Аудит общего доступа с помощью IAM Access Analyzer

Легко написать политику, которая случайно предоставит доступ общедоступному субъекту или внешнему аккаунту. Одна чрезмерно широкая политика корзины может раскрыть конфиденциальные данные.

IAM Access Analyzer непрерывно проверяет ваши ресурсы и сообщает, какие из них совместно используются за пределами вашей зоны доверия, прежде чем их обнаружит злоумышленник.

Access Analyzer использует автоматизированное логическое рассуждение (математическую логику), чтобы анализировать политики ресурсов и выявлять внешний доступ.

• Он определяет зону доверия, обычно ваш аккаунт или организацию.
• Любое разрешение, выходящее за пределы этой зоны, становится результатом проверки.

Это проактивный анализ, а не просмотр журналов.

Анализ внешнего доступа охватывает множество сервисов с политиками ресурсов, включая:

• корзины S3, роли IAM (политики доверия) и ключи KMS;
• функции Lambda, очереди SQS, секреты Secrets Manager и другие ресурсы.

Для каждого ресурса он сообщает, кто за пределами вашей зоны доверия может получить к нему доступ.

Результат проверки внешнего доступа содержит сведения о ресурсе, внешнем субъекте и разрешённых действиях.

Затем вы решаете, является ли доступ преднамеренным (помечаете его как архивный или ожидаемый) или это ошибка (исправляете политику). Преднамеренные результаты можно скрыть с помощью правил архивирования, чтобы оставались только действительно неожиданные случаи.

Access Analyzer также выявляет неиспользуемый доступ: роли и пользователей IAM с разрешениями или учётными данными, которыми они никогда не пользуются.

• Выявляются неиспользуемые роли, ключи доступа и разрешения.
• Их удаление уменьшает поверхность атаки и обеспечивает минимальные полномочия.

Перед развёртыванием политики Access Analyzer может проверить её по более чем сотне критериев.

Он выявляет синтаксические ошибки, чрезмерно широкие разрешения и предупреждения системы безопасности, а также предлагает улучшения. Это позволяет обнаружить ошибки при создании политики, а не после раскрытия доступа.

Access Analyzer может создать политику с минимальными полномочиями на основе журнала CloudTrail.

Он анализирует действия, которые удостоверение действительно выполняло, и создаёт адаптированную политику, предоставляющую только эти разрешения. Так широкая начальная политика превращается в точную политику, основанную на фактических данных.

Для конвейеров пользовательские проверки политик позволяют программно задавать правила.

Вы можете убедиться, что новая политика не предоставляет больше разрешений, чем утверждённый базовый вариант, или что она никогда не разрешает определённые чувствительные действия. Эти проверки встраиваются в непрерывную интеграцию и доставку, чтобы блокировать опасные изменения до слияния.

Установите в качестве зоны доверия всю организацию AWS и запустите Access Analyzer из аккаунта делегированного администратора.

Тогда любое совместное использование за пределами всей организации будет выявляться, а внутреннее совместное использование между аккаунтами будет считаться доверенным. Это позволяет масштабировать аудит на все аккаунты.

Правильный рабочий процесс выглядит так: регулярно просматривайте новые результаты проверок, архивируйте ожидаемые результаты с помощью правил, а устраняйте остальные, ужесточая политики.

Интегрируйте результаты проверок с Security Hub, чтобы они отображались в одной консоли вместе с другими сигналами безопасности.

Используйте Access Analyzer, когда нужно выяснить: «что доступно за пределами моей учетной записи?» или «какие разрешения не используются?»

Он дополняет CloudTrail (что произошло) и Config (текущее состояние), отвечая на вопрос, кто может получить доступ к моим ресурсам, исходя из логики политик.

Выберите подходящий инструмент.

Вы узнали, как IAM Access Analyzer защищает от непреднамеренного предоставления общего доступа.

• Результаты проверок внешнего доступа показывают ресурсы, доступные за пределами вашей зоны доверия.
• Результаты проверок неиспользуемого доступа помогают соблюдать принцип наименьших привилегий.
• Кроме того, сервис проверяет и создает политики и работает на уровне всей организации.