AWS IAM Access Analyzer

Doel en gebruikersintentie: de tool analyseert AWS IAM-beleidsregels en op resources gebaseerde beleidsregels om overmachtigingen, misconfiguraties en cross-account blootstelling te detecteren. Belangrijke gebruikers zijn beveiligingsingenieurs, IAM-beheerders, cloud-architecten en compliance-medewerkers. Gebruikssituaties zijn beleidsbeoordelingen voorafgaand aan toegangsverlening, post-creëringsaudits en periodieke attestaties. Voorbeelden van bevindingen zijn statements die alle acties aan brede principals toekennen.
Kernlogica & functies: parseert beleidsdocumenten, bouwt een machtigingskaart en evalueert statements volgens AWS-beveiligingspraktijken. Vereiste functies: beleidsparsering, risicogebaseerde scoring per statement, wildcard-detectie, cross-account exposure-vlaggen, exporteerbare bevindingen. Optionele functies: procesanalyse op resource-niveau, wijzigingsregistratie, batch-analyse over meerdere accounts.
Inputs & outputs: invoer: policy_document (string, JSON), account_id (string van 12 cijfers), regio (optioneel, AWS-regio), analyze_resource_types (optioneel lijst van resource-types zoals s3, ec2, kms). Uitvoer: bevindingen (gestructureerde lijst), risk_score (0–100) en een samenvatting. Bevindingen bevatten: id, severity, principals, actions, resources, conditions.
Algoritmen & berekeningen: de tool parseert JSON-beleidsregels lexicaal, markeert wildcard-principals en actions en berekent de risk_score met gewichten (wildcards 40%, brede acties 25%, resource-niveau 15%, veranderingen in de tijd 20%). Gebaseerd op AWS IAM-best practices en markeert urgentie bij hoog/kritisch risico.
Fouten & randgevallen: Onjuiste beleidsyntax of ontbrekende account_id geeft fouten; niet-ondersteunde resource-types leveren gedeeltelijke resultaten op; zeer grote beleidsregels worden in stukken verwerkt; gebrek aan externe data vermindert nauwkeurigheid; cross-account principals vereisen mogelijk extra validatie.
Industrie/Regio & Lokalisatie: Volgt AWS IAM-beleiddijstal; wereldwijde AWS-regio's ondersteund; geen valuta- of locale-gegevens; actie-namen worden indien nodig gelokaliseerd volgens standaard AWS-termen.
Aannames & Exclusies: gaat ervan uit dat toegang tot het accountbeleid bestaat; sluit runtime-permissies, SSO-configuraties of on-prem resources uit; geen UI-berichten.