c1.12 Bloquea el acceso público al almacenamiento

S3 Block Public Access

S3 Block Public Access (BPA) bloquea el acceso público a tus buckets a nivel de cuenta (el valor por defecto en cuentas nuevas) y a nivel de bucket. Si tu organización no necesita buckets públicos, habilita BPA a nivel de cuenta en todas las cuentas. Donde una cuenta realmente necesite un bucket público, mantén BPA activo en todos los demás buckets de esa cuenta. El BPA a nivel de cuenta anula las políticas de bucket, así que es un respaldo firme ante una política mal configurada.

Imponlo con una Service Control Policy para que nadie pueda quitar el BPA donde no se necesita, y usa los controles S3.1 y S3.8 de AWS Security Hub CSPM para detectar cuentas y buckets donde el BPA está apagado.

Actívalo con la CLI

Habilita las cuatro opciones de Block Public Access a nivel de cuenta (ejecuta en cada cuenta, con su account id):

aws s3control put-public-access-block \
  --account-id 111122223333 \
  --public-access-block-configuration \
  BlockPublicAcls=true,IgnorePublicAcls=true,BlockPublicPolicy=true,RestrictPublicBuckets=true

Verifica lo que está configurado actualmente:

aws s3control get-public-access-block --account-id 111122223333

No olvides las AMIs y los snapshots de EBS

El acceso público no es solo un problema de S3. Bloquea también el acceso público para AMIs y para snapshots de EBS salvo que tengas una razón clara y revisada para compartirlos — una AMI o snapshot público puede filtrar una imagen de máquina o un disco completo.

Si necesitas publicar contenido

Para servir contenido público (por ejemplo un sitio web estático), no abras el bucket. Ponlo detrás de una distribución de Amazon CloudFront con AWS WAF, para mantener el BPA activo y agregar protección al frente.