Security+ Academy · Lekcja

Bezpieczeństwo pamięci masowej w chmurze i ryzyko ujawnienia danych

Bezpieczeństwo pamięci masowej w chmurze i ryzyko ujawnienia danych to bezpłatna lekcja Security+ Academy na CoddyKit. To lekcja 2 z 4. Możesz przeczytać całą lekcję poniżej za darmo — a potem ćwiczyć ją interaktywnie w przeglądarce z wbudowanym edytorem kodu i tutorem AI dostępnym 24/7. To część ścieżki edukacyjnej Security+ Academy, a Twój postęp synchronizuje się między webem a aplikacją CoddyKit. Kurs Security+ Academy zawiera 4 lekcji w sumie.

Podstawy chmurowej pamięci masowej obiektów

Chmurowa pamięć masowa obiektów — AWS S3, Azure Blob Storage i Google Cloud Storage (GCS) — przechowuje pliki jako obiekty w płaskich przestrzeniach nazw nazywanych zasobnikami lub kontenerami. W przeciwieństwie do tradycyjnych systemów plików uprawnienia są kontrolowane za pomocą zasad dołączonych do zasobników i obiektów, a nie list ACL systemu plików. Pamięć obiektowa doskonale nadaje się do przechowywania dużych ilości danych, ale wymaga starannej konfiguracji uprawnień, ponieważ jeden błędnie skonfigurowany zasobnik może ujawnić terabajty poufnych danych w publicznym Internecie.

Błędna konfiguracja publicznych zasobników

Najczęstszą luką w zabezpieczeniach pamięci masowej w chmurze jest publicznie dostępny zasobnik — zasobnik, którego zasady dostępu zezwalają na anonimowy odczyt (lub zapis). Ta błędna konfiguracja doprowadziła do dziesiątek poważnych naruszeń: Verizon (14 mln rekordów klientów), FedEx (119 000 paszportów), Capital One (100 mln wniosków o karty kredytowe). Atakujący używają automatycznych skanerów do wyszukiwania publicznych zasobników we wszystkich znanych schematach nazewnictwa kont AWS, dlatego po wystąpieniu błędnej konfiguracji ich znalezienie jest bardzo łatwe.

# Check if S3 bucket is publicly accessible
aws s3api get-bucket-policy --bucket my-bucket
aws s3api get-bucket-acl --bucket my-bucket

# Block all public access (AWS recommended default)
aws s3api put-public-access-block \
  --bucket my-bucket \
  --public-access-block-configuration \
  'BlockPublicAcls=true,IgnorePublicAcls=true,BlockPublicPolicy=true,RestrictPublicBuckets=true'

Zasady zasobnika a listy ACL

Pamięć masowa w chmurze korzysta z dwóch typów mechanizmów kontroli dostępu, które mogą być ze sobą sprzeczne. Zasady zasobnika to dokumenty JSON dołączone do zasobnika, określające, jakie podmioty mogą wykonywać jakie działania. Listy kontroli dostępu (ACL) to starszy mechanizm przyznawania uprawnień dla poszczególnych obiektów. AWS zaleca wyłączenie list ACL na rzecz zasad zasobnika, aby zapewnić spójność. Gdy oba mechanizmy są skonfigurowane, obowiązuje najbardziej liberalna zasada — nadmiernie liberalna lista ACL może więc przyznać dostęp publiczny, nawet jeśli zasady zasobnika go ograniczają.

# S3 bucket policy example — restrict to specific account
{
  'Version': '2012-10-17',
  'Statement': [{
    'Effect': 'Allow',
    'Principal': { 'AWS': 'arn:aws:iam::123456789012:root' },
    'Action': 's3:GetObject',
    'Resource': 'arn:aws:s3:::my-bucket/*'
  }]
}
# All other principals implicitly denied

Szyfrowanie danych w spoczynku w pamięci obiektowej

Dostawcy pamięci masowej w chmurze oferują szyfrowanie obiektów po stronie serwera, gdy dane pozostają w spoczynku. SSE-S3 (AWS) automatycznie korzysta z kluczy zarządzanych przez AWS. SSE-KMS używa kluczy zarządzanych przez klienta w AWS Key Management Service, zapewniając lepszy ślad audytowy (każde odszyfrowanie jest rejestrowane w CloudTrail) oraz kontrolę nad rotacją kluczy. SSE-C używa kluczy dostarczonych przez klienta, który zarządza nimi w całości poza AWS. W przypadku danych wrażliwych SSE-KMS z kluczami zarządzanymi przez klienta zapewnia najsilniejszą kontrolę i najlepsze dowody zgodności.

# Enforce encryption on S3 bucket (deny unencrypted uploads)
{
  'Effect': 'Deny',
  'Principal': '*',
  'Action': 's3:PutObject',
  'Resource': 'arn:aws:s3:::my-secure-bucket/*',
  'Condition': {
    'StringNotEquals': {
      's3:x-amz-server-side-encryption': 'aws:kms'
    }
  }
}

Szyfrowanie podczas przesyłania

Nawet prawidłowo zaszyfrowane dane w spoczynku mogą zostać ujawnione, jeśli są przesyłane niezabezpieczonymi kanałami. Dostęp do wszystkich interfejsów API pamięci masowej w chmurze powinien odbywać się wyłącznie za pośrednictwem HTTPS/TLS. W przypadku S3 zasady zasobnika mogą wymuszać HTTPS przez odrzucanie żądań z wartością aws:SecureTransport: false. Wstępnie podpisane adresy URL — tymczasowe uwierzytelnione adresy URL zapewniające ograniczony czasowo dostęp do obiektów — powinny zawsze używać HTTPS i mieć krótki czas wygaśnięcia, aby zminimalizować okno ekspozycji w przypadku przechwycenia.

# S3 bucket policy — deny HTTP (require HTTPS)
{
  'Effect': 'Deny',
  'Principal': '*',
  'Action': 's3:*',
  'Resource': ['arn:aws:s3:::my-bucket', 'arn:aws:s3:::my-bucket/*'],
  'Condition': {
    'Bool': { 'aws:SecureTransport': 'false' }
  }
}

Klasyfikacja danych i warstwy pamięci masowej

Nie wszystkie dane wymagają takiego samego poziomu ochrony. Dane wrażliwe (PII, PHI, dokumentacja finansowa) muszą być przechowywane w zasobnikach z szyfrowaniem, ograniczonym dostępem i włączonym rejestrowaniem audytowym. Mniej wrażliwe dane mogą mieć szerszy dostęp. Etykiety klasyfikacji danych należy stosować podczas tworzenia obiektu i wykorzystywać do automatycznego kierowania danych do odpowiednio skonfigurowanej pamięci masowej. Zasady automatycznie przenoszące dane do bezpieczniejszej pamięci na podstawie tagów klasyfikacji zmniejszają ryzyko trafienia danych wrażliwych do zasobników o niskim poziomie zabezpieczeń.

Rejestrowanie i monitorowanie dostępu do pamięci masowej w chmurze

Rejestrowanie dostępu ma kluczowe znaczenie dla wykrywania nieuprawnionego dostępu po fakcie oraz przeprowadzania audytów zgodności. Dzienniki dostępu AWS S3 i rejestrowanie zdarzeń danych w CloudTrail zapisują każde wywołanie API na poziomie obiektu — kto zażądał obiektu, z jakiego adresu IP i o której godzinie. Rejestrowanie diagnostyczne Azure Blob i dzienniki audytowe GCS zapewniają podobne możliwości. Bez tych dzienników po wykryciu naruszenia danych nie ma dowodów informatyki śledczej, co uniemożliwia określenie zakresu ujawnienia.

# Enable S3 access logging
aws s3api put-bucket-logging \
  --bucket my-bucket \
  --bucket-logging-status '{
    "LoggingEnabled": {
      "TargetBucket": "my-access-logs-bucket",
      "TargetPrefix": "my-bucket-logs/"
    }
  }'

Ryzyko dostępu między kontami

Pamięć masowa w chmurze jest często współdzielona między kontami (dev, staging, produkcja i partnerzy zewnętrzni). Nieostrożnie skonfigurowany dostęp między kontami może przyznać nadmierne uprawnienia. Zalecane praktyki obejmują: używanie konkretnych identyfikatorów kont w zasadach zasobnika zamiast podmiotów wieloznacznych, używanie AWS Organizations SCPs do ograniczania zewnętrznych kont, którym w ogóle można przyznać dostęp, regularne audytowanie przyznań dostępu między kontami oraz preferowanie AWS PrivateLink zamiast publicznego Internetu podczas przesyłania danych między kontami.

Wersjonowanie i ochrona przed usunięciem

Wersjonowanie obiektów zachowuje wszystkie wersje obiektu, w tym wersje usunięte. Chroni to przed przypadkowym usunięciem, zaszyfrowaniem obiektów przez ransomware oraz zagrożeniami ze strony pracowników. W przypadku danych krytycznych wersjonowanie należy połączyć z Object Lock (odpowiednikiem S3 Glacier Vault Lock) — zasadą WORM (Write Once, Read Many), która uniemożliwia usunięcie lub modyfikację przez określony czas przechowywania. Object Lock może spełniać wymogi regulacyjne dotyczące niezmiennych rekordów w sektorze finansowym i ochronie zdrowia.

# Enable S3 versioning
aws s3api put-bucket-versioning \
  --bucket my-critical-bucket \
  --versioning-configuration Status=Enabled

# Enable Object Lock (immutable storage)
aws s3api put-object-lock-configuration \
  --bucket my-critical-bucket \
  --object-lock-configuration \
  'ObjectLockEnabled=Enabled,Rule={DefaultRetention={Mode=COMPLIANCE,Days=365}}'

Wykrywanie błędnej konfiguracji pamięci masowej przez CSPM

Narzędzia Cloud Security Posture Management (CSPM) automatycznie skanują konfiguracje pamięci masowej w chmurze pod kątem zgodności z wzorcami bezpieczeństwa. Kontrole CSPM obejmują pytania: czy którykolwiek zasobnik jest publicznie dostępny? Czy włączono szyfrowanie danych w spoczynku? Czy włączono rejestrowanie? Czy włączono wersjonowanie w krytycznych zasobnikach? Czy zasady zasobników są nadmiernie liberalne? Narzędzia CSPM, takie jak Prisma Cloud, Wiz i AWS Security Hub, zapewniają ciągłe monitorowanie zgodności i ostrzegają o rozbieżności konfiguracji, zanim jako pierwsi wykryją ją atakujący.

Wstępnie podpisane adresy URL i dostęp tymczasowy

Wstępnie podpisane adresy URL zapewniają ograniczony czasowo dostęp do określonych obiektów bez konieczności posiadania przez odbiorcę danych uwierzytelniających AWS. Są przydatne podczas udostępniania plików podmiotom zewnętrznym. Zagrożenia obejmują: adresy URL z nadmiernie długim czasem wygaśnięcia, które pozostają aktywne po zakończeniu planowanego okresu udostępniania, przekazywanie adresów URL przez odbiorców osobom spoza zamierzonego grona oraz pojawianie się tokenów osadzonych w adresach URL w dziennikach serwera. Zawsze należy ustawiać najkrótszy możliwy czas wygaśnięcia i unikać rejestrowania wstępnie podpisanych adresów URL.

# Generate a pre-signed URL (expires in 3600 seconds)
aws s3 presign s3://my-bucket/report.pdf \
  --expires-in 3600

# Returns a URL valid for 1 hour
# After expiry, the URL returns 403 Forbidden
# Best practice: shortest expiry viable for the use case

Szybki sprawdzian

Sprawdź swoją znajomość zagadnień z CompTIA Security+ (SY0-701) omówionych w tej lekcji.

Podsumowanie lekcji

W tej lekcji poznano: błędna konfiguracja publicznych zasobników jest najczęstszą przyczyną naruszeń danych w chmurowej pamięci masowej, SSE-KMS zapewnia najsilniejszą kontrolę szyfrowania wraz z rejestrowaniem audytowym za pośrednictwem CloudTrail oraz wersjonowanie obiektów połączone z Object Lock chroni przed ransomware i usunięciem krytycznych danych przez pracowników. Następnie omówiona zostanie tożsamość w chmurze z użyciem ról IAM i kont usług.

Często zadawane pytania

Czy lekcja „Bezpieczeństwo pamięci masowej w chmurze i ryzyko ujawnienia danych” jest bezpłatna?

Tak — pełny tekst „Bezpieczeństwo pamięci masowej w chmurze i ryzyko ujawnienia danych” jest dostępny za darmo tutaj w sieci. Aby ćwiczyć ją interaktywnie (wbudowany edytor kodu i tutor AI dostępny 24/7) i odblokować resztę kursu Security+ Academy, przejdź na CoddyKit PRO. Kurs Security+ Academy zawiera 4 lekcji w sumie.

Co nauczysz się w „Bezpieczeństwo pamięci masowej w chmurze i ryzyko ujawnienia danych”?

Nauczą się Państwo, jak błędnie skonfigurowane zasobniki S3, kontenery Azure Blob i zasobniki GCS prowadzą do ujawnienia danych oraz jak wymuszać zasady zasobników i mechanizmy kontroli dostępu. Ćwiczysz Security+ Academy z praktycznym kodem, który uruchamiasz bezpośrednio w przeglądarce, a tutor AI dostępny 24/7 odpowiada na Twoje pytania podczas pracy nad lekcją.

Czy potrzebuję doświadczenia, aby zacząć Security+ Academy?

Nie wymagamy żadnego doświadczenia. Security+ Academy w CoddyKit jest strukturyzowany dla początkujących i zaawansowanych użytkowników, więc możesz zacząć tutaj lub od początku i uczyć się w swoim tempie. To lekcja 2 z 4.

Ile czasu zajmuje lekcja „Bezpieczeństwo pamięci masowej w chmurze i ryzyko ujawnienia danych”?

Większość lekcji CoddyKit trwa około 5–10 minut. Każda lekcja to mały, interaktywny krok, dzięki czemu robisz systematyczne postępy i zawsze wracasz dokładnie do tego samego miejsca — na webie i w aplikacji.

Czy mogę pisać i uruchamiać kod w tej lekcji Security+ Academy?

Tak. Każda lekcja Security+ Academy zawiera wbudowany edytor kodu, więc piszesz i uruchamiasz prawdziwy kod bezpośrednio w przeglądarce i od razu otrzymujesz sprzężenie zwrotne od AI — bez konfiguracji na komputerze.

Wszystkie lekcje w tym kursie

Model współodpowiedzialności: IaaS, PaaS, SaaS
Bezpieczeństwo pamięci masowej w chmurze i ryzyko ujawnienia danych
Tożsamość w chmurze: role IAM i konta usług
Zarządzanie stanem bezpieczeństwa chmury (CSPM)

← Powrót do Security+ Academy