IAM Access Analyzer से साझाकरण का ऑडिट

ऐसी नीति लिखना आसान है जो गलती से सार्वजनिक पहुँच या किसी बाहरी खाते को पहुँच दे दे। अत्यधिक व्यापक बकेट नीति संवेदनशील डेटा उजागर कर सकती है।

IAM Access Analyzer आपके संसाधनों की लगातार जाँच करता है और हमलावर के उन्हें खोजने से पहले बताता है कि कौन से संसाधन आपके विश्वास क्षेत्र के बाहर साझा किए गए हैं।

Access Analyzer संसाधन नीतियों का विश्लेषण करने और बाहरी पहुँच पहचानने के लिए स्वचालित तर्क (गणितीय तर्क) का उपयोग करता है।

• यह एक विश्वास क्षेत्र निर्धारित करता है, जो आमतौर पर आपका खाता या संगठन होता है।
• उस क्षेत्र से बाहर पहुँच देने वाला कोई भी अनुदान एक खोज बन जाता है।

यह सक्रिय विश्लेषण है, लॉग की समीक्षा नहीं।

बाहरी पहुँच का विश्लेषण कई संसाधन-नीति सेवाओं को शामिल करता है, जैसे:

• S3 बकेट, IAM भूमिकाएँ (विश्वास नीतियाँ) और KMS कुंजियाँ।
• Lambda फ़ंक्शन, SQS कतारें, Secrets Manager रहस्य और अन्य।

हर संसाधन के लिए यह बताता है कि आपके विश्वास क्षेत्र के बाहर कौन उस तक पहुँच सकता है।

बाहरी पहुँच की खोज आपको संसाधन, बाहरी प्रिंसिपल और अनुमत कार्रवाइयों के बारे में बताती है।

इसके बाद आप तय करते हैं कि पहुँच जानबूझकर दी गई है (इसे संग्रहित/अपेक्षित चिह्नित करें) या गलती है (नीति सुधारें)। जानबूझकर की गई खोजों को संग्रह नियमों से छिपाया जा सकता है, ताकि केवल वास्तविक आश्चर्य सामने रहें।

Access Analyzer अनुपयोगी पहुँच का भी पता लगाता है: ऐसी IAM भूमिकाएँ और उपयोगकर्ता जिनके पास ऐसी अनुमतियाँ या क्रेडेंशियल हैं जिनका वे कभी उपयोग नहीं करते।

• अनुपयोगी भूमिकाएँ, अनुपयोगी पहुँच कुंजियाँ और अनुपयोगी अनुमतियाँ सभी सामने आ जाती हैं।
• उन्हें हटाने से हमले का क्षेत्र छोटा होता है और न्यूनतम विशेषाधिकार लागू होता है।

नीति लागू करने से पहले Access Analyzer सौ से अधिक जाँचों के आधार पर उसका सत्यापन कर सकता है।

यह वाक्य-विन्यास की त्रुटियाँ, अत्यधिक व्यापक अनुदान और सुरक्षा चेतावनियाँ चिह्नित करता है तथा सुधार सुझाता है। इससे संसाधन उजागर होने के बाद नहीं, बल्कि नीति लिखते समय ही गलतियाँ पकड़ में आ जाती हैं।

Access Analyzer CloudTrail इतिहास से न्यूनतम विशेषाधिकार वाली नीति बना सकता है।

यह जाँचता है कि किसी पहचान ने वास्तव में कौन-सी कार्रवाइयाँ कीं और केवल उन्हीं की अनुमति देने वाली अनुकूलित नीति बनाता है। इससे व्यापक प्रारंभिक नीति साक्ष्य-आधारित, सख्त नीति में बदल जाती है।

पाइपलाइनों के लिए कस्टम नीति जाँचें आपको प्रोग्राम के माध्यम से नियम लागू करने देती हैं।

आप सत्यापित कर सकते हैं कि नई नीति स्वीकृत आधाररेखा से अधिक अनुमतिपूर्ण न हो, या यह कि वह कभी विशिष्ट संवेदनशील कार्रवाइयों की अनुमति न दे। जोखिमपूर्ण बदलावों को विलय से पहले रोकने के लिए ये जाँचें CI/CD में जोड़ी जा सकती हैं।

विश्वास क्षेत्र को अपने संपूर्ण AWS Organization पर सेट करें और Access Analyzer को प्रतिनिधि प्रशासक खाते से चलाएँ।

इसके बाद पूरे संगठन के बाहर पहुँचने वाला कोई भी साझा करना चिह्नित हो जाएगा, जबकि खातों के बीच आंतरिक साझा करना विश्वसनीय माना जाएगा। इससे सभी खातों में ऑडिट का विस्तार किया जा सकता है।

एक स्वस्थ कार्यप्रवाह में नए निष्कर्षों की नियमित रूप से समीक्षा करें, नियमों की मदद से अपेक्षित निष्कर्षों को संग्रहित करें, और नीतियों को अधिक सख्त बनाकर बाकी समस्याओं को ठीक करें।

निष्कर्षों को सुरक्षा हब में एकीकृत करें, ताकि वे एक ही कंसोल में अन्य सुरक्षा संकेतों के साथ दिखाई दें।

जब सवाल यह हो कि "मेरे खाते के बाहर क्या उजागर है?" या "कौन-सी अनुमतियाँ उपयोग में नहीं हैं?", तब एक्सेस एनालाइज़र का उपयोग करें।

यह CloudTrail (क्या हुआ) और कॉन्फ़िगरेशन (वर्तमान स्थिति) का पूरक है, क्योंकि यह नीति के तर्क के आधार पर बताता है कि मेरे संसाधनों तक कौन पहुँच सकता है।

आपने सीखा कि IAM एक्सेस एनालाइज़र अनजाने में संसाधन साझा होने से कैसे बचाता है।

• बाहरी पहुँच के निष्कर्ष उन संसाधनों को दिखाते हैं, जिन तक आपके भरोसे के क्षेत्र के बाहर से पहुँचा जा सकता है।
• अनुपयोगी पहुँच के निष्कर्ष न्यूनतम आवश्यक विशेषाधिकार लागू करते हैं।
• यह नीतियों को मान्य और तैयार भी करता है तथा पूरे संगठन में चलता है।