3 große Amazon-S3-Schwachstellen, die Ihnen möglicherweise entgehen

Bei Datenschutzverletzungen im Zusammenhang mit Amazon Web Services (AWS) ist häufig der Objektspeicherdienst Amazon S3 betroffen. Der Dienst ist äußerst beliebt. S3 wurde bereits 2006 eingeführt, als nur wenige wussten, was die Cloud ist, und ist hochgradig skalierbar, zuverlässig und einfach zu bedienen. Doch die Sicherheit von S3 richtig einzurichten und dauerhaft zu gewährleisten, bereitet vielen AWS-Kunden weiterhin Schwierigkeiten.

Wie bei einem beliebten Cloud-Dienst zu erwarten, den es seit fast anderthalb Jahrzehnten gibt, hat sich S3 mit dem Hinzufügen immer neuer Funktionen vielfach verändert. Die zusätzlichen S3-Funktionen haben im Laufe der Zeit auch zu komplexeren Sicherheitsebenen geführt, die in Ihr Cloud Security Posture Management (CSPM) einbezogen werden müssen.

Bevor wir uns in unserer kommenden Cloud Security Masterclass eingehend mit den Sicherheitsebenen von S3 befassen (hier anmelden), werfen wir einen kurzen Blick auf drei häufige Arten, wie AWS-Kunden ihre S3-Daten unwissentlich gefährden.

Schwachstelle Nr. 1: Auflistungsberechtigungen für Rechenressourcen

Wenn ein Angreifer Zugriff auf Ihre Cloud-Umgebung erhält, möchte er sich zunächst einen Überblick verschaffen und herausfinden, ob es etwas zu stehlen gibt. AWS-Kunden verwenden jedoch häufig Listenberechtigungen für ihre EC2-Instances oder Container. Je nach Umfang dieser Berechtigungen kann ein Angreifer dadurch erkennen, welche weiteren AWS-Ressourcen sich im Konto befinden und welche IAM-Rollen er übernehmen kann, um darauf zuzugreifen.

Es gibt nur wenige Gründe, Listenberechtigungen für EC2-Instances zu vergeben. Sie sollten daher eine Richtlinie durchsetzen, die dies untersagt.

Schwachstelle Nr. 2: Zu großes Vertrauen in IAM zum Schutz vor Datendiebstahl

Der AWS-Dienst Identity and Access Management (IAM) sollte in jeder AWS-Umgebung als sicherheitskritische Ressource betrachtet werden. Achten Sie sorgfältig auf Ihre IAM-Konfigurationen und lassen Sie sich bei jeder Änderung benachrichtigen.

Selbst wenn Ihre IAM-Ressourcenkonfigurationen nach dem Prinzip der geringsten Berechtigungen sicher eingerichtet sind, können Angreifer diese Schutzmaßnahmen umgehen und Daten aus S3 stehlen. Eine korrekte IAM-Konfiguration bedeutet nicht, dass Sie Ihre S3-Bucket-Konfigurationen vernachlässigen können.

Verlassen Sie sich nicht allein auf eine korrekte IAM-Konfiguration. Schränken Sie den Zugriff stattdessen mit S3-Bucket-Richtlinien direkt auf Bucket-Ebene ein.

Schwachstelle Nr. 3: Nicht öffentliche S3-Buckets mit öffentlichen Objekten

Bei der Sicherheit von S3 denken die meisten zuerst daran, ob der öffentliche Zugriff auf einen S3-Bucket blockiert oder zugelassen ist. Vielleicht gehen Sie davon aus, dass Sie den öffentlichen Zugriff deaktivieren, wenn Sie vertrauliche Informationen in einem S3-Bucket speichern. Doch viele AWS-Kunden machen genau diesen Fehler.

Corey Quinn, Moderator des Podcasts „Screaming in the Cloud“ und Autor des E-Mail-Newsletters „Last Week in AWS“, vergibt regelmäßig die S3 Bucket Negligence Awards. AWS hat sogar in der Konsole einen Hinweis eingefügt, der Sie darüber informiert, wenn ein Bucket öffentlichen Zugriff zulässt.

Es gibt legitime Gründe, öffentlichen Zugriff auf einen S3-Bucket zu erlauben – viele Websites werden in S3 gehostet. Die meisten S3-Buckets sollten jedoch nicht öffentlich zugänglich sein, und diese Einstellung ist ein guter Ausgangspunkt. Allerdings können sich öffentliche Objekte auch in einem nicht öffentlichen S3-Bucket befinden. AWS erklärt hier, wie das geht.

Dieser Schritt erfolgt jedoch häufig versehentlich und legt vertrauliche Daten in einem S3-Bucket offen, der ansonsten sicher ist. So entsteht ein trügerisches Sicherheitsgefühl für alle dort gespeicherten Daten.

So behalten Sie die Sicherheit Ihrer Amazon-S3-Umgebung im Griff

Amazon S3 ist äußerst flexibel und einfach zu bedienen. Die Sicherheit von S3 ist jedoch komplexer und erfordert ein tieferes Verständnis der verschiedenen S3-Sicherheitsoptionen und Ihres individuellen Cloud-Anwendungsfalls.