Das Sicherheitsteam muss nur benachrichtigt werden, wenn ein Amazon S3-Bucket in einem neu erworbenen AWS-Konto öffentlich zugänglich wird. Das Unternehmen verfügt bereits über ein SNS-Thema mit dem E-Mail-Abonnement des Sicherheitsteams. Welcher Ansatz sendet Benachrichtigungen nur, wenn ein Bucket öffentlich zugänglich ist?

Die korrekte Lösung ist, einen IAM Access Analyzer zu erstellen und eine Amazon EventBridge-Regel zu konfigurieren. Der Access Analyzer scannt kontinuierlich S3-Buckets auf öffentliche Zugriffsrichtlinien. Wenn er einen öffentlichen Zugriff (isPublic: true) feststellt, generiert er ein Finding. Eine EventBridge-Regel kann auf diese "Access Analyzer Finding"-Ereignisse reagieren und gezielt nach Findings filtern, die einen öffentlichen Zugriff anzeigen. Das konfigurierte SNS-Thema stellt dann sicher, dass das Sicherheitsteam sofort benachrichtigt wird. Die anderen Optionen sind weniger geeignet: S3-Ereignisbenachrichtigungen für "isPublic"-Ereignisse existieren in dieser Form nicht direkt. S3-Ereignisse beziehen sich eher auf Objektoperationen. Eine EventBridge-Regel für "PutBucketPolicy" über CloudTrail würde bei jeder Richtlinienänderung auslösen, nicht nur bei öffentlichem Zugriff, was zu vielen Fehlalarmen führen würde. AWS Config mit der Regel "cloudtrail-s3-dataevents-enabled" prüft, ob Datenereignisse protokolliert werden, nicht ob ein Bucket öffentlich ist. Eine "NONCOMPLIANT"-Meldung würde hier nicht den gewünschten Zweck erfüllen.