Memblokir Akses Publik dan Kebijakan Bucket

Data yang bocor dari bucket S3 (Simple Storage Service) yang salah konfigurasi merupakan salah satu kebocoran cloud yang paling umum. Satu pengaturan yang keliru dapat membuka jutaan objek ke seluruh internet.

Secara bawaan, S3 bersifat privat, tetapi lapisan izin dapat secara tidak sengaja membukanya. Memahami lapisan-lapisan tersebut merupakan pengetahuan keamanan yang penting.

Akses ke objek S3 dapat diberikan melalui beberapa mekanisme:

• Kebijakan IAM pada pengguna dan peran.
• Kebijakan bucket yang dilampirkan ke bucket.
• ACL (daftar kontrol akses) pada bucket dan objek.
• Pengaturan Blokir Akses Publik yang mengesampingkan pengaturan lainnya.

Paparan publik biasanya terjadi karena kebijakan bucket atau ACL yang salah.

S3 Block Public Access (BPA) adalah sakelar pengaman utama. Saat diaktifkan, fitur ini mengesampingkan kebijakan bucket atau ACL apa pun yang memberikan akses publik, terlepas dari isinya.

AWS kini mengaktifkan BPA secara bawaan pada bucket baru. Pertahankan fitur ini di tingkat akun agar satu kebijakan yang salah konfigurasi tidak pernah dapat membocorkan data ke publik.

BPA memiliki empat pengaturan independen yang memblokir ACL publik, mengabaikan ACL publik yang sudah ada, memblokir kebijakan bucket publik, dan membatasi akses publik melalui titik akses apa pun.

Secara bersama-sama, pengaturan tersebut menjadi batas tegas: meskipun seseorang menulis kebijakan yang memberikan akses baca publik, BPA tetap menolaknya. Inilah perlindungan terkuat Anda terhadap paparan yang tidak disengaja.

Kebijakan bucket adalah kebijakan JSON berbasis sumber daya yang dilampirkan ke bucket. Kebijakan ini menentukan siapa (Principal) yang dapat melakukan tindakan apa pada objek mana, dalam kondisi apa.

Kebijakan bucket sangat berguna untuk akses lintas akun dan pengendalian terperinci, tetapi Principal yang ditulis sembarangan sebagai "*" memberikan akses kepada seluruh dunia. Tinjaulah dengan cermat.

Cuplikan yang baru saja Anda lihat persis seperti bentuk kebocoran data: Principal "*" dengan s3:GetObject memberikan akses baca ke semua objek kepada setiap pengguna anonim.

Kecuali Anda memang sengaja menyajikan konten publik, ini merupakan kesalahan konfigurasi. Blokir Akses Publik akan mengesampingkannya, sehingga BPA menjadi jaring pengaman Anda.

Kebijakan bucket tidak hanya memberikan akses; kebijakan ini juga dapat mewajibkan kondisi keamanan. Pola yang umum adalah menolak setiap unggahan yang tidak dienkripsi atau tidak datang melalui TLS.

Menggunakan penolakan dengan kondisi pada aws:SecureTransport atau s3:x-amz-server-side-encryption menerapkan penanganan data yang aman pada setiap operasi penempatan.

Kondisi memperketat kebijakan berdasarkan konteks: izinkan akses hanya dari titik akhir VPC tertentu, rentang IP yang diketahui, atau organisasi dengan aws:PrincipalOrgID.

Kunci kondisi ini memungkinkan Anda memberikan tepat akses yang dibutuhkan beban kerja dan tidak lebih luas, sehingga mengurangi dampak jika kredensial disalahgunakan.

Alat membantu Anda menemukan risiko sebelum penyerang menemukannya. IAM Access Analyzer menandai bucket yang dibagikan di luar akun Anda, dan konsol S3 menampilkan indikator publik/tidak publik untuk setiap bucket.

Aturan AWS Config dan Security Hub dapat terus-menerus memeriksa agar Block Public Access tetap diaktifkan di semua bucket.

Terapkan Block Public Access di tingkat akun, bukan hanya per bucket, agar secara otomatis mencakup semua bucket yang ada maupun yang dibuat di masa mendatang.

Penegakan di seluruh akun menutup celah yang memungkinkan bucket baru luput dari perlindungan. Gunakan AWS Config dan SCP untuk memastikan tidak seorang pun dapat menonaktifkan pengaturan ini, sehingga eksposur publik mustahil terjadi secara struktural.

Tidak ada satu kontrol pun yang cukup. Gabungkan Block Public Access di tingkat akun, kebijakan bucket dengan hak akses minimum, enkripsi bawaan, dan audit berkelanjutan.

Jika salah satu lapisan salah dikonfigurasi, lapisan lainnya tetap melindungi data Anda. Pertahanan berlapis mengubah S3 dari sumber kebocoran yang sering terjadi menjadi penyimpanan privat yang andal.

Temukan perlindungan yang paling kuat.

Salah konfigurasi S3 merupakan salah satu penyebab utama kebocoran data. Akses berlapis melalui IAM, kebijakan bucket, ACL, dan tombol utama Block Public Access — yang mengesampingkan pemberian akses publik apa pun dan seharusnya tetap diaktifkan untuk seluruh akun. Kebijakan dengan Principal "*" membocorkan data; gunakan kondisi untuk mewajibkan TLS, enkripsi, dan akses dengan cakupan terbatas. Lakukan audit secara berkelanjutan dengan Access Analyzer, Config, dan Security Hub, serta andalkan pertahanan berlapis agar tidak ada satu kesalahan pun yang mengekspos objek Anda.