Ein Unternehmen verwendet Amazon Simple Notification Service (Amazon SNS)-Topics, um Nachrichten von Anwendungskomponenten an benutzerdefinierte Logging-Dienste zu veröffentlichen. Das Unternehmen ist besorgt, dass sensible Daten veröffentlicht und dann in Transaktions- und Debug-Logs offengelegt werden könnten. Welche Lösung schützt sensible Daten in diesen SNS-Nachrichten vor versehentlicher Offenlegung?

Die Konfiguration einer Richtlinie für den Schutz eingehender Nachrichtendaten (Data Protection Policy) für SNS-Topics ist die effektivste Lösung. Diese Richtlinien ermöglichen es, sensible Daten in Nachrichten automatisch zu erkennen und zu maskieren (De-identify-Operation), bevor sie an Abonnenten zugestellt werden. Dies schützt vor versehentlicher Offenlegung in Logs. Amazon Macie scannt S3-Buckets und nicht direkt SNS-Nachrichtenströme. Obwohl Macie sensible Daten erkennen kann, ist es nicht für die Echtzeit-Maskierung von SNS-Nachrichten konzipiert. Die serverseitige Verschlüsselung (SSE) mit AWS KMS schützt Daten während der Übertragung und im Ruhezustand, verhindert aber nicht, dass sensible Daten im Klartext in Logs erscheinen, sobald sie entschlüsselt und verarbeitet werden. Amazon GuardDuty ist ein Bedrohungsdetektionsdienst und nicht für die Maskierung sensibler Daten in Nachrichtenströmen zuständig; er würde lediglich auf potenzielle Bedrohungen hinweisen, nicht aber die Daten selbst schützen.