Приложение генерирует отчеты и сохраняет их в бакете Amazon S3. Пользователи загружают отчеты по подписанным URL-адресам, сгенерированным приложением. Команда безопасности обнаружила, что объекты общедоступны и любой может загрузить их без аутентификации, поэтому генерация отчетов была приостановлена. Какой набор действий немедленно устранит уязвимость безопасности, не нарушая обычный рабочий процесс загрузки приложения?

Правильный ответ — использование функции Amazon S3 Block Public Access с параметром IgnorePublicAcls, установленным в TRUE. Это немедленно блокирует публичный доступ к объектам, даже если ACL или политики бакета разрешают его, не нарушая при этом генерацию подписанных URL-адресов, которые по-прежнему будут работать для авторизованного доступа. Остальные варианты не подходят: Функция AWS Lambda, применяющая политику deny-all, является реактивным решением и не устраняет основную проблему публичного доступа немедленно и комплексно. Проверка AWS Trusted Advisor предоставляет рекомендации, но не является действием, которое немедленно устраняет уязвимость. Установка частного ACL на каждый объект вручную или скриптом — это трудоемкий и потенциально ошибочный процесс, который не гарантирует немедленной блокировки публичного доступа, если политика бакета все еще разрешает его.