Auditoría del uso compartido con IAM Access Analyzer

Es fácil escribir una política que conceda accidentalmente acceso al público o a una cuenta externa. Una sola política de bucket demasiado amplia puede exponer datos confidenciales.

IAM Access Analyzer comprueba continuamente sus recursos y le indica cuáles están compartidos fuera de su zona de confianza, antes de que los encuentre un atacante.

Access Analyzer utiliza el razonamiento automatizado (lógica matemática) para analizar políticas de recursos e identificar el acceso externo.

• Define una zona de confianza, normalmente su cuenta u organización.
• Cualquier concesión que salga de esa zona se convierte en un hallazgo.

Es un análisis proactivo, no una revisión de registros.

El análisis de acceso externo abarca muchos servicios con políticas de recursos, entre ellos:

• Buckets de S3, roles de IAM (políticas de confianza) y claves de KMS.
• Funciones de Lambda, colas de SQS, secretos de Secrets Manager y otros.

Para cada recurso, informa de quién puede acceder a él desde fuera de su zona de confianza.

Un hallazgo de acceso externo indica el recurso, el principal externo y las acciones permitidas.

A continuación, debe decidir si el acceso es intencionado (marcándolo como archivado o esperado) o si se trata de un error (corrigiendo la política). Los hallazgos intencionados se pueden suprimir con reglas de archivo para que solo permanezcan las sorpresas reales.

Access Analyzer también detecta el acceso sin uso: roles y usuarios de IAM con permisos o credenciales que nunca utilizan.

• Se muestran los roles sin uso, las claves de acceso sin uso y los permisos sin uso.
• Eliminarlos reduce la superficie de ataque y aplica el principio de mínimo privilegio.

Antes de implementar una política, Access Analyzer puede validarla mediante más de cien comprobaciones.

Marca errores de sintaxis, concesiones demasiado amplias y advertencias de seguridad, además de sugerir mejoras. Así se detectan los errores durante la creación, en lugar de después de una exposición.

Access Analyzer puede generar una política de mínimo privilegio a partir del historial de CloudTrail.

Examina las acciones que una identidad realizó realmente y produce una política personalizada que solo concede esas acciones. Esto convierte una política inicial amplia en otra estricta y basada en evidencias.

Para las canalizaciones, las comprobaciones de políticas personalizadas permiten establecer reglas mediante programación.

Puede verificar que una política nueva sea no más permisiva que una línea base aprobada o que nunca conceda determinadas acciones confidenciales. Estas comprobaciones se integran en CI/CD para bloquear cambios arriesgados antes de la fusión.

Establezca como zona de confianza su organización de AWS completa y ejecute Access Analyzer desde una cuenta de administrador delegado.

Así, cualquier uso compartido que salga de toda la organización se marcará, mientras que el uso compartido interno entre cuentas se considerará de confianza. Esto permite escalar la auditoría a todas las cuentas.

Un flujo de trabajo saludable consiste en revisar periódicamente los hallazgos nuevos, archivar los esperados mediante reglas y corregir el resto reforzando las políticas.

Integre los hallazgos en Security Hub para que aparezcan junto a otras señales de seguridad en una sola consola.

Utilice Access Analyzer siempre que la pregunta sea «¿qué está expuesto fuera de mi cuenta?» o «¿qué permisos no se utilizan?»

Complementa a CloudTrail (qué ocurrió) y Config (estado actual) al responder quién puede acceder a mis recursos mediante la lógica de las políticas.

Elija la herramienta adecuada.

Ha aprendido cómo IAM Access Analyzer protege contra el uso compartido no intencionado.

• Los hallazgos de acceso externo muestran los recursos accesibles desde fuera de su zona de confianza.
• Los hallazgos de acceso no utilizado ayudan a aplicar el principio de mínimo privilegio.
• También valida y genera políticas, y se ejecuta en toda la organización.