Implementando o AWS Macie para Classificação de Dados

Visão Geral

O Amazon Macie é um serviço totalmente gerenciado de segurança e privacidade de dados que usa aprendizado de máquina e correspondência de padrões para descobrir e proteger dados confidenciais no Amazon S3. O Macie avalia automaticamente seu inventário de buckets S3 diariamente e identifica objetos que contêm PII (Informações de Identificação Pessoal), informações financeiras, credenciais e outros tipos de dados confidenciais. Ele oferece duas abordagens de descoberta: descoberta automatizada de dados confidenciais para visibilidade ampla e trabalhos de descoberta direcionados para análise aprofundada.

Quando Usar

• Ao implantar ou configurar a implementação de recursos de classificação de dados do AWS Macie em seu ambiente.
• Ao estabelecer controles de segurança alinhados aos requisitos de conformidade.
• Ao construir ou melhorar a arquitetura de segurança para este domínio.
• Ao realizar avaliações de segurança que exigem esta implementação.

Pré-requisitos

• Conta AWS com buckets S3 contendo dados para classificar.
• Permissões IAM para configuração do serviço Macie.
• Configuração do AWS Organizations (para implantação em várias contas).
• Buckets S3 em regiões suportadas.

Habilitar Macie

Via AWS CLI

# Enable Macie in the current account/region
aws macie2 enable-macie

# Verify Macie is enabled
aws macie2 get-macie-session

# Enable automated sensitive data discovery
aws macie2 update-automated-discovery-configuration \
  --status ENABLED

Via Terraform

resource "aws_macie2_account" "main" {}

resource "aws_macie2_classification_export_configuration" "main" {
  depends_on = [aws_macie2_account.main]

  s3_destination {
    bucket_name = aws_s3_bucket.macie_results.id
    key_prefix  = "macie-findings/"
    kms_key_arn = aws_kms_key.macie.arn
  }
}

Configurar Trabalhos de Descoberta

Criar um trabalho de classificação para buckets específicos

aws macie2 create-classification-job \
  --job-type ONE_TIME \
  --name "pii-scan-production-buckets" \
  --s3-job-definition '{
    "bucketDefinitions": [{
      "accountId": "123456789012",
      "buckets": [
        "production-data-bucket",
        "customer-records-bucket"
      ]
    }]
  }' \
  --managed-data-identifier-selector ALL

Criar um trabalho recorrente agendado

aws macie2 create-classification-job \
  --job-type SCHEDULED \
  --name "weekly-sensitive-data-scan" \
  --schedule-frequency-details '{
    "weekly": {
      "dayOfWeek": "MONDAY"
    }
  }' \
  --s3-job-definition '{
    "bucketDefinitions": [{
      "accountId": "123456789012",
      "buckets": ["all-data-bucket"]
    }],
    "scoping": {
      "includes": {
        "and": [{
          "simpleScopeTerm": {
            "comparator": "STARTS_WITH",
            "key": "OBJECT_KEY",
            "values": ["uploads/", "documents/"]
          }
        }]
      }
    }
  }'

Identificadores de Dados Personalizados

Criar um identificador personalizado para IDs internas

aws macie2 create-custom-data-identifier \
  --name "internal-employee-id" \
  --description "Matches internal employee ID format EMP-XXXXXX" \
  --regex "EMP-[0-9]{6}" \
  --severity-levels '[
    {"occurrencesThreshold": 1, "severity": "LOW"},
    {"occurrencesThreshold": 10, "severity": "MEDIUM"},
    {"occurrencesThreshold": 50, "severity": "HIGH"}
  ]'

Criar um identificador para códigos de projeto

aws macie2 create-custom-data-identifier \
  --name "project-code-identifier" \
  --description "Matches project codes in format PRJ-XXXX-XX" \
  --regex "PRJ-[A-Z]{4}-[0-9]{2}" \
  --keywords '["project", "code", "initiative"]' \
  --maximum-match-distance 50

Listas de Permissão (Allow Lists)

Criar uma lista de permissão para suprimir falsos positivos

aws macie2 create-allow-list \
  --name "test-data-exclusions" \
  --description "Exclude known test data patterns" \
  --criteria '{
    "regex": "TEST-[0-9]{4}-[0-9]{4}-[0-9]{4}-[0-9]{4}"
  }'

Identificadores de Dados Gerenciados

O Macie fornece mais de 300 identificadores de dados gerenciados que cobrem:

Gerenciamento de Achados (Findings)

Listar achados

# Obter achados de dados confidenciais
aws macie2 list-findings \
  --finding-criteria '{
    "criterion": {

…