الإعدادات الأمنية الخاطئة: حالات حقيقية لكشف وتخزين بيانات AWS S3

تحتل التهيئات والإعدادات الأمنية الخاطئة مكانها باستمرار في قائمة AWASP Top 10 لأنها تمثل المسار الأقل مقاومة للمهاجمين. بدلاً من تطوير استغلالات معقدة من يوم الصفر، يقوم المهاجمون ببساطة بمسح الإنترنت بحثًا عن قواعد بيانات مفتوحة أو تخزين سحابي تم تركه متاحاً للعموم.

في عصر الحوسبة السحابية، لا يوجد خطأ أمني أكثر تدميراً وعلانية من دلاء Amazon Web Services (AWS) S3 المكشوفة.

ما هو Amazon S3 Bucket؟

إن خدمة التخزين البسيط (S3) هي خدمة تخزين للكائنات توفر قابلية توسع عالية. نظرًا لأنه يتم استخدام S3 بكثرة لاستضافة أصول الويب العامة (مثل الصور)، فمن السهل جدًا على المطور تطبيق وصول "قراءة عامة" بالغلط.

آلية كشف S3

عادةً ما ينتج تسرب هائل للبيانات عن سياسة الدلو (Bucket Policy) التي تبدو كالتالي:

{
  "Effect": "Allow",
  "Principal": "*",
  "Action": "s3:GetObject",
  "Resource": "arn:aws:s3:::company-sensitive-backups/*"
}

يخبر الخط السطر "Principal": "*" خوادم AWS أن أي شخص على واجهة الإنترنت، بدون أي مصادقة، مسموح له بتنزيل الملفات.

دراسات حالة واقعية

1. اختراق شركة Capital One (2019): بينما بدأ الهجوم في المقام الأول بثغرة SSRF، كان الانفجار الهائل لاختراق Capital One ناتجًا عن دلاء S3 التي تم تكوينها بشكل خاطئ. سمحت الصلاحيات الواسعة النطاق للمهاجم بمزامنة أكثر من 100 مليون طلب بطاقة ائتمان.
2. تسريب Booz Allen Hamilton (2017): اكتشف باحثو UpGuard دلو S3 عامًا بالكامل مملوكًا لمقاول الدفاع. كان يحتوي على غيغابايت من المفاتيح السرية ومفاتيح SSH.

خطأ قاتل: "أي مستخدم موثق" في AWS

تعني مجموعة AuthenticatedUsers في S3 ACLs "أي مستخدم لديه أي حساب AWS صالح في العالم". نظرًا لأن أي شخص يمكنه إنشاء حساب مجاني في 5 دقائق، فهذا يعادل جعل الدلو عامًا بالكامل.

الدفاع المؤكد: أفضل الممارسات

1. تفعيل حظر الوصول العام "Block Public Access"

يعد مفتاح الحظر المتوفر من AWS هو الخطوة الأكثر أهمية. حتى لو كتب المطور سياسة فاشلة عن طريق الخطأ، سيحظرها AWS.

2. فرض مبدأ أقل الصلاحيات

لا تمنح أذونات s3:* الشاملة أبداً.

3. طلب التشفير KMS

يمنح التشفير (SSE-KMS) جدار حماية إضافي، مما يعني أن المهاجم سيحتاج إلى صلاحية إضافية لفك شيفرة الملفات.

الخلاصة

من الممكن تماماً منع كشف S3 بدون مجهود كبير، عن طريق الحرص على اعدادات حظر الوصول الخارجي.