Recursos Exponibles de AWS

El objetivo de este repositorio es mantener una lista de todos los recursos de AWS que pueden exponerse públicamente y, eventualmente, aquellos que pueden compartirse con cuentas no confiables (esa sección aún está en desarrollo y no se incluye aquí).

En esta lista se aplican los siguientes conceptos:

• No se incluyen recursos que podrían exponerse indirectamente a través de otro recurso. Por ejemplo, los registros de CloudTrail pueden enviarse a un bucket S3 público, pero es el bucket S3 el que está mal configurado, por lo que CloudTrail no se enumera como un recurso que pueda hacerse público.
• Algunos recursos pueden requerir que varias cosas estén configuradas de cierta manera para considerarse públicos. Por ejemplo, un secreto de Secrets Manager cifrado con una clave KMS necesitaría tanto el secreto como la clave KMS públicas para acceder al secreto. Para los fines de esta lista, considero solo la política de recursos del secreto. De manera similar, para los clústeres de ElasticSearch administrados, se necesita tanto la política de recursos que permita el acceso público como una IP no VPC. Considero solo la política de recursos. Para una EC2, podrías crear una EC2 con una IP pública, pero asociarle un Grupo de Seguridad restringido que quizás después se abra para permitir el acceso público. Considero que la creación de la EC2 con una IP pública es la acción de interés, no la modificación del Grupo de Seguridad.

Hoja de ruta

Me gustaría que este repositorio eventualmente contenga lo siguiente:

• Comandos CLI de ejemplo para crear un recurso privado y uno público.
• Registros de CloudTrail asociados a estos dos eventos para que puedas construir y probar soluciones de monitoreo. Por ejemplo, puedes ver eventos de CloudTrail de muestra para StreamAlert aquí.
• Llamadas Describe asociadas a los recursos para mostrar cómo se ve cuando estos recursos son públicos. Por ejemplo, puedes ver respuestas JSON de muestra en los datos de prueba de CloudMapper aquí.

Recursos que pueden hacerse públicos mediante políticas de recursos

Repositorio ECR

Acciones:

• ecr set-repository-policy

Lambda

Permite invocar la función

Acciones:

• lambda add-permission

Capa de Lambda

Acciones:

• lambda add-layer-version-permission

Repositorio de aplicaciones serverless

Acciones:

• serverlessrepo put-application-policy

Backup

Documentación

Acciones:

• backup put-backup-vault-access-policy

EFS

TODO: Necesito confirmar si esto realmente puede compartirse con otras cuentas. Parte de la redacción de la documentación me lleva a pensar que quizás solo se pueda compartir con principales dentro de una cuenta.

Acciones:

• efs put-file-system-policy

Glacier

Acciones:

• glacier set-vault-access-policy

S3

Los buckets S3 pueden ser públicos mediante políticas y ACL. Los objetos S3 pueden ser públicos mediante ACL. Las ACL pueden configurarse al crear el bucket u objeto.

Acciones:

• s3api create-bucket
• s3api put-bucket-policy
• s3api put-bucket-acl
• s3api put-object
• s3api put-object-acl

Rol IAM

Acciones:

• iam create-role
• iam update-assume-role-policy

Claves KMS

Acciones:

• kms create-key
• kms create-grant
• kms put-key-policy

Secrets Manager

Acciones:

• secretsmanager put-resource-policy

CloudWatch Logs

Acciones:

• logs put-resource-policy
• logs put-destination-policy

EventBridge

Solo permite enviar datos a una cuenta

Acciones:

• events put-permission

MediaStore

Documentación

Acciones:

• mediastore put-container-policy

ElasticSearch

Acciones:

• es create-elasticsearch-domain
• es update-elasticsearch-domain-config

Glue

Acciones:

• glue put-resource-policy

SNS

Acciones:

• sns create-topic
• sns add-permission

SQS

Acciones:

• sqs create-queue
• sqs add-permission

SES

Documentación

Acciones:

• ses put-identity-policy

Recurso que puede hacerse público mediante APIs de uso compartido

AMI

Acciones:

• ec2 modify-image-attribute

Imagen FPGA

Acciones:

• ec2 modify-fpga-image-attribute

Instantánea de EBS

Acciones:

• ec2 modify-snapshot-attribute

Instantánea de RDS

Acciones:

• rds modify-db-snapshot

Instantánea de clúster DB de RDS

Acciones:

• rds modify-db-cluster-snapshot-attribute

Recursos que pueden hacerse públicos mediante acceso a la red

API Gateway

Existen políticas de recursos asociadas (ver aquí) que podrían hacer que esto esté en múltiples categorías?

Acciones:

• apigateway create-rest-api
• apigateway update-rest-api
• apigateway create-api

CloudFront

Acciones:

• cloudfront create-distribution
• cloudfront create-distribution-with-tags

Redshift

Acciones:

• redshift create-cluster
• redshift modify-cluster

RDS

Acciones:

• rds create-db-instance
• rds modify-db-instance

EC2

Acciones:

• ec2 run-instances
• ec2 run-scheduled-instances

IP elástica

Acciones:

• ec2 allocate-address

ECS

Acciones:

• ecs create-service
• ecs update-service
• ecs create-task-set
• ecs update-task-set

Global Accelerator

Acciones:

• globalaccelerator create-accelerator

ELB

Acciones:

• elb create-load-balancer
• elbv2 create-load-balancer

Lightsail

Acciones:

• lightsail allocate-static-ip
• lightsail create-distribution
• lightsail create-relational-database
• lightsail update-relational-database
• lightsail create-load-balancer
• lightsail create-instances

Neptune

Acciones:

• neptune create-db-instance

ElasticCache

Acciones:

• elasticcache create-cache-cluster

EMR

Acciones:

• emr create-cluster