S3 Object Lock: wat is het en hoe biedt het bescherming tegen ransomware

S3 Object Lock: wat is het en hoe biedt het bescherming tegen ransomware

Het aantal ransomwareaanvallen neemt snel toe (met meer dan 400% in 2020) en de kosten van deze aanvallen kunnen hoog oplopen. Veel bedrijven maken zich dan ook terecht zorgen over hoe ze zich tegen die ransomwarebedreigingen kunnen beschermen.

Een eenvoudige stap die veel bedrijven kunnen nemen om zichzelf te beschermen tegen ransomware, is de implementatie van S3 Object Lock op hun AWS S3-objectopslag.

Dit artikel biedt u inzicht in:

• Wat is S3 Object Lock?
• Hoe werkt het?
• Waarom kunt u het maar beter gebruiken?
• Vijf manieren waarop S3 Object Lock bescherming biedt tegen ransomwareaanvallen

Wat Is S3 Object Lock?

S3 Object Lock is een functie in Amazon S3 waarmee gebruikers en bedrijven bestanden op een zeer veilige, fraudebestendige manier kunnen opslaan. Het wordt gebruikt voor situaties waarin bedrijven moeten kunnen bewijzen dat gegevens niet zijn gewijzigd of vernietigd nadat ze zijn geschreven, en het is gebaseerd op een model dat bekendstaat als Write Once, Read Many (WORM).

Veel bedrijven vertrouwen op S3 Object Lock en WORM wanneer ze regelnaleving moeten kunnen aantonen of als ze een onveranderlijke permanente kopie van gegevens wensen voor controle- of archiveringsdoeleinden.

Hoe werkt S3-opslag?

Hoe werkt S3-opslag nu eigenlijk? Houd er ten eerste rekening mee dat het deel uitmaakt van de objectopslagbenadering voor het opslaan van grote hoeveelheden vaak ongestructureerde gegevens, waarbij inhoud is georganiseerd in buckets van verschillende grootte, maar niet beperkt is tot blokopslag met een vaste grootte of opslagsystemen met bestandshiërarchie. Het is niet van toepassing op die andere methoden.

De specifieke werking van S3 Object Lock is complex en kent vele facetten. In de secties hieronder splitsen we het proces op.

S3 Object Lock: functionaliteit

Objectopslag wordt minder goed begrepen dan opslagsystemen met bestandshiërarchie (die we allemaal op onze persoonlijke apparaten gebruiken) en blokopslag (wat al een tijdje een standaard voor bedrijfsopslag is). Daarom loont het de moeite om de functionaliteit van S3 Object Lock eerst op een algemeen niveau te bekijken alvorens er dieper op in te gaan.

De functionaliteit van S3 Object Lock draait om het fraudebestendig houden van objecten, hetzij voor een bepaalde periode (retentie) of voor onbepaalde tijd totdat u de vergrendeling opheft (wettelijke bewaring). Aangezien bij objectopslag gegevens worden georganiseerd in buckets met gedeelde metagegevens, is S3 Object Lock dus het eenvoudigst te implementeren op bucketniveau. In S3-omgevingen met S3 Object Lock kunnen gebruikers buckets maken waarbij S3 Object Lock voor de gehele bucket wordt ingeschakeld.

Gebruikers kunnen vervolgens bewaarinstellingen definiëren voor de bucket. Een financiële dienstverlener kan bijvoorbeeld een bewaartermijn van zeven jaar instellen, op basis van klantovereenkomsten of auditvereisten. Zodra de objectvergrendeling is ingesteld, kunnen de gegevens zeven jaar lang niet worden verwijderd, herschreven of gewijzigd. Nadat de bewaarperiode is verstreken, kunnen de gegevens worden verwijderd of overschreven.

In sommige situaties willen zakelijke gebruikers niet dat er een vervaldatum wordt toegepast op bepaalde objecten. Het instellen van een onbepaalde bewaartermijn, of wettelijke bewaring, voorkomt dat het object voor onbepaalde tijd wordt verwijderd of overschreven totdat de klant de bewaarplicht expliciet opheft.

Hoewel bewaarinstellingen toepassen op een volledige bucket de meest eenvoudige toepassing is, is het in veel scenario's niet de ideale methode. Amazon S3 Object Lock biedt gebruikers de mogelijkheid om bewaarinstellingen te definiëren en toe te passen op object- en bucketniveau. Diezelfde financiële dienstverlener zou ook kunnen instellen dat sommige records vijf jaar moeten worden bewaard, andere zeven jaar en andere voor onbepaalde tijd, en al die records samen in één bucket bewaren.

Op dit moment zijn retentie-instellingen op objectniveau exclusief voor Amazon S3-omgevingen.

S3 Object Lock: beveiligingsmodi

S3 Object Lock omvat twee beschermingsniveaus, die beide kunnen worden gekozen als onderdeel van de bewaartermijn of het proces voor wettelijke bewaring. Elk object en elke bucket waarvoor S3 Object Lock is ingeschakeld, biedt de keuze uit twee retentiemodi: Governance Mode en Compliance Mode.

