写点什么

为了 S3 的安全性,亚马逊 AWS“操碎了心”

  • 2019-11-19
  • 本文字数:1555 字

    阅读完需:约 5 分钟

为了S3的安全性,亚马逊AWS“操碎了心”

早在 2006 年,亚马逊就推出S3。作为一个平台,它可以存储任何类型的数据。从那时起,S3 存储桶成为最常用的云存储工具之一,存储从服务器日志到客户数据的任何内容,其用户包括 Netflix、Reddit 和 GE Healthcare 等著名品牌。



虽然S3推出时很重视安全原则,但它在保障安全性的道路上并不是一帆风顺。


近年来,S3 存储桶的安全问题达到顶峰,Uber、埃森哲(Accenture)等公司,甚至美国国防部都受到重大数据泄露的影响。


几乎所有这些泄漏都有一个共同因素——负责管理云存储的管理员错误配置了安全设置,导致它们对公众开放。


你可能想知道,这种事情为什么一而再再而三地发生?难道不应该有可用的默认安全配置阻止这类事情发生吗?


值得称赞的是,S3 一直以来所采用的模型,使新创建的桶默认都是私有的。对公众和其他经过身份验证的 Amazon AWS 帐户,管理员可以控制其访问级别。


但问题在于,对某个特定的“桶”,要想判断公众应属于哪个访问级别并不容易。您可能会得到一个配置受限权限的桶,但该配置中可能包含了一些项,这些项可以覆盖这些限制,从而提供公开访问授权。


早在 2017 年,Amazon 就添加了额外的安全更改,以帮助解决由于 S3 存储桶配置错误而导致的日益增加的安全问题。首先,他们在所有公共桶上打上一个大大的橙色标签。此外,他们还为上传到桶的所有数据添加了默认加密和详细报告等设置,以帮助识别错误配置。


但这显然还不够。在这些变化之后的几个月里,很多企业仍然面临着来自完全开放存储导致的大量数据泄露威胁。


S3 用户面临的主要问题之一,涉及到所有的规则覆写和访问控制列表覆写,这些覆写行为是随着时间推移逐渐进行的。虽然 Amazon 仍然默认阻止所有公共 S3 访问,但是用户偶尔需要暂时公开访问一些数据。


为方便地实现这一点,管理员可以更新他们的访问控制列表,允许对数据进行读访问,并且想的是稍后删除该项规则。但不幸的是,数据访问需求发生了变化,人们又很健忘,这意味着规则可能会比预期停留更长时间,在不应该访问数据时却能访问数据。


嵌套目录(每个目录都有各自的权限)也可能进一步增加 S3 存储桶访问和安全的复杂性。最后,您可能会忘记存储敏感日志子目录的子目录实际上是可以公开访问的。


亚马逊在 2018 年 11 月遇到了这个问题,当时他们增加了一个选项来阻止全球范围内所有公共访问帐户中的每个 S3 桶。这为管理员提供了一个重置按钮来清除之前的设置,只需一次单击就可以覆盖所有自定义规则。



遗憾的是,这些安全更新只有在人们知道它们存在并正确使用它们的情况下才有用。不幸的是,由于用户错误和不正确的使用,只要服务还在运行,我们就可能继续看到源于错误配置的S3桶漏洞。


如果你的公司使用 Amazon S3(或任何云存储服务),你可以做几件事来确保数据不会泄露:


  • 首先,花一些时间彻底检查当前的存储权限。检查现有的存储桶,确保没有任何过时的规则,这些规则可能允许意外的数据访问。

  • 其次,在设置新的云存储或管理当前设置时,请遵循最佳实践原则。Amazon 的帮助系统有一个很好的指南,帮助用户保护 S3 的安全,类似于 Microsoft 的Azure存储服务

  • 最后,退一步考虑一下要上传到云中的数据类型。您可以在云上存储某些东西并不意味着您一定需要云存储。减少您的数据轨迹不仅降低了复杂性,更容易发现错误配置,而且还减少了您成为数据泄露受害者时的潜在损失。


对于公司数据的存储需求来说,云存储是一个非常棒且通常非常划算的工具,但如果不小心,它可能会给您的业务带来重大的安全问题。


建议您从上面的三个最佳实践开始最小化风险。当您有疑问时,在将敏感信息上传到云上之前,找一位 S3(或您使用的任何平台)的专家并与他们交流。


原文链接:


How data breaches forced Amazon to update S3 bucket security


关于作者:


Marc Laliberte 是一名高级安全分析师,来自 WatchGuard Technologies。


2019-11-19 15:282860

评论

发布
暂无评论
发现更多内容

百度吴甜:首席AI架构师培养计划持续为行业输送高端复合型AI人才

百度大脑

人工智能 百度

区块链交易所系统开发方案(案例)

Java自定义异步功能实践

FunTester

Java 线程池 接口测试 异步 FunTester

iOS 布道者龙神:永远挑战难度值增加 30% 的事情

融云 RongCloud

Transformer模型在语音识别领域最新进展,百度语音发布重大技术突破SMLTA2

科技热闻

区块链数字货币交易所系统软件开发详情(源码)

博鳌科创论坛第二届大会区块链分论坛预告

Geek_6e23d8

区块链 博鳌亚洲论坛

现成合约交易系统软件开发案例

常州一家等保测评公司在哪里?联系电话多少?

行云管家

网络安全 堡垒机 等级保护 等保测评 过等保

自媒体团队会面临哪些瓶颈和困境

石头IT视角

从语聊房 SDK 的诞生,看 PaaS 服务的演进过程

融云 RongCloud

CTF专题一2021网络WEB题目解析

网络安全学海

黑客 网络安全 信息安全 渗透测试 WEB安全

自定义View:属性动画和硬件加速

Changing Lin

10月月更

Kubernetes Service Proxy 无秘密

绅鱼片

Kubernetes 网络 iptables k8s网络 kube-proxy

Flink Could not find any factory for identifier 'XXX' 排查过程

大可大大大

Linux下进程崩溃定位

正向成长

OOM崩溃

架构实战营-模块一作业

御道而行

架构实战营

NB!阿里首次公布Java10W字面经,Github访问量破百万

Java 程序员 架构 面试 计算机

现成交易所系统软件开发案例

官方线索|脉脉1024程序员嘉年华

穿过生命散发芬芳

1024我在现场

区块链交易所系统软件开发资料(源码)

合约交易系统软件开发介绍(源码搭建)

Bazel与Gradle构建工具差异对比

轻口味

android 构建工具 10月月更

北京天源迪科携迪易采参加“第五届中央企业电商化采购发展高峰论坛”

科技热闻

SQL实现连续登陆人数天数统计

大象灵感

sql 大数据 hive 数据仓库 数据分析

/var/lib/docker目录磁盘满了,更换默认目录

阿呆

语聊房 SDK,下一代场景化解决方案新范式

融云 RongCloud

WICC 话题剧透|Beeto 陈昊:中东爆款社交平台是怎样炼成的

融云 RongCloud

如何选购四屏或多屏炒股电脑主板?

双赞工控

主板定制

区块链数字货币交易所系统开发资料(案例)

现成合约交易系统开发模板

为了S3的安全性,亚马逊AWS“操碎了心”_安全_Marc Laliberte_InfoQ精选文章