IAM Access Analyzer ile Paylaşımı Denetleme

Herkese açık kullanıcılara veya harici bir hesaba yanlışlıkla erişim veren bir politika yazmak kolaydır. Aşırı geniş tek bir klasör politikası bile hassas verileri açığa çıkarabilir.

IAM Access Analyzer, kaynaklarınızı sürekli olarak denetler ve bir saldırgan bulmadan önce hangilerinin güven bölgenizin dışında paylaşıldığını size bildirir.

Access Analyzer, kaynak politikalarını analiz etmek ve harici erişimi belirlemek için otomatik akıl yürütme (matematiksel mantık) kullanır.

• Genellikle hesabınız veya kuruluşunuz olan bir güven bölgesi tanımlar.
• Bu bölgenin dışına ulaşan her izin verme işlemi bir bulgu olarak kaydedilir.

Bu, günlük kayıtlarını incelemekten farklı olarak proaktif bir analizdir.

Harici erişim analizi, aşağıdakiler dahil olmak üzere kaynak politikası kullanan birçok hizmeti kapsar:

• S3 klasörleri, IAM rolleri (güven politikaları) ve KMS anahtarları.
• Lambda işlevleri, SQS kuyrukları, Secrets Manager gizli bilgileri ve daha fazlası.

Her biri için güven bölgenizin dışından kimlerin erişebildiğini bildirir.

Harici erişim bulgusu size kaynağı, harici sorumluyu ve izin verilen işlemleri bildirir.

Daha sonra erişimin amaçlanan bir erişim olup olmadığına karar verirsiniz; amaçlanıyorsa arşivlenmiş/beklenen olarak işaretler, hatalıysa politikayı düzeltirsiniz. Amaçlanan bulgular, yalnızca gerçek beklenmedik durumların kalması için arşivleme kurallarıyla gizlenebilir.

Access Analyzer ayrıca kullanılmayan erişimi de algılar: hiç kullanılmayan izinlere veya kimlik bilgilerine sahip IAM rolleri ve kullanıcıları.

• Kullanılmayan roller, kullanılmayan erişim anahtarları ve kullanılmayan izinlerin tümü ortaya çıkarılır.
• Bunları kaldırmak saldırı yüzeyinizi küçültür ve en az ayrıcalık ilkesini uygular.

Bir politikayı dağıtmadan önce Access Analyzer, onu yüzden fazla denetime göre doğrulayabilir.

Söz dizimi hatalarını, aşırı geniş izinleri ve güvenlik uyarılarını işaretler ve iyileştirmeler önerir. Böylece hatalar açığa çıktıktan sonra değil, yazım sırasında yakalanır.

Access Analyzer, CloudTrail geçmişinden en az ayrıcalıklı bir politika oluşturabilir.

Bir kimliğin gerçekte hangi işlemleri gerçekleştirdiğini inceler ve yalnızca bunlara izin veren, amaca özel bir politika üretir. Böylece geniş başlangıç politikası, kanıta dayalı ve sıkı bir politikaya dönüştürülür.

İşlem hatları için özel politika denetimleri, kuralları program aracılığıyla doğrulamanızı sağlar.

Yeni bir politikanın onaylanmış temel politikadan daha fazla izin vermediğini veya belirli hassas işlemlere hiçbir zaman izin vermediğini doğrulayabilirsiniz. Bu denetimler, riskli değişiklikleri birleştirilmeden önce engellemek için CI/CD süreçlerine eklenebilir.

Güven bölgesini tüm AWS Organization'ınız olarak ayarlayın ve Access Analyzer'ı yetkilendirilmiş yönetici hesabından çalıştırın.

Böylece kuruluşun tamamının dışına ulaşan her paylaşım işaretlenir; hesaplar arasındaki dahili paylaşımlar ise güvenilir kabul edilir. Bu yöntem, denetimi tüm hesaplara ölçeklendirir.

Sağlıklı bir iş akışı şöyledir: yeni bulguları düzenli olarak inceleyin, beklenenleri kurallarla arşivleyin ve kalanları ilkeleri sıkılaştırarak giderin.

Bulguları Security Hub'a entegre ederek diğer güvenlik sinyalleriyle birlikte tek bir konsolda görüntüleyin.

"Hesabımın dışında neler açığa çıkmış?" veya "Hangi izinler kullanılmıyor?" sorularının yanıtını aradığınızda Access Analyzer'ı kullanın.

Access Analyzer, ilke mantığı üzerinden kaynaklarıma kimlerin erişebileceği sorusunu yanıtlayarak CloudTrail (ne oldu) ve Config'i (mevcut durum) tamamlar.

Doğru aracı seçin.

IAM Access Analyzer'ın istenmeyen paylaşımı nasıl önlediğini öğrendiniz.

• Dış erişim bulguları, güven bölgenizin dışından erişilebilen kaynakları gösterir.
• Kullanılmayan erişim bulguları, en az ayrıcalık ilkesini uygular.
• Ayrıca ilkeleri doğrular ve oluşturur ve kuruluş genelinde çalışır.