AWS IAM Access Analyzer

מטרת המערכת: הכלי מנתח מדיניות IAM ומדיניות מבוססת משאבים של AWS כדי לזהות הרשאות יתר, תצורה שגויה והחשיפה בין-חשבונית. משתמשים עיקריים כוללים מהנדסי אבטחה, מנהלי IAM, אדריכלי ענן וצוותי ציות. מקרי שימוש: סקירת מדיניות לפני הענקת גישה, ביקורות לאחר יצירה וא attestations תדירים. דוגמאות ממצאים כוללות הצהרות שמעניקות כל הפעולות ל־Principals רחבים.
ליבה ו תכונות: קורא מסמכי מדיניות, בונה מפת הרשאות ומשקף הצהרות לפי נוהלי אבטחה של AWS. דרוש: פירוק מדיניות, ניקוד סיכון לפי הצהרה, זיהוי ווילדר, איתור חשיפה בין-חשבונית, ייצוא תוצאות. תכונות נוספות: ניתוח השפעה ברמת המשאב, מעקב שינויים, ניתוח במקורות מרובים.
קלטים ופלטים: קלטים: policy_document (מחרוזת JSON), account_id (מחרוזת בן 12 ספרות), region (אופציונלי), analyze_resource_types (רשימה אופציונלית של סוגי משאבים כמו s3, ec2, kms). פלט: findings (רשימה מובנית), risk_score (0–100) וסיכום. תוצאות לכל findings כוללות: id, severity, principals, actions, resources, conditions.
אלגוריתמים וחישובים: הכלי מפרש policy‑JSON באופן לקסיקלי, מסמן principals ו‑actions עם wildcard ומחשב risk_score באמצעות משקלים (wildcards 40%, פעולות רחבות 25%, פרט-משאב 15%, שינויים לאורך זמן 20%). על בסיס הנחיות IAM של AWS ויוצא תמרורי דחיפות כאשר הסיכון גבוה או קריטי.
שגיאות ומקרי קצה: שגיאת סינטקס במדיניות או חסר account_id יגרמו לשגיאה; סוגי משאבים שאינם נתמכים מובילים לתוצאות חלקיות; מדיניות גדולה מאוד מחולקת לחתיכות; חוסר נתונים חיצוניים מחלישה את הדיוק; principals בין־חשבוניים עשויים להזדקק לאימות נוסף.
תעשייה/אזור ולוקליזציה: מיישם את שפת המדיניות של AWS IAM; תמיכה בכל האזורים הגלובליים של AWS; אין נתוני מטבע או אזור; שמות הפעולות יכולים להיות מותאמים לפי נוהגים תקניים של AWS.
הנחות והחרגות: מניח גישה למסמכי המדיניות של החשבון; החרגת הרשאות זמן ריצה, הגדרות SSO או משאבים מקומי; לא נוצרים הודעות UI.