AWS IAM Access Analyzer

Propósito e intención del usuario: la herramienta analiza políticas IAM y políticas basadas en recursos de AWS para detectar privilegios excesivos, errores de configuración y exposición entre cuentas. Los usuarios principales incluyen ingenieros de seguridad, administradores IAM, arquitectos en la nube y personal de cumplimiento. Casos de uso: revisiones de políticas antes de otorgar acceso, auditorías posteriores a la creación y attestaciones periódicas. Hallazgos típicos incluyen declaraciones que conceden todas las acciones a Principals amplios.
Lógica central y características: analiza documentos de políticas, construye un mapa de permisos y evalúa declaraciones según las buenas prácticas de seguridad de AWS. Funciones requeridas: análisis de políticas, puntuación de riesgos por enunciado, detección de comodines, indicadores de exposición entre cuentas y exportación de hallazgos. Funciones opcionales: análisis de impacto a nivel de recurso, seguimiento de cambios, análisis por lotes entre varias cuentas.
Entradas y salidas: entradas: policy_document (cadena JSON), account_id (cadena de 12 dígitos), región (opcional, código AWS), analyze_resource_types (opcional lista de tipos de recursos como s3, ec2, kms). Salidas: hallazgos (lista estructurada), risk_score (0–100) y un resumen. Los hallazgos incluyen: id, severidad, principals, actions, resources, conditions.
Algoritmos y cálculos: la herramienta analiza lexicográficamente políticas JSON, marca principals y actions con comodines y calcula risk_score con ponderaciones (comodines 40%, acciones amplias 25%, permisos a nivel de recurso 15%, cambios a lo largo del tiempo 20%). Se basa en prácticas recomendadas de IAM de AWS y emite señales urgentes cuando hay alto o crítico riesgo.
Errores y casos límite: sintaxis de política inválida o falta de account_id generan errores; tipos de recursos no soportados resultan en resultados parciales; políticas muy grandes se dividen en segmentos; la falta de datos externos reduce la precisión; los principals entre cuentas pueden requerir validación adicional.
Industria/región y localización: sigue el lenguaje de políticas IAM de AWS; se soportan regiones globales de AWS; no hay datos de moneda o locales; los nombres de acción se localizan si es necesario según términos estándar de AWS.
Supuestos y exclusiones: se asume acceso a los documentos de políticas de la cuenta; excluye permisos de tiempo de ejecución, configuraciones SSO o recursos en premises; no se generan mensajes de UI.