تدقيق المشاركة باستخدام IAM Access Analyzer

من السهل كتابة سياسة تمنح الوصول عن طريق الخطأ للعامة أو لحساب خارجي. فقد تكشف سياسة حاوية واحدة واسعة النطاق بيانات حساسة.

يفحص IAM Access Analyzer مواردكم باستمرار، ويخبركم بالموارد المشتركة خارج نطاق الثقة لديكم قبل أن يعثر عليها مهاجم.

يستخدم Access Analyzer الاستدلال الآلي (المنطق الرياضي) لتحليل سياسات الموارد وتحديد الوصول الخارجي.

• يحدد نطاق ثقة، يكون عادةً حسابكم أو مؤسستكم.
• يصبح أي منح يصل إلى خارج ذلك النطاق نتيجة.

إنه تحليل استباقي، وليس مراجعة للسجلات.

يغطي تحليل الوصول الخارجي العديد من الخدمات التي تستخدم سياسات الموارد، ومنها:

• حاويات S3، وأدوار IAM (سياسات الثقة)، ومفاتيح KMS.
• وظائف Lambda، وقوائم انتظار SQS، وأسرار Secrets Manager، وغير ذلك.

ويُبلغكم لكل مورد منها بالجهات خارج نطاق الثقة التي يمكنها الوصول إليه.

توضح نتيجة الوصول الخارجي المورد والكيان الرئيسي الخارجي والإجراءات المسموح بها.

بعد ذلك تقررون ما إذا كان الوصول مقصودًا (فتضعون علامة مؤرشف/متوقع عليه) أو كان خطأً (فتصلحون السياسة). ويمكن كتم النتائج المقصودة باستخدام قواعد الأرشفة حتى لا تبقى سوى المفاجآت الحقيقية.

يكتشف Access Analyzer أيضًا الوصول غير المستخدم: أدوار IAM ومستخدمون لديهم أذونات أو بيانات اعتماد لا يستخدمونها مطلقًا.

• تظهر الأدوار غير المستخدمة ومفاتيح الوصول غير المستخدمة والأذونات غير المستخدمة.
• تؤدي إزالتها إلى تقليص سطح الهجوم وتطبيق أقل الصلاحيات.

قبل نشر سياسة، يمكن لـ Access Analyzer التحقق من صحتها باستخدام أكثر من مئة فحص.

ويضع علامات على أخطاء الصياغة والمنح الواسعة للغاية والتحذيرات الأمنية، ويقترح تحسينات. وبذلك تُكتشف الأخطاء أثناء التأليف بدلًا من اكتشافها بعد حدوث التعرض.

يمكن لـ Access Analyzer إنشاء سياسة بأقل الصلاحيات من سجل CloudTrail.

يفحص الإجراءات التي نفذتها الهوية فعليًا، وينتج سياسة مخصصة تمنح تلك الإجراءات فقط. وهكذا تتحول سياسة البدء الواسعة إلى سياسة محكمة تستند إلى الأدلة.

بالنسبة إلى خطوط الأنابيب، تتيح لكم فحوصات السياسات المخصصة فرض القواعد برمجيًا.

يمكنكم التحقق من أن السياسة الجديدة ليست أكثر تساهلًا من خط أساس معتمد، أو من أنها لا تمنح إجراءات حساسة محددة مطلقًا. وتندمج هذه الفحوصات في CI/CD لمنع التغييرات الخطرة قبل الدمج.

عيّنوا نطاق الثقة ليشمل مؤسسة AWS بأكملها، وشغّلوا Access Analyzer من حساب المسؤول المفوّض.

بعد ذلك، سيُبلغ عن أي مشاركة تصل إلى خارج المؤسسة بأكملها، بينما تُعامل المشاركة الداخلية بين الحسابات على أنها موثوقة. وبهذا يتوسع نطاق التدقيق ليشمل جميع الحسابات.

سير العمل السليم: راجع النتائج الجديدة بانتظام، وأرشف النتائج المتوقعة باستخدام القواعد، وعالِج النتائج المتبقية بتشديد السياسات.

ادمج النتائج في Security Hub لتظهر إلى جانب إشارات الأمان الأخرى في وحدة تحكم واحدة.

استخدم Access Analyzer عندما يكون السؤال هو "ما الذي يمكن الوصول إليه من خارج حسابي؟" أو "ما الأذونات غير المستخدمة؟"

فهو يكمل CloudTrail (ما حدث) وConfig (الحالة الحالية) من خلال الإجابة عن سؤال من يمكنه الوصول إلى مواردي استنادًا إلى منطق السياسات.

اختر الأداة المناسبة.

تعلّمت كيف يحمي IAM Access Analyzer من المشاركة غير المقصودة.

• تُظهر نتائج الوصول الخارجي الموارد التي يمكن الوصول إليها من خارج نطاق الثقة.
• تفرض نتائج الوصول غير المستخدم مبدأ أقل قدر من الامتيازات.
• كما أنه يتحقق من السياسات وينشئها ويعمل على مستوى المؤسسة.