Best practice di sicurezza per Amazon S3

S3 Proprietà dell'oggetto è un'impostazione a livello di bucket Amazon S3 che è possibile utilizzare per controllare la proprietà degli oggetti caricati nel bucket e per disabilitare o abilitare ACL. Per impostazione predefinita, l’opzione Proprietà dell’oggetto è impostata su Proprietario del bucket applicato e tutte le ACL sono disabilitate. Quando le ACL sono disabilitate, il proprietario del bucket dispone di tutti gli oggetti nel bucket e gestisce l'accesso ai dati in maniera esclusiva utilizzando policy di gestione dell'accesso.

La maggior parte dei casi d'uso moderno in Amazon S3 non richiede più l'uso di liste di controllo degli accessi (ACL). È consigliabile disabilitare le ACL, tranne in circostanze in cui è necessario controllare individualmente l’accesso per ciascun oggetto. Per disabilitare le ACL e assumere la proprietà di ogni oggetto del tuo bucket, applica l'impostazione Bucket owner enforced (Applicata da proprietario bucket) per S3 Object Ownership. Quando si disabilitano le ACL, è possibile mantenere facilmente un bucket con oggetti caricati da diversi Account AWS.

Quando le ACL sono disabilitate, il controllo degli accessi per i dati è basato su policy, come quelle elencate di seguito:

La disabilitazione delle ACL semplifica la gestione e il controllo delle autorizzazioni. Per impostazione predefinita, le ACL sono disabilitate per nuovi bucket. È anche possibile disabilitare le ACL per i bucket esistenti. Se hai un bucket esistente che contiene già oggetti, dopo aver disabilitato le ACL, l'oggetto e le ACL bucket non fanno più parte del processo di valutazione dell'accesso. L'accesso è invece concesso o negato in base alle policy.

Prima di disabilitare le ACL, assicurati di eseguire la seguente procedura:

Dopo aver disabilitato le ACL, si verificano i seguenti comportamenti:

Per ulteriori informazioni, consulta Controllo della proprietà degli oggetti e disabilitazione degli ACL per il bucket.

A meno che non venga richiesto in maniera esplicita che gli utenti su Internet siano in grado di leggere o scrivere nel bucket S3, assicurati che il bucket S3 non sia pubblico. Di seguito sono riportate alcune delle fasi che è possibile eseguire per bloccare l'accesso pubblico:

Per le organizzazioni con più AWS account, valuta la possibilità di utilizzare la gestione Block Public Access a livello di organizzazione:

Per ulteriori informazioni, consulta Identity and Access Management per Amazon S3.

A partire da aprile 2026, Amazon S3 si disattiva automaticamente SSE-C per tutti i nuovi bucket generici e per i bucket esistenti negli account senza oggetti crittografati. SSE-C Ti consigliamo di mantenerlo SSE-C disabilitato a meno che il carico di lavoro non abbia un requisito specifico per questa offerta di crittografia.

SSE-C richiede di fornire la chiave di crittografia con ogni richiesta di lettura o scrittura di oggetti crittografati. Ciò rende poco pratico condividere l'accesso con altri utenti, ruoli o AWS servizi che operano sui tuoi dati. Gli oggetti crittografati con SSE-C non possono essere decrittografati in modo nativo dai servizi gestiti. AWS Per la maggior parte dei carichi di lavoro, la crittografia lato server con chiavi gestite da Amazon S3 (SSE-S3) o chiavi AWS KMS () offre una protezione equivalente con maggiore flessibilità. SSE-KMS

Se disponi di bucket esistenti in cui SSE-C è ancora abilitato, verifica se è ancora necessario e bloccalo in caso contrario. Quando SSE-C è bloccata PutObject CopyObjectPostObject, qualsiasi richiesta di replica o caricamento in più parti che specifichi la SSE-C crittografia viene rifiutata con un errore HTTP 403. AccessDenied

Per ulteriori informazioni sul blocco, consulta. SSE-C Blocco o sblocco SSE-C per un bucket per uso generico

Per impostazione predefinita, crei bucket globali per uso generico nello spazio dei nomi globale condiviso. Dopo aver creato un bucket generico nello spazio dei nomi globale condiviso, il nome del bucket non può essere creato da nessun altro all'interno della partizione. Quando elimini un bucket globale per uso generico, il nome del bucket diventa nuovamente disponibile nello spazio dei nomi globale per essere ricreato da chiunque.

Sebbene i bucket generici di Amazon S3 esistano in uno spazio dei nomi globale condiviso, puoi facoltativamente creare bucket nello spazio dei nomi regionale del tuo account. Il namespace regionale dell'account è una suddivisione riservata dello spazio dei nomi dei bucket globale in cui solo il tuo account può creare bucket generici. Ti consigliamo di creare bucket nel namespace regionale del tuo account poiché questi bucket sono unici per il tuo account e non possono mai essere ricreati da un altro account. Per ulteriori informazioni, consulta Namespace per bucket generici.

Ti consigliamo di non eliminare i bucket globali per uso generico nel namespace globale condiviso. Tutti gli AWS account ora hanno una quota predefinita di 10.000 bucket, il che riduce la necessità di eliminare i bucket vuoti dal tuo account. Se elimini un bucket nello spazio dei nomi globale condiviso, tieni presente che un altro AWS account nella stessa partizione può utilizzare lo stesso nome di bucket per un nuovo bucket e quindi può potenzialmente ricevere richieste destinate al bucket eliminato. Per evitare che ciò accada o continuare a utilizzare lo stesso nome del bucket, non eliminare il bucket. Ti consigliamo di eliminare solo il contenuto del bucket. Invece di eliminare il bucket, blocca tutte le richieste del bucket, se necessario. Per i bucket non più in uso, è consigliabile eliminare tutti gli oggetti del bucket per ridurre al minimo i costi e mantenere il bucket stesso. Per ulteriori informazioni, consulta Eliminazione di un bucket per uso generico.

Quando concedi le autorizzazioni, puoi decidere quali autorizzazioni assegnare, a chi e per quali risorse Amazon S3. Puoi abilitare operazioni specifiche che desideri consentire su tali risorse. Pertanto, è consigliabile concedere solo le autorizzazioni necessarie richieste per eseguire un'attività. L'implementazione dell'accesso con privilegi minimi è fondamentale per ridurre i rischi di sicurezza e l'impatto risultante da errori o intenzioni dannose.

Gli strumenti seguenti sono disponibili per implementare l'accesso con privilegi minimi:

Per indicazioni sugli aspetti da tenere in considerazione quando scegli uno o più dei meccanismi precedenti, consulta Identity and Access Management per Amazon S3.

Affinché le applicazioni in esecuzione su Amazon EC2 o altro possano accedere Servizi AWS alle risorse Amazon S3, devono includere AWS credenziali valide nelle loro richieste API. AWS Consigliamo di non archiviare AWS le credenziali direttamente nell'applicazione o nell'istanza Amazon EC2. Si tratta di credenziali a lungo termine che non vengono automaticamente ruotate e potrebbero avere un impatto aziendale significativo se vengono compromesse.

Utilizza invece un ruolo IAM per gestire credenziali temporanee per le applicazioni o i servizi che devono accedere ad Amazon S3. Quando si utilizza un ruolo, non è necessario distribuire credenziali a lungo termine (come nome utente e password o chiavi di accesso) a un'istanza Amazon EC2 o Servizio AWS, ad esempio, AWS Lambda Il ruolo fornisce autorizzazioni temporanee che le applicazioni possono utilizzare quando effettuano chiamate ad altre risorse. AWS

Per ulteriori informazioni, consulta gli argomenti seguenti nella Guida per l'utente IAM:

Per la protezione dei dati inattivi in Amazon S3 sono disponibili le opzioni seguenti:

Puoi utilizzare HTTPS (TLS) per impedire a potenziali aggressori di intercettare o manipolare traffico di rete utilizzando attacchi di tipo person-in-the-middle o simili. Si consiglia di consentire solo connessioni crittografate su HTTPS (TLS) utilizzando la condizione aws:SecureTransport nelle policy di bucket Amazon S3. Per ulteriori informazioni, consulta l’esempio di policy di bucket S3 Gestione dell’accesso in base a richieste HTTP o HTTPS. Oltre a rifiutare le richieste HTTP, ti consigliamo di impostare degli CloudWatch allarmi Amazon che ti avvisino se vengono effettuati tentativi di accesso HTTP ai tuoi contenuti. tlsDetails.tlsVersion NOT EXISTS Per ulteriori informazioni su come configurare gli CloudWatch allarmi di Amazon, consulta Creazione di CloudWatch allarmi per CloudTrail eventi: esempi e contenuti di CloudTrail registrazione nella Guida per l'utente. AWS CloudTrail

Inoltre, valuta se implementare controlli di rilevamento continui utilizzando la regola s3-bucket-ssl-requests-only gestita da AWS Config .

Con S3 Object Lock, puoi archiviare gli oggetti utilizzando il modello "Write Once Read Many" (WORM). Il blocco oggetti S3 può contribuire a evitare l'eliminazione accidentale o inappropriata dei dati. Ad esempio, puoi utilizzare S3 Object Lock per proteggere i tuoi log. AWS CloudTrail

Per ulteriori informazioni, consulta Blocco di oggetti con Object Lock.

Il controllo delle versioni S3 è un modo per conservare più versioni di un oggetto nello stesso bucket. Si può utilizzare questa funzione per conservare, recuperare e ripristinare qualsiasi versione di ogni oggetto archiviato nel bucket . Con la funzione Controllo delle versioni si può facilmente eseguire il ripristino dopo errori dell'applicazione e operazioni non intenzionali dell'utente.

Inoltre, valuta se implementare controlli di rilevamento continui utilizzando la regola s3-bucket-versioning-enabled gestita da AWS Config .

Per ulteriori informazioni, consulta Conservazione di più versioni degli oggetti con Controllo delle versioni S3.

Sebbene Amazon S3 per impostazione predefinita archivi i dati in più zone di disponibilità geograficamente distanti, per soddisfare i requisiti di conformità potrebbe essere necessario archiviarli a distanze ancora maggiori. Con S3 Cross-Region Replication (CRR), puoi replicare i dati tra distanti Regioni AWS per soddisfare questi requisiti. Il CRR consente la copia automatica e asincrona di oggetti tra bucket diversi. Regioni AWS Per ulteriori informazioni, consulta Replica di oggetti all'interno e tra le Regioni.

Inoltre, valuta se implementare controlli di rilevamento continui utilizzando la regola s3-bucket-replication-enabled gestita da AWS Config .

Un endpoint Virtual Private Cloud (VPC) Amazon S3 è un'entità logica all'interno di un VPC che consente la connettività solo ad Amazon S3 Gli endpoint VPC impediscono al traffico di attraversare la rete Internet aperta.

Gli endpoint VPC per Amazon S3 offrono diversi modi per controllare l'accesso ai dati di Amazon S3:

Per ulteriori informazioni, consulta Controllo dell'accesso dagli endpoint VPC con policy di bucket.

Diversi servizi AWS di sicurezza gestiti possono aiutarti a identificare, valutare e monitorare i rischi di sicurezza e conformità per i tuoi dati Amazon S3. Questi servizi consentono anche di proteggere i dati da tali rischi. Questi servizi includono funzionalità automatiche di rilevamento, monitoraggio e protezione progettate per scalare dalle risorse Amazon S3 per una singola risorsa Account AWS alle risorse per organizzazioni con migliaia di account.

Per ulteriori informazioni, consulta Monitoraggio della sicurezza dei dati con managed AWS servizi di sicurezza.

L'identificazione degli asset IT è un aspetto essenziale di governance e sicurezza. È richiesta la visibilità di tutte le risorse Amazon S3 per valutare il loro assetto di sicurezza e intervenire su aree di debolezza potenziali. Per eseguire l'audit delle risorse, procedi come segue:

Il monitoraggio è una parte importante per mantenere l'affidabilità, la sicurezza, la disponibilità e le prestazioni di Amazon S3 e delle tue AWS soluzioni. AWS fornisce diversi strumenti e servizi per aiutarti a monitorare Amazon S3 e gli altri. Servizi AWS Ad esempio, puoi monitorare le CloudWatch metriche di Amazon per Amazon S3, in particolare le metrichePutRequests, GetRequests4xxErrors, e. DeleteRequests Per ulteriori informazioni, consulta Metriche di monitoraggio con Amazon CloudWatch e Registrazione e monitoraggio in Amazon S3.

Per un secondo esempio, consulta Esempio: attività del bucket Amazon S3. Questo esempio descrive come creare un CloudWatch allarme che viene attivato quando viene effettuata una chiamata all'API Amazon S3 a una bucket policy, a PUT DELETE un bucket lifecycle, a una configurazione di replica del bucket o a un bucket ACL. PUT

La registrazione degli accessi al server fornisce record dettagliati delle richieste che sono effettuate a un bucket. I log di accesso al server possono essere utili durante gli audit di sicurezza e accesso, per conoscere la base clienti e comprendere la fattura Amazon S3. Per istruzioni sull'abilitazione della registrazione degli accessi al server, consulta Registrazione delle richieste con registrazione dell'accesso al server.

Considera anche l'implementazione di controlli investigativi continui utilizzando la regola gestita. s3-bucket-logging-enabled AWS Config

AWS CloudTrail fornisce un registro delle azioni intraprese da un utente, da un ruolo o da un utente Servizio AWS in Amazon S3. Puoi utilizzare le informazioni raccolte da CloudTrail per determinare quanto segue:

Ad esempio, è possibile identificare le CloudTrail voci relative alle PUT azioni che influiscono sull'accesso ai datiPutBucketAcl, in particolarePutObjectAcl,PutBucketPolicy, ePutBucketWebsite.

Quando si configura Account AWS, CloudTrail è abilitato per impostazione predefinita. Puoi visualizzare gli eventi recenti nella CloudTrail console. Per creare un record continuo di attività ed eventi per i tuoi bucket Amazon S3, puoi creare un percorso nella CloudTrail console. Per ulteriori informazioni, consultare Registrazione di eventi di dati nella Guida per l'utente di AWS CloudTrail .

Quando crei un percorso, puoi configurare la registrazione degli eventi relativi CloudTrail ai dati. Gli eventi di dati sono le registrazioni delle operazioni eseguite per una risorsa o al suo interno. In Amazon S3, gli eventi di dati registrano l'attività API a livello di oggetto per singoli bucket. CloudTrail supporta un sottoinsieme di operazioni API a livello di oggetto di Amazon S3, come, e. GetObject DeleteObject PutObject Per ulteriori informazioni su come CloudTrail funziona con Amazon S3, consulta. Registrazione delle chiamate API Amazon S3 utilizzando AWS CloudTrail Nella console di Amazon S3, puoi configurare i tuoi bucket S3 anche su Abilitazione della registrazione CloudTrail degli eventi per bucket e oggetti S3.

AWS Config fornisce una regola gestita (cloudtrail-s3-dataevents-enabled) che puoi utilizzare per confermare che almeno un CloudTrail percorso stia registrando eventi di dati per i tuoi bucket S3. Per ulteriori informazioni, consulta la sezione cloudtrail-s3-dataevents-enabled nella Guida per gli sviluppatori di AWS Config .

Alcune delle best practice elencate in questo argomento suggeriscono la creazione di regole. AWS Config AWS Config ti aiuta a valutare, controllare e valutare le configurazioni delle tue AWS risorse. AWS Config monitora le configurazioni delle risorse in modo da poter valutare le configurazioni registrate rispetto alle configurazioni sicure desiderate. Con AWS Config, puoi fare quanto segue:

L'utilizzo AWS Config può aiutarti a semplificare il controllo di conformità, l'analisi della sicurezza, la gestione delle modifiche e la risoluzione dei problemi operativi. Per ulteriori informazioni, consulta Configurazione AWS Config con la console nella Guida per gli AWS Config sviluppatori. Durante la specifica dei tipi di risorse da registrare, assicurati di includere le risorse Amazon S3.

Per un esempio di utilizzo AWS Config, consulta How to Use to Monitor and Response AWS Config to Monitor and Response to Bucket di Amazon S3 che consentono l'accesso pubblico nel AWS Security Blog.

S3 Storage Lens è una funzionalità di analisi dell'archiviazione su cloud che puoi utilizzare per avere una panoramica completa a livello di organizzazione sull'utilizzo e sulle attività relative all'archiviazione di oggetti. S3 Storage Lens analizza i parametri di archiviazione per fornire raccomandazioni contestuali che puoi usare per ottimizzare i costi di archiviazione e applicare le best practice sulla protezione dei dati.

Con S3 Storage Lens puoi usare i parametri per generare approfondimenti, ad esempio per scoprire la quantità di spazio di archiviazione disponibile nell'intera organizzazione o quali sono i bucket e i prefissi caratterizzati da una crescita più rapida. Puoi utilizzare i parametri di Amazon S3 Storage Lens anche per individuare le opportunità di ottimizzazione dei costi, implementare le best practice di protezione dei dati e gestione degli accessi e migliorare le prestazioni dei carichi di lavoro delle applicazioni.

Ad esempio, puoi identificare i bucket che non hanno regole del ciclo di vita S3 per interrompere i caricamenti in più parti incompleti che risalgono a più di 7 giorni. Puoi anche individuare i bucket non conformi alle best practice di protezione dei dati, come quelli che usano la replica S3 o il controllo delle versioni S3. Per maggiori informazioni, consulta Informazioni su Amazon S3 Storage Lens.

È opportuno controllare regolarmente i consigli di sicurezza pubblicati in Trusted Advisor per il tuo Account AWS. In particolare, cerca gli avvisi relativi ai bucket Amazon S3 con "autorizzazioni di accesso aperte". Puoi eseguire questa operazione a livello di codice o utilizzando describe-trusted-advisor-checks.

Inoltre, monitora attivamente l'indirizzo email principale registrato da ciascuno dei tuoi. Account AWS AWS utilizza questo indirizzo email per contattarti in merito a problemi di sicurezza emergenti che potrebbero interessarti.

AWS i problemi operativi di ampio impatto sono pubblicati su Dashboard AWS Health - Salute del servizio. I problemi operativi sono anche pubblicati sui singoli account tramite Dashboard AWS Health. Per ulteriori informazioni, consulta la documentazione relativa ad AWS Health.

Amazon GuardDuty è un servizio di rilevamento delle minacce che monitora continuamente i tuoi Account AWS carichi di lavoro per individuare eventuali attività dannose e fornisce risultati di sicurezza dettagliati per visibilità e risoluzione.

Con la funzionalità di protezione S3 GuardDuty, puoi configurare GuardDuty per analizzare la AWS CloudTrail gestione e gli eventi relativi ai dati per le tue risorse Amazon S3. GuardDuty quindi monitora tali eventi per individuare attività dannose e sospette. Per informare l'analisi e identificare i potenziali rischi per la sicurezza, GuardDuty utilizza feed di intelligence sulle minacce e apprendimento automatico.

GuardDuty è in grado di monitorare diversi tipi di attività per le tue risorse Amazon S3. Ad esempio, gli eventi di CloudTrail gestione per Amazon S3 includono operazioni a livello di bucket, comeListBuckets, e. DeleteBucket PutBucketReplication CloudTrail gli eventi di dati per Amazon S3 includono operazioni a livello di oggetto, come, e. GetObject ListObjects PutObject Se GuardDuty rileva attività anomale o potenzialmente dannose, genera un risultato per avvisarti.

Per ulteriori informazioni, consulta Amazon S3 Protection in Amazon GuardDuty nella Amazon User Guide. GuardDuty

Amazon Detective semplifica il processo di analisi e consente di condurre indagini sulla sicurezza più rapide ed efficaci. Detective fornisce aggregazioni di dati, riepiloghi e contesto predefiniti che facilitano l'analisi e la valutazione della natura e dell'estensione dei possibili problemi di sicurezza.

Detective estrae automaticamente gli eventi basati sul tempo, come le chiamate API AWS CloudTrail e i log di flusso di Amazon VPC per le tue risorse. AWS Inoltre, acquisisce i risultati generati da Amazon. GuardDuty Detective utilizza quindi machine learning, l'analisi statistica e la teoria dei grafi per generare visualizzazioni che consentono di condurre indagini sulla sicurezza efficaci più rapidamente.

Queste visualizzazioni forniscono una vista unificata, interattiva dei comportamenti delle risorse e delle interazioni tra di esse nel tempo. È possibile esplorare questo grafico del comportamento per esaminare possibili azioni dannose, come tentativi di accesso non riusciti o chiamate API sospette. È anche possibile vedere in che modo queste azioni interessano le risorse, come bucket e oggetti S3.

Per ulteriori informazioni, consultare la Guida di amministrazione di Amazon Detective.

AWS Identity and Access Management Access Analyzer (IAM Access Analyzer) può aiutarti a identificare le risorse condivise con un'entità esterna. Puoi anche utilizzare IAM Access Analyzer per convalidare le policy IAM rispetto alla grammatica delle policy e alle best practice e generare policy IAM in base all'attività di accesso nei tuoi log. AWS CloudTrail

IAM Access Analyzer utilizza un ragionamento basato sulla logica per analizzare le politiche relative alle risorse nel tuo AWS ambiente, come le bucket policy. Con IAM Access Analyzer for S3, ricevi un avviso quando un bucket S3 è configurato per consentire l'accesso a chiunque su Internet o altro, compresi gli account esterni alla tua organizzazione. Account AWS Ad esempio, IAM Access Analyzer for S3 può segnalare che un bucket ha un accesso in lettura o scrittura fornito tramite una bucket access control list (ACL), una bucket policy, una policy Access Point o una policy di access point. Multi-Region Per ogni bucket pubblico o condiviso, vengono visualizzati risultati che indicano l'origine e il livello di accesso pubblico o condiviso. Con questi risultati puoi eseguire azioni correttive immediate e precise per ripristinare l'accesso del bucket desiderato.

Per ulteriori informazioni, consulta Revisione dell'accesso al bucket tramite IAM Access Analyzer per S3.

Amazon Macie è un servizio di sicurezza che rileva dati sensibili utilizzando il machine learning e la corrispondenza del modello. Macie fornisce visibilità sui rischi legati alla sicurezza dei dati e consente una protezione automatizzata da tali rischi. Con Macie, puoi automatizzare l'individuazione e la creazione di report dei dati sensibili nel tuo patrimonio di dati Amazon S3 per una migliore comprensione dei dati archiviati dall'organizzazione in S3.

Per individuare dati sensibili con Macie, puoi utilizzare criteri e tecniche integrati progettati per rilevare un elenco ampio e in continua espansione di tipi di dati sensibili per molti Paesi e regioni. Questi tipi di dati sensibili includono diversi tipi di informazioni di identificazione personale (PII), dati finanziari e dati delle credenziali. Puoi anche utilizzare criteri personalizzati: espressioni regolari che definiscono modelli di testo da abbinare e, facoltativamente, sequenze di caratteri e regole di prossimità per perfezionare i risultati.

Se Macie rileva dati sensibili in un oggetto S3, genera un risultato relativo alla sicurezza per informare l'utente. Questo risultato fornisce informazioni sull'oggetto interessato, i tipi e il numero di occorrenze dei dati sensibili individuati da Macie e dettagli aggiuntivi per facilitare l'analisi del bucket S3 e dell'oggetto interessati. Per ulteriori informazioni, consultare la Guida per l'utente di Amazon Macie.

AWS Security Hub CSPM è un servizio di gestione dello stato di sicurezza che esegue controlli delle migliori pratiche di sicurezza, aggrega avvisi e risultati provenienti da più fonti in un unico formato e consente la correzione automatica.

Security Hub CSPM raccoglie e fornisce dati sui risultati di sicurezza provenienti da soluzioni di AWS Partner Network sicurezza integrate Servizi AWS, tra cui Amazon Detective, Amazon, IAM Access Analyzer e Amazon Macie. GuardDuty Genera inoltre i propri risultati eseguendo controlli di sicurezza continui e automatizzati basati sulle AWS migliori pratiche e sugli standard di settore supportati.

Security Hub CSPM quindi correla e consolida i risultati tra i fornitori per aiutarti a stabilire le priorità ed elaborare i risultati più significativi. Inoltre, fornisce supporto per azioni personalizzate, che possono essere utilizzate per richiamare risposte o azioni correttive per classi specifiche di risultati.

Con Security Hub CSPM, puoi valutare lo stato di sicurezza e conformità delle tue risorse Amazon S3 e puoi farlo come parte di un'analisi più ampia dello stato di sicurezza della tua organizzazione in singole e in più regioni. Regioni AWS Ciò include l'analisi delle tendenze di sicurezza e l'identificazione dei problemi di sicurezza con priorità massima. È anche possibile aggregare i risultati di più Regioni AWS e monitorare ed elaborare i dati dei risultati aggregati di una singola regione.

Per ulteriori informazioni, consultare la sezione relativa ai controlli Amazon Simple Storage Service nella Guida per l'utente di AWS Security Hub CSPM .