S3 Block Public Access

Définition

S3 Block Public Access est une fonctionnalité de sécurité Amazon S3 permettant de bloquer centralement et de manière préventive tout accès public aux buckets S3 et à leurs objets, quelle que soit la configuration individuelle des buckets. Elle peut être activée au niveau du compte AWS (appliquée à tous les buckets), au niveau d'un bucket individuel, ou au niveau de l'organisation via AWS Organizations. S3 Block Public Access comprend quatre paramètres distincts. BlockPublicAcls bloque les nouvelles ACL accordant un accès public. IgnorePublicAcls ignore les ACL publiques existantes sur les buckets et objets. BlockPublicPolicy bloque les nouvelles politiques de bucket accordant un accès public. RestrictPublicBuckets restreint l'accès aux buckets ayant des politiques publiques uniquement aux services AWS et aux utilisateurs autorisés du compte propriétaire. L'activation de tous les quatre paramètres au niveau du compte est une mesure de sécurité fondamentale recommandée par AWS dans son CIS AWS Foundations Benchmark (CIS Control 2.1.5). Elle agit comme un filet de sécurité contre les erreurs de configuration accidentelles : même si un développeur configure par erreur un bucket comme public, S3 Block Public Access au niveau compte empêchera l'accès public effectif. Des incidents majeurs de fuites de données auraient pu être évités avec S3 Block Public Access : des millions de dossiers clients, de données médicales, ou de secrets d'entreprise ont été exposés via des buckets S3 incorrectement configurés. La désactivation de S3 Block Public Access sur un compte AWS est un signal d'alarme critique. La vérification de l'activation de S3 Block Public Access est incluse dans de nombreux outils d'audit de sécurité cloud : AWS Security Hub (FSBP control S3.1), Prowler, ScoutSuite, Wiz, et tout outil CSPM. AWS Config dispose d'une règle managée s3-account-level-public-access-blocks-periodic pour détecter les comptes sans cette protection.