c1.7 意図しないアクセスと未使用アクセスを整理する
IAM Access Analyzer を使って、組織外に共有されているリソースや、未使用のロール・キー・権限を見つけ、修復して、侵害時の影響範囲(ブラストラジウス)を縮小します。
実装ガイダンス
外部アクセスを見つける(無料)
IAM Access Analyzer はリソースポリシーを継続的にレビューし、アカウントや組織の外部に共有されているもの(公開 S3 バケット、外部アカウントを信頼するロールなど)を報告します。外部アクセスアナライザーは追加料金なしで提供されます。組織全体で有効化し、すべての検出結果を調査してください。
未使用アクセスと内部アクセスを見つける
Access Analyzer は未使用アクセス分析(有料機能)も提供し、未使用の IAM ロール、未使用のアクセスキー、未使用のパスワード、そしてアクティブなプリンシパルについては未使用のサービスとアクションを検出します。これは最小権限へ進むための素材です。内部アクセスアナライザーは、組織内の誰が重要なリソースに到達できるかを示します。3 つのビュー(外部、未使用、内部)は 1 つの検出結果ダッシュボードに集約されます。
検出結果に対応する
検出は修復して初めて役立ちます。未使用のロール・キー・権限を削除してブラストラジウスを縮小し、意図しない外部共有を狭めるか削除します。担当者を割り当て、一度きりではなく継続的に検出結果に取り組みます。
代替
Cloud Infrastructure Entitlement Management (CIEM) ツール(多くは CNAPP の一部)は、クラウド横断で同様の権限整理を提供します(例:Wiz、Palo Alto Prisma Cloud、Tenable)。
CLI で有効化する
組織全体の外部アクセスアナライザー(無料)を作成し、アクティブな検出結果を一覧表示します:
aws accessanalyzer create-analyzer \
--analyzer-name org-external-access \
--type ORGANIZATION
aws accessanalyzer list-findings \
--analyzer-arn <analyzer-arn> \
--filter '{"status":{"eq":["ACTIVE"]}}'How to validate
- 組織全体で外部アクセスアナライザーを有効化しましたか?
- 未使用アクセスアナライザーで、未使用のロール・キー・権限を見つけていますか?
- 検出結果を継続的に調査・修復している担当者はいますか?
- CIEM/CNAPP も使っていますか。その機能のどれが実際に使われていますか?
Threats addressed
- ATT&CK Credential Access 未使用のロールやキーは攻撃者が盗める追加の認証情報です。削除すればブラストラジウスが縮小します。
- ATT&CK Persistence: Create Account 侵入した攻撃者は永続化のために耐久性のある認証情報を作成し得ます。未使用アクセスの検出結果はそれを表面化するのに役立ちます。
AWS サービス
IAM Access Analyzer AWS IAM 料金
外部アクセスアナライザーは無料です。内部アクセスアナライザーは監視対象リソースごとにリージョン単位・月単位で課金され、未使用アクセスアナライザーは IAM ロールまたはユーザーごとに月単位で課金されます。IAM Access Analyzer の料金を参照してください。