เจาะลึกบั๊กข้อมูลว่างในเครื่องมือสแกนโครงสร้างคลาวด์

การตรวจสอบโครงสร้างพื้นฐานไอทีในระบบคลาวด์มักจบลงด้วยการปิดตั๋วงานเมื่อพบและแก้ไขปัญหาทั้งหมดแล้ว แต่ในความเป็นจริง รายงานการสแกนอาจไม่ได้บอกความจริงทั้งหมด เช่น บทเรียนจากการทำงานในระบบ Infrawise ที่พบว่าสิทธิ์การใช้งานบทบาทขาดคำสั่ง s3:GetEncryptionConfiguration ทำให้ถังจัดเก็บข้อมูล S3 จำนวน 14 ถังส่งค่ากลับมาว่าปฏิเสธการเข้าถึง (AccessDenied)

เครื่องมือสแกนจับข้อผิดพลาดดังกล่าว เขียนค่า encrypted เป็น false แล้วข้ามไปถังถัดไปทันที ทำให้ไม่สามารถแยกแยะได้ว่าถังใดเข้ารหัสแล้วหรือยังไม่ได้เข้ารหัส เนื่องจากค่าที่แสดงไม่ได้อ่านจากระบบ AWS จริง แต่เป็นค่าเริ่มต้นที่ถูกกำหนดขึ้นเมื่อการอ่านข้อมูลล้มเหลว

ภาพประกอบจากคลังภาพสต็อก ไม่ใช่ภาพจากเหตุการณ์จริง

ปัญหานี้ไม่ใช่บั๊กของ S3 โดยตรง แต่เป็นบั๊กรูปทรงของข้อมูลที่เครื่องมือสแกนโครงสร้างส่วนใหญ่เผชิญ นั่นคือการใช้ฟิลด์บูลีนที่มีสองสถานะเพื่อแบกรับข้อมูลสามสถานะ โดยระบบ S3 extractor จะทำการเรียก API สี่คำสั่งต่อหนึ่งถังผ่าน Promise.allSettled เพื่อป้องกันไม่ให้ข้อผิดพลาดจุดเดียวทำให้ส่วนอื่นล่ม แต่ผลลัพธ์ที่ได้กลับทำให้ตัววิเคราะห์ปลายทางได้รับค่า versioned: false และแนะนำให้เปิดใช้งานเวอร์ชันสำหรับถังที่ระบบไม่เคยอ่านค่าสถานะเลยแม้แต่น้อย

แนวทางการแก้ไขปัญหาในโค้ดทำได้โดยการเพิ่มสถานะที่สามเข้าไป:

const versioned = versionResult.status === 'fulfilled' ? versionResult.value.Status === 'Enabled' : null;

และตัววิเคราะห์ทุกตัวจะตรวจสอบจากการสังเกต ไม่ใช่การตรวจสอบความเท็จ: