Detección de permisos excesivos con IAM Access Analyzer - Análisis de acceso externo y permisos no utilizados
Detecta permisos no utilizados en roles IAM mediante análisis basado en CloudTrail y genera automáticamente políticas de mínimo privilegio. Cubre la detección de acceso externo y la integración de verificaciones de políticas personalizadas en pipelines CI/CD.
Descripción general de Access Analyzer
IAM Access Analyzer es un servicio que detecta problemas de permisos de acceso utilizando dos tipos de analizadores. El analizador de acceso externo examina las políticas de recursos en buckets S3, roles IAM y otros recursos para identificar configuraciones que permiten el acceso desde cuentas fuera de la organización o desde el público. El analizador de acceso no utilizado cruza los registros de actividad de CloudTrail con los permisos de los roles IAM para detectar permisos que no se están utilizando realmente. También proporciona una función que genera automáticamente políticas IAM de mínimo privilegio basadas en la actividad pasada de CloudTrail, junto con verificaciones de políticas personalizadas que pueden integrarse en pipelines CI/CD.
Permisos no utilizados y generación de políticas
El analizador de acceso no utilizado compara los permisos de roles y usuarios IAM con la actividad de CloudTrail para detectar acciones no utilizadas durante 90 días o más, claves de acceso no utilizadas y roles no utilizados. El período de 90 días es el valor predeterminado, por lo que es necesario considerar los procesos por lotes que solo se ejecutan trimestralmente para evitar falsos positivos. La generación de políticas crea automáticamente políticas IAM de mínimo privilegio que contienen solo las acciones realmente utilizadas, basándose en los últimos 90 días de actividad de CloudTrail. En lugar de aplicar las políticas generadas tal cual, se recomienda revisarlas para asegurar que incluyan acciones que puedan ser necesarias en el futuro antes de aplicarlas. Las verificaciones de políticas personalizadas pueden integrarse en pipelines CI/CD para verificar automáticamente que los cambios en las políticas IAM no otorguen acciones específicas como s3:* o iam:*. Un patrón común es colocar una función Lambda en una etapa de CodePipeline que utilice la API CheckNoNewAccess para verificar la seguridad de los cambios de políticas.
Aprovechamiento de la detección de acceso externo
El analizador de acceso externo examina políticas de buckets S3, políticas de confianza de roles IAM, políticas de claves KMS, políticas de funciones Lambda y políticas de colas SQS para detectar recursos accesibles desde cuentas externas o desde el público. Los hallazgos se clasifican como archivados (compartición intencional) o activos (requiere acción), permitiendo priorizar la corrección de exposiciones externas no intencionadas. Las verificaciones de políticas personalizadas pueden verificar automáticamente en pipelines CI/CD que los cambios de políticas no introduzcan nuevo acceso externo. La integración con Organizations permite la gestión centralizada del acceso externo en todas las cuentas, proporcionando visibilidad de la postura de seguridad de toda la organización. Para profundizar en la seguridad IAM, los libros especializados en Amazon también pueden ser útiles.
Precios de Access Analyzer
El analizador de acceso externo está disponible sin costo. El analizador de acceso no utilizado se factura según el número de roles y usuarios IAM analizados, a aproximadamente 0.20 dólares por rol/usuario al mes. Las verificaciones de políticas personalizadas cuestan aproximadamente 0.002 dólares por verificación. En entornos a gran escala con muchas entidades IAM, los costos del analizador de acceso no utilizado pueden acumularse, por lo que se recomienda una implementación gradual comenzando por las cuentas críticas. El analizador de acceso externo puede habilitarse sin costo en todas las cuentas y es esencial como línea base de seguridad.
Resumen
Access Analyzer es un servicio que aplica el principio de mínimo privilegio mediante la detección de acceso externo y permisos no utilizados. Configura eficientemente los permisos apropiados mediante la generación automática de políticas basada en CloudTrail, y automatiza todo el ciclo de vida de la gestión de permisos integrando verificaciones de seguridad en pipelines CI/CD a través de verificaciones de políticas personalizadas.