IAM Access Analyzer Specialized2019年〜
Un servicio que detecta recursos accesibles externamente y permisos de acceso no utilizados
Qué hace
IAM Access Analyzer analiza automáticamente si los recursos de AWS, como buckets de S3 y roles de IAM, son accesibles desde cuentas externas o desde Internet. También detecta permisos de IAM que no se han utilizado durante un período determinado y ayuda a crear políticas alineadas con el principio de mínimo privilegio, reduciendo los riesgos de seguridad mediante la detección temprana de accesos no intencionados.
Casos de uso
Se utiliza para verificaciones periódicas que aseguran que los buckets de S3 y las claves de KMS no estén expuestos involuntariamente, para eliminar permisos innecesarios mediante auditorías de políticas de IAM, y para la validación previa de políticas antes del despliegue. También se usa para la visualización de permisos de acceso en preparación para auditorías de cumplimiento.
Analogía cotidiana
Imagínalo como un auditor de seguridad corporativo que revisa periódicamente las cerraduras (permisos de acceso) de cada habitación (recurso), informando si personas externas pueden entrar o si hay llaves sin usar abandonadas. Cuando se detectan problemas, se emiten alertas inmediatas con sugerencias de configuración adecuada.
Qué es IAM Access Analyzer
IAM Access Analyzer es un servicio que analiza automáticamente los permisos de acceso a los recursos de AWS y detecta problemas de seguridad. En AWS, los permisos de acceso se configuran en diversos lugares, como las políticas de buckets de S3 y las políticas de confianza de roles de IAM. A medida que las configuraciones se vuelven complejas, los recursos pueden quedar accesibles externamente de forma involuntaria. Access Analyzer descubre automáticamente estos problemas y solicita su corrección.
Detección de acceso externo
Access Analyzer analiza las políticas de recursos de buckets de S3, roles de IAM, claves de KMS, funciones Lambda, colas de SQS y más, para detectar configuraciones que permitan el acceso desde fuera de tu cuenta de AWS. Los resultados se muestran como "findings" (hallazgos), donde puedes verificar si cada uno es intencional. El uso compartido intencional puede archivarse, mientras que el acceso no intencionado debe remediarse modificando la política.
Análisis de acceso no utilizado
Access Analyzer analiza los permisos que realmente utilizan los usuarios y roles de IAM, detectando aquellos que no se han usado durante un período determinado. Por ejemplo, si los permisos de escritura en S3 no se han utilizado durante 90 días, lo reporta. Eliminar permisos innecesarios basándose en esto permite lograr el mínimo privilegio y minimizar el radio de impacto en caso de compromiso de credenciales. Para aprender sobre análisis de acceso desde lo básico hasta temas avanzados, libros relacionados (Amazon) ofrecen una cobertura sistemática.
Cómo empezar
Crea un analizador desde el menú "Access Analyzer" en la consola de IAM. Selecciona tu cuenta de AWS u organización como zona de confianza, y el análisis comenzará automáticamente. Los resultados aparecen en minutos para su revisión. Integrando con EventBridge puedes habilitar notificaciones automáticas para nuevos hallazgos.
Aspectos a tener en cuenta
- Creating an analyzer is free, but unused access analysis is charged based on the number of IAM roles and users analyzed
- Findings may include intentional sharing - not all indicate problems. Review each and decide whether to archive or remediate
- With Organizations integration, set the entire organization as trust zone to detect only unintended external access
