ACCT.08 Verhindern Sie den öffentlichen Zugriff auf private S3-Buckets

Standardmäßig haben nur der Root-Benutzer AWS-Konto und der IAM Principal, falls dieser verwendet wird, Lese- und Schreibberechtigungen für Amazon S3 S3-Buckets, die von diesem Principal erstellt wurden. Zusätzliche IAM Principals erhalten Zugriff mithilfe identitätsbasierter Richtlinien, und die Zugriffsbedingungen können mithilfe einer Bucket-Richtlinie durchgesetzt werden. Sie können Bucket-Richtlinien erstellen, die der generell öffentlichen Zugriff auf den Bucket gewähren, ein öffentlicher Bucket.

Buckets, die am oder nach dem 28. April 2023 erstellt wurden, haben die Einstellung Öffentlichen Zugriff blockieren standardmäßig aktiviert. Bei Buckets, die vor diesem Datum erstellt wurden, können Benutzer die Bucket-Richtlinie falsch konfigurieren und der Öffentlichkeit unbeabsichtigt Zugriff gewähren. Sie können diese Fehlkonfiguration verhindern, indem Sie die Einstellung Öffentlichen Zugriff blockieren für jeden Bucket aktivieren. Wenn Sie keine aktuellen oder future Anwendungsfälle für einen öffentlichen S3-Bucket haben, aktivieren Sie diese Einstellung auf der AWS-Konto Ebene. Diese Einstellung verhindert Richtlinien, die den öffentlichen Zugriff ermöglichen.

Den öffentlichen Zugriff auf S3-Buckets zu verhindern

• Konfigurieren Sie die Einstellungen zum Blockieren des öffentlichen Zugriffs zu Amazon-S3-Buckets (Amazon-S3-Dokumentation).

AWS Trusted Advisor generiert einen gelben Befund für S3-Buckets, die Listen- oder Lesezugriff für die Öffentlichkeit ermöglichen, und generiert einen roten Befund für Buckets, die öffentliche Uploads oder Löschungen zulassen. Folgen Sie als Ausgangsbasis der Steuerung ACCT.12 Suchen Sie nach Problemen mit hohem Risiko und lösen Sie diese, indem Sie Trusted Advisor, um falsch konfigurierte Buckets zu identifizieren und zu korrigieren. Öffentlich zugängliche S3-Buckets werden auch in der Amazon-S3-Konsole angezeigt.