c1.7 Limpe acessos não intencionais e sem uso
Use o IAM Access Analyzer para encontrar recursos compartilhados fora da sua organização e funções, chaves e permissões sem uso, e então remedie-os para reduzir o blast radius de qualquer comprometimento.
Guia de implementação
Encontre o acesso externo (grátis)
O IAM Access Analyzer revisa continuamente as políticas de recursos e reporta o que está compartilhado fora da sua conta ou organização — um bucket S3 público, uma função que confia em uma conta externa, etc. O analisador de acesso externo é oferecido sem custo adicional; habilite-o para toda a organização e investigue cada descoberta.
Encontre o acesso sem uso e interno
O Access Analyzer também oferece a análise de acesso sem uso (recurso pago) que sinaliza funções IAM sem uso, access keys sem uso, senhas sem uso e, para principais ativos, serviços e ações sem uso — a matéria-prima para avançar rumo ao menor privilégio. Um analisador de acesso interno mostra quem dentro da sua organização pode alcançar recursos críticos. As três visões (externo, sem uso, interno) se consolidam em um único painel de descobertas.
Aja sobre as descobertas
A detecção só ajuda se você remediar: remova funções, chaves e permissões sem uso para reduzir o blast radius, e ajuste ou remova o compartilhamento externo não intencional. Atribua um responsável para trabalhar as descobertas continuamente, não uma única vez.
Alternativas
Ferramentas de Cloud Infrastructure Entitlement Management (CIEM) — muitas vezes parte de um CNAPP — oferecem uma limpeza de permissões semelhante entre nuvens (por exemplo Wiz, Palo Alto Prisma Cloud e Tenable).
Ative pela CLI
Crie um analisador de acesso externo para toda a organização (grátis) e depois liste seus achados ativos:
aws accessanalyzer create-analyzer \
--analyzer-name org-external-access \
--type ORGANIZATION
aws accessanalyzer list-findings \
--analyzer-arn <analyzer-arn> \
--filter '{"status":{"eq":["ACTIVE"]}}'Como validar
- Você habilitou um analisador de acesso externo para toda a organização?
- Você usa o analisador de acesso sem uso para encontrar funções, chaves e permissões sem uso?
- Alguém investiga e remedia as descobertas continuamente?
- Você também usa um CIEM/CNAPP, e quais de suas capacidades estão realmente em uso?
Ameaças atendidas
- ATT&CK Credential Access funções e chaves sem uso são credenciais extras que um atacante pode roubar; removê-las reduz o blast radius.
- ATT&CK Persistence: Create Account um atacante que entra pode criar credenciais duráveis para persistir; as descobertas de acesso sem uso ajudam a expô-las.
Serviços AWS
IAM Access Analyzer AWS IAM Preços
O analisador de acesso externo é gratuito. O analisador de acesso interno é cobrado por recurso monitorado por Região por mês, e o de acesso sem uso por função ou usuário IAM por mês. Consulte os preços do IAM Access Analyzer.