AWS S3 وفاتورة تزيد على 1000 دولار في اليوم الثاني بعد إنشائها

منشور من مستخدم AWS S3، الذي في اليوم الثاني كان لديه فاتورة بقيمة 1000 دولار وكانت فارغة.
يبدو أن المشكلة تكمن بشكل أساسي في استدعاءات الحاوية (bucket)، والتي تنشئ تكلفة، لكن المشكلة كانت أن هذا المستخدم أنشأ حاوية باسم مثل “bucket-crap”، وكان هذا الاسم هو الاسم الافتراضي في تطبيق، ويستخدم على نطاق واسع من قبل الشركات.
ومع ذلك، كشف كل هذا أن هذه الخدمة يمكن أن تواجه مشكلة خطيرة، حيث يمكن أن تسبب ما يسمونه الآن “DoW” “حرمان من المحفظة”، حيث يمكن لأي مستخدم خبيث، بمعرفة اسم هذه الحاوية، إنشاء آلاف الاستدعاءات لهذه الحاوية وإنشاء تكلفة مبالغ فيها، لأنه حتى لو لم يكن لديك وصول إلى هذه الحاوية، فإن الاستدعاءات إليها، حتى لو تم رفضها، تولد تكلفة.

معلومات مفصلة في:

إعجاب واحد (1)

يبدو أن AWS تبحث في الأمر:

لا أعتقد أننا تلقينا تقريرًا عن حدوث ذلك مع مواقع Discourse التي تستخدم S3 لتحميل الملفات.

4 إعجابات

بالتأكيد، لا أعتقد أن هذا هو الحال، ولكن لا يضر اتخاذ بعض الاحتياطات.

أعتقد أن هذا سبب آخر يوصى فيه باستخدام شبكة توصيل المحتوى (CDN)، حيث يجعل من الصعب، على الأقل، رؤية اسم الحاوية.

بالفعل، رأيت هذا أيضًا وتبع ذلك الكثير من الشتائم.

لم يتم تصميم Discourse لإخفاء اسم حاوية التحميل الأساسية، وفي الأيام الفاصلة كنت آمل ألا يستخدم أحد منا.

الأسوأ من ذلك هو أنه حتى لو لاحظت الهجوم، فلا يوجد شيء يمكنك فعله لإيقافه.

إعجابَين (2)

عبر جيف بار على تويتر: https://x.com/jeffbarr/status/1787844682216792163

تحديث: يعمل مهندسو S3 على جعل الطلبات غير المصرح بها التي لم يبدأها العملاء مجانية.

سيغطي هذا التغيير مجموعة من رموز حالة HTTP 3xx/4xx، بما في ذلك جميع تلك المذكورة في المقال. نحن نتحرك بسرعة ونخطط لمشاركة المزيد من التفاصيل هذا الأسبوع.

4 إعجابات