Openbare toegang en bucket policies blokkeren

Gelekte gegevens uit een verkeerd geconfigureerde S3-bucket (Simple Storage Service) vormen een van de meest voorkomende cloudinbreuken. Eén verkeerde instelling kan miljoenen objecten aan het volledige internet blootstellen.

S3 is standaard privé, maar lagen met machtigingen kunnen de bucket per ongeluk openbaar maken. Inzicht in deze lagen is essentiële kennis over beveiliging.

Toegang tot een S3-object kan via verschillende mechanismen worden verleend:

• IAM-beleidsregels voor gebruikers en rollen.
• Bucketbeleidsregels die aan de bucket zijn gekoppeld.
• ACL's (toegangsbeheer-lijsten) voor buckets en objecten.
• Block Public Access-instellingen die de rest overschrijven.

Openbare blootstelling ontstaat meestal door een verkeerd ingestelde bucketbeleidsregel of ACL.

S3 Block Public Access (BPA) is een algemene veiligheidsschakelaar. Wanneer deze is ingeschakeld, overschrijft hij elke bucketbeleidsregel of ACL die openbare toegang zou verlenen, ongeacht wat daarin staat.

AWS schakelt BPA tegenwoordig standaard in voor nieuwe buckets. Houd BPA ingeschakeld op accountniveau, zodat een enkele verkeerd geconfigureerde beleidsregel nooit gegevens openbaar kan lekken.

BPA heeft vier onafhankelijke instellingen die openbare ACL's blokkeren, bestaande openbare ACL's negeren, openbare bucketbeleidsregels blokkeren en openbare toegang via elk access point beperken.

Samen vormen ze een harde bovengrens: zelfs als iemand een beleidsregel schrijft die openbare lees toegang verleent, weigert BPA deze. Het is je sterkste beveiligingsmaatregel tegen onbedoelde blootstelling.

Een bucketbeleidsregel is een JSON-beleidsregel op basis van resources die aan een bucket is gekoppeld. De regel bepaalt wie (de principal) welke acties op welke objecten mag uitvoeren en onder welke voorwaarden.

Bucketbeleidsregels zijn krachtig voor toegang tussen accounts en fijnmazige controle, maar een onzorgvuldige Principal van "*" verleent de hele wereld toegang. Controleer deze regels zorgvuldig.

Het fragment dat je zojuist zag, laat precies zien hoe een datalek eruitziet: Principal "*" met s3:GetObject verleent elke anonieme gebruiker leestoegang tot alle objecten.

Tenzij je bewust openbare inhoud host, is dit een verkeerde configuratie. Block Public Access zou deze overschrijven; daarom is BPA je vangnet.

Bucketbeleidsregels doen meer dan toegang verlenen: ze kunnen beveiligingsvoorwaarden vereisen. Een veelgebruikt patroon weigert elke upload die niet is versleuteld of niet via TLS binnenkomt.

Door een Deny te gebruiken met een voorwaarde op aws:SecureTransport of s3:x-amz-server-side-encryption, dwing je veilige gegevensverwerking af bij elke put.

Voorwaarden maken beleidsregels contextspecifiek: verleen alleen toegang vanaf een specifiek VPC-eindpunt, een bekend IP-bereik of een organisatie met aws:PrincipalOrgID.

Met deze voorwaardesleutels kun je precies de toegang verlenen die een workload nodig heeft, zonder iets ruimer toe te staan. Zo verklein je de impact als een inloggegeven ooit wordt misbruikt.

Hulpmiddelen helpen u risico's te vinden voordat aanvallers dat doen. IAM Access Analyzer markeert buckets die buiten uw account worden gedeeld, en de S3-console toont per bucket een indicator voor openbaar of niet-openbaar.

AWS Config-regels en Security Hub kunnen voortdurend controleren of Block Public Access ingeschakeld blijft voor elke bucket.

Pas Block Public Access toe op accountniveau, niet alleen per bucket, zodat de instelling automatisch geldt voor alle bestaande en toekomstige buckets.

Accountbrede handhaving sluit het gat waardoor een nieuw aangemaakte bucket aan de controle kan ontsnappen. Gebruik AWS Config en SCP's om te garanderen dat niemand de instelling kan uitschakelen, zodat openbare blootstelling structureel onmogelijk wordt.

Geen enkele beveiligingsmaatregel is voldoende. Combineer Block Public Access op accountniveau met bucketbeleid volgens het principe van minimale rechten, standaardversleuteling en voortdurende controles.

Als één laag verkeerd is geconfigureerd, beschermen de andere lagen uw gegevens nog steeds. Gelaagde beveiliging zorgt ervoor dat S3 verandert van een veelvoorkomende bron van datalekken in betrouwbare private opslag.

Een verkeerde S3-configuratie is een belangrijke oorzaak van datalekken. Toegang is verdeeld over IAM, bucketbeleid, ACL's en de centrale schakelaar Block Public Access — die openbare toegangsverlening overschrijft en accountbreed ingeschakeld moet blijven. Een beleid met Principal "*" lekt gegevens; gebruik voorwaarden om TLS, versleuteling en afgebakende toegang af te dwingen. Voer voortdurend controles uit met Access Analyzer, Config en Security Hub, en vertrouw op gelaagde beveiliging zodat geen enkele fout uw objecten blootstelt.