Revidere deling med IAM Access Analyzer

Det er enkelt å skrive en policy som utilsiktet gir tilgang til offentligheten eller til en ekstern konto. Én enkelt for bred bøttepolicy kan eksponere sensitive data.

IAM Access Analyzer kontrollerer ressursene dine kontinuerlig og forteller deg hvilke som er delt utenfor tillitssonen din, før en angriper finner dem.

Access Analyzer bruker automatisert resonnering (matematisk logikk) til å analysere ressurspolicyer og identifisere ekstern tilgang.

• Den definerer en tillitsone, vanligvis kontoen eller organisasjonen din.
• Enhver tillatelse som når utenfor denne sonen, blir et funn.

Dette er proaktiv analyse, ikke gjennomgang av logger.

Analysen av ekstern tilgang dekker mange tjenester med ressurspolicyer, blant annet:

• S3-bøtter, IAM-roller (tillitspolicyer) og KMS-nøkler.
• Lambda-funksjoner, SQS-køer, hemmeligheter i Secrets Manager og mer.

For hver ressurs rapporterer den hvem utenfor tillitssonen din som kan få tilgang.

Et funn om ekstern tilgang forteller deg hvilken ressurs, hvilken ekstern principal og hvilke tillatte handlinger det gjelder.

Deretter avgjør du om tilgangen er tilsiktet (marker den som arkivert/forventet) eller en feil (rett policyen). Tilsiktede funn kan undertrykkes med arkiveringsregler, slik at bare reelle overraskelser blir igjen.

Access Analyzer oppdager også ubrukt tilgang: IAM-roller og -brukere med tillatelser eller legitimasjon de aldri bruker.

• Ubrukte roller, ubrukte tilgangsnøkler og ubrukte tillatelser blir alle synlige.
• Hvis du fjerner dem, reduserer du angrepsflaten og håndhever minste privilegium.

Før du distribuerer en policy, kan Access Analyzer validere den mot mer enn hundre kontroller.

Den markerer syntaksfeil, for brede tillatelser og sikkerhetsadvarsler, og foreslår forbedringer. Dette fanger opp feil når policyen skrives, i stedet for etter at data er eksponert.

Access Analyzer kan generere en policy med minste privilegium fra historikken i CloudTrail.

Den undersøker hvilke handlinger en identitet faktisk utførte, og produserer en tilpasset policy som bare gir disse tillatelsene. Slik blir en bred startpolicy omgjort til en presis, evidensbasert policy.

For pipelines lar tilpassede policykontroller deg kontrollere regler programmatisk.

Du kan bekrefte at en ny policy ikke er mer tillatende enn en godkjent grunnlinje, eller at den aldri gir bestemte sensitive handlinger. Disse kontrollene kan inngå i CI/CD for å blokkere risikable endringer før de flettes inn.

Sett tillitssonen til hele AWS-organisasjonen, og kjør Access Analyzer fra en konto for delegert administrator.

Deretter blir all deling som når utenfor hele organisasjonen, markert, mens intern deling på tvers av kontoer behandles som klarert. Dette gjør det mulig å skalere revisjonen på tvers av alle kontoer.

En sunn arbeidsflyt er å gjennomgå nye funn regelmessig, arkivere forventede funn ved hjelp av regler og utbedre resten ved å stramme inn policyer.

Integrer funnene i Security Hub, slik at de vises sammen med andre sikkerhetssignaler i én konsoll.

Bruk Access Analyzer når spørsmålet er «hva er eksponert utenfor kontoen min?» eller «hvilke tillatelser er ubrukte?»

Den utfyller CloudTrail (hva som skjedde) og Config (gjeldende tilstand) ved å svare på hvem som kan nå ressursene mine gjennom policylogikk.

Du har lært hvordan IAM Access Analyzer beskytter mot utilsiktet deling.

• Funn om ekstern tilgang viser ressurser som kan nås utenfor tillitssonen.
• Funn om ubrukt tilgang håndhever minste privilegium.
• Den validerer og genererer også policyer og kjører på tvers av organisasjonen.