Sekarang, sudah banyak arsitektur aplikasi yang sepenuhnya memakai environment serta teknologi cloud. Adapun alasan penggunaan environment dan teknologi cloud ini adalah untuk meningkatkan efisiensi waktu, keamanan, dan tempat penyimpanan ( server fisik) menjadi lebih simpel.
Dari banyaknya teknologi cloud tersebut, Anda pasti sudah tak asing lagi dengan AWS Simple Storage Service (S3). Singkatnya, layanan ini adalah sebuah penyimpanan virtual untuk file dan aset dari aplikasi. AWS S3 seringkali digunakan oleh bisnis yang tak ingin repot untuk membuat dan melakukan maintenance sebuah storage server.
Cara Identifikasi Misconfiguration di AWS S3
Sayangnya, AWS S3 bisa dimanfaatkan oleh penjahat siber untuk mengambil alih aset aplikasi Anda jika ada misconfiguration pada permission di layanan tersebut. Karenanya, tim Defenxor mendemonstrasikan langkah preventif agar Anda bisa mengidentifikasi insiden ini dengan membuat dua akun yang berbeda pada AWS.
Pada tahap ini, akan dilakukan demo di mana user bisa melihat bucket milik user lain yang tak terproteksi. Untuk mengidentifikasi hal itu, indikasi awal adanya misconfiguration pada permission di bucket AWS adalah index yang bisa diakses dari alamat bucket tersebut.
Pada kasus bucket di atas, semua user bisa melihat dan mengakses file yang ada pada bucket tersebut. Berikut contoh ketika sebuah file dalam bucket berhasil diunduh oleh external user.
Tak hanya itu, terkadang ada juga external user yang bisa mengunggah file dari luar ke dalam bucket. Berikut adalah contoh saat external user mencoba untuk mengunggah file dari luar.
Selain dua contoh di atas, external user juga bisa mengubah hak akses dan mengontrol isi dari file yang ada dalam bucket.
Jangan Lupa, Perhatikan Langkah Berikut Saat Menggunakan AWS S3
Setelah melihat risiko yang dijabarkan di atas, ada baiknya Anda memperhatikan langkah-langkah terkait saat menggunakan layanan AWS S3. Lebih lengkap, berikut penjelasannya.
- Melakukan konfigurasi pada permission di bucket Berikut adalah link referensi yang bisa digunakan untuk melakukan konfigurasi: https://docs.aws.amazon.com/AmazonS3/latest/UG/EditingBucketPermissions.html. Namun secara default, AWS akan memperingatkan Anda saat membuat bucket baru untuk membatasi akses publik.
- Tidak meninggalkan file sensitif yang berisi access key akun AWS ketika aplikasi Anda masuk ke tahap produksi.
- Pada saat mengunggah aplikasi ke repository, pastikan file access key akun AWS tidak ikut terunggah.
- Melakukan pentest dan VA secara berkala untuk memastikan keamanan aplikasi.
Sebagai ahli keamanan IT terpercaya di Indonesia, Defenxor senantiasa berkomitmen untuk memberikan serangkaian informasi dan tips untuk dapat membantu Anda mendapatkan pengetahuan terkait ilmu IT yang lebih komprehensif, salah satunya seperti trik mengidentifikasi misconfiguration pada AWS S3 seperti yang ada di artikel ini.
Defenxor adalah perusahaan yang berfokus di keamanan IT dengan menyediakan solusi keamanan untuk bisnis di Indonesia. Dengan adanya Security Operations Center (SOC) 24×7 yang ditunjang teknologi berstandar internasional serta ditangani IT expert berkompeten, Defenxor memastikan keamanan bisnis Anda secara real-time untuk melawan segala ancaman siber.
Untuk informasi lebih lanjut, silakan hubungi info@defenxor.com
