IAM Access Analyzer로 공유 감사

실수로 공개 사용자나 외부 계정에 액세스 권한을 부여하는 정책을 작성하기 쉽습니다. 지나치게 광범위한 버킷 정책 하나만으로도 민감한 데이터가 노출될 수 있습니다.

IAM 액세스 분석기는 리소스를 지속적으로 검사하여 공격자가 발견하기 전에 어떤 리소스가 신뢰 영역 외부에 공유되어 있는지 알려 줍니다.

액세스 분석기는 자동 추론(수학적 논리)을 사용하여 리소스 정책을 분석하고 외부 액세스를 식별합니다.

• 일반적으로 계정 또는 조직을 신뢰 영역으로 정의합니다.
• 해당 영역 밖으로 이어지는 모든 권한 부여가 발견 결과가 됩니다.

이는 로그 검토가 아니라 사전 예방적 분석입니다.

외부 액세스 분석은 다음을 포함한 다양한 리소스 정책 서비스를 대상으로 합니다.

• S3 버킷, IAM 역할(신뢰 정책) 및 KMS 키
• Lambda 함수, SQS 대기열, Secrets Manager 보안 암호 등

각 리소스에 대해 신뢰 영역 외부에서 누가 액세스할 수 있는지 보고합니다.

외부 액세스 발견 결과는 리소스, 외부 보안 주체 및 허용된 작업을 알려 줍니다.

그런 다음 해당 액세스가 의도된 것인지(보관됨/예상됨으로 표시) 아니면 실수인지(정책 수정) 결정합니다. 의도된 발견 결과는 보관 규칙으로 숨겨 실제로 예상하지 못한 결과만 남길 수 있습니다.

액세스 분석기는 사용되지 않는 액세스도 감지합니다. 여기에는 사용하지 않는 권한이나 자격 증명이 있는 IAM 역할과 사용자가 포함됩니다.

• 사용되지 않는 역할, 사용되지 않는 액세스 키 및 사용되지 않는 권한이 모두 표시됩니다.
• 이를 제거하면 공격 표면을 줄이고 최소 권한을 적용할 수 있습니다.

정책을 배포하기 전에 액세스 분석기는 100개가 넘는 검사를 기준으로 정책을 검증할 수 있습니다.

구문 오류, 지나치게 광범위한 권한 부여 및 보안 경고를 표시하고 개선 사항을 제안합니다. 이를 통해 노출된 후가 아니라 정책 작성 시점에 실수를 발견할 수 있습니다.

액세스 분석기는 CloudTrail 기록에서 최소 권한 정책을 생성할 수 있습니다.

자격 증명이 실제로 수행한 작업을 조사하고 해당 작업만 허용하는 맞춤형 정책을 생성합니다. 이를 통해 광범위한 시작 정책을 근거에 기반한 엄격한 정책으로 바꿀 수 있습니다.

파이프라인에서는 사용자 지정 정책 검사를 통해 규칙을 프로그래밍 방식으로 확인할 수 있습니다.

새 정책이 승인된 기준 정책보다 더 허용적이지 않은지, 또는 특정 민감한 작업을 절대 허용하지 않는지 검증할 수 있습니다. 이러한 검사는 CI/CD에 통합하여 병합 전에 위험한 변경을 차단할 수 있습니다.

신뢰 영역을 전체 AWS 조직으로 설정하고 위임된 관리자 계정에서 액세스 분석기를 실행하십시오.

그러면 전체 조직 외부로 이어지는 모든 공유가 표시되고, 내부 계정 간 공유는 신뢰할 수 있는 것으로 처리됩니다. 이를 통해 모든 계정에 대한 감사를 확장할 수 있습니다.

건전한 작업 흐름은 새로운 조사 결과를 정기적으로 검토하고, 규칙을 사용해 예상된 결과는 보관 처리하며, 나머지는 정책을 더욱 엄격하게 적용해 개선 조치하는 것입니다.

조사 결과를 보안 허브에 통합하면 하나의 콘솔에서 다른 보안 신호와 함께 확인할 수 있습니다.

"내 계정 외부에 무엇이 노출되어 있는가?" 또는 "사용되지 않는 권한은 무엇인가?"라는 질문에 답해야 할 때는 언제든지 액세스 분석기를 사용하십시오.

액세스 분석기는 CloudTrail(무슨 일이 발생했는지) 및 구성(현재 상태)을 보완하여 정책 논리를 통해 누가 내 리소스에 접근할 수 있는지를 알려 줍니다.

올바른 도구를 선택하십시오.

IAM 액세스 분석기가 의도하지 않은 공유를 방지하는 방법을 학습했습니다.

• 외부 액세스 조사 결과는 신뢰 영역 외부에서 접근할 수 있는 리소스를 보여 줍니다.
• 사용되지 않는 액세스 조사 결과는 최소 권한 원칙을 적용합니다.
• 또한 정책을 검증하고 생성하며 조직 전체에서 실행됩니다.