Блокировка общего доступа и политики бакетов

Утечка данных из неправильно настроенного бакета S3 (Simple Storage Service) — одна из самых распространенных облачных утечек. Одна неверная настройка может открыть миллионы объектов всему интернету.

По умолчанию S3 является закрытым, но несколько уровней разрешений могут случайно открыть к нему доступ. Понимание этих уровней — важнейший элемент знаний о безопасности.

Доступ к объекту S3 может предоставляться несколькими механизмами:

• Политики IAM для пользователей и ролей.
• Политики бакета, прикрепленные к бакету.
• ACL (списки контроля доступа) для бакетов и объектов.
• Настройки Block Public Access, имеющие приоритет над остальными.

Публичный доступ обычно появляется из-за неправильно заданной политики бакета или ACL.

S3 Block Public Access (BPA) — это главный защитный переключатель. Если он включен, он переопределяет любую политику бакета или ACL, предоставляющие публичный доступ, независимо от их содержимого.

Теперь AWS включает BPA по умолчанию для новых бакетов. Оставьте его включенным на уровне учетной записи, чтобы одна неправильно настроенная политика никогда не могла публично раскрыть данные.

BPA содержит четыре независимые настройки: блокировать публичные ACL, игнорировать существующие публичные ACL, блокировать публичные политики бакетов и ограничивать публичный доступ через любую точку доступа.

Вместе они устанавливают жесткий предел: даже если кто-то создаст политику, разрешающую публичное чтение, BPA его запретит. Это ваша самая надежная защита от случайного раскрытия данных.

Политика бакета — это политика JSON на основе ресурса, прикрепленная к бакету. Она определяет, кто (субъект) может выполнять какие действия над какими объектами и при каких условиях.

Политики бакетов эффективны для межучетного доступа и детального управления, но неосторожное указание Principal "*" открывает доступ всему миру. Тщательно проверяйте такие политики.

Только что увиденный фрагмент — точный пример утечки данных: Principal "*" вместе с s3:GetObject предоставляет каждому анонимному пользователю доступ на чтение всех объектов.

Если вы намеренно не размещаете публичное содержимое, это неправильная настройка. Block Public Access переопределил бы ее, поэтому BPA служит вашей защитой.

Политики бакета не только предоставляют доступ — они могут требовать соблюдения условий безопасности. Распространенный вариант запрещает любую загрузку, если данные не зашифрованы или передаются не через TLS.

Использование запрета с условием для aws:SecureTransport или s3:x-amz-server-side-encryption обеспечивает безопасную обработку данных при каждой операции записи.

Условия сужают действие политик с учетом контекста: разрешайте доступ только из определенной конечной точки VPC, известного диапазона IP-адресов или организации с aws:PrincipalOrgID.

Эти ключи условий позволяют предоставлять рабочей нагрузке ровно необходимый доступ и ничего сверх этого, уменьшая масштаб последствий при неправомерном использовании учетных данных.

Инструменты помогают обнаружить риски раньше злоумышленников. IAM Access Analyzer отмечает корзины, доступные за пределами вашей учетной записи, а консоль S3 показывает для каждой корзины индикатор публичного или непубличного доступа.

Правила AWS Config и Security Hub могут непрерывно проверять, что блокировка публичного доступа остается включенной для каждой корзины.

Применяйте блокировку публичного доступа на уровне учетной записи, а не только для отдельных корзин, чтобы она автоматически охватывала все существующие и будущие корзины.

Применение на уровне всей учетной записи устраняет риск, что вновь созданная корзина останется без защиты. Используйте AWS Config и SCP, чтобы никто не мог отключить эту настройку и чтобы публичное раскрытие данных стало невозможным на уровне архитектуры.

Одного средства контроля недостаточно. Сочетайте блокировку публичного доступа на уровне учетной записи, политики корзин с минимально необходимыми разрешениями, шифрование по умолчанию и непрерывный аудит.

Если один уровень настроен неправильно, остальные продолжат защищать ваши данные. Именно многоуровневая защита превращает S3 из частого источника утечек в надежно закрытое хранилище.

Найдите наиболее надежную защиту.

Неправильная настройка S3 — одна из главных причин утечек данных. Доступ регулируется несколькими уровнями: IAM, политиками корзин, ACL и главным переключателем блокировки публичного доступа, который отменяет любые публичные разрешения и должен оставаться включенным для всей учетной записи. Политика с субъектом "*" приводит к утечке данных; вместо этого используйте условия, чтобы принудительно применять TLS, шифрование и ограниченный доступ. Проводите непрерывный аудит с помощью Access Analyzer, Config и Security Hub и используйте многоуровневую защиту, чтобы одна ошибка не открыла доступ к вашим объектам.