Granska delning med IAM Access Analyzer

Det är lätt att skriva en princip som oavsiktligt ger åtkomst till allmänheten eller till ett externt konto. En enda alltför bred bucketprincip kan exponera känsliga data.

IAM Access Analyzer kontrollerar kontinuerligt era resurser och visar vilka som är delade utanför er tillitszon, innan en angripare hittar dem.

Access Analyzer använder automatiserade resonemang (matematisk logik) för att analysera resursprinciper och identifiera extern åtkomst.

• Den definierar en tillitszon, vanligtvis ert konto eller er organisation.
• Alla beviljanden som når utanför den zonen blir ett resultat.

Det är proaktiv analys, inte logggranskning.

Analys av extern åtkomst omfattar många tjänster med resursprinciper, bland annat:

• S3-buckets, IAM-roller (tillitsprinciper) och KMS-nycklar.
• Lambda-funktioner, SQS-köer, hemligheter i Secrets Manager och annat.

För varje resurs rapporterar den vem utanför er tillitszon som kan få åtkomst.

Ett resultat om extern åtkomst anger resursen, den externa principalen och de tillåtna åtgärderna.

Därefter avgör ni om åtkomsten är avsedd (markera den som arkiverad/förväntad) eller ett misstag (korrigera principen). Avsedda resultat kan undertryckas med arkiveringsregler, så att bara verkliga överraskningar återstår.

Access Analyzer upptäcker även oanvänd åtkomst: IAM-roller och användare med behörigheter eller inloggningsuppgifter som de aldrig använder.

• Oanvända roller, oanvända åtkomstnycklar och oanvända behörigheter visas alla.
• Genom att ta bort dem minskar ni er attackyta och upprätthåller minsta privilegium.

Innan ni distribuerar en princip kan Access Analyzer validera den mot mer än hundra kontroller.

Den flaggar syntaxfel, alltför breda beviljanden och säkerhetsvarningar samt föreslår förbättringar. På så sätt upptäcks misstag när principen skrivs, i stället för efter exponering.

Access Analyzer kan generera en princip med minsta privilegium från historiken i CloudTrail.

Den granskar vilka åtgärder en identitet faktiskt har utfört och skapar en anpassad princip som endast beviljar dessa. På så sätt omvandlas en bred startprincip till en strikt, evidensbaserad princip.

För pipelines gör anpassade principkontroller det möjligt att programmässigt hävda regler.

Ni kan verifiera att en ny princip är högst lika tillåtande som en godkänd baslinje eller att den aldrig beviljar specifika känsliga åtgärder. Dessa kontroller kan integreras i CI/CD för att blockera riskfyllda ändringar före en merge.

Ange hela er AWS Organization som tillitszon och kör Access Analyzer från ett konto med delegerade administratörsbehörigheter.

Därefter flaggas all delning som når utanför hela organisationen, medan intern åtkomst mellan konton betraktas som betrodd. Detta gör det möjligt att skala granskningen till alla konton.

Ett sunt arbetsflöde: granska nya fynd regelbundet, arkivera förväntade fynd med regler och åtgärda resten genom att skärpa policyerna.

Integrera fynden med Security Hub så att de visas tillsammans med andra säkerhetssignaler i en och samma konsol.

Använd Access Analyzer när frågan är "vad är exponerat utanför mitt konto?" eller "vilka behörigheter används inte?"

Det kompletterar CloudTrail (vad som har hänt) och Config (aktuellt tillstånd) genom att besvara vem som kan nå mina resurser med hjälp av policyns logik.

Ni har lärt er hur IAM Access Analyzer skyddar mot oavsiktlig delning.

• Fynd om extern åtkomst visar resurser som kan nås utanför er förtroendezon.
• Fynd om oanvänd åtkomst upprätthåller principen om minsta privilegium.
• Det validerar och genererar även policyer och körs i hela organisationen.