Une application génère des rapports et les stocke dans un compartiment Amazon S3. Les utilisateurs téléchargent les rapports via des URL signées générées par l'application. L'équipe de sécurité a découvert que les objets sont accessibles publiquement et que n'importe qui peut les télécharger sans authentification, de sorte que la génération de rapports a été suspendue. Quel ensemble d'actions permettra de corriger immédiatement l'exposition de sécurité sans perturber le flux de travail de téléchargement normal de l'application ?

La fonctionnalité Amazon S3 Block Public Access (BPA) est la solution la plus rapide et la plus efficace pour corriger immédiatement l'exposition de sécurité. En définissant IgnorePublicAcls sur TRUE au niveau du compartiment, S3 ignorera toutes les listes de contrôle d'accès (ACL) publiques définies sur les objets, rendant ainsi les objets inaccessibles publiquement. Les URL signées continueront de fonctionner car elles fournissent un accès temporaire et authentifié, contournant les restrictions d'accès public. Les autres options sont moins appropriées : Créer une fonction AWS Lambda pour appliquer une politique de refus total est une approche réactive et potentiellement complexe, qui ne corrige pas immédiatement le problème et pourrait être sujette à des erreurs si elle n'est pas configurée correctement. Examiner les recommandations de Trusted Advisor est une bonne pratique, mais cela n'apporte pas une solution immédiate et directe au problème d'accès public. Exécuter un script pour définir une ACL privée sur chaque objet est une solution manuelle et potentiellement longue, surtout pour un grand nombre d'objets, et ne garantit pas que de nouveaux objets ne seront pas rendus publics à l'avenir. De plus, elle ne corrige pas le problème des ACL de compartiment ou des politiques de compartiment.