s3tk

Amazon S3 보안 툴킷

🍊 Instacart에서 실전 테스트 완료

설치

실행:

pip install s3tk

AWS CLI 또는 AWS Vault를 사용하여 AWS 자격 증명을 설정할 수 있습니다:

pip install awscli
aws configure

각 명령어에 필요한 IAM 정책을 참조하세요.

명령어

스캔

버킷을 스캔하여 다음을 확인합니다:

• 퍼블릭에 ACL 열림
• 퍼블릭에 정책 열림
• 퍼블릭 액세스 차단됨
• 로깅 활성화됨
• 버전 관리 활성화됨
• 기본 암호화 활성화됨

s3tk scan

특정 버킷에서만 실행

s3tk scan my-bucket my-bucket-2

와일드카드도 사용 가능

s3tk scan "my-bucket*"

올바른 로그 버킷 및 접두사 확인

s3tk scan --log-bucket my-s3-logs --log-bucket other-region-logs --log-prefix "{bucket}/"

CloudTrail 객체 수준 로깅 확인 [실험적]

s3tk scan --object-level-logging

로깅, 버전 관리 또는 기본 암호화 건너뛰기

s3tk scan --skip-logging --skip-versioning --skip-default-encryption

실패 시 이메일 알림 받기 (SNS를 통해)

s3tk scan --sns-topic arn:aws:sns:...

정책 나열

버킷 정책 나열

s3tk list-policy

특정 버킷에서만 실행

s3tk list-policy my-bucket my-bucket-2

명명된 문 표시

s3tk list-policy --named

정책 설정

참고: 이전 정책을 대체합니다

비공개 업로드만 허용

s3tk set-policy my-bucket --no-object-acl

정책 삭제

정책 삭제

s3tk delete-policy my-bucket

퍼블릭 액세스 차단

특정 버킷의 퍼블릭 액세스 차단

s3tk block-public-access my-bucket my-bucket-2

테스트하려면 --dry-run 플래그 사용

로깅 활성화

모든 버킷에서 로깅 활성화

s3tk enable-logging --log-bucket my-s3-logs

특정 버킷에서만

s3tk enable-logging my-bucket my-bucket-2 --log-bucket my-s3-logs

로그 접두사 설정 (기본값 {bucket}/)

s3tk enable-logging --log-bucket my-s3-logs --log-prefix "logs/{bucket}/"

테스트하려면 --dry-run 플래그 사용

로깅에 관한 몇 가지 참고 사항:

• 이미 로깅이 활성화된 버킷은 전혀 업데이트되지 않습니다.
• 로그 버킷은 소스 버킷과 동일한 리전에 있어야 합니다. 다른 리전에 대해 이 명령어를 여러 번 실행하세요.
• 로그가 나타나는 데 1시간 이상 걸릴 수 있습니다.

버전 관리 활성화

모든 버킷에서 버전 관리 활성화

s3tk enable-versioning

특정 버킷에서만

s3tk enable-versioning my-bucket my-bucket-2

테스트하려면 --dry-run 플래그 사용

기본 암호화 활성화

모든 버킷에서 기본 암호화 활성화

s3tk enable-default-encryption

특정 버킷에서만

s3tk enable-default-encryption my-bucket my-bucket-2

이 명령어는 기존 객체를 암호화하지 않습니다. 이 작업에는 encrypt 명령어를 사용하세요.

테스트하려면 --dry-run 플래그 사용

객체 ACL 스캔

버킷 내 모든 객체의 ACL 스캔

s3tk scan-object-acl my-bucket

특정 객체만

s3tk scan-object-acl my-bucket --only "*.pdf"

특정 객체 제외

s3tk scan-object-acl my-bucket --except "*.jpg"

객체 ACL 초기화

버킷 내 모든 객체의 ACL 초기화

s3tk reset-object-acl my-bucket

이렇게 하면 모든 객체가 비공개가 됩니다. 향후 적용 방법은 버킷 정책을 참조하세요.

테스트하려면 --dry-run 플래그 사용

scan-object-acl과 동일한 방식으로 특정 객체 지정

암호화

버킷 내 모든 객체를 서버 측 암호화로 암호화

s3tk encrypt my-bucket

기본적으로 S3 관리 키를 사용합니다. KMS 관리 키를 사용하려면:

s3tk encrypt my-bucket --kms-key-id arn:aws:kms:...

고객 제공 키를 사용하려면:

s3tk encrypt my-bucket --customer-key secret-key

테스트하려면 --dry-run 플래그 사용

scan-object-acl과 동일한 방식으로 특정 객체 지정

참고: 객체의 사용자 정의 ACL이 손실됩니다.

암호화되지 않은 버전 삭제

버킷 내 모든 객체의 암호화되지 않은 버전 삭제

s3tk delete-unencrypted-versions my-bucket

안전을 위해 객체의 현재 버전은 삭제되지 않습니다.

테스트하려면 --dry-run 플래그 사용

scan-object-acl과 동일한 방식으로 특정 객체 지정

DNS 스캔

Route 53에서 버킷을 스캔하여 소유하고 있는지 확인

s3tk scan-dns

그렇지 않으면 서브도메인 탈취에 취약할 수 있습니다.

자격 증명

자격 증명은 ~/.aws/credentials 파일 또는 환경 변수로 지정할 수 있습니다. 환경 변수에 대한 설명은 이 가이드를 참조하세요.

프로필을 지정하려면:

AWS_PROFILE=your-profile s3tk

IAM 정책

다음은 각 명령어에 필요한 권한입니다. 필요한 문만 포함하세요.