De forma predeterminada, los clústeres de Amazon Redshift no son de acceso público.

Permitir el acceso público a un clúster amplía la superficie de ataque de la organización.

Ejemplo 1: El siguiente ejemplo muestra una tarea de Ansible que habilita explícitamente el acceso público a un clúster de Amazon Redshift configurando el parámetro publicly_accessible en yes .

- name: example1
  community.aws.redshift:
    identifier: mycluster
    command: create
    db_name: mydb
    node_type: ds1.xlarge
    username: "{{ username }}"
    password: "{{ password }}"
    publicly_accessible: yes

Una mala configuración del acceso público a un contenedor S3 es una de las principales causas de vulneraciones de datos.

Aunque los contenedores S3 bloquean el acceso público de forma predeterminada, cualquier usuario autorizado puede actualizar las directivas de contenedor o las listas de control de acceso (ACL) para permitir el acceso público.

Una AMI de Amazon EC2 que asigna un dispositivo de bloqueo sin cifrar expone los datos a accesos no autorizado y a posibles robos.

Ejemplo 1: La siguiente tarea de Ansible crea una AMI de Amazon EC2 y adjunta un dispositivo de bloqueo sin cifrado de datos en reposo a la AMI porque el parámetro encrypted está establecido en false.

- name: Basic AMI Creation
  amazon.aws.ec2_ami:
    state: present
    instance_id: i-xxxxxx
    name: test_ami
    device_mapping:
      device_name: /dev/sda
      encrypted: false

De forma predeterminada, un sistema de archivos EFS no está cifrado. Esto expone los datos al acceso no autorizado y posible robo.

Ejemplo 1: La siguiente tarea de Ansible configura un sistema de archivos EFS sin cifrado de datos en reposo porque el parámetro encrypt está establecido en no.

- name: EFS provisioning
  community.aws.efs:
    state: present
    name: myTestEFS
    encrypt: no
    targets:
      - subnet_id: subnet-12345678
        security_groups: [ "sg-87654321" ]

Una capa de almacenamiento de flujos de Amazon Kinesis sin cifrar expone los datos a accesos no autorizados y a posibles robos.

Ejemplo 1: La siguiente tarea de Ansible configura un flujo de Kinesis sin cifrado de datos en reposo porque el parámetro encryption_state está establecido en disabled.

- name: Set up Kinesis Stream with 10 shards and wait for the stream to become active
  community.aws.kinesis_stream:
    name: test-stream
    shards: 10
    wait: yes
    wait_timeout: 600
    encryption_state: disabled
  register: test_stream

De forma predeterminada, los grupos de registro de CloudWatch conservan los registros de forma indefinida. Un valor de retención no establecido indica que no se han consultado las directivas de gestión de datos de la organización para establecer las configuraciones adecuadas. Esto podría conllevar gastos innecesarios para la organización relativos a almacenamiento y gestión de eventos de registro.

Un atacante puede lanzar un ataque de denegación de billetera (DoW) al provocar persistentemente un registro de eventos falso durante un período prolongado, lo que puede afectar de forma financiera a la organización.

Ejemplo 1: El siguiente ejemplo muestra una tarea de Ansible que no define una directiva de retención.

- name: create a log_group in CloudWatchLogs
  community.aws.cloudwatchlogs_log_group:
    log_group_name: test-log-group
    tags: { "Name": "test-log-group", "Env" : "QA" }

De forma predeterminada, la validación del archivo de registro de CloudTrail está deshabilitada, lo que evita que los investigadores confirmen que no ha habido manipulaciones externas en los archivos de registro de CloudTrail.

Esto permite que un atacante con los privilegios necesarios realice cambios de configuración dañinos y los oculte modificando los registros de CloudTrail.

Ejemplo 1: La siguiente tarea de Ansible establece una configuración de CloudTrail sin validación de la integridad del archivo de registro porque falta el parámetroenable_log_file_validation.

- name: create a single region cloudtrail
  community.aws.cloudtrail:
    s3_bucket_name: mylogbucket
    s3_key_prefix: cloudtrail
    region: us-west-2