Mengaudit Berbagi dengan IAM Access Analyzer

Kebijakan yang secara tidak sengaja memberikan akses kepada publik atau akun eksternal mudah dibuat. Satu kebijakan bucket yang terlalu luas dapat mengekspos data sensitif.

Penganalisis Akses IAM terus-menerus memeriksa sumber daya Anda dan memberi tahu sumber daya mana yang dibagikan di luar zona kepercayaan Anda, sebelum penyerang menemukannya.

Access Analyzer menggunakan penalaran otomatis (logika matematika) untuk menganalisis kebijakan sumber daya dan mengidentifikasi akses eksternal.

• Layanan ini menentukan zona kepercayaan, biasanya akun atau organisasi Anda.
• Setiap pemberian akses yang keluar dari zona tersebut menjadi sebuah temuan.

Ini adalah analisis proaktif, bukan peninjauan log.

Analisis akses eksternal mencakup banyak layanan berkebijakan sumber daya, termasuk:

• Bucket S3, peran IAM (kebijakan kepercayaan), dan kunci KMS.
• Fungsi Lambda, antrean SQS, rahasia Secrets Manager, dan lainnya.

Untuk setiap sumber daya, layanan ini melaporkan pihak di luar zona kepercayaan Anda yang dapat mengaksesnya.

Temuan akses eksternal memberi tahu Anda tentang sumber daya, principal eksternal, dan tindakan yang diizinkan.

Selanjutnya, Anda menentukan apakah akses tersebut disengaja (menandainya sebagai diarsipkan/diharapkan) atau merupakan kesalahan (memperbaiki kebijakan). Temuan yang disengaja dapat disembunyikan dengan aturan pengarsipan agar hanya kejutan yang sebenarnya tetap terlihat.

Access Analyzer juga mendeteksi akses yang tidak digunakan: peran dan pengguna IAM dengan izin atau kredensial yang tidak pernah mereka gunakan.

• Peran, kunci akses, dan izin yang tidak digunakan semuanya akan ditampilkan.
• Menghapusnya memperkecil permukaan serangan dan menegakkan hak akses minimum.

Sebelum menerapkan kebijakan, Access Analyzer dapat memvalidasi kebijakan tersebut melalui lebih dari seratus pemeriksaan.

Layanan ini menandai kesalahan sintaks, pemberian akses yang terlalu luas, dan peringatan keamanan, serta menyarankan perbaikan. Dengan demikian, kesalahan ditemukan saat penulisan, bukan setelah terjadi paparan.

Access Analyzer dapat menghasilkan kebijakan dengan hak akses minimum dari riwayat CloudTrail.

Layanan ini memeriksa tindakan yang benar-benar dilakukan oleh suatu identitas dan menghasilkan kebijakan khusus yang hanya memberikan tindakan tersebut. Dengan cara ini, kebijakan awal yang luas diubah menjadi kebijakan ketat berbasis bukti.

Untuk pipeline, pemeriksaan kebijakan khusus memungkinkan Anda menetapkan aturan secara terprogram.

Anda dapat memverifikasi bahwa kebijakan baru tidak lebih permisif daripada dasar yang disetujui, atau bahwa kebijakan tersebut tidak pernah memberikan tindakan sensitif tertentu. Pemeriksaan ini dapat dimasukkan ke CI/CD untuk memblokir perubahan berisiko sebelum penggabungan.

Tetapkan zona kepercayaan ke seluruh Organisasi AWS dan jalankan Access Analyzer dari akun administrator yang didelegasikan.

Dengan demikian, setiap pembagian yang menjangkau luar seluruh organisasi akan ditandai, sedangkan pembagian internal lintas akun dianggap tepercaya. Cara ini memungkinkan audit diterapkan pada semua akun secara berskala.

Alur kerja yang baik: tinjau temuan baru secara berkala, arsipkan temuan yang diharapkan dengan aturan, dan atasi sisanya dengan memperketat kebijakan.

Integrasikan temuan ke dalam Security Hub agar temuan tersebut tampil bersama sinyal keamanan lainnya dalam satu konsol.

Gunakan Access Analyzer setiap kali pertanyaannya adalah "apa yang terekspos di luar akun saya?" atau "izin mana yang tidak digunakan?"

Access Analyzer melengkapi CloudTrail (apa yang terjadi) dan Config (keadaan saat ini) dengan menjawab siapa yang dapat mengakses sumber daya saya berdasarkan logika kebijakan.

Pilih alat yang tepat.

Anda telah mempelajari cara IAM Access Analyzer melindungi dari pemberian akses yang tidak disengaja.

• Temuan akses eksternal menunjukkan sumber daya yang dapat dijangkau dari luar zona kepercayaan Anda.
• Temuan akses yang tidak digunakan membantu menegakkan hak akses paling rendah.
• Fitur ini juga memvalidasi dan membuat kebijakan serta berjalan di seluruh organisasi.