Audytowanie udostępniania za pomocą IAM Access Analyzer

Łatwo napisać zasadę, która przypadkowo przyzna dostęp publiczny lub dostęp zewnętrznemu kontu. Pojedyncza zbyt szeroka zasada zasobnika może ujawnić poufne dane.

IAM Access Analyzer stale sprawdza zasoby i informuje, które z nich są udostępnione poza strefę zaufania, zanim znajdzie je atakujący.

Access Analyzer wykorzystuje zautomatyzowane wnioskowanie (logikę matematyczną) do analizowania zasad zasobów i identyfikowania dostępu zewnętrznego.

• Definiuje strefę zaufania, zwykle konto lub organizację.
• Każde przyznanie dostępu poza tę strefę staje się ustaleniem.

Jest to analiza proaktywna, a nie przegląd dzienników.

Analiza dostępu zewnętrznego obejmuje wiele usług z zasadami zasobów, w tym:

• zasobniki S3, role IAM (zasady zaufania) i klucze KMS;
• funkcje Lambda, kolejki SQS, sekrety Secrets Manager i inne.

Dla każdego zasobu raportuje, kto spoza strefy zaufania może uzyskać do niego dostęp.

Ustalenie dotyczące dostępu zewnętrznego wskazuje zasób, zewnętrzny podmiot i dozwolone działania.

Następnie decydują Państwo, czy dostęp jest zamierzony (oznaczają go Państwo jako zarchiwizowany/oczekiwany), czy stanowi błąd (naprawiają Państwo zasadę). Zamierzone ustalenia można ukryć za pomocą reguł archiwizacji, aby pozostały tylko rzeczywiste niespodzianki.

Access Analyzer wykrywa również nieużywany dostęp: role IAM i użytkowników z uprawnieniami lub poświadczeniami, których nigdy nie używają.

• Wykrywane są nieużywane role, nieużywane klucze dostępu i nieużywane uprawnienia.
• Usunięcie ich zmniejsza powierzchnię ataku i wymusza stosowanie najmniejszych uprawnień.

Przed wdrożeniem zasady Access Analyzer może ją zweryfikować za pomocą ponad stu kontroli.

Wykrywa błędy składni, zbyt szerokie przyznania uprawnień i ostrzeżenia dotyczące bezpieczeństwa oraz sugeruje ulepszenia. Pozwala to wychwycić błędy podczas tworzenia, a nie dopiero po ujawnieniu zasobu.

Access Analyzer może wygenerować zasadę najmniejszych uprawnień na podstawie historii CloudTrail.

Analizuje działania rzeczywiście wykonane przez tożsamość i tworzy dopasowaną zasadę przyznającą tylko te uprawnienia. W ten sposób szeroka zasada początkowa zostaje zastąpiona ścisłą zasadą opartą na danych.

W przypadku potoków niestandardowe kontrole zasad pozwalają programowo egzekwować reguły.

Mogą Państwo sprawdzić, czy nowa zasada jest nie bardziej liberalna niż zatwierdzona baza, albo czy nigdy nie przyznaje określonych wrażliwych uprawnień. Kontrole te można włączyć do CI/CD, aby blokować ryzykowne zmiany przed scaleniem.

Należy ustawić strefę zaufania na całą AWS Organization i uruchomić Access Analyzer z konta delegowanego administratora.

Wówczas każde udostępnienie wychodzące poza całą organizację zostanie oznaczone, a wewnętrzne udostępnianie między kontami będzie traktowane jako zaufane. Umożliwia to skalowanie audytu na wszystkie konta.

Zdrowy przepływ pracy obejmuje regularny przegląd nowych ustaleń, archiwizowanie oczekiwanych ustaleń za pomocą reguł oraz usuwanie pozostałych problemów przez zaostrzenie zasad.

Proszę zintegrować ustalenia z Security Hub, aby były dostępne obok innych sygnałów bezpieczeństwa w jednej konsoli.

Proszę używać Access Analyzer, gdy pytanie brzmi: „co jest ujawnione poza moim kontem?” albo „które uprawnienia są nieużywane?”.

Uzupełnia on CloudTrail (co się wydarzyło) i Config (stan bieżący), odpowiadając na pytanie: kto może uzyskać dostęp do moich zasobów na podstawie logiki zasad.

Proszę wybrać właściwe narzędzie.

Dowiedzieli się Państwo, jak IAM Access Analyzer chroni przed niezamierzonym udostępnianiem.

• Ustalenia dotyczące dostępu zewnętrznego pokazują zasoby dostępne spoza strefy zaufania.
• Ustalenia dotyczące nieużywanego dostępu pomagają egzekwować zasadę najmniejszych uprawnień.
• Narzędzie również weryfikuje i generuje zasady oraz działa w całej organizacji.