Menyekat Akses Awam dan Dasar Baldi

Data yang bocor daripada baldi S3 (Perkhidmatan Storan Mudah) yang tersalah konfigurasi ialah salah satu pencerobohan awan yang paling lazim. Satu tetapan yang salah boleh mendedahkan berjuta-juta objek kepada seluruh internet.

S3 bersifat persendirian secara lalai, tetapi lapisan kebenaran boleh membukanya secara tidak sengaja. Memahami lapisan ini ialah pengetahuan keselamatan yang penting.

Capaian kepada objek S3 boleh diberikan melalui beberapa mekanisme:

• Dasar IAM pada pengguna dan peranan.
• Dasar baldi yang dilampirkan pada baldi.
• ACL (senarai kawalan capaian) pada baldi dan objek.
• Tetapan Sekat Capaian Awam yang mengatasi tetapan lain.

Pendedahan awam biasanya berpunca daripada dasar baldi atau ACL yang tersalah konfigurasi.

S3 Sekat Capaian Awam (BPA) ialah suis keselamatan utama. Apabila didayakan, ia mengatasi sebarang dasar baldi atau ACL yang memberikan capaian awam, tanpa mengira kandungannya.

AWS kini mendayakan BPA secara lalai pada baldi baharu. Kekalkan BPA pada peringkat akaun supaya satu dasar yang tersalah konfigurasi tidak akan dapat membocorkan data kepada umum.

BPA mempunyai empat tetapan berasingan yang menyekat ACL awam, mengabaikan ACL awam sedia ada, menyekat dasar baldi awam dan mengehadkan capaian awam melalui sebarang titik capaian.

Secara bersama, tetapan ini bertindak sebagai had keras: walaupun seseorang menulis dasar yang memberikan capaian baca awam, BPA tetap menafikannya. BPA ialah perlindungan terkuat anda terhadap pendedahan tidak sengaja.

Dasar baldi ialah dasar JSON berasaskan sumber yang dilampirkan pada baldi. Dasar ini menentukan pihak (prinsipal) yang boleh melakukan tindakan tertentu pada objek tertentu, di bawah syarat tertentu.

Dasar baldi berkuasa untuk capaian merentas akaun dan kawalan terperinci, tetapi Principal yang cuai dengan nilai "*" memberikan capaian kepada seluruh dunia. Semak dasar ini dengan teliti.

Coretan yang baru anda lihat ialah gambaran tepat kebocoran data: Principal "*" dengan s3:GetObject memberikan capaian baca kepada semua objek kepada setiap pengguna tanpa nama.

Kecuali jika anda memang sengaja mengehos kandungan awam, ini ialah salah konfigurasi. Sekat Capaian Awam akan mengatasinya, sebab itulah BPA menjadi jaringan keselamatan anda.

Dasar baldi bukan sekadar memberikan capaian; dasar ini boleh mewajibkan syarat keselamatan. Corak yang biasa digunakan ialah menafikan sebarang muat naik yang tidak disulitkan atau tidak tiba melalui TLS.

Menggunakan Deny dengan syarat pada aws:SecureTransport atau s3:x-amz-server-side-encryption memaksa pengendalian data yang selamat bagi setiap operasi letak.

Syarat mengetatkan dasar mengikut konteks: benarkan capaian hanya daripada titik akhir VPC tertentu, julat IP yang diketahui atau organisasi dengan aws:PrincipalOrgID.

Kunci syarat ini membolehkan anda memberikan tepat-tepat capaian yang diperlukan oleh beban kerja tanpa capaian yang lebih luas, sekali gus mengecilkan kesan jika kelayakan disalahgunakan.

Alat membantu anda menemukan risiko sebelum penyerang melakukannya. IAM Access Analyzer menandai baldi yang dikongsi di luar akaun anda, manakala konsol S3 memaparkan penunjuk awam/tidak awam bagi setiap baldi.

Peraturan AWS Config dan Security Hub boleh menyemak secara berterusan bahawa Block Public Access kekal didayakan pada semua baldi.

Gunakan Block Public Access pada peringkat akaun, bukan hanya bagi setiap baldi, supaya ia meliputi semua baldi sedia ada dan akan datang secara automatik.

Penguatkuasaan seluruh akaun menutup jurang yang membolehkan baldi baharu terlepas daripada perlindungan. Gunakan AWS Config dan SCP untuk memastikan tiada sesiapa boleh mematikan tetapan itu, sekali gus menjadikan pendedahan awam mustahil secara struktur.

Tiada satu kawalan pun yang mencukupi. Gabungkan Block Public Access pada peringkat akaun, dasar baldi dengan keistimewaan minimum, penyulitan lalai dan pengauditan berterusan.

Jika satu lapisan tersalah konfigurasi, lapisan lain masih melindungi data anda. Pertahanan berlapis menjadikan S3 storan persendirian yang boleh dipercayai, bukannya sumber kebocoran yang kerap berlaku.

Salah konfigurasi S3 ialah antara punca utama kebocoran. Akses dilapiskan merentasi IAM, dasar baldi, ACL dan suis induk Block Public Access — yang mengatasi sebarang pemberian akses awam dan sepatutnya kekal dihidupkan untuk seluruh akaun. Dasar dengan Principal "*" membocorkan data; gunakan syarat untuk menguatkuasakan TLS, penyulitan dan akses berskop. Audit secara berterusan dengan Access Analyzer, Config dan Security Hub, serta gunakan pertahanan berlapis supaya tiada satu kesilapan pun mendedahkan objek anda.