Bewaarinstellingen voor beide modi kunnen als volgt worden ingesteld:

• “Retain-until-date” – geeft de datum aan waarop het object niet langer wordt beschermd.
• Een “wettelijke bewaring” van het type AAN/UIT.

Waarom kunt u maar beter S3 Object Lock gebruiken?

Het gebruik van S3 Object Lock is ongetwijfeld een goed idee voor de meeste bedrijven. Zeker om deze redenen:

• Bestanden beschermen tegen onbedoeld wissen: objecten en bestanden met een objectvergrendeling kunnen letterlijk niet worden verwijderd — niet opzettelijk, noch per ongeluk.
• Voorkom knoeien met gevoelige bestanden: sommige bestanden moeten, zelfs als naleving geen rol speelt, veilig en fraudebestendig blijven. Bestanden die bijvoorbeeld bewijsmateriaal kunnen zijn of bij een audit kunnen worden gebruikt, hebben baat bij objectvergrendelingen, zodat hun integriteit niet in vraag wordt gesteld.
• Naleving aantonen: in sectoren met nalevingsoverwegingen (medisch, financieel, e.d.), dienen objectvergrendelingen op nalevingsniveau als bewijs van naleving.
• Bescherming tegen ransomware: als dreigingsactoren uw bestanden niet fysiek kunnen vernietigen, zijn hun ransomwarebedreigingen vrijwel zinloos.

Expert aanbevolen: de meeste professionals op het gebied van gegevensbeveiliging raden S3 Object Lock aan als een beschermende maatregel voor cruciale gegevens.

Hoe biedt S3 Object Lock bescherming tegen ransomwareaanvallen?

Objectvergrendeling is een uitstekende verdediging tegen ransomwareaanvallen. Overweeg deze zes manieren waarop S3 Object Lock uw bedrijf tegen deze bedreiging beschermt.

Kampt u al met de nasleep van een ransomwareaanval? Ontdek meer over cloudgebaseerd noodherstel.

Compatibel met aanvullende opslagservices voor extra bescherming

S3 Object Lock is een AWS-specifieke implementatie, maar is compatibel met aanvullende opslagservices, waaronder Object Storage-as-a-Service van Seagate Lyve Cloud. Door uw gegevens te diversifiëren over meerdere platforms, ervaart u extra bescherming in scenario's voor noodherstel en ransomware.

Gegevens die door S3 Object Lock worden beschermd, kunnen niet worden gewijzigd

Omdat gegevens die door S3 Object Lock worden beschermd niet kunnen worden gewijzigd, kunnen bedreigingsactoren niet dreigen de gegevens te wijzigen of te vernietigen. Zelfs als ze toegang krijgen, is de schade die ze kunnen aanrichten beperkt tot toegang tot en mogelijk verspreiden van informatie.

WORM biedt extra bescherming

Het WORM-model is de onderliggende reden dat gegevens die worden beschermd door S3 Object Lock niet kunnen worden bewerkt, herschreven, verwijderd of anderszins beschadigd. WORM is een functionaliteit van LTO-tapes, en is vergelijkbaar met het oude 'air gap'-concept, waarbij fysieke back-uptapes op een andere locatie werden ondergebracht, zodat ze niet toegankelijk waren of beschadigd konden worden.

WORM neemt in wezen dat concept over en maakt het digitaal. Hoe ernstig een aanval ook is, bedrijven kunnen gegevens die in het WORM-model zijn opgeslagen gewoon ophalen en opnieuw beginnen.

Onbevoegde gebruikers kunnen niet met gegevens knoeien

Interne bedreigingen, bewust of onopzettelijk, zijn een andere bron van zorg voor veel bedrijven. Of de onbevoegde gebruiker nu een onderdeel van uw organisatie is of een externe bedreiging, knoeien met gegevens is simpelweg niet mogelijk zonder speciale machtigingen (in Governance Mode) of helemaal niet (in Compliance Mode).

Vervangt tapes en haalt gegevens op

S3 Object Lock maakt LTO-tape en 'air-gapped' back-ups irrelevant door onveranderlijke gegevens over de cloud te distribueren. Het opslaan en ophalen van gegevens vindt beide plaats via de cloud, waardoor dure tapeoplossingen overbodig zijn.

Biedt extra ondersteuning voor het noodherstelplan van uw bedrijf

S3 Object Lock vervangt het noodherstelplan van uw bedrijf niet, maar voegt er wel een bescherming aan toe. Door u een extra laag onveranderlijke objectopslag te geven, beschikt u over een extra locatie om gegevens uit op te halen als u uw noodherstelplan moet uitvoeren.

Wilt u meer weten over cloudopslag voor bedrijven? Lees dan onze gids voor back-upuitdagingen.