ECR repository policy cho phép mọi tài khoản AWS

Vấn đề là gì

Policy có Allow cho Principal "*" mà không có điều kiện ràng buộc danh tính, mạng hay Organization: ai cũng pull được image (và đọc code, cấu hình, credential sót trong layer); nếu cho cả quyền ghi thì có thể đẩy image độc vào workload

The policy allows Principal "*" with no condition tying the caller to an identity, network or Organization: anyone can pull the images (and read code, configuration or credentials left in layers); with write actions they can push a poisoned image into your workloads

6WAF phát hiện thế nào

• Check tất định bằng lời gọi AWS API (IAM, S3, EC2/VPC, CloudTrail, KMS, Secrets Manager, ACM, các dịch vụ phát hiện) — không dùng LLM để phát hiện; mức độ nghiêm trọng là giá trị scanner gán, hiển thị ở trên.
• Quét qua IAM Role bạn tự deploy bằng CloudFormation; 6WAF không giữ credential và bạn thu hồi quyền bất cứ lúc nào bằng cách xóa stack.
• Điểm quét tự động chỉ bao phủ một phần phạm vi chuẩn như ISO 27001 — đây là đánh giá kỹ thuật, không phải chứng nhận.