Post eines AWS S3-Benutzers, der am zweiten Tag eine Rechnung über 1000 Dollar erhielt und diese leer war.
Anscheinend liegt das Problem hauptsächlich bei den Bucket-Aufrufen, die Kosten verursachen, aber das Problem war, dass dieser Benutzer einen Bucket mit dem Namen „bucket-crap“ erstellte, der Standardname einer anscheinend weit verbreiteten Anwendung in Unternehmen war.
All dies offenbarte jedoch, dass dieser Dienst ein ernstes Problem haben könnte, da er das, was sie jetzt „DoW“ „Denial of Wallet“ nennen, verursachen könnte, da jeder böswillige Benutzer, der den Namen dieses Buckets kennt, Tausende von Aufrufen an diesen Bucket senden könnte und dadurch überhöhte Kosten entstehen könnten, denn selbst wenn Sie keinen Zugriff auf diesen Bucket haben, verursachen Aufrufe an ihn, selbst wenn sie verweigert werden, Kosten.
Tatsächlich habe ich das auch gesehen und es gab viel Fluchen.\n\nDiscourse ist nicht darauf ausgelegt, den zugrunde liegenden Bucket-Namen für Uploads zu verschleiern, und in den Tagen dazwischen habe ich gehofft, dass niemand einen von unseren benutzt.\n\nDas Schlimmste ist, dass man nichts tun kann, um es zu stoppen, selbst wenn man den Angriff beobachtet.
Update: S3-Ingenieure arbeiten daran, nicht autorisierte Anfragen, die Kunden nicht initiiert haben, kostenlos zu machen.
Diese Änderung wird eine Reihe von HTTP 3xx/4xx-Statuscodes abdecken, einschließlich aller im Artikel genannten. Wir arbeiten schnell und planen, diese Woche weitere Details mitzuteilen.