Auditando Compartilhamentos com o IAM Access Analyzer

É fácil escrever uma política que conceda acesso acidentalmente ao público ou a uma conta externa. Uma única política de bucket excessivamente ampla pode expor dados confidenciais.

O IAM Access Analyzer verifica continuamente seus recursos e informa quais estão compartilhados fora da sua zona de confiança, antes que um invasor os encontre.

O Access Analyzer usa raciocínio automatizado (lógica matemática) para analisar políticas de recursos e identificar acesso externo.

• Ele define uma zona de confiança, geralmente sua conta ou organização.
• Qualquer concessão que ultrapasse essa zona se torna uma constatação.

Trata-se de uma análise proativa, não de uma revisão de registros.

A análise de acesso externo abrange muitos serviços com políticas de recursos, incluindo:

• Buckets do S3, funções do IAM (políticas de confiança) e chaves do KMS.
• Funções do Lambda, filas do SQS, segredos do Secrets Manager e outros.

Para cada recurso, ele informa quem, fora da sua zona de confiança, pode acessá-lo.

Uma constatação de acesso externo informa o recurso, o principal externo e as ações permitidas.

Em seguida, você decide se o acesso é intencional (marcando-o como arquivado/esperado) ou um erro (corrigindo a política). Constatações intencionais podem ser suprimidas com regras de arquivamento, para que restem apenas as surpresas reais.

O Access Analyzer também detecta acesso não utilizado: funções e usuários do IAM com permissões ou credenciais que nunca usam.

• Funções não utilizadas, chaves de acesso não utilizadas e permissões não utilizadas são todos identificados.
• Removê-los reduz sua superfície de ataque e reforça o privilégio mínimo.

Antes de implantar uma política, o Access Analyzer pode validá-la com base em mais de cem verificações.

Ele sinaliza erros de sintaxe, concessões excessivamente amplas e avisos de segurança, além de sugerir melhorias. Assim, os erros são detectados no momento da criação, e não depois da exposição.

O Access Analyzer pode gerar uma política de privilégio mínimo com base no histórico do CloudTrail.

Ele examina quais ações uma identidade realmente executou e produz uma política personalizada que concede apenas essas ações. Isso transforma uma política inicial ampla em uma política restrita e baseada em evidências.

Para pipelines, as verificações personalizadas de políticas permitem afirmar regras de forma programática.

Você pode verificar se uma nova política é no máximo tão permissiva quanto uma linha de base aprovada ou se ela nunca concede determinadas ações confidenciais. Essas verificações se integram ao CI/CD para bloquear alterações arriscadas antes da mesclagem.

Defina a zona de confiança como a organização AWS inteira e execute o Access Analyzer a partir de uma conta de administrador delegado.

Assim, qualquer compartilhamento que ultrapasse os limites de toda a organização será sinalizado, enquanto o compartilhamento interno entre contas será tratado como confiável. Isso permite ampliar a auditoria para todas as contas.

Um fluxo de trabalho saudável: revise regularmente as novas descobertas, arquive as esperadas com regras e corrija as demais reforçando as políticas.

Integre as descobertas ao Hub de Segurança para que elas fiquem junto de outros sinais de segurança em um único console.

Use o Analisador de Acesso sempre que a pergunta for "o que está exposto fora da minha conta?" ou "quais permissões não estão sendo usadas?"

Ele complementa o CloudTrail (o que aconteceu) e o Config (estado atual), respondendo quem pode acessar meus recursos por meio da lógica das políticas.

Escolha a ferramenta certa.

Você aprendeu como o Analisador de Acesso do IAM protege contra compartilhamentos não intencionais.

• As descobertas de acesso externo mostram os recursos que podem ser acessados fora da sua zona de confiança.
• As descobertas de acesso não utilizado garantem o princípio do menor privilégio.
• Ele também valida e gera políticas e é executado em toda a organização.