Almacenamiento y redes, lo que queda al alcance de internet

4 tareas · 38 min · Principiante

Los hallazgos que más se publican en la prensa son de dos tipos: almacenamiento abierto con datos dentro y puertos de administración o de bases de datos abiertos a todo el mundo. Leerlos bien exige mirar más de una columna: una regla de red abierta pesa distinto según el recurso tenga o no una dirección pública. Trabajas con los buckets, los grupos de seguridad y los recursos de las tres cuentas de Lácteos Chitaraque. Todo es lectura de tablas ficticias en la consola de la página; no se prueba el acceso a nada.

0 de 4 · 0%

Objetivo de la sala

Un almacenamiento de objetos (bucket) tiene una configuración que bloquea o permite el acceso público, otra de cifrado en reposo y otra de versionado, que conserva versiones anteriores de cada objeto. El acceso público no es malo por definición: un catálogo de productos puede ser público a propósito. Lo que decide la gravedad es qué hay dentro.

La tabla buckets trae la configuración y el contenido de cinco. Busca el que reúne acceso público sin bloquear y datos personales.

Responde para continuar

¿Qué bucket tiene el acceso público sin bloquear y guarda datos personales? Escribe su nombre.

Ver pista de ayuda

Cruza la columna acceso_publico_bloqueado con la columna contenido.

El versionado protege contra borrados y sobrescrituras accidentales o maliciosas: permite recuperar la versión anterior de un objeto. Su ausencia no expone datos, pero quita una red de seguridad, y muchas listas de configuración lo piden para los buckets con información importante.

Responde para continuar

¿Cuántos buckets de la tabla buckets no tienen el versionado activado? Escribe solo el número.

Ver pista de ayuda

Cuenta las filas cuya columna versionado vale no.

Un grupo de seguridad es un cortafuegos virtual: lista qué puertos acepta y desde qué origen. El origen 0.0.0.0/0 significa «cualquier dirección». Abrir al mundo un puerto web (443) en un balanceador es normal; abrir uno de administración remota (22 para SSH) es lo que las herramientas marcan con severidad alta.

Pero la regla sola no cuenta cuánto se expone. La tabla recursos dice si el recurso tiene dirección pública y ruta a internet. Combina las dos tablas.

Responde para continuar

¿Qué grupo de seguridad abre al mundo un puerto de administración remota en un recurso que sí tiene dirección pública? Escribe su nombre.

Ver pista de ayuda

Mira origen en reglas_de_red y direccion_publica en recursos.

La regla del grupo sg-bd-datos abre el puerto 5432 a cualquier dirección, pero la base de datos que protege, bd-clientes, no tiene dirección pública ni ruta a internet. La herramienta marca el hallazgo y es correcto marcarlo: la configuración incumple la regla. Lo que cambia es la urgencia: hoy nadie desde internet puede llegar, y un cambio posterior en la red sí podría abrir la puerta.

Responde para continuar

¿Cómo se trata el hallazgo de sg-bd-datos?

Se corrige con la máxima urgencia, porque el origen 0.0.0.0/0 siempre es una brecha activa Se mantiene como hallazgo de exposición baja hoy y se corrige: un cambio de red lo expondría Se descarta como falso positivo, porque nadie desde internet puede llegar hoy a la base de datos de clientes

Ver pista de ayuda

La regla sigue incumpliendo la política, pero la ruta a internet baja la urgencia.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 Acceso público y contenido Lab

2 Versionado Lab

3 Reglas de red y alcance real Lab

4 Un hallazgo cierto con poca exposición Lab

Whoami-Labs Pro utiliza cookies