AWS IAM Access Analyzer

Zweck & Benutzerabsicht: Das Tool analysiert IAM-Richtlinien und ressourcenbasierte Richtlinien von AWS, um Überprivilegien, Fehlkonfigurationen und kontenübergreifende Exposition zu erkennen. Hauptnutzer sind Sicherheitsingenieure, IAM-Administratoren, Cloud-Architekten und Compliance-Mitarbeiter. Anwendungsfälle umfassen Richtlinienprüfungen vor der Vergabe von Zugriff, Nachaudits nach der Erstellung sowie wiederkehrende Attestationen. Beispielhafte Funde umfassen Aussagen, die allen Aktionen breiten Principals gewähren.
Kernlogik & Funktionen: Es parst Richtlinien-Dokumente, erstellt eine Berechtigungslandkarte und bewertet Aussagen gemäß AWS-Sicherheitsbest Practices. Erforderliche Funktionen: Richtlinien-Parsing, risikobasierte Bewertung pro Statement, Wildcard-Erkennung, Cross-Account-Exposure-Flags, exportierbare Findings. Optional: Ressourcen-Einflussanalyse, Änderungsverfolgung, Batch-Analyse über mehrere Konten.
Inputs & Outputs: Eingaben: policy_document (String, JSON), account_id (String 12 Ziffern), region (optional, AWS-Region), analyze_resource_types (optional Liste von Ressourcentypen wie s3, ec2, kms). Ausgaben: Findings (strukturierte Liste), risk_score (0–100) und eine Zusammenfassung. Findings-Einträge enthalten: id, severity, principals, actions, resources, conditions.
Algorithmen & Berechnungen: Das Tool parst Policy-JSON lexikalisch, markiert Wildcard- Principals und Aktionen und berechnet risk_score mit Gewichtungen (Wildcards 40%, breite Aktionen 25%, ressourcenbasierte Berechtigungen 15%, Änderungen über die Zeit 20%). Es basiert auf AWS IAM Best Practices und setzt dringende Markierungen, wenn Risiko hoch oder kritisch ist.
Fehler & Grenzfälle: Ungültige Policy-Syntax oder fehlende account_id führen zu Fehlern; nicht unterstützte Ressourcentypen liefern partielle Ergebnisse; sehr große Policys werden in Chunks verarbeitet; externe Datenmängel vermindern Leistung; Cross-Account- Principals erfordern zusätzliche Validierung.
Branche/Region & Lokalisierung: Entspricht AWS IAM Policy-Sprache; globale AWS-Regionen werden unterstützt; keine Währungs- oder lokalisierte Daten; Aktionsnamen werden bei Bedarf mit Standard-Begriffen lokalisiert.
Annahmen & Ausschlüsse: Geht davon aus, dass Zugriff auf Kontopolitien vorhanden ist; schließt Laufzeitberechtigungen, SSO-Konfigurationen oder On-Prem-Ressourcen aus; keine UI-Meldungen.