VPC endpoint policy cho phép truy cập toàn quyền

Vấn đề là gì

Policy của endpoint cho Principal "*" mọi action trên mọi resource, không có điều kiện về người gọi (aws:PrincipalOrgID, aws:SourceVpc…) hay chủ resource (aws:ResourceOrgID). Đây là policy mặc định: ai có credentials trong VPC có thể chép dữ liệu ra bucket của account khác. MEDIUM vì kẻ tấn công phải vào được VPC trước

The endpoint policy gives Principal "*" every action on every resource, with no condition on the caller (aws:PrincipalOrgID, aws:SourceVpc…) or the resource owner (aws:ResourceOrgID). This is the default policy: anyone with credentials inside the VPC can copy data to a bucket in another account. MEDIUM because an attacker needs a foothold in the VPC first

6WAF phát hiện thế nào

• Check tất định bằng lời gọi AWS API (IAM, S3, EC2/VPC, CloudTrail, KMS, Secrets Manager, ACM, các dịch vụ phát hiện) — không dùng LLM để phát hiện; mức độ nghiêm trọng là giá trị scanner gán, hiển thị ở trên.
• Quét qua IAM Role bạn tự deploy bằng CloudFormation; 6WAF không giữ credential và bạn thu hồi quyền bất cứ lúc nào bằng cách xóa stack.
• Điểm quét tự động chỉ bao phủ một phần phạm vi chuẩn như ISO 27001 — đây là đánh giá kỹ thuật, không phải chứng nhận.