SEC03-BP07 Analisar o acesso público e entre contas
Monitore continuamente as descobertas que destacam o acesso público e entre contas. Limite o acesso público e o acesso entre contas somente aos recursos específicos que exigem esse tipo de acesso.
Resultado desejado: saiba quais de seus recursos da AWS são compartilhados e com quem. Monitore e audite continuamente seus recursos compartilhados para verificar se eles são compartilhados apenas com entidades principais autorizadas.
Práticas comuns que devem ser evitadas:
-
Não manter um inventário dos recursos compartilhados.
-
Não seguir um processo de aprovação do acesso público ou entre contas aos recursos.
Nível de risco exposto se esta prática recomendada não for estabelecida: Baixo
Orientação para implementação
Se a sua conta estiver no AWS Organizations, você poderá conceder acesso aos recursos à toda a organização, a unidades organizacionais específicas ou a contas individuais. Se sua conta não for membro de uma organização, você poderá compartilhar recursos com contas individuais. Você pode conceder acesso direto entre contas usando políticas baseadas em recursos — por exemplo, políticas de bucket do Amazon Simple Storage Service (Amazon S3) — ou permitindo que um principal em outra conta assuma uma função do IAM em sua conta. Ao utilizar políticas de recursos, verifique se o acesso é concedido apenas a entidades principais autorizadas. Defina um processo para aprovar todos os recursos que devem ser acessíveis publicamente.
O AWS Identity and Access Management Access AnalyzerPrincipalOrgId para negar uma tentativa de assumir uma função fora da sua AWS Organizations
O AWS Config pode relatar recursos que estão configurados incorretamente e, por meio de verificações de políticas do AWS Config, pode detectar recursos com acesso público configurado. Serviços como o AWS Control Tower
Etapas de implementação
-
Considere usar o AWS Config para AWS Organizations: o AWS Config permite agregar descobertas de várias contas em um AWS Organizations na conta de um administrador delegado. Isso fornece uma visão abrangente e permite que você implante Regras do AWS Config em várias contas para detectar recursos acessíveis ao público.
-
Configure o AWS Identity and Access Management Access Analyzer: O IAM Access Analyzer ajuda você a identificar os recursos em sua organização e suas contas, como buckets do Amazon S3 ou perfis do IAM, que são compartilhados com uma entidade externa.
-
Use a remediação automática no AWS Config para responder a mudanças na configuração de acesso público dos buckets do Amazon S3: você pode ativar automaticamente as configurações de bloqueio de acesso público para buckets do Amazon S3
. -
Implemente monitoramento e alertas para identificar se os buckets do Amazon S3 se tornaram públicos: você deve ter monitoramento e alertas
em vigor para identificar quando o Bloqueio de Acesso Público do Amazon S3 está desativado e se os buckets do Amazon S3 se tornam públicos. Além disso, se você estiver usando o AWS Organizations, poderá criar uma política de controle de serviços que impeça alterações nas políticas de acesso público do Amazon S3. O AWS Trusted Advisor procura buckets do Amazon S3 que têm permissões de acesso livre. As permissões de bucket que concedem acesso de upload ou exclusão a todos criam possíveis problemas de segurança, pois permitem que qualquer pessoa adicione, modifique ou remova itens em um bucket. A verificação do Trusted Advisor examina as permissões de bucket explícitas e as políticas de bucket associadas que podem substituir as permissões de bucket. Você também pode utilizar o AWS Config para monitorar seus buckets do Amazon S3 para acesso público. Para obter mais informações, consulte Como usar o AWS Config para monitorar e responder a buckets do Amazon S3 que permitem acesso público .
Ao analisar os controles de acesso dos buckets do Amazon S3, é importante considerar a natureza dos dados armazenados neles. O Amazon Macie é um serviço desenvolvido para ajudar você a descobrir e proteger dados confidenciais, como informações de identificação pessoal (PII), informações de saúde protegidas (PHI) e credenciais, como chaves privadas ou chaves de acesso da AWS.
Recursos
Documentos relacionados:
Vídeos relacionados:
