c1.12 Bloqueie o acesso público ao armazenamento

S3 Block Public Access

O S3 Block Public Access (BPA) bloqueia o acesso público aos seus buckets no nível da conta (o padrão em contas novas) e no nível do bucket. Se sua organização não precisa de buckets públicos, habilite o BPA no nível da conta em todas as contas. Onde uma conta realmente precisar de um bucket público, mantenha o BPA ativo em todos os outros buckets dessa conta. O BPA no nível da conta sobrepõe as políticas de bucket, sendo um backstop firme contra uma política mal configurada.

Imponha com uma Service Control Policy para que ninguém remova o BPA onde não é necessário, e use os controles S3.1 e S3.8 do AWS Security Hub CSPM para detectar contas e buckets onde o BPA está desligado.

Ative pela CLI

Habilite as quatro opções de Block Public Access no nível da conta (execute em cada conta, com o respectivo account id):

aws s3control put-public-access-block \
  --account-id 111122223333 \
  --public-access-block-configuration \
  BlockPublicAcls=true,IgnorePublicAcls=true,BlockPublicPolicy=true,RestrictPublicBuckets=true

Verifique o que está configurado atualmente:

aws s3control get-public-access-block --account-id 111122223333

Não esqueça das AMIs e snapshots do EBS

O acesso público não é só um problema do S3. Bloqueie também o acesso público para AMIs e para snapshots do EBS a menos que tenha um motivo claro e revisado para compartilhá-los — uma AMI ou snapshot público pode vazar uma imagem de máquina ou um disco inteiro.

Se você precisar publicar conteúdo

Para servir conteúdo público (por exemplo, um site estático), não abra o bucket. Coloque-o atrás de uma distribuição do Amazon CloudFront com o AWS WAF, para manter o BPA ativo e adicionar proteção à frente.