AWS IAM Access Analyzer

Propósito e intenção do usuário: a ferramenta analisa políticas IAM e políticas baseadas em recursos da AWS para detectar privilégios excessivos, falhas de configuração e exposição entre contas. Principais usuários: engenheiros de segurança, administradores IAM, arquitetos de nuvem e equipes de conformidade. Casos de uso: revisões de políticas antes de conceder acesso, auditorias pós-criação e attestations periódicas. Exemplos de achados incluem declarações que concedem todas as ações a Principals amplos.
Lógica central & recursos: analisa documentos de políticas, constrói um mapa de permissões e avalia declarações de acordo com as melhores práticas de segurança da AWS. Funções requeridas: análise de políticas, pontuação de risco por declaração, detecção de curingas, sinalizadores de exposição entre contas, exportação de resultados. Funções opcionais: análise de impacto no nível de recurso, acompanhamento de alterações, análise em lote entre várias contas.
Entradas e saídas: entradas: policy_document (string JSON), account_id (string com 12 dígitos), região (opcional), analyze_resource_types (opcional lista de tipos de recursos como s3, ec2, kms). Saídas: achados (lista estruturada), risk_score (0–100) e um resumo. Os achados incluem: id, severidade, principals, actions, resources, conditions.
Algoritmos e cálculos: a ferramenta analisa lexicamente políticas JSON, sinaliza principals com curingas e ações, e calcula o risk_score com pesos (curingas 40%, ações amplas 25%, permissões no nível de recurso 15%, alterações ao longo do tempo 20%). Baseia-se em boas práticas IAM da AWS e emite sinais de urgência quando o risco é alto ou crítico.
Erros e casos limite: sintaxe de política inválida ou falta de account_id geram erros; tipos de recursos não suportados resultam em resultados parciais; políticas muito grandes são segmentadas; falta de dados externos reduz precisão; principals entre contas podem exigir validação adicional.
Indústria/região & localização: segue a linguagem de políticas IAM da AWS; regiões globais da AWS são suportadas; sem dados de moeda ou localização; nomes de ações são localizados, se necessário, conforme termos padrão da AWS.
Suposições & Exclusões: assume acesso aos documentos de políticas da conta; exclui permissões de tempo de execução, configurações SSO ou recursos on-prem; não há mensagens de UI.