Quem ativou o acesso público ao meu bucket Amazon S3?

Breve descrição

Analise o histórico de eventos do AWS CloudTrail para encontrar o usuário que atualizou a lista de controle de acesso (ACL) do bucket ou a política de bucket para permitir o acesso público.

Observação: Os históricos de eventos do CloudTrail mostram logs dos últimos 90 dias. Se o evento ocorreu há mais de 90 dias, você deverá consultar os logs do CloudTrail em seu bucket para obter a informação.

Para revisar seus logs de eventos do CloudTrail, use um dos seguintes:

• O console do CloudTrail
• A AWS Command Line Interface (AWS CLI)

Resolução

Observação: se você receber erros ao executar comandos da AWS Command Line Interface (AWS CLI), consulte Solucionar erros da AWS CLI. Além disso, verifique se você está usando a versão mais recente da AWS CLI.

Use o console do CloudTrail

Para encontrar o usuário que ativou o acesso público ao seu bucket do S3, conclua as seguintes etapas:

1. Abra o console do CloudTrail.
2. No seletor de região na barra de navegação, selecione a Região da AWS em que seu bucket está.
3. No painel de navegação, selecione Histórico de eventos.
4. Em Atributo de pesquisa, selecione o filtro que você deseja usar para encontrar o evento que concedeu acesso público ao seu bucket:
   Para filtrar eventos pelo nome do seu bucket, selecione Nome do recurso e insira o nome do seu bucket.
   Para filtrar eventos pelas alterações em uma ACL de bucket, selecione Nome do evento e insira PutBucketAcl.
   Para filtrar eventos pelas alterações em uma política de bucket, selecione Nome do evento e insira PutBucketPolicy.
5. Depois de encontrar o evento que concedeu acesso público ao seu bucket, revise a coluna Nome de usuário do evento. Em seguida, expanda o item do evento e selecione Visualizar registro de eventos para ver mais detalhes, como o nome de recurso da Amazon (ARN) do usuário.

Use a AWS CLI

Para listar todos os eventos do CloudTrail associados ao seu bucket, execute o seguinte comando lookup-events:

aws cloudtrail lookup-events --lookup-attributes AttributeKey=ResourceName,AttributeValue=example-bucket-name --region example-region

Para listar somente os eventos em que seu bucket foi alterado, execute o seguinte comando:

aws cloudtrail lookup-events --lookup-attributes AttributeKey=EventName,AttributeValue=PutBucketAcl --region example-region

Para listar somente os eventos em que sua política de bucket foi alterada, execute o seguinte comando:

aws cloudtrail lookup-events --lookup-attributes AttributeKey=EventName,AttributeValue=PutBucketPolicy --region example-region

Informações relacionadas

Trabalhando com o histórico de eventos do CloudTrail

Conteúdos de registro do CloudTrail