IAM Access Analyzer Especializadodesde 2019
Un servicio que detecta recursos accesibles externamente y permisos de acceso no utilizados
Qué hace
IAM Access Analyzer analiza automáticamente si los recursos de AWS, como buckets de S3 y roles de IAM, son accesibles desde cuentas externas o desde Internet. También detecta permisos de IAM que no se han utilizado durante un período determinado y ayuda a crear políticas alineadas con el principio de mínimo privilegio, reduciendo los riesgos de seguridad mediante la detección temprana de accesos no intencionados.
Casos de uso
Se utiliza para verificaciones periódicas que aseguran que los buckets de S3 y las claves de KMS no estén expuestos involuntariamente, para eliminar permisos innecesarios mediante auditorías de políticas de IAM, y para la validación previa de políticas antes del despliegue. También se usa para la visualización de permisos de acceso en preparación para auditorías de cumplimiento.
Analogía cotidiana
Imagínalo como un auditor de seguridad corporativo que revisa periódicamente las cerraduras (permisos de acceso) de cada habitación (recurso), informando si personas externas pueden entrar o si hay llaves sin usar abandonadas. Cuando se detectan problemas, se emiten alertas inmediatas con sugerencias de configuración adecuada.
Qué es IAM Access Analyzer
IAM Access Analyzer es un servicio que analiza automáticamente los permisos de acceso a los recursos de AWS y detecta problemas de seguridad. En AWS, los permisos de acceso se configuran en diversos lugares, como las políticas de buckets de S3 y las políticas de confianza de roles de IAM. A medida que las configuraciones se vuelven complejas, los recursos pueden quedar accesibles externamente de forma involuntaria. Access Analyzer descubre automáticamente estos problemas y solicita su corrección.
Detección de acceso externo
Access Analyzer analiza las políticas de recursos de buckets de S3, roles de IAM, claves de KMS, funciones Lambda, colas de SQS y más, para detectar configuraciones que permitan el acceso desde fuera de tu cuenta de AWS. Los resultados se muestran como "findings" (hallazgos), donde puedes verificar si cada uno es intencional. El uso compartido intencional puede archivarse, mientras que el acceso no intencionado debe remediarse modificando la política.
Análisis de acceso no utilizado
Access Analyzer analiza los permisos que realmente utilizan los usuarios y roles de IAM, detectando aquellos que no se han usado durante un período determinado. Por ejemplo, si los permisos de escritura en S3 no se han utilizado durante 90 días, lo reporta. Eliminar permisos innecesarios basándose en esto permite lograr el mínimo privilegio y minimizar el radio de impacto en caso de compromiso de credenciales. Para aprender sobre análisis de acceso desde lo básico hasta temas avanzados, libros relacionados (Amazon) ofrecen una cobertura sistemática.
Cómo empezar
Crea un analizador desde el menú "Access Analyzer" en la consola de IAM. Selecciona tu cuenta de AWS u organización como zona de confianza, y el análisis comenzará automáticamente. Los resultados aparecen en minutos para su revisión. Integrando con EventBridge puedes habilitar notificaciones automáticas para nuevos hallazgos.
Aspectos a tener en cuenta
- La creación de analizadores es gratuita, pero el análisis de acceso no utilizado se cobra según el número de roles y usuarios de IAM analizados
- Los hallazgos pueden incluir usos compartidos intencionales, por lo que no todos indican un problema. Revise cada hallazgo y decida si archivarlo o corregirlo
- Con la integración con Organizations se puede establecer toda la organización como zona de confianza y detectar únicamente los accesos no deseados desde fuera de la organización
