Delen controleren met IAM Access Analyzer

Je schrijft gemakkelijk een beleidsdocument dat per ongeluk toegang geeft aan het publiek of aan een extern account. Eén te ruim bucketbeleid kan gevoelige gegevens blootleggen.

IAM Access Analyzer controleert je resources voortdurend en vertelt je welke resources buiten je vertrouwenszone worden gedeeld, voordat een aanvaller ze vindt.

Access Analyzer gebruikt geautomatiseerde redenering (wiskundige logica) om resourcebeleid te analyseren en externe toegang te identificeren.

• Het definieert een vertrouwenszone, meestal je account of organisatie.
• Elke toekenning die buiten die zone reikt, wordt een bevinding.

Dit is proactieve analyse, geen controle van logboeken.

De analyse van externe toegang omvat veel services met resourcebeleid, waaronder:

• S3-buckets, IAM-rollen (vertrouwensbeleid) en KMS-sleutels.
• Lambda-functies, SQS-wachtrijen, geheimen van Secrets Manager en meer.

Voor elke resource rapporteert de service wie buiten je vertrouwenszone toegang heeft.

Een bevinding over externe toegang vermeldt de resource, de externe principal en de toegestane acties.

Vervolgens bepaal je of de toegang bedoeld is (markeer deze als gearchiveerd/verwacht) of een fout vormt (pas het beleid aan). Bedoelde bevindingen kun je onderdrukken met archiveringsregels, zodat alleen echte verrassingen overblijven.

Access Analyzer detecteert ook ongebruikte toegang: IAM-rollen en -gebruikers met machtigingen of referenties die ze nooit gebruiken.

• Ongebruikte rollen, ongebruikte toegangssleutels en ongebruikte machtigingen worden allemaal zichtbaar.
• Door deze te verwijderen verklein je je aanvalsoppervlak en dwing je minimale rechten af.

Voordat je een beleidsdocument implementeert, kan Access Analyzer het valideren aan de hand van meer dan honderd controles.

Het markeert syntaxisfouten, te ruime toekenningen en beveiligingswaarschuwingen en stelt verbeteringen voor. Zo ontdek je fouten tijdens het schrijven in plaats van nadat er gegevens zijn blootgesteld.

Access Analyzer kan op basis van de geschiedenis in CloudTrail een beleidsdocument met minimale rechten genereren.

Het onderzoekt welke acties een identiteit daadwerkelijk heeft uitgevoerd en maakt een beleidsdocument op maat dat alleen die acties toestaat. Zo verandert een breed startbeleid in een strikt, op feiten gebaseerd beleid.

Voor pijplijnen kun je met aangepaste beleidscontroles programmatisch regels afdwingen.

Je kunt controleren of een nieuw beleidsdocument niet ruimer is dan een goedgekeurde basisversie, of dat het nooit specifieke gevoelige acties toestaat. Deze controles passen in CI/CD om risicovolle wijzigingen vóór het samenvoegen te blokkeren.

Stel de vertrouwenszone in op je volledige AWS Organization en voer Access Analyzer uit vanuit een account van een gedelegeerde beheerder.

Vervolgens wordt elk gedeeld onderdeel dat buiten de hele organisatie reikt, gemarkeerd, terwijl intern delen tussen accounts als vertrouwd wordt beschouwd. Zo schaal je de controle uit over alle accounts.

Een gezonde werkwijze: beoordeel nieuwe bevindingen regelmatig, archiveer verwachte bevindingen met regels en verhelp de rest door beleidsregels aan te scherpen.

Integreer bevindingen in Security Hub, zodat ze naast andere beveiligingssignalen in één console staan.

Gebruik Access Analyzer wanneer de vraag is: "wat is er buiten mijn account toegankelijk?" of "welke machtigingen worden niet gebruikt?"

Het vormt een aanvulling op CloudTrail (wat er is gebeurd) en Config (de huidige status) door via beleidslogica antwoord te geven op de vraag wie toegang heeft tot mijn resources.

Je hebt geleerd hoe IAM Access Analyzer bescherming biedt tegen onbedoeld delen.

• Bevindingen over externe toegang tonen welke resources buiten je vertrouwenszone bereikbaar zijn.
• Bevindingen over ongebruikte toegang dwingen minimale toegangsrechten af.
• Het valideert en genereert ook beleidsregels en wordt organisatiebreed uitgevoerd.