Bloqueando o Acesso Público e Definindo Políticas de Bucket

Dados vazados de um bucket do S3 (Simple Storage Service) configurado incorretamente estão entre as violações de segurança mais comuns na nuvem. Uma única configuração errada pode expor milhões de objetos à internet inteira.

O S3 é privado por padrão, mas várias camadas de permissões podem abri-lo acidentalmente. Compreender essas camadas é essencial para a segurança.

O acesso a um objeto do S3 pode ser concedido por vários mecanismos:

• Políticas do IAM para usuários e funções.
• Políticas de bucket associadas ao bucket.
• ACLs (listas de controle de acesso) em buckets e objetos.
• Configurações de bloqueio de acesso público que substituem as demais.

A exposição pública geralmente resulta de uma política de bucket ou ACL configurada incorretamente.

O bloqueio de acesso público do S3 (BPA) é um interruptor mestre de segurança. Quando ativado, ele substitui qualquer política de bucket ou ACL que concederia acesso público, independentemente do que elas disserem.

A AWS agora ativa o BPA por padrão em buckets novos. Mantenha-o ativado no nível da conta para que uma única política configurada incorretamente nunca possa vazar dados publicamente.

O BPA tem quatro configurações independentes que bloqueiam ACLs públicas, ignoram ACLs públicas existentes, bloqueiam políticas públicas de bucket e restringem o acesso público por meio de qualquer ponto de acesso.

Juntas, elas funcionam como um limite rígido: mesmo que alguém escreva uma política concedendo leitura pública, o BPA a nega. Ele é sua proteção mais forte contra exposição acidental.

Uma política de bucket é uma política JSON baseada em recursos, associada a um bucket. Ela define quem (o principal) pode executar quais ações em quais objetos e sob quais condições.

As políticas de bucket são poderosas para acesso entre contas e controle detalhado, mas um Principal descuidado com o valor "*" concede acesso ao mundo inteiro. Analise essas políticas com cuidado.

O trecho que o senhor acabou de ver é exatamente a aparência de um vazamento de dados: Principal "*" com s3:GetObject concede a todos os usuários anônimos acesso de leitura a todos os objetos.

A menos que o senhor esteja hospedando conteúdo público intencionalmente, isso é uma configuração incorreta. O bloqueio de acesso público o substituiria, e é por isso que o BPA funciona como sua rede de segurança.

As políticas de bucket fazem mais do que conceder acesso; elas podem exigir condições de segurança. Um padrão comum nega qualquer carregamento que não seja criptografado ou que não ocorra por TLS.

Usar uma negação com uma condição em aws:SecureTransport ou s3:x-amz-server-side-encryption impõe o tratamento seguro dos dados em cada operação de gravação.

As condições ajustam as políticas ao contexto: permitem o acesso somente a partir de um endpoint específico da VPC, de um intervalo de IP conhecido ou de uma organização com aws:PrincipalOrgID.

Essas chaves de condição permitem conceder exatamente o acesso necessário a uma carga de trabalho, sem nada além disso, reduzindo o impacto caso uma credencial seja usada indevidamente.

As ferramentas ajudam a identificar riscos antes dos invasores. O IAM Access Analyzer sinaliza buckets compartilhados fora da sua conta, e o console do S3 mostra um indicador de acesso público ou não público para cada bucket.

As regras do AWS Config e o Security Hub podem verificar continuamente se o Bloqueio de Acesso Público permanece habilitado em todos os buckets.

Aplique o Bloqueio de Acesso Público no nível da conta, não apenas por bucket, para que ele cubra automaticamente todos os buckets existentes e futuros.

A imposição em toda a conta elimina a possibilidade de um bucket recém-criado passar despercebido. Use o AWS Config e as SCPs para garantir que ninguém possa desativar essa configuração, tornando estruturalmente impossível a exposição pública.

Nenhum controle isolado é suficiente. Combine o Bloqueio de Acesso Público no nível da conta, políticas de bucket com privilégio mínimo, criptografia padrão e auditoria contínua.

Se uma camada estiver configurada incorretamente, as outras ainda protegerão seus dados. A proteção em camadas é o que transforma o S3 de uma fonte frequente de violações em um armazenamento privado confiável.

Identifique a proteção mais forte.

A configuração incorreta do S3 é uma das principais causas de violações. O acesso é distribuído entre IAM, políticas de bucket, ACLs e o controle mestre de Bloqueio de Acesso Público — que substitui qualquer concessão pública e deve permanecer ativado em toda a conta. Uma política com Principal "*" vaza dados; use condições para exigir TLS, criptografia e acesso com escopo definido. Audite continuamente com o Access Analyzer, o Config e o Security Hub, e conte com a defesa em profundidade para que um único erro não exponha seus objetos.