWS Config](https://aws.amazon.com/config/) fest, um Datenspeicher-Ressourcen auf Änderungen der Kontrollkonfigurationen zu überwachen und Warnungen zu generieren, um Abhilfemaßnahmen aufzurufen, wenn eine Fehlkonfiguration entdeckt wird. 

   1.  Weitere Hinweise zu automatischen Abhilfemaßnahmen finden Sie unter [SEC04-BP04 Initiieren von Abhilfemaßnahmen für nicht konforme Ressourcen](https://docs.aws.amazon.com/wellarchitected/latest/framework/sec_detect_investigate_events_noncompliant_resources.html). 

1.  Überwachen und reduzieren Sie die Datenzugriffsberechtigungen kontinuierlich durch Automatisierung. 

   1.  [IAM Access Analyzer](https://aws.amazon.com/iam/access-analyzer/) kann kontinuierlich ausgeführt werden, um Warnungen zu generieren, wenn die Berechtigungen möglicherweise reduziert werden können. 

1.  Überwachen Sie anomales Datenzugriffsverhalten und geben Sie entsprechende Warnmeldungen. 

   1.  [GuardDuty](https://aws.amazon.com/guardduty/) überwacht sowohl bekannte Bedrohungssignaturen als auch Abweichungen vom grundlegenden Zugriffsverhalten auf Datenspeicherressourcen wie EBS-Volumes, S3-Buckets und RDS-Datenbanken. 

1.  Überwachen Sie sensible Daten, die an unerwarteten Orten gespeichert sind, und geben Sie entsprechende Warnmeldungen. 

   1.  Verwenden Sie [Amazon Macie](https://aws.amazon.com/macie/), um Ihre S3-Buckets kontinuierlich auf sensible Daten zu überprüfen. 

1.  Automatisieren Sie sichere und verschlüsselte Backups Ihrer Daten. 

   1.  [AWS Backup](https://docs.aws.amazon.com/aws-backup/latest/devguide/whatisbackup.html) ist ein verwalteter Service, der verschlüsselte und sichere Backups von verschiedenen Datenquellen in AWS erstellt.  Mit [Elastic Disaster Recovery](https://aws.amazon.com/disaster-recovery/) können Sie komplette Workloads von Servern kopieren und einen kontinuierlichen Datenschutz mit einem in Sekunden gemessenen Recovery Point Objective (RPO) gewährleisten.  Sie können beide Services so konfigurieren, dass sie zusammenarbeiten, um die Erstellung von Datensicherungen und das Kopieren der Daten an Failover-Standorte zu automatisieren.  Dies kann dazu beitragen, dass Ihre Daten auch dann verfügbar bleiben, wenn sie durch betriebliche oder sicherheitsrelevante Ereignisse beeinträchtigt werden. 

## Ressourcen
<a name="resources"></a>

 **Zugehörige bewährte Methoden:** 
+  [SEC01-BP06 Automatisieren der Bereitstellung von Standard-Sicherheitskontrollen](https://docs.aws.amazon.com/wellarchitected/latest/framework/sec_securely_operate_automate_security_controls.html) 
+  [SEC03-BP02 Gewähren des Zugriffs mit den geringsten Berechtigungen](https://docs.aws.amazon.com/wellarchitected/latest/framework/sec_permissions_least_privileges.html) 
+  [SEC03-BP04 Kontinuierliche Reduzierung der Berechtigungen](https://docs.aws.amazon.com/wellarchitected/latest/framework/sec_permissions_continuous_reduction.html) 
+  [SEC04-BP04 Initiieren von Abhilfemaßnahmen für nicht konforme Ressourcen](https://docs.aws.amazon.com/wellarchitected/latest/framework/sec_detect_investigate_events_noncompliant_resources.html) 
+  [SEC07-BP03 Automatisieren der Identifizierung und Klassifizierung](https://docs.aws.amazon.com/wellarchitected/latest/framework/sec_data_classification_auto_classification.html) 
+  [REL09-BP02 Schützen und Verschlüsseln von Backups](https://docs.aws.amazon.com/wellarchitected/latest/reliability-pillar/rel_backing_up_data_secured_backups_data.html) 
+  [REL09-BP03 Automatische Daten-Backups](https://docs.aws.amazon.com/wellarchitected/latest/reliability-pillar/rel_backing_up_data_automated_backups_data.html) 

 **Zugehörige Dokumente:** 
+  [AWS Prescriptive Guidance: Automatically encrypt existing and new Amazon EBS volumes](https://docs.aws.amazon.com/prescriptive-guidance/latest/patterns/automatically-encrypt-existing-and-new-amazon-ebs-volumes.html) 
+  [Ransomware Risk Management on AWS Using the NIST Cyber Security Framework (CSF)](https://docs.aws.amazon.com/whitepapers/latest/ransomware-risk-management-on-aws-using-nist-csf/ransomware-risk-management-on-aws-using-nist-csf.html) 

 **Zugehörige Beispiele:** 
+  [How to use AWS Config proactive rules and AWS CloudFormation Hooks to prevent creation of noncompliant cloud resources](https://aws.amazon.com/blogs/mt/how-to-use-aws-config-proactive-rules-and-aws-cloudformation-hooks-to-prevent-creation-of-non-complaint-cloud-resources/) 
+  [Automate and centrally manage data protection for Amazon S3 with AWS Backup](https://aws.amazon.com/blogs/storage/automate-and-centrally-manage-data-protection-for-amazon-s3-with-aws-backup/) 
+  [AWS re:Invent 2023 – Implement proactive data protection using Amazon EBS snapshots](https://www.youtube.com/watch?v=d7C6XsUnmHc) 
+  [AWS re:Invent 2022 – Build and automate for resilience with modern data protection](https://www.youtube.com/watch?v=OkaGvr3xYNk) 

 **Zugehörige Tools:** 
+  [AWS CloudFormation Guard](https://docs.aws.amazon.com/cfn-guard/latest/ug/what-is-guard.html) 
+  [AWS CloudFormation Guard Rules Registry](https://github.com/aws-cloudformation/aws-guard-rules-registry) 
+  [IAM Access Analyzer](https://aws.amazon.com/iam/access-analyzer/) 
+  [Amazon Macie](https://aws.amazon.com/macie/) 
+  [AWS Backup](https://docs.aws.amazon.com/aws-backup/latest/devguide/whatisbackup.html) 
+  [Elastic Disaster Recovery](https://aws.amazon.com/disaster-recovery/)