El analizador de accesos

Un analizador de acceso externo se crea con una zona de confianza: la cuenta o la organización completa. Todo acceso a un recurso desde dentro de esa zona se considera de confianza y no genera hallazgo; el acceso desde fuera (otra cuenta, un principal público, un usuario anónimo) sí lo genera. Según la documentación de AWS, el analizador razona sobre las políticas de recurso de tipos de recurso como buckets, roles, claves de cifrado, funciones, colas y secretos, y se activa por región. Un hallazgo no dice que haya un problema: dice que hay un acceso externo, y la persona decide si es esperado.

Un hallazgo es una pregunta al dueño del recurso: ¿esto lo quisiste así?

Abre hallazgos-externos.json. Cada hallazgo indica el recurso, el principal externo y un campo que dice si el acceso es público. Un recurso público puede leerlo cualquier persona sin autenticarse. Entre los tres hallazgos de la lista, uno es de esa clase.

Los hallazgos no públicos son igual de importantes: una cuenta concreta, que no es de la organización, tiene una acción permitida sobre un recurso. Si la cuenta no figura entre las que la empresa reconoce (en esta revisión, las de la organización o un proveedor con contrato), hay que preguntar por qué. Fíjate en el tipo de recurso: sobre una clave de cifrado, el permiso de descifrar equivale a leer lo que esa clave protege.

El analizador de acceso sin uso mira la actividad de cada rol y de cada usuario durante un periodo de seguimiento y marca lo que no se ha usado: roles enteros, llaves de acceso o permisos concretos. Es la mejor base para recortar, porque no se discute lo que nadie utiliza. Abre hallazgos-sin-uso.json y mira los días sin uso de cada hallazgo.

El analizador también puede generar una política a partir de la actividad registrada en el registro de auditoría durante un periodo: nombra las acciones y servicios que esa identidad usó. Es un buen primer borrador de una política mínima, con un límite: solo contiene lo que ocurrió durante el periodo elegido. Una tarea que se ejecuta una vez al año, o un cambio que aún no llegó, no aparecerá, y quitarle ese permiso a una carga lo rompería.