写点什么

为了 S3 的安全性,亚马逊 AWS“操碎了心”

  • 2019-11-19
  • 本文字数:1555 字

    阅读完需:约 5 分钟

为了S3的安全性,亚马逊AWS“操碎了心”

早在 2006 年,亚马逊就推出S3。作为一个平台,它可以存储任何类型的数据。从那时起,S3 存储桶成为最常用的云存储工具之一,存储从服务器日志到客户数据的任何内容,其用户包括 Netflix、Reddit 和 GE Healthcare 等著名品牌。



虽然S3推出时很重视安全原则,但它在保障安全性的道路上并不是一帆风顺。


近年来,S3 存储桶的安全问题达到顶峰,Uber、埃森哲(Accenture)等公司,甚至美国国防部都受到重大数据泄露的影响。


几乎所有这些泄漏都有一个共同因素——负责管理云存储的管理员错误配置了安全设置,导致它们对公众开放。


你可能想知道,这种事情为什么一而再再而三地发生?难道不应该有可用的默认安全配置阻止这类事情发生吗?


值得称赞的是,S3 一直以来所采用的模型,使新创建的桶默认都是私有的。对公众和其他经过身份验证的 Amazon AWS 帐户,管理员可以控制其访问级别。


但问题在于,对某个特定的“桶”,要想判断公众应属于哪个访问级别并不容易。您可能会得到一个配置受限权限的桶,但该配置中可能包含了一些项,这些项可以覆盖这些限制,从而提供公开访问授权。


早在 2017 年,Amazon 就添加了额外的安全更改,以帮助解决由于 S3 存储桶配置错误而导致的日益增加的安全问题。首先,他们在所有公共桶上打上一个大大的橙色标签。此外,他们还为上传到桶的所有数据添加了默认加密和详细报告等设置,以帮助识别错误配置。


但这显然还不够。在这些变化之后的几个月里,很多企业仍然面临着来自完全开放存储导致的大量数据泄露威胁。


S3 用户面临的主要问题之一,涉及到所有的规则覆写和访问控制列表覆写,这些覆写行为是随着时间推移逐渐进行的。虽然 Amazon 仍然默认阻止所有公共 S3 访问,但是用户偶尔需要暂时公开访问一些数据。


为方便地实现这一点,管理员可以更新他们的访问控制列表,允许对数据进行读访问,并且想的是稍后删除该项规则。但不幸的是,数据访问需求发生了变化,人们又很健忘,这意味着规则可能会比预期停留更长时间,在不应该访问数据时却能访问数据。


嵌套目录(每个目录都有各自的权限)也可能进一步增加 S3 存储桶访问和安全的复杂性。最后,您可能会忘记存储敏感日志子目录的子目录实际上是可以公开访问的。


亚马逊在 2018 年 11 月遇到了这个问题,当时他们增加了一个选项来阻止全球范围内所有公共访问帐户中的每个 S3 桶。这为管理员提供了一个重置按钮来清除之前的设置,只需一次单击就可以覆盖所有自定义规则。



遗憾的是,这些安全更新只有在人们知道它们存在并正确使用它们的情况下才有用。不幸的是,由于用户错误和不正确的使用,只要服务还在运行,我们就可能继续看到源于错误配置的S3桶漏洞。


如果你的公司使用 Amazon S3(或任何云存储服务),你可以做几件事来确保数据不会泄露:


  • 首先,花一些时间彻底检查当前的存储权限。检查现有的存储桶,确保没有任何过时的规则,这些规则可能允许意外的数据访问。

  • 其次,在设置新的云存储或管理当前设置时,请遵循最佳实践原则。Amazon 的帮助系统有一个很好的指南,帮助用户保护 S3 的安全,类似于 Microsoft 的Azure存储服务

  • 最后,退一步考虑一下要上传到云中的数据类型。您可以在云上存储某些东西并不意味着您一定需要云存储。减少您的数据轨迹不仅降低了复杂性,更容易发现错误配置,而且还减少了您成为数据泄露受害者时的潜在损失。


对于公司数据的存储需求来说,云存储是一个非常棒且通常非常划算的工具,但如果不小心,它可能会给您的业务带来重大的安全问题。


建议您从上面的三个最佳实践开始最小化风险。当您有疑问时,在将敏感信息上传到云上之前,找一位 S3(或您使用的任何平台)的专家并与他们交流。


原文链接:


How data breaches forced Amazon to update S3 bucket security


关于作者:


Marc Laliberte 是一名高级安全分析师,来自 WatchGuard Technologies。


2019-11-19 15:282853

评论

发布
暂无评论
发现更多内容

从积木式到装配式云原生安全

京东科技开发者

低代码技术在售后管理中的应用与优化

天津汇柏科技有限公司

低代码开发

实时数仓Hologres TPC-H及点查性能开箱测试

阿里云大数据AI技术

实时数仓 OLAP hologres

Milvus 向量数据库进阶系列丨部署形态选型

Zilliz

人工智能 Milvus Zilliz 向量数据库 rag

京东云原生安全产品重磅发布

京东科技开发者

文献解读-群体测序-第二十三期|《一项前瞻性队列研究中膀胱癌的驱动和乘客DNA甲基化非侵入诊断和监测》

INSVAST

基因测序 基因数据分析 生信服务

JavaScript单行技巧:高效处理数据

南城FE

JavaScript 前端

从C端到B端:我的前端技术进阶之路

京东零售技术

前端 企业号2024年7月PK榜

一步即扫,直达应用所有服务

HarmonyOS SDK

HarmonyOS

职场<火焰杯>测试开发大赛决赛成绩及获奖名单公布!

测吧(北京)科技有限公司

测试

从K8s的“临时容器”看K8s设计的厉害之处

华为云开发者联盟

Docker 容器 云原生 华为云开发者联盟 企业号2024年7月PK榜

在 K8s 上用 KubeBlocks 提供的 PG 和 Redis operator 部署高可用 Harbor 集群

小猿姐

postgresql Kubernetes operator Redis 消费队列

VMware Cloud Foundation 5.2 发布下载,新增功能概览

sysin

vSphere vcenter esxi vcf

仓颉编程语言技术指南:嵌套函数、Lambda 表达式、闭包

华为云开发者联盟

鸿蒙 编程语言 华为云开发者联盟 企业号2024年7月PK榜 仓颉

LLM推理加速:decode阶段的Attention在GPU上的优化

阿里技术

阿里巴巴 推理 大模型 LLM RTP-LLM

灵活数据流处理:NeuronEX 支持 JavaScript 自定义函数

EMQ映云科技

Java 车联网 物联网 数据采集 NeuronEX

一文了解MySQL索引机制

京东零售技术

后端 MySQL 高可用 企业号2024年7月PK榜

AI客服上线 干货 干货 全是干货!

开源物联卡管理平台-设备管理

物联网 IoT eSIM安全 java 技术提升

职场<火焰杯>测试开发大赛决赛成绩及获奖名单公布!

测试人

软件测试

【YashanDB知识库】服务端是GBK编码,导致从22.2.12.100升级到22.2.13.100失败问题

YashanDB

yashandb 崖山数据库 崖山DB

全能数据分析工具:Tableau Desktop 2019 for Mac 中文激活版

你的猪会飞吗

mac软件下载 mac破解软件下载

喜讯!云起无垠入选《嘶吼2024网络安全产业图谱》

云起无垠

观测云产品更新 | 异常追踪、场景图表、快照、监控等

观测云

监控

官宣!2024观测云发布会

观测云

监控

为了S3的安全性,亚马逊AWS“操碎了心”_安全_Marc Laliberte_InfoQ精选文章