El acceso público a un contenedor de S3 debido a configuraciones incorrectas es una de las principales causas de vulneraciones de datos.
Aunque los contenedores S3 bloquean el acceso público de forma predeterminada, cualquier usuario autorizado puede actualizar las directivas de contenedor o las listas de control de acceso (ACL) para permitir el acceso público. Prohíba este tipo de actualización habilitando la configuración deBlockPublicPolicy yBlockPublicAcls respectivamente en una propiedad S3 dePublicAccessBlockConfiguration.
Para protegerse también contra las directivas de contenedor excesivamente permisivas y las ACL, respectivamente, habilite la configuración de RestrictPublicBuckets y IgnorePublicAcls.

El acceso no controlado a recursos críticos o confidenciales puede afectar significativamente a una organización de varias maneras, incluida la divulgación o manipulación de datos críticos.

Las configuraciones de acceso dinámico pueden exponer los sistemas y amplían la superficie de ataque de una organización. Los servicios abiertos a la interacción con el público suelen estar sujetos a análisis y sondeos casi continuos por parte de entidades malintencionadas.

Esto es especialmente problemático cuando se descubre y publica una vulnerabilidad de día cero para un servicio expuesto, como Heartbleed. Los atacantes pueden perseguir y buscar activamente sistemas expuestos y sin revisión que puedan aprovechar.

Las configuraciones de acceso dinámico pueden exponer los sistemas y amplían la superficie de ataque de una organización. Los servicios abiertos a la interacción con el público suelen estar sujetos a análisis y sondeos casi continuos por parte de entidades malintencionadas.

Esto es especialmente problemático cuando se descubre y publica una vulnerabilidad de día cero para un servicio expuesto, como Heartbleed. Los atacantes pueden perseguir y buscar activamente sistemas expuestos y sin revisión que puedan aprovechar.

Las configuraciones de acceso dinámico pueden exponer los sistemas y amplían la superficie de ataque de una organización. Los servicios abiertos a la interacción con el público suelen estar sujetos a análisis y sondeos casi continuos por parte de entidades malintencionadas.

Esto es especialmente problemático cuando se descubre y publica una vulnerabilidad de día cero para un servicio expuesto, como Heartbleed. Los atacantes pueden perseguir y buscar activamente sistemas expuestos y sin revisión que puedan aprovechar.

Los canales de comunicación de datos insuficientemente protegidos pueden poner los datos críticos de la organización en riesgo de robo, manipulación o divulgación.

Los canales de comunicación de datos insuficientemente protegidos pueden poner los datos críticos de la organización en riesgo de robo, manipulación o divulgación.

El cifrado en reposo no está habilitado. Esto expone los datos a accesos no autorizados y posibles robos.

De forma predeterminada, las instancias de Amazon DocumentDB no están cifradas. Esto expone los datos al acceso no autorizado y posible robo.

Ejemplo 1: El siguiente ejemplo muestra una plantilla que define una Amazon DocumentDB con el cifrado deshabilitado.

"Resources": {
    "DocDBDefault": {
        "Type": "AWS::DocDB::DBCluster",
        "Properties": {
            "MasterUsername": "name",
            "MasterUserPassword": "password"
        }
    }

Los canales de comunicación no cifrados son propensos al espionaje y manipulaciones.

Deshabilitar la seguridad del transporte expone los datos a accesos no autorizados, posibles robos y manipulaciones.

De forma predeterminada, los volúmenes de EBS no están cifrados.
Ejemplo 1: La siguiente plantilla de ejemplo expone los datos a posible robo y acceso no autorizados.

"Resources": {
    "EBSVOLExample": {
        "Type": "AWS::EC2::Volume",
        "Properties": {
            "Encrypted": false,
        }
    }
}

El uso de dependencias no examinadas puede poner a una organización en riesgo.

El cifrado en reposo no está habilitado. Esto expone los datos a accesos no autorizados y posibles robos.

De forma predeterminada, los grupos de replicación de Amazon ElastiCache no están cifrados. Esto expone los datos al acceso no autorizado y posible robo.

Ejemplo 1: La siguiente plantilla de ejemplo define un grupo de replicación de Amazon ElastiCache con el cifrado deshabilitado.

{
    "Description": "ElastiCache redis",
    "Resources": {
        "MyReplicationGroup": {
            "Type": "AWS::ElastiCache::ReplicationGroup",
            "Properties": {
                "AutomaticFailoverEnabled": true,
                "CacheNodeType": {
                    "Ref": "CacheNodeType"
                },
                Cache  "ParameterGroupName": {
                    "Ref": "CacheParameterGroup"
                },
                "CacheSubnetGroupName": {
                    "Ref": "CacheSubnetGroupName"
                },
                "Engine": "redis",
                "EngineVersion": {
                    "Ref": "EngineVersion"
                },
                "NumNodeGroups": {
                    "Ref": "NumShards"
                },
                "ReplicasPerNodeGroup": {
                    "Ref": "NumReplicas"
                },
                "PreferredMaintenanceWindow": "sat:10:00-sat:08:00",
                "SecurityGroupIds": [
                    {
                        "Ref": "SecurityGroup"
                    }
                ],
                "SnapshotRetentionLimit": {
                    "Ref": "SnapshotRetentionLimit"
                },
                "SnapshotWindow": "00:00-03:00"
            },
            "UpdatePolicy": {
                "UseOnlineResharding": true
            }
        }
    }
}

Los canales de comunicación no cifrados son propensos al espionaje y manipulaciones.

De forma predeterminada, el cifrado de transporte del grupo de replicación de ElastiCache está deshabilitado. Esto expone los datos a accesos no autorizados, posibles robos y manipulaciones.

Ejemplo 1: La siguiente plantilla de ejemplo define un grupo de replicación de ElastiCache sin el cifrado de transporte habilitado.

{
    "Resources": {
        "ReplicationGroup": {
            "Properties": {
            "Engine": "redis",
            "EngineVersion": "EngineVersion",
            "ReplicasPerNodeGroup": "NumReplicas",
            "PreferredMaintenanceWindow": "sat:07:00-sat:08:00",
            "AtRestEncryptionEnabled": true,
            "CacheParameterGroupName": "CacheParameterGroup",
            "SecurityGroupIds": [
                "SecurityGroup"
            ],
            "SnapshotRetentionLimit": "SnapshotRetentionLimit",
            "CacheNodeType": "CacheNodeType",
            "CacheSubnetGroupName": "CacheSubnetGroupName",
            "NumNodeGroups": "NumShards",
            "SnapshotWindow": "00:00-03:00",
            "ReplicationGroupDescription": "AWS::StackName"
            },
            "UpdatePolicy": {
            "UseOnlineResharding": true
            },
            "DeletionPolicy": "Snapshot",
            "UpdateReplacePolicy": "Snapshot",
            "Type": "AWS::ElastiCache::ReplicationGroup"
        }
    }
}

El cifrado en reposo no está habilitado. Esto expone los datos a accesos no autorizados y posibles robos.

Los canales de comunicación de datos insuficientemente protegidos pueden poner los datos críticos de la organización en riesgo de robo, manipulación o divulgación.

Los canales de comunicación de datos insuficientemente protegidos pueden poner los datos críticos de la organización en riesgo de robo, manipulación o divulgación.

De forma predeterminada, los clústeres de Neptune DB no están cifrados. Esto expone los datos a posibles robos y accesos no autorizados por parte de atacantes.

Ejemplo 1: La siguiente plantilla de ejemplo no habilita el cifrado en reposo.

{
    "AWSTemplateFormatVersion": "2010-09-09",
    "Description": "My Neptune DB cluster",
    "Resources": {
        "NeptuneDBCluster": {
            "Type": "AWS::Neptune::DBCluster",
            "Properties": {
                "BackupRetentionPeriod": 10,
                "DBClusterIdentifier": "MyDBClusterIdentifier",
                "DBClusterParameterGroupName": "MyNeptuneDBClusterParameterGroup",
                "DBSubnetGroupName": "MyNeptuneDBSubnetGroup",
                "IamAuthEnabled": true,
                "Port": 8080,
                "PreferredBackupWindow": "NeptuneDBClusterPreferredBackupWindow",
                "PreferredMaintenanceWindow": "NeptuneDBClusterPreferredMaintenanceWindow"
            }
        }
    }
}

De forma predeterminada, las instancias de RDS de Amazon no están cifradas. Esto expone los datos a posible robo y acceso no autorizados.

"Resources": {
    "RDSDBExample": {
        "Type": "AWS::RDS::DBInstance",
        "Properties": {
            "StorageEncrypted": false,
            "DBName": "Test DB",
            "DBInstanceClass": "db.m4.large"
        }
    }
}