c1.7 Limpia accesos no intencionados y sin uso
Usa IAM Access Analyzer para encontrar recursos compartidos fuera de tu organización, y roles, claves y permisos sin uso, y luego remédialos para reducir el blast radius de cualquier compromiso.
Guía de implementación
Encuentra el acceso externo (gratis)
IAM Access Analyzer revisa continuamente las políticas de recursos y reporta lo que está compartido fuera de tu cuenta u organización — un bucket S3 público, un rol que confía en una cuenta externa, etc. El analizador de acceso externo se ofrece sin cargo adicional; habilítalo para toda la organización e investiga cada hallazgo.
Encuentra el acceso sin uso e interno
Access Analyzer también ofrece el análisis de acceso sin uso (función de pago) que marca roles IAM sin uso, access keys sin uso, contraseñas sin uso y, para principales activos, servicios y acciones sin uso — la materia prima para avanzar hacia el menor privilegio. Un analizador de acceso interno muestra quién dentro de tu organización puede alcanzar recursos críticos. Las tres vistas (externo, sin uso, interno) se consolidan en un solo panel de hallazgos.
Actúa sobre los hallazgos
La detección solo ayuda si remedias: elimina roles, claves y permisos sin uso para reducir el blast radius, y ajusta o elimina el compartir externo no intencionado. Asigna un responsable para trabajar los hallazgos de forma continua, no una sola vez.
Alternativas
Las herramientas de Cloud Infrastructure Entitlement Management (CIEM) — a menudo parte de un CNAPP — ofrecen una limpieza de permisos similar entre nubes (por ejemplo Wiz, Palo Alto Prisma Cloud y Tenable).
Actívalo con la CLI
Crea un analizador de acceso externo para toda la organización (gratis) y luego lista sus hallazgos activos:
aws accessanalyzer create-analyzer \
--analyzer-name org-external-access \
--type ORGANIZATION
aws accessanalyzer list-findings \
--analyzer-arn <analyzer-arn> \
--filter '{"status":{"eq":["ACTIVE"]}}'Cómo validar
- ¿Has habilitado un analizador de acceso externo para toda la organización?
- ¿Usas el analizador de acceso sin uso para encontrar roles, claves y permisos sin uso?
- ¿Alguien investiga y remedia los hallazgos de forma continua?
- ¿Usas además un CIEM/CNAPP, y cuáles de sus capacidades están realmente en uso?
Amenazas que atiende
- ATT&CK Credential Access los roles y claves sin uso son credenciales extra que un atacante puede robar; eliminarlos reduce el blast radius.
- ATT&CK Persistence: Create Account un atacante que entra puede crear credenciales durables para persistir; los hallazgos de acceso sin uso ayudan a exponerlas.
Servicios AWS
IAM Access Analyzer AWS IAM Precios
El analizador de acceso externo es gratis. El analizador de acceso interno se factura por recurso monitoreado por Región y por mes, y el de acceso sin uso por rol o usuario IAM por mes. Consulta los precios de IAM Access Analyzer.