s3tk

Набор инструментов безопасности для Amazon S3

🍊 Проверено в бою в Instacart

Установка

Выполните:

pip install s3tk

Вы можете использовать AWS CLI или AWS Vault для настройки своих учётных данных AWS:

pip install awscli
aws configure

См. политики IAM, необходимые для каждой команды.

Команды

Scan

Сканируйте свои корзины на предмет:

• ACL открыт для всех
• политика открыта для всех
• публичный доступ заблокирован
• ведение журнала включено
• версионирование включено
• шифрование по умолчанию включено

s3tk scan

Запуск только для определённых корзин

s3tk scan my-bucket my-bucket-2

Также работает с подстановочными знаками

s3tk scan "my-bucket*"

Подтвердите правильную корзину(ы) журнала и префикс

s3tk scan --log-bucket my-s3-logs --log-bucket other-region-logs --log-prefix "{bucket}/"

Проверка ведения журнала на уровне объектов CloudTrail [экспериментально]

s3tk scan --object-level-logging

Пропустить ведение журнала, версионирование или шифрование по умолчанию

s3tk scan --skip-logging --skip-versioning --skip-default-encryption

Получать уведомления по электронной почте о сбоях (через SNS)

s3tk scan --sns-topic arn:aws:sns:...

List Policy

Вывести политики корзин

s3tk list-policy

Только для определённых корзин

s3tk list-policy my-bucket my-bucket-2

Показать именованные утверждения

s3tk list-policy --named

Set Policy

Примечание: Это заменяет предыдущую политику

Только частные загрузки

s3tk set-policy my-bucket --no-object-acl

Delete Policy

Удалить политику

s3tk delete-policy my-bucket

Block Public Access

Заблокировать публичный доступ на определённых корзинах

s3tk block-public-access my-bucket my-bucket-2

Используйте флаг --dry-run для проверки

Enable Logging

Включить ведение журнала на всех корзинах

s3tk enable-logging --log-bucket my-s3-logs

Только на определённых корзинах

s3tk enable-logging my-bucket my-bucket-2 --log-bucket my-s3-logs

Установить префикс журнала (по умолчанию {bucket}/)

s3tk enable-logging --log-bucket my-s3-logs --log-prefix "logs/{bucket}/"

Используйте флаг --dry-run для проверки

Несколько замечаний о ведении журнала:

• корзины, в которых ведение журнала уже включено, не обновляются
• корзина журнала должна находиться в том же регионе, что и исходная корзина — запустите эту команду несколько раз для разных регионов
• может потребоваться более часа, чтобы журналы появились

Enable Versioning

Включить версионирование на всех корзинах

s3tk enable-versioning

Только на определённых корзинах

s3tk enable-versioning my-bucket my-bucket-2

Используйте флаг --dry-run для проверки

Enable Default Encryption

Включить шифрование по умолчанию на всех корзинах

s3tk enable-default-encryption

Только на определённых корзинах

s3tk enable-default-encryption my-bucket my-bucket-2

Это не шифрует существующие объекты — используйте для этого команду encrypt

Используйте флаг --dry-run для проверки

Scan Object ACL

Сканировать ACL всех объектов в корзине

s3tk scan-object-acl my-bucket

Только определённые объекты

s3tk scan-object-acl my-bucket --only "*.pdf"

Кроме определённых объектов

s3tk scan-object-acl my-bucket --except "*.jpg"

Reset Object ACL

Сбросить ACL всех объектов в корзине

s3tk reset-object-acl my-bucket

Это делает все объекты приватными. См. политики корзин о том, как применять это в дальнейшем.

Используйте флаг --dry-run для проверки

Укажите определённые объекты так же, как в scan-object-acl

Encrypt

Зашифровать все объекты в корзине с помощью серверного шифрования

s3tk encrypt my-bucket

По умолчанию используются ключи, управляемые S3. Для ключей, управляемых KMS, используйте:

s3tk encrypt my-bucket --kms-key-id arn:aws:kms:...

Для ключей, предоставленных клиентом, используйте:

s3tk encrypt my-bucket --customer-key secret-key

Используйте флаг --dry-run для проверки

Укажите определённые объекты так же, как в scan-object-acl

Примечание: Объекты потеряют любой пользовательский ACL

Delete Unencrypted Versions

Удалить все незашифрованные версии объектов в корзине

s3tk delete-unencrypted-versions my-bucket

В целях безопасности это не удалит текущие версии объектов

Используйте флаг --dry-run для проверки

Укажите определённые объекты так же, как в scan-object-acl

Scan DNS

Сканировать Route 3 на наличие корзин, чтобы убедиться, что вы владеете ими

s3tk scan-dns

В противном случае вы можете быть подвержены захвату поддомена

Учётные данные

Учётные данные можно указать в ~/.aws/credentials или с помощью переменных окружения. См. это руководство для объяснения переменных окружения.

Вы можете указать профиль для использования с помощью:

AWS_PROFILE=your-profile s3tk

Политики IAM

Ниже приведены необходимые разрешения для каждой команды. Включайте только те утверждения, которые вам нужны.