Verificare la condivisione con IAM Access Analyzer

È facile scrivere una policy che conceda accidentalmente l'accesso al pubblico o a un account esterno. Una singola policy di bucket troppo permissiva può esporre dati sensibili.

IAM Access Analyzer controlla continuamente le risorse e indica quali sono condivise al di fuori della propria zona di attendibilità, prima che le individui un aggressore.

Access Analyzer usa il ragionamento automatizzato (logica matematica) per analizzare le policy delle risorse e identificare gli accessi esterni.

• Definisce una zona di attendibilità, solitamente l'account o l'organizzazione.
• Qualsiasi concessione che raggiunge l'esterno di tale zona diventa un finding.

Si tratta di un'analisi proattiva, non di una revisione dei log.

L'analisi degli accessi esterni copre molti servizi con policy delle risorse, tra cui:

• Bucket S3, ruoli IAM (policy di attendibilità) e chiavi KMS.
• Funzioni Lambda, code SQS, segreti di Secrets Manager e altro.

Per ciascuna risorsa, indica chi, al di fuori della zona di attendibilità, può accedervi.

Un finding relativo a un accesso esterno indica la risorsa, il principal esterno e le azioni consentite.

Decide quindi se l'accesso è intenzionale (contrassegnandolo come archiviato/previsto) o se è un errore (correggendo la policy). I finding intenzionali possono essere nascosti con le regole di archiviazione, così rimangono solo le anomalie reali.

Access Analyzer rileva anche gli accessi inutilizzati: ruoli e utenti IAM con autorizzazioni o credenziali che non usano mai.

• Vengono rilevati ruoli inutilizzati, chiavi di accesso inutilizzate e autorizzazioni inutilizzate.
• Rimuoverli riduce la superficie di attacco e applica il principio del privilegio minimo.

Prima di distribuire una policy, Access Analyzer può convalidarla mediante più di cento controlli.

Segnala errori di sintassi, concessioni troppo ampie e avvisi di sicurezza, oltre a suggerire miglioramenti. In questo modo gli errori vengono individuati durante la scrittura, anziché dopo l'esposizione.

Access Analyzer può generare una policy con privilegi minimi a partire dalla cronologia di CloudTrail.

Esamina le azioni effettivamente eseguite da un'identità e produce una policy personalizzata che concede solo quelle azioni. In questo modo una policy iniziale ampia diventa una policy precisa e basata su dati concreti.

Per le pipeline, i controlli personalizzati delle policy consentono di verificare le regole a livello programmatico.

È possibile verificare che una nuova policy sia non più permissiva di una baseline approvata o che non conceda mai determinate azioni sensibili. Questi controlli si integrano in CI/CD per bloccare le modifiche rischiose prima del merge.

Imposti la zona di attendibilità sull'intera AWS Organization ed esegua Access Analyzer da un account amministratore delegato.

In questo modo viene segnalata qualsiasi condivisione che oltrepassi i confini dell'intera organizzazione, mentre la condivisione interna tra account viene considerata attendibile. Questo consente di estendere il controllo a tutti gli account.

Un flusso di lavoro efficace prevede di esaminare regolarmente i nuovi risultati, archiviare quelli previsti con apposite regole e correggere gli altri rafforzando le policy.

Integrare i risultati in Security Hub consente di visualizzarli insieme agli altri segnali di sicurezza in un'unica console.

Utilizzi Access Analyzer ogni volta che la domanda è "che cosa è esposto al di fuori del mio account?" oppure "quali autorizzazioni non vengono utilizzate?"

Completa CloudTrail (che cosa è successo) e Config (lo stato attuale), rispondendo alla domanda chi può raggiungere le mie risorse attraverso la logica delle policy.

Scelga lo strumento appropriato.

Ha imparato come IAM Access Analyzer protegge dalla condivisione involontaria.

• I risultati relativi all'accesso esterno mostrano le risorse raggiungibili al di fuori della zona di attendibilità.
• I risultati relativi agli accessi inutilizzati applicano il principio del privilegio minimo.
• Inoltre, convalida e genera policy e opera a livello dell'intera organizzazione.