AWS 診断を事例としたクラウドセキュリティ。サーバーレス環境の不備や見落としがちな Cognito の穴による危険性 - Flatt Security Blog

こんにちは。本ブログに初めて記事を書く、株式会社 Flatt Security セキュリティエンジニアの Azara(@a_zara_n)です。普段は Web やプラットフォームの診断やクラウド周りの調査、Twitter ではご飯の画像を流す仕事をしています。よろしくお願いします。 クラウドサービスが発展し続ける今日この頃、多くの企業がパブリッククラウドやプライベートクラウドなどを駆使し顧客へサービス提供しているのを目にします。そのような中で、サービスが利用するクラウドにおいて設定不備や意図しない入力、構成の不備により顧客情報や IAM をはじめとする認証情報が脅かされるケースが多々あります。 本記事では、そのような脅威の一例をもとにクラウドサービスをより堅牢で安全に利用する一助になればと、攻撃手法や対策などについて解説をしていきます。 また、私の所属する 株式会社 Flatt Secur

[hiboma]

ボリュームたっぷり、かつ、精緻に書かれていて id:azara3 の書いたテキストって感じする。すごい ++

[takatama]

AWSの設定をミスったら何が起きるか

[diveintounlimit]

本筋じゃないけど1MB弱のクソデカ背景画像いる？

[ya--mada]

ふぁー

[khigashigashi]

もりもりの内容だ〜全文しっかり読めてないけど具体例でわかりやすかった。Cognito の自己サインアップを許可している場合、UI 上は存在しないサインアップを攻撃者ができてしまうケースとかが事例となっていた