تسريب حاويات S3 المكشوفة من أشهر حوادث أمن السحابة. لحسن الحظّ، تأمينها مباشر إن اتّبعت خطوات واضحة. يبني هذا الدليل على ما هو S3؟ وأساسيات IAM.
🔒 مراجعة أمنية مطلوبة: صفحة أمنية؛ تخضع لمراجعة متخصّص قبل النشر.
القاعدة الأولى: احجب الوصول العامّ
S3 يحجب الوصول العامّ افتراضيًا — أبقِ هذا الحجب مفعّلًا ما لم يكن لديك سبب صريح لموقع عامّ. حتى حينها، عطّله بأضيق نطاق ممكن. معظم التسريبات سببها تعطيل هذا الحجب دون داعٍ.
اضبط الوصول بأقلّ امتياز
- استخدم سياسات دقيقة: امنح الوصول عبر سياسات IAM بأقلّ امتياز وسياسات الحاوية، محدّدةً الإجراءات والموارد بدقّة.
- تجنّب
Principal: "*"إلّا لمحتوى عامّ مقصود فعلًا. - فضّل الأدوار على المفاتيح الدائمة لوصول التطبيقات.
فعّل التشفير
- تشفير الكائنات في الراحة (At Rest): فعّل التشفير من جانب الخادم لحماية البيانات المخزّنة.
- افرض HTTPS (التشفير أثناء النقل): عبر سياسة تمنع الطلبات غير المشفّرة.
فعّل التحكّم بالإصدارات وتسجيل الوصول
- التحكّم بالإصدارات (Versioning): يحفظ نسخًا سابقة، فيحميك من الحذف أو التعديل العرضي أو الخبيث.
- تسجيل الوصول (Access Logging): يمنحك أثرًا لمن وصل إلى ماذا — أساسيّ للتدقيق والاستجابة للحوادث.
قائمة تحقّق سريعة
- حجب الوصول العامّ مفعّل (ما لم يلزم خلاف ذلك). 2. سياسات بأقلّ امتياز. 3. تشفير في الراحة وفرض HTTPS. 4. التحكّم بالإصدارات مفعّل. 5. تسجيل الوصول مفعّل. 6. مراجعة دوريّة للصلاحيات.
الخطوات التالية
راجع كيفية تشخيص أخطاء الوصول في تصحيح أخطاء صلاحيات S3، ومبادئ الأمان الأوسع في نموذج المسؤولية المشتركة.