AWS-öffentlich zugängliche Ressourcen

Das Ziel dieses Repos ist es, eine Liste aller AWS-Ressourcen zu führen, die öffentlich zugänglich gemacht werden können, und schließlich auch diejenigen, die mit nicht vertrauenswürdigen Konten geteilt werden können (dieser Abschnitt befindet sich noch in der Entwicklung und ist hier noch nicht enthalten).

Die folgenden Konzepte werden in dieser Liste angewendet:

• Ressourcen, die indirekt über eine andere Ressource verfügbar gemacht werden könnten, sind nicht enthalten. Zum Beispiel können CloudTrail-Logs an einen öffentlichen S3-Bucket gesendet werden, aber es ist der S3-Bucket, der falsch konfiguriert ist, daher wird CloudTrail nicht als eine Ressource aufgeführt, die öffentlich gemacht werden kann.
• Einige Ressourcen erfordern möglicherweise mehrere Dinge, die auf eine bestimmte Weise konfiguriert sein müssen, um als öffentlich zu gelten. Zum Beispiel benötigt ein Secrets Manager-Geheimnis, das mit einem KMS verschlüsselt ist, sowohl das Geheimnis als auch den KMS-Schlüssel, die öffentlich sein müssen, um auf das Geheimnis zuzugreifen. Für die Zwecke dieser Liste betrachte ich nur die Ressourcenrichtlinie des Geheimnisses. Ähnlich verhält es sich bei verwalteten ElasticSearch-Clustern: Sie benötigen sowohl die Ressourcenrichtlinie, die öffentlichen Zugriff erlaubt, als auch eine Nicht-VPC-IP. Ich betrachte nur die Ressourcenrichtlinie. Bei einer EC2-Instanz könnten Sie eine EC2 mit einer öffentlichen IP erstellen, aber eine eingeschränkte Sicherheitsgruppe zuweisen, die später geöffnet wird, um öffentlichen Zugriff zu erlauben. Ich betrachte die Erstellung der EC2 mit einer öffentlichen IP als die relevante Aktion, nicht die Änderung der Sicherheitsgruppe.

Roadmap

Ich möchte, dass dieses Repo schließlich Folgendes enthält:

• Beispiel-CLI-Befehle zum Erstellen sowohl einer privaten als auch einer öffentlichen Ressource
• Zugehörige CloudTrail-Logs für diese beiden Ereignisse, damit Sie Überwachungslösungen erstellen und testen können. Beispielsweise finden Sie Beispiel-CloudTrail-Ereignisse für StreamAlert