наименьшие привилегии
2 статей с этим тегом
Публичный доступ к облачному хранилищу: почему данные могут утечь даже при включённом Block Public Access
Утечки из бакетов возникают из-за настройки, а не из-за атаки. Главная строка в документации: настройки блокировки публичного доступа не меняют существующие политики и ACL. Публичные настройки остаются под блокировкой, и если её снять, публичный доступ вернётся. Поэтому цель — не «блокировка включена», а «ничего не публично даже без блокировки». Включайте её на уровне аккаунта: политика бакета может дать кому-то право отключить блокировку на уровне бакета. И «публичным» AWS считает больше, чем обычно думают.
Наименьшие привилегии SSH-ключа: не храните root-ключи продакшена в эфемерных средах, которые можно скомпрометировать
Регистрация root-ключа в продакшене из эфемерной, компрометируемой среды (под GPU, раннер CI, одноразовая ВМ) означает, что в тот миг, когда среда скомпрометирована, атакующий получает root в продакшене. Исправление: никаких root-ключей в эфемерных средах; убирать ключи, когда не используются; если снова нужно — пользователь не root плюс ключ с ограничением команды, ограничивающий ключ одной операцией. Относитесь к переиспользуемому ключу как к самому критичному активу и никогда не стройте конфигурацию, где один утёкший ключ открывает все серверы.