Hosten Sie Ihre Website oder App in der Cloud? Oder nutzen Sie AWS, um Ihre nächste KI-Anwendung zu bauen? Dann sollten Sie dieses Video unbedingt sehen!
Cloud-Plattformen wie AWS, Google Cloud und Microsoft Azure machen das Skalieren einfach. Aber: Ihre Cloud-Anwendung ist nur so sicher wie ihre schwächste Konfiguration.
Das Risiko: Falsch konfigurierte Speicher-Buckets
Ein häufiger Fehler sind falsch konfigurierte Storage-Buckets – etwa AWS S3 oder Google Cloud Storage. Ein S3-Bucket speichert Dateien wie Bilder, Backups oder KI-Trainingsdaten. Wird er falsch konfiguriert, kann er sensible Daten preisgeben – auch wenn der Link nirgends auf Ihrer Seite zu finden ist.
Demo
In diesem Video zeige ich, wie Angreifer fehlkonfigurierte S3-Buckets finden und ausnutzen können – und warum es so wichtig ist, Ihre Cloud-Konfiguration regelmäßig zu prüfen und abzusichern.
⚠️ Das Video dient ausschließlich zu Lernzwecken. Alles Gezeigte erfolgt in einer kontrollierten Testumgebung.
Als Ziel verwenden wir eine Demo-Seite namens AWS Goat, die auf AWS gehostet wird.
Ablauf der Demo:
- URL der Seite kopieren und mit OWASP ZAP scannen.
- ZAP findet alle Seiten und Ressourcen – darunter auch eine S3-Bucket-URL.
- Der Bucket erlaubt keine Inhaltsanzeige, aber der Name enthält
production. - Mit einer Wortliste erzeugen wir ähnliche Bucket-Namen und testen sie mit S3 Scanner.
- Wir finden einen offenen Bucket, öffnen ihn und entdecken eine
.ssh-Datei. - Die Config-Datei enthält IP-Adressen und private SSH-Schlüssel.
- Wir scannen die IPs mit Nmap und finden eine öffentlich erreichbare Maschine.
- Mit dem SSH-Key loggen wir uns erfolgreich ein. Das dürfte niemals passieren!
Was Sie mitnehmen sollten
- Fehlkonfigurierte S3-Buckets können zu schweren Sicherheitslücken führen.
- Es gibt Webseiten, die offene S3-Buckets indizieren – jeder kann sie finden!
- Nicht nur Buckets sind gefährdet: Auch IAM-Rollen, offene Ports, Datenbanken etc.
Was Sie tun sollten
- Überprüfen Sie regelmäßig Ihre Cloud-Konfiguration.
- Setzen Sie auf das Prinzip der minimalen Berechtigungen.
- Lassen Sie Ihre Umgebung von Sicherheitsexperten prüfen.
Wenn Ihnen das Video gefallen hat, freuen wir uns über ein Like, Teilen oder Kommentar.
Danke fürs Zuschauen – und denken Sie daran: Cloud-Sicherheit ist kein Zufall! ☁️🔐
FAQ
Misconfigured Storage Buckets sind Cloud-Speicherbereiche (z. B. bei Amazon S3, Google Cloud Storage), deren Sicherheitseinstellungen falsch konfiguriert sind. Dadurch können gespeicherte Daten von unbefugten Personen eingesehen, heruntergeladen oder verändert werden.
Einfach erklärt:
- Zugriffsrechte sind zu offen, z. B. öffentliche Zugriffe ohne Kontrolle
- Sensible Daten sind unverschlüsselt oder der Zugriff ist nicht eingeschränkt
- Dadurch steigt das Risiko von Datenlecks erheblich
Solche Fehlkonfigurationen sind eine häufige Sicherheitslücke in der Cloud und können von Angreifern ausgenutzt werden, um wichtige Daten zu stehlen oder zu manipulieren.
Wie Angreifer fehlkonfigurierte S3-Buckets finden und ausnutzen können:
- Scannen und Crawlen:
Angreifer nutzen automatisierte Tools und Suchmaschinen (z. B. Shodan, Public Dataset Scans), um öffentlich zugängliche oder schlecht gesicherte S3-Buckets zu finden. - Brute-Force und URL-Tipps:
Durch Ausprobieren typischer Bucket-Namen oder URLs können sie auf ungeschützte Buckets stoßen. - Fehlende Zugriffssteuerung:
Wenn Bucket-Policies oder ACLs (Access Control Lists) nicht richtig gesetzt sind, können Angreifer auf gespeicherte Daten zugreifen, sie herunterladen, verändern oder löschen. - Missbrauch für Malware-Hosting:
Offen zugängliche Buckets können genutzt werden, um Schadsoftware zu speichern und zu verbreiten.
Risiken durch fehlkonfigurierte S3-Buckets:
- Datenverlust oder -diebstahl:
Vertrauliche oder personenbezogene Daten können ungeschützt öffentlich zugänglich sein. - Reputationsschäden:
Datenlecks können das Vertrauen von Kunden und Partnern zerstören. - Finanzielle Schäden:
Durch Datenschutzverletzungen drohen Bußgelder (z. B. DSGVO-Strafen) und hohe Folgekosten. - Missbrauch von Ressourcen:
Angreifer können Speicherplatz und Bandbreite kostenintensiv ausnutzen. - Verletzung von Compliance:
Fehlende Sicherheit kann zu Verstößen gegen gesetzliche Vorgaben führen.
Ein S3 Bucket ist ein Speichercontainer im Amazon Web Services (AWS) Simple Storage Service (S3), der zur Speicherung und Verwaltung großer Mengen von Datenobjekten wie Dateien, Bildern oder Videos dient.
Einfach erklärt:
- Ein Bucket ist eine logische Speichereinheit
- Jeder Bucket hat einen eindeutigen Namen
- Unterstützt Zugriffssteuerung, Versionsverwaltung und Lebenszyklusmanagement
- Wird häufig für Backups, Website-Hosting, Datenanalyse und andere Anwendungen genutzt
OWASP ZAP (Zed Attack Proxy) ist ein kostenloses, Open-Source-Sicherheitstesttool, das vom Open Web Application Security Project (OWASP) entwickelt wurde. Es wird hauptsächlich verwendet, um Webanwendungen automatisiert auf Sicherheitslücken zu prüfen.
Hauptfunktionen:
- Automatisches Scannen und Erkennen häufiger Schwachstellen (z. B. SQL-Injektionen, Cross-Site-Scripting)
- Unterstützung für manuelle Tests zur detaillierten Analyse durch Sicherheitsexperten
- Proxy-Funktion zum Abfangen und Modifizieren von HTTP/HTTPS-Datenverkehr zwischen Browser und Server
- Geeignet für Entwickler und Sicherheitstester, um die Sicherheit von Webanwendungen zu verbessern
Der .ssh-Ordner wird verwendet, um SSH (Secure Shell)-bezogene Konfigurationen und Schlüssel zu speichern. Er dient hauptsächlich der sicheren Fernanmeldung und Datenübertragung.
Konkret beinhaltet er:
- Private Schlüssel (z. B. id_rsa) und öffentliche Schlüssel (id_rsa.pub) zur Authentifizierung
- Die Datei known_hosts, in der vertrauenswürdige Server-Fingerabdrücke gespeichert sind
- Die Konfigurationsdatei config zur Definition von Verbindungsdetails für verschiedene Server
- Er gewährleistet die Sicherheit der Fernverbindung und verhindert die Übertragung von Passwörtern im Klartext.
Nmap (Network Mapper) ist ein Open-Source-Netzwerkscanner und Sicherheitstool, das hauptsächlich dazu verwendet wird, Geräte und Dienste in einem Netzwerk zu entdecken und potenzielle Sicherheitslücken zu erkennen.
Hauptfunktionen:
- Scannen von Hosts und Ports, Erkennung offener Ports und laufender Dienste
- Erkennung von Betriebssystemtypen und -versionen
- Aufdeckung der Netzwerktopologie
- Unterstützung von Skripterweiterungen zur Schwachstellenanalyse und Automatisierung
Nmap wird häufig von Netzwerkadministratoren und Sicherheitsexperten für Sicherheitsbewertungen und Penetrationstests eingesetzt.
Das Prinzip der minimalen Rechte besagt, dass Benutzer, Programme oder Systeme nur jene Zugriffsrechte erhalten sollen, die unbedingt notwendig sind, um ihre Aufgaben zu erfüllen. Dadurch wird das Risiko von Fehlgebrauch oder Missbrauch von Rechten minimiert.
Einfach erklärt:
- Nur die minimal erforderlichen Zugriffsrechte vergeben
- Beschränkung des Handlungsspielraums, um versehentliche oder böswillige Aktionen zu verhindern
- Erhöhung der Gesamtsicherheit des Systems und Reduzierung potenzieller Schäden