¿Quién ha activado el acceso público a mi bucket de Amazon S3?

Descripción corta

Revise el historial de eventos de AWS CloudTrail para encontrar al usuario que actualizó la lista de control de acceso (ACL) a los buckets o la política de buckets para permitir el acceso público.

Nota: Los historiales de eventos de CloudTrail muestran los registros de los últimos 90 días. Si el evento ocurrió hace más de 90 días, consulte los registros de CloudTrail de su bucket para obtener la información.

Para revisar los registros de eventos de CloudTrail, utilice una de las siguientes opciones:

• Consola de CloudTrail
• Interfaz de la línea de comandos de AWS (AWS CLI)

Resolución

Nota: Si se muestran errores al ejecutar comandos de la Interfaz de la línea de comandos de AWS (AWS CLI), consulte Troubleshoot AWS CLI errors. Además, asegúrese de utilizar la versión más reciente de la AWS CLI.

Uso de la consola de CloudTrail

Para buscar al usuario que activó el acceso público a su bucket de S3, siga estos pasos:

1. Abra la consola de CloudTrail.
2. En el selector de regiones de la barra de navegación, seleccione la región de AWS en la que se encuentra su bucket.
3. En el panel de navegación, seleccione Historial de eventos.
4. En Atributo de búsqueda, seleccione el filtro que quiere usar para buscar el evento que otorgó acceso público a su bucket:
   Para filtrar los eventos por nombre de bucket, seleccione Nombre del recurso y, a continuación, introduzca el nombre del bucket.
   Para filtrar los eventos según los cambios en la ACL de un bucket, seleccione Nombre del evento y, a continuación, introduzca PutBucketAcl.
   Para filtrar los eventos según los cambios realizados en una política de bucket, seleccione Nombre del evento y, a continuación, introduzca PutBucketPolicy.
5. Cuando encuentre el evento que otorgó acceso público al bucket, revise la columna Nombre de usuario del evento. A continuación, expanda el elemento del evento y seleccione Ver registro de eventos para ver más detalles, como el nombre de recurso de Amazon (ARN) del usuario.

Uso de AWS CLI

Para enumerar todos los eventos de CloudTrail que están asociados a su bucket, ejecute el siguiente comando lookup-events:

aws cloudtrail lookup-events --lookup-attributes AttributeKey=ResourceName,AttributeValue=example-bucket-name --region example-region

Para mostrar solo los eventos en los que se modificó el bucket, ejecute el siguiente comando:

aws cloudtrail lookup-events --lookup-attributes AttributeKey=EventName,AttributeValue=PutBucketAcl --region example-region

Para mostrar solo los eventos en los que se modificó la política del bucket, ejecute el siguiente comando:

aws cloudtrail lookup-events --lookup-attributes AttributeKey=EventName,AttributeValue=PutBucketPolicy --region example-region

Información relacionada

Trabajo con el historial de eventos de CloudTrail

Contenido del registro de CloudTrail