Recursos Expostos da AWS

O objetivo deste repositório é manter uma lista de todos os recursos da AWS que podem ser expostos publicamente e, eventualmente, aqueles que podem ser compartilhados com contas não confiáveis (essa seção ainda está em desenvolvimento e não está incluída aqui).

Os seguintes conceitos são aplicados nesta lista:

• Recursos que podem ser indiretamente expostos por meio de outro recurso não estão incluídos. Por exemplo, logs do CloudTrail podem ser enviados para um bucket S3 público, mas é o bucket S3 que está mal configurado, então o CloudTrail não está listado como um recurso que pode ser tornado público.
• Alguns recursos podem exigir várias coisas configuradas de uma certa maneira para serem considerados públicos. Por exemplo, um segredo do Secrets Manager criptografado com um KMS precisaria tanto do Segredo quanto da chave KMS públicos para que o segredo fosse acessível. Para os fins desta lista, considero apenas a política de recursos do Segredo. Da mesma forma, para clusters ElasticSearch gerenciados, você precisa tanto da política de recursos que permite acesso público quanto de um IP não VPC. Considero apenas a política de recursos. Para uma EC2, você poderia criar uma EC2 com IP público, mas associar um Grupo de Segurança restrito a ela que talvez depois seja aberto para permitir acesso público. Considero a criação da EC2 com IP público como a ação de interesse, e não a modificação do Grupo de Segurança.

Roteiro

Gostaria que este repositório eventualmente contivesse o seguinte:

• Comandos de CLI de exemplo para criar um recurso privado e um público
• Logs do CloudTrail associados a esses dois eventos para que você possa criar e testar soluções de monitoramento. Por exemplo, você pode ver eventos de amostra do CloudTrail para o StreamAlert aqui
• Chamadas Describe associadas aos recursos para mostrar como eles se parecem quando são públicos. Por exemplo, você pode ver respostas JSON de exemplo nos dados de teste do CloudMapper aqui.

Recursos que podem ser tornados públicos por meio de políticas de recursos

Repositório ECR

Ações:

• ecr set-repository-policy

Lambda

Permite invocar a função

Ações:

• lambda add-permission

Camada Lambda

Ações:

• lambda add-layer-version-permission

Repositório de Aplicações Serverless

Ações:

• serverlessrepo put-application-policy

Backup

Documentação

Ações:

• backup put-backup-vault-access-policy

EFS

TODO: É necessário confirmar se isso pode realmente ser compartilhado com outras contas. Alguma redação da documentação me leva a pensar que talvez só possa ser compartilhado com principais dentro de uma conta.

Ações:

• efs put-file-system-policy

Glacier

Ações:

• glacier set-vault-access-policy

S3

Os buckets S3 podem ser públicos por meio de políticas e ACL. Os objetos S3 podem ser públicos por meio de ACL. As ACLs podem ser definidas na criação do bucket ou do objeto.

Ações:

• s3api create-bucket
• s3api put-bucket-policy
• s3api put-bucket-acl
• s3api put-object
• s3api put-object-acl

IAM Role

Ações:

• iam create-role
• iam update-assume-role-policy

Chaves KMS

Ações:

• kms create-key
• kms create-grant
• kms put-key-policy

Secrets Manager

Ações:

• secretsmanager put-resource-policy

CloudWatch Logs

Ações:

• logs put-resource-policy
• logs put-destination-policy

EventBridge

Permite apenas enviar dados para uma conta

Ações:

• events put-permission

MediaStore

Documentação

Ações:

• mediastore put-container-policy

ElasticSearch

Ações:

• es create-elasticsearch-domain
• es update-elasticsearch-domain-config

Glue

Ações:

• glue put-resource-policy

SNS

Ações:

• sns create-topic
• sns add-permission

SQS

Ações:

• sqs create-queue
• sqs add-permission

SES

Documentação

Ações:

• ses put-identity-policy

Recursos que podem ser tornados públicos por meio de APIs de compartilhamento

AMI

Ações:

• ec2 modify-image-attribute

Imagem FPGA

Ações:

• ec2 modify-fpga-image-attribute

Snapshot EBS

Ações:

• ec2 modify-snapshot-attribute

Snapshot RDS

Ações:

• rds modify-db-snapshot

Snapshot de Cluster de Banco de Dados RDS

Ações:

• rds modify-db-cluster-snapshot-attribute

Recursos que podem ser tornados públicos por meio de acesso de rede

API Gateway

Existem políticas de recursos associadas (veja aqui) que podem fazer com que isso seja algo que deveria estar em várias categorias?

Ações:

• apigateway create-rest-api
• apigateway update-rest-api
• apigateway create-api

CloudFront

Ações:

• cloudfront create-distribution
• cloudfront create-distribution-with-tags

Redshift

Ações:

• redshift create-cluster
• redshift modify-cluster

RDS

Ações:

• rds create-db-instance
• rds modify-db-instance

EC2

Ações:

• ec2 run-instances
• ec2 run-scheduled-instances

IP Elástico

Ações:

• ec2 allocate-address

ECS

Ações:

• ecs create-service
• ecs update-service
• ecs create-task-set
• ecs update-task-set

Global Accelerator

Ações:

• globalaccelerator create-accelerator

ELB

Ações:

• elb create-load-balancer
• elbv2 create-load-balancer

Lightsail

Ações:

• lightsail allocate-static-ip
• lightsail create-distribution
• lightsail create-relational-database
• lightsail update-relational-database
• lightsail create-load-balancer
• lightsail create-instances

Neptune

Ações:

• neptune create-db-instance

Elasticache

Ações:

• elasticache create-cache-cluster

EMR

Ações:

• emr create-cluster