VPC Network Access Analyzer
Herramienta de análisis de seguridad que analiza automáticamente las rutas de acceso de red en toda la VPC y detecta exposiciones no intencionadas a Internet o permisos de acceso excesivos
Descripción general
VPC Network Access Analyzer es un servicio que analiza las rutas de acceso de red dentro de una VPC y detecta automáticamente las rutas de acceso que violan las políticas de seguridad. Mientras que Reachability Analyzer verifica la conectividad entre dos puntos específicos, Network Access Analyzer analiza toda la VPC para determinar qué recursos son accesibles desde dónde. Se definen alcances de acceso de red y se configuran condiciones de detección para patrones de acceso no permitidos (por ejemplo, acceso directo desde Internet a bases de datos). Los resultados muestran las rutas de acceso concretas y los componentes de red que las permiten, siendo útiles para auditorías de seguridad y verificaciones de cumplimiento.
Diseño de alcances de acceso de red
El análisis de Network Access Analyzer comienza con la definición de un alcance de acceso de red (Network Access Scope). El alcance se compone de condiciones de coincidencia (Match Paths) y condiciones de exclusión (Exclude Paths), describiendo de forma declarativa los patrones de acceso que se desean detectar. En las condiciones de coincidencia se especifican elementos como los tipos de recursos de origen (Source) y destino (Destination), bloques CIDR y listas de prefijos. Por ejemplo, al especificar el origen como Internet Gateway y el destino como ENIs dentro de una subred específica, se identifican como hallazgos las rutas potenciales desde Internet hacia esa subred. Las condiciones de exclusión eliminan rutas de acceso permitidas intencionalmente (por ejemplo, acceso a Internet a través de ALB), reduciendo los falsos positivos. También se pueden utilizar alcances preconfigurados proporcionados por AWS, como acceso entrante desde Internet, acceso saliente hacia Internet y acceso de entrada y salida de las VPCs. Los alcances personalizados se definen en formato JSON, lo que permite incluirlos en control de versiones y revisiones de código.
Análisis de resultados y acciones de remediación
Al ejecutar el análisis, las rutas de acceso que coinciden con el alcance se muestran como hallazgos (Findings). Cada hallazgo muestra en detalle el recurso de origen, el recurso de destino y los componentes de red en la ruta (grupos de seguridad, ACLs de red, tablas de rutas, NAT Gateway, etc.). Por ejemplo, se visualizan todos los saltos que permiten el acceso: Internet Gateway → Tabla de rutas A → Subred B → Grupo de seguridad C → Instancia EC2 D. Las acciones de remediación incluyen eliminar reglas de entrada en grupos de seguridad, agregar reglas de denegación en ACLs de red o eliminar rutas de tablas de enrutamiento. Cuando hay un gran volumen de hallazgos, se priorizan los de mayor importancia (acceso directo a bases de datos, exposición de puertos de administración). Otra práctica es integrar los hallazgos en flujos de trabajo de revisión del equipo de seguridad. Ejecutar el análisis periódicamente y monitorear si aparecen nuevos hallazgos ayuda a detectar la degradación de seguridad por deriva de configuración.
Aplicación en auditorías de seguridad y cumplimiento
Según la guía del usuario, Network Access Analyzer ayuda a demostrar que la red en AWS satisface los requisitos de cumplimiento normativo. PCI DSS requiere restringir estrictamente el acceso al entorno de datos de titulares de tarjetas (CDE), y verificar periódicamente las rutas de acceso a las subredes CDE con Network Access Analyzer sirve para verificar ese requisito. En auditorías SOC 2, es uno de los materiales para revisar la segmentación de red. La guía del usuario indica que el análisis cubre solo las rutas de red dentro de la cuenta y la región desde las que se ejecuta, y que no se informan las rutas con recursos de otras cuentas o regiones (a octubre de 2026). La ejecución de análisis vía API permite automatizar la generación de informes de seguridad mensuales y rastrear el aumento o disminución de hallazgos respecto al mes anterior. En cuanto a costos, se cobra por el número de ENIs procesados por ejecución de análisis. Reachability Analyzer comprueba la conectividad entre un origen y un destino específicos, mientras que Network Access Analyzer identifica rutas de acceso no deseadas según un alcance.
Referencias (recursos oficiales de AWS)
Las fuentes primarias de esta página son el sitio web y la documentación oficiales de AWS. Consulta las páginas oficiales siguientes para conocer las especificaciones y los precios más recientes.
- Amazon VPC (página oficial)
- AWS Security Hub (página oficial)
- AWS Config (página oficial)
- Documentación de AWS (oficial)
Si esta página y la documentación oficial difieren, prevalece la documentación oficial.