Resource Access Management:Identificar acceso con privilegios excesivos

Qué es el analizador de acceso con privilegios excesivos

El analizador de acceso con privilegios excesivos supervisa continuamente todas las identidades de RAM (usuarios y roles de RAM) en su directorio de recursos o cuenta actual, y genera hallazgos para las identidades con permisos excesivos. Los hallazgos se clasifican en cuatro categorías: usuarios o roles de superadministrador, usuarios o roles privilegiados, usuarios o roles inactivos, y usuarios o roles con privilegios excesivos. