Una instancia de RDS de Amazon de acceso público amplía innecesariamente la superficie de ataque de una organización. Los servicios abiertos a la interacción con el público están sujetos a análisis y sondeos casi continuos por parte de los atacantes.

Ejemplo 1: La siguiente tarea de Ansible configura una instancia de RDS con acceso público porque publicly_accessible está establecido en true.

- name: createdb
  community.aws.rds_instance:
    db_instance_identifier: test-db
    engine: aurora
    instance_type: db.t2.small
    username: "{{ username }}"
    password: "{{ password }}"
    cluster_id: test-cluster
    publicly_accessible: true

Las configuraciones de acceso dinámico exponen innecesariamente los sistemas y amplían la superficie de ataque de una organización. Los servicios abiertos a la interacción con el público están sujetos a análisis y sondeos casi continuos por parte de entidades malintencionadas.

Esto es especialmente problemático cuando se descubre y publica una vulnerabilidad de día cero para un servicio expuesto (por ejemplo, Heartbleed). Los atacantes pueden perseguir y buscar activamente sistemas expuestos y sin revisión que puedan aprovechar.

"PSQLSecurityGroup": {
    "Type": "AWS::EC2::SecurityGroup",
    "Properties": {
        "VpcId": {
            "Ref": "VpcId"
        },
        "GroupDescription": "Enable PSQL access via port 5432 to world",
        "SecurityGroupIngress": [
            {
                "CidrIp": "0.0.0.0/0",
                "FromPort": 5432,
                "IpProtocol": "tcp",
                "ToPort": 5432
            }
        ]
    }

La definición de claves de acceso para su cuenta de usuario raíz de AWS pone en riesgo todos sus recursos de AWS si esta clave se ve comprometida.

Ejemplo 1: La siguiente plantilla de ejemplo crea una clave de acceso para la cuenta de usuario raíz.

{
    "AWSTemplateFormatVersion": "2010-09-09",
    "Resources": {
        "SecKeys": {
            "Type": "AWS::IAM::AccessKey",
            "Properties": {
            "UserName": "Root"
            }
        }
    }
}

Las configuraciones de acceso dinámico exponen innecesariamente los sistemas y amplían la superficie de ataque de una organización. Los servicios abiertos a la interacción con el público están sujetos a análisis y sondeos casi continuos por parte de entidades malintencionadas.

Esto es especialmente problemático cuando se descubre y publica una vulnerabilidad de día cero para un servicio expuesto (por ejemplo, Heartbleed). Los atacantes pueden perseguir y buscar activamente sistemas expuestos y sin revisión que puedan aprovechar.

"DbSecurity": {
  "Type": "AWS::RDS::DBSecurityGroup",
  "Properties": {
      "GroupDescription": "Ingress for Amazon RDS security group",
      "DBSecurityGroupIngress": {
          "CIDRIP": "0.0.0.0/0"
      }
  }
}

De forma predeterminada, los clústeres de Amazon Redshift no son de acceso público.

Permitir el acceso público a un clúster amplía la superficie de ataque de la organización.

Ejemplo 1: La siguiente plantilla de ejemplo habilita explícitamente el acceso público a un clúster de Amazon Redshift.

"Resources": {
    "RDCluster": {
      "Type": "AWS::Redshift::Cluster",
      "Properties": {
        "NodeType": "ds2.xlarge",
        "ClusterType": "single-node",
        "DBName": "rdb",
        "PubliclyAccessible": true,
        "MasterUsername": "rduser",
        "MasterUserPassword": {
          "Ref": "MasterUserPassword"
        }
      }
    }
}

Una entidad principal ded IAM de AWS define el acceso a un recurso para un usuario, servicio u otra entidad. En una instrucción IAM, hay una definición de una entidad principal de IAM que permite que todos accedan a una acción S3.

El acceso público a un contenedor de S3 debido a configuraciones incorrectas es una de las principales causas de vulneraciones de datos.
Aunque los contenedores S3 bloquean el acceso público de forma predeterminada, cualquier usuario autorizado puede actualizar las directivas de contenedor o las listas de control de acceso (ACL) para permitir el acceso público. Prohíba este tipo de actualización habilitando la configuración deBlockPublicPolicy yBlockPublicAcls respectivamente en una propiedad S3 dePublicAccessBlockConfiguration.
Para protegerse también contra las directivas de contenedor excesivamente permisivas y las ACL, respectivamente, habilite la configuración de RestrictPublicBuckets y IgnorePublicAcls.