Aplikacja generuje raporty i przechowuje je w zasobniku Amazon S3. Użytkownicy pobierają raporty za pomocą wygenerowanych przez aplikację podpisanych adresów URL. Zespół bezpieczeństwa odkrył, że obiekty są publicznie dostępne i każdy może je pobrać bez uwierzytelnienia, dlatego generowanie raportów zostało zawieszone. Jaki zestaw działań natychmiast naprawi lukę w zabezpieczeniach bez zakłócania normalnego przepływu pobierania aplikacji?

Poprawna odpowiedź to użycie funkcji Amazon S3 Block Public Access i ustawienie opcji IgnorePublicACLs na TRUE. Ta funkcja natychmiast blokuje publiczny dostęp do zasobnika i jego obiektów, nawet jeśli istnieją listy ACL lub polityki zasobnika, które zezwalają na publiczny dostęp. Podpisane adresy URL (pre-signed URLs) nadal będą działać, ponieważ są one tymczasowymi, autoryzowanymi linkami do prywatnych obiektów, a nie publicznym dostępem. Inne opcje są mniej skuteczne lub nie rozwiązują problemu natychmiast: Funkcja AWS Lambda stosująca politykę deny-all nie jest natychmiastowa i wymaga regularnego uruchamiania, co nie gwarantuje stałej ochrony. Przegląd zaleceń AWS Trusted Advisor to dobry krok, ale nie jest natychmiastowym rozwiązaniem problemu. Uruchomienie skryptu do ustawiania prywatnych list ACL dla każdego obiektu jest czasochłonne i może nie być natychmiastowe dla wszystkich obiektów, a także nie chroni przed przyszłymi błędami konfiguracji.