Remediando Configurações Incorretas de Buckets S3

Quando Usar

• Quando o AWS Config ou o Security Hub relatam buckets S3 com acesso público ou criptografia ausente
• Quando uma varredura de segurança revela políticas de bucket S3 concedendo acesso ao Principal "*" (todos)
• Ao se preparar para uma auditoria de proteção de dados que exige evidências de controles de segurança de armazenamento
• Ao responder a um incidente de exposição de dados envolvendo objetos S3 acessíveis publicamente
• Ao estabelecer controles preventivos para a criação de novos buckets S3 em uma Organização AWS

Não use para configurações incorretas de Azure Blob Storage ou GCP Cloud Storage, para classificação de dados S3 (veja implementando-política-dlp-na-nuvem) ou para análise de padrões de acesso S3 não relacionados à segurança.

Pré-requisitos

• Conta AWS com permissões administrativas de S3 (s3:, s3-outposts:)
• AWS Config habilitado para avaliar a conformidade de recursos S3
• AWS CloudTrail registrando eventos de dados S3 para auditoria de acesso
• Macie habilitado para descoberta de dados sensíveis em buckets S3

Fluxo de Trabalho

Etapa 1: Identificar Todos os Buckets Públicos e Mal Configurados

Use múltiplos métodos de detecção para identificar buckets S3 com acesso público. Confie em regras do AWS Config, S3 Access Analyzer e Macie em vez de inspeção manual.

# Enable S3 Access Analyzer for external access detection
aws accessanalyzer create-analyzer \
  --analyzer-name s3-analyzer \
  --type ACCOUNT

# List all S3 buckets with public access indicators
aws s3api list-buckets --query 'Buckets[*].Name' --output text | while read bucket; do
  public_status=$(aws s3api get-public-access-block --bucket "$bucket" 2>/dev/null)
  if [ $? -ne 0 ]; then
    echo "NO PUBLIC ACCESS BLOCK: $bucket"
  fi
done

# Check bucket policies for public access grants
aws s3api list-buckets --query 'Buckets[*].Name' --output text | while read bucket; do
  policy=$(aws s3api get-bucket-policy --bucket "$bucket" 2>/dev/null)
  if echo "$policy" | grep -q '"Principal":"*"' 2>/dev/null; then
    echo "PUBLIC POLICY DETECTED: $bucket"
  fi
done

# Use AWS Config to find non-compliant buckets
aws configservice get-compliance-details-by-config-rule \
  --config-rule-name s3-bucket-public-read-prohibited \
  --compliance-types NON_COMPLIANT \
  --query 'EvaluationResults[*].EvaluationResultIdentifier.EvaluationResultQualifier.ResourceId'

Etapa 2: Habilitar Bloqueio de Acesso Público S3 no Nível da Conta

Aplique as quatro configurações de Bloqueio de Acesso Público no nível da conta AWS como uma rede de segurança. Isso impede que qualquer bucket na conta seja tornado público, independentemente das políticas de bucket individuais ou ACLs.

# Enable account-level Block Public Access (all four settings)
aws s3control put-public-access-block \
  --account-id 123456789012 \
  --public-access-block-configuration '{
    "BlockPublicAcls": true,
    "IgnorePublicAcls": true,
    "BlockPublicPolicy": true,
    "RestrictPublicBuckets": true
  }'

# Verify account-level settings
aws s3control get-public-access-block --account-id 123456789012

# Enable at bucket level for defense in depth
aws s3api put-public-access-block \
  --bucket production-data-bucket \
  --public-access-block-configuration '{
    "BlockPublicAcls": true,
    "IgnorePublicAcls": true,
    "BlockPublicPolicy": true,
    "RestrictPublicBuckets": true
  }'

Etapa 3: Auditar e Remediar Políticas de Bucket e ACLs

Revise todas as políticas de bucket em busca de declarações de Principal excessivamente permissivas e remova ACLs legadas. Force controles de propriedade de bucket para desabilitar ACLs completamente.

# Remover uma política de bucket pública
aws s3api delete-bucket-policy --bucket bucket-exposto

# Substituir por uma política restritiva
aws s3api put-bucket-policy --bucket bucket-exposto --policy '{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyUnencryptedTransport",
      "Effect": "Deny",
      "Principal": "*",
      "Action": "s3:*",
      "Resource": [
        "arn:aws:s3:::bucket-exposto",
        "arn:aws:s3:::bucket-exposto/*"
      ],
      "Condition": {
        "Bool": {"aws:SecureTransport": "false"}
      }
    },
    {
      "Sid": "AllowOnlyVPCEndpoint",
      "Effect": "Deny",
      "Principal": "*",
      "Action": "s3:*",
      "Resource": [
        "arn:aws:s3:::bucket-exposto",
        "arn:aws:s3:::bucket-exposto/*"
      ],
      "Condition": {
        "StringNotEquals": {"aws:SourceVpce": "vpce-0abc123def456"}
      }
    }
  ]
}'

# Forçar proprietário do bucket para todos os objetos (desabilitar ACLs)
aws s3api put-bucket-ownership-controls --bucket bucket-exposto \

…