Julkisen käytön estäminen ja bucket-käytännöt

Väärin määritetystä S3-säilöstä (Simple Storage Service) vuotaneet tiedot ovat yksi yleisimmistä pilvipalveluiden tietomurroista. Yksi väärä asetus voi paljastaa miljoonia objekteja koko internetille.

S3 on oletusarvoisesti yksityinen, mutta useat käyttöoikeuskerrokset voivat vahingossa avata sen. Näiden kerrosten ymmärtäminen on keskeistä tietoturvaosaamista.

S3-objektin käyttöoikeus voidaan myöntää useilla mekanismeilla:

• IAM-käytännöt käyttäjille ja rooleille.
• Säilökäytännöt, jotka on liitetty säilöön.
• ACL:t (access control lists) säilöille ja objekteille.
• Block Public Access -asetukset, jotka ohittavat muut asetukset.

Julkinen näkyvyys johtuu yleensä väärin määritetystä säilökäytännöstä tai ACL:stä.

S3 Block Public Access (BPA) on yleinen turvakytkin. Kun se on käytössä, se ohittaa kaikki säilökäytännöt tai ACL:t, jotka myöntäisivät julkisen käyttöoikeuden, riippumatta niiden sisällöstä.

AWS ottaa BPA:n nykyään oletusarvoisesti käyttöön uusissa säilöissä. Pitäkää se käytössä tilitasolla, jotta yksittäinen väärin määritetty käytäntö ei voi koskaan vuotaa tietoja julkisesti.

BPA:ssa on neljä toisistaan riippumatonta asetusta, jotka estävät julkiset ACL:t, jättävät olemassa olevat julkiset ACL:t huomiotta, estävät julkiset säilökäytännöt ja rajoittavat julkista käyttöä minkä tahansa access pointin kautta.

Yhdessä ne muodostavat ehdottoman ylärajan: vaikka joku kirjoittaisi julkisen lukuoikeuden myöntävän käytännön, BPA estää sen. Se on vahvin suojanne tahatonta paljastumista vastaan.

Säilökäytäntö on säilöön liitetty resurssipohjainen JSON-käytäntö. Se määrittää, kuka (principal) voi suorittaa mitä toimintoja mille objekteille ja millä ehdoilla.

Säilökäytännöt ovat tehokkaita tilien väliseen käyttöön ja tarkkarajaiseen hallintaan, mutta huolimattomasti käytetty Principal-arvo "*" antaa koko maailmalle käyttöoikeuden. Tarkistakaa käytännöt huolellisesti.

Juuri näkemänne katkelma kuvaa täsmälleen tietovuotoa: Principal "*" yhdessä s3:GetObject-toiminnon kanssa antaa jokaiselle anonyymille käyttäjälle lukuoikeuden kaikkiin objekteihin.

Ellette tarkoituksella tarjoa julkista sisältöä, kyseessä on väärä määritys. Block Public Access ohittaisi sen, minkä vuoksi BPA toimii turvaverkkona.

Säilökäytännöt eivät ainoastaan myönnä käyttöoikeuksia, vaan ne voivat myös vaatia tietoturvaehtoja. Yleinen malli estää lataukset, joita ei ole salattu tai jotka eivät saavu TLS:n kautta.

Deny-toiminnon käyttö yhdessä aws:SecureTransport- tai s3:x-amz-server-side-encryption-ehdon kanssa pakottaa turvallisen tietojenkäsittelyn jokaisessa put-toiminnossa.

Ehdot täsmentävät käytännöt kontekstin perusteella: sallikaa käyttö vain tietystä VPC-päätepisteestä, tunnetulta IP-osoitealueelta tai organisaatiosta, jonka tunnisteena on aws:PrincipalOrgID.

Näiden ehtomuuttujien avulla voitte myöntää työkuormalle täsmälleen sen tarvitseman käyttöoikeuden, etteivätkä mitään laajempaa oikeutta, mikä pienentää vahinkojen laajuutta, jos tunnistetietoja joskus käytetään väärin.

Työkalut auttavat löytämään riskit ennen hyökkääjiä. IAM Access Analyzer ilmoittaa säilöistä, jotka on jaettu tilinne ulkopuolelle, ja S3-konsoli näyttää kunkin säilön kohdalla, onko se julkinen vai ei.

AWS Config -säännöt ja Security Hub voivat tarkistaa jatkuvasti, että Block Public Access on käytössä kaikissa säilöissä.

Ottakaa Block Public Access käyttöön tilitasolla, ei ainoastaan säilökohtaisesti, jotta se kattaa automaattisesti kaikki nykyiset ja tulevat säilöt.

Koko tilin kattava pakotus poistaa tilanteen, jossa uusi säilö voisi jäädä suojauksen ulkopuolelle. Käyttäkää AWS Configia ja SCP:itä varmistaaksenne, ettei kukaan voi poistaa asetusta käytöstä. Näin julkinen altistuminen muuttuu rakenteellisesti mahdottomaksi.

Yksikään hallintakeino ei yksin riitä. Yhdistäkää tilitason Block Public Access, vähimpien oikeuksien mukaiset säilökäytännöt, oletussalaus ja jatkuva auditointi.

Jos yksi kerros on määritetty väärin, muut suojaavat edelleen tietojanne. Kerroksittainen suojaus muuttaa S3:n yleisestä tietomurtojen lähteestä luotettavasti yksityiseksi tallennustilaksi.

S3:n virheellinen määritys on yksi yleisimmistä tietomurtojen syistä. Käyttöoikeudet muodostuvat IAM:stä, säilökäytännöistä, ACL-luetteloista ja ylemmän tason Block Public Access -asetuksesta. Se ohittaa kaikki julkiset myönnöt, ja sen tulisi pysyä käytössä koko tilin laajuudella. Principal "*" -käytäntö vuotaa tietoja; käyttäkää sen sijaan ehtoja TLS:n, salauksen ja rajattujen käyttöoikeuksien pakottamiseen. Auditoikaa jatkuvasti Access Analyzerilla, Configilla ja Security Hubilla, ja käyttäkää kerroksittaista suojausta, jotta yksikään virhe ei paljasta objektejanne.