SEC03-BP07 Analisar o acesso público e entre contas
Monitore continuamente as descobertas que destacam o acesso público e entre contas. Limite o acesso público e o acesso entre contas somente aos recursos específicos que exigem esse tipo de acesso.
Resultado desejado: saiba quais de seus recursos da AWS são compartilhados e com quem. Monitore e audite continuamente seus recursos compartilhados para verificar se eles são compartilhados apenas com entidades principais autorizadas.
Práticas comuns que devem ser evitadas:
-
Não manter um inventário dos recursos compartilhados.
-
Não seguir um processo de aprovação do acesso público ou entre contas aos recursos.
Nível de risco exposto se esta prática recomendada não for estabelecida: Baixo
Orientação para implementação
Se a sua conta estiver no AWS Organizations, você poderá conceder acesso aos recursos à toda a organização, a unidades organizacionais específicas ou a contas individuais. Se sua conta não for membro de uma organização, você poderá compartilhar recursos com contas individuais. Você pode conceder acesso direto entre contas usando políticas baseadas em recursos — por exemplo, políticas de bucket do Amazon Simple Storage Service (Amazon S3) — ou permitindo que um principal em outra conta assuma uma função do IAM em sua conta. Ao utilizar políticas de recursos, verifique se o acesso é concedido apenas a entidades principais autorizadas. Defina um processo para aprovar todos os recursos que devem ser acessíveis publicamente.
O AWS Identity and Access Management Access AnalyzerPrincipalOrgId para negar uma tentativa de assumir uma função fora da sua AWS Organizations
O AWS Config pode relatar recursos que estão configurados incorretamente e, por meio de verificações de políticas do AWS Config, pode detectar recursos com acesso público configurado. Serviços como AWS Control Tower
Etapas de implementação
-
Considere usar o AWS Config para AWS Organizations: o AWS Config permite agregar descobertas de várias contas em um AWS Organizations na conta de um administrador delegado. Isso fornece uma visão abrangente e permite que você implante Regras do AWS Config em várias contas para detectar recursos acessíveis ao público.
-
Configure o AWS Identity and Access Management Access Analyzer: O IAM Access Analyzer ajuda você a identificar os recursos em sua organização e suas contas, como buckets do Amazon S3 ou perfis do IAM, que são compartilhados com uma entidade externa.
-
Use a remediação automática no AWS Config para responder a mudanças na configuração de acesso público dos buckets do Amazon S3: você pode ativar automaticamente as configurações de bloqueio de acesso público para buckets do Amazon S3
. -
Implemente monitoramento e alertas para identificar se os buckets do Amazon S3 se tornaram públicos: você deve ter monitoramento e alertas
em vigor para identificar quando o Bloqueio de Acesso Público do Amazon S3 está desativado e se os buckets do Amazon S3 se tornam públicos. Além disso, se você estiver usando o AWS Organizations, poderá criar uma política de controle de serviços que impeça alterações nas políticas de acesso público do Amazon S3. O AWS Trusted Advisor procura buckets do Amazon S3 que têm permissões de acesso livre. As permissões de bucket que concedem acesso de upload ou exclusão a todos criam possíveis problemas de segurança, pois permitem que qualquer pessoa adicione, modifique ou remova itens em um bucket. A verificação do Trusted Advisor examina as permissões de bucket explícitas e as políticas de bucket associadas que podem substituir as permissões de bucket. Você também pode utilizar o AWS Config para monitorar seus buckets do Amazon S3 para acesso público. Para obter mais informações, consulte Como usar o AWS Config para monitorar e responder a buckets do Amazon S3 que permitem acesso público .
Ao analisar os controles de acesso dos buckets do Amazon S3, é importante considerar a natureza dos dados armazenados neles. O Amazon Macie é um serviço desenvolvido para ajudar você a descobrir e proteger dados confidenciais, como informações de identificação pessoal (PII), informações de saúde protegidas (PHI) e credenciais, como chaves privadas ou chaves de acesso da AWS.
Recursos
Documentos relacionados:
Vídeos relacionados:
