Para empezarUn solo error de configuración en un bucket de S3 puede dejar expuesta toda la base de datos de tu empresa en cuestión de segundos.
Qué es un Bucket S3
Un bucket de Amazon S3 es un contenedor de objetos en la nube diseñado para almacenar cualquier cantidad de datos. A nivel arquitectónico, funciona como un disco duro virtual accesible mediante una API web, lo que significa que su seguridad depende totalmente de las políticas de acceso que le apliquemos y no de una red privada.
El peligro de la mala configuración
Más del ochenta por ciento de las brechas de datos en entornos cloud no ocurren por fallos criptográficos o vulnerabilidades de zero-day en AWS, sino por errores humanos básicos en las listas de control de acceso y políticas de los buckets que permiten lectura pública sin autenticación.
Capas de defensa en S3
Para blindar correctamente un bucket de almacenamiento y evitar exposiciones accidentales, debemos configurar múltiples capas de control de acceso de forma estricta y redundante.
Marca cada paso al entenderlo · 0/4
Auditoría con AWS CLI
Podemos utilizar la interfaz de línea de comandos de AWS para comprobar rápidamente si un bucket específico permite el acceso público mediante una consulta directa a su configuración.
$ aws s3api get-public-access-block --bucket empresa-datos-sensibles
{
"PublicAccessBlockConfiguration": {
"BlockPublicAcls": false,
"IgnorePublicAcls": false,
"BlockPublicPolicy": false,
Cuidado con las políticas comodín
Nunca utilices un asterisco como comodún en el campo 'Principal' combinado con permisos de lectura globales en tus políticas JSON. Esto otorga acceso anónimo a cualquier usuario de internet, convirtiendo tu infraestructura en un blanco fácil para herramientas automatizadas de reconocimiento.
El rol de IAM
Identity and Access Management es el servicio central que gestiona la autenticación y autorización en AWS. Una correcta segregación de roles IAM garantiza que solo los servicios y usuarios debidamente autorizados puedan interactuar con los datos almacenados en los buckets.
¿Te acuerdas? Toca para comprobarlo
Atajos: ← → para cambiar de pieza · / para buscar