CloudFront đọc S3 mà không dùng origin access control (OAC)

Vấn đề là gì

Origin S3 của distribution chưa có OAC. Finding tách rõ origin còn dùng OAI cũ (không đọc được object mã hoá SSE-KMS) và origin không giới hạn gì (bucket phải public, người dùng đi vòng qua CloudFront). Origin S3 website endpoint được bỏ qua

An S3 origin of the distribution has no OAC. The finding separates origins still on legacy OAI (cannot read SSE-KMS objects) from origins with no restriction at all (the bucket must be public and users can bypass CloudFront). S3 website endpoints are skipped

6WAF phát hiện thế nào

• Check tất định bằng lời gọi AWS API (IAM, S3, EC2/VPC, CloudTrail, KMS, Secrets Manager, ACM, các dịch vụ phát hiện) — không dùng LLM để phát hiện; mức độ nghiêm trọng là giá trị scanner gán, hiển thị ở trên.
• Quét qua IAM Role bạn tự deploy bằng CloudFormation; 6WAF không giữ credential và bạn thu hồi quyền bất cứ lúc nào bằng cách xóa stack.
• Điểm quét tự động chỉ bao phủ một phần phạm vi chuẩn như ISO 27001 — đây là đánh giá kỹ thuật, không phải chứng nhận.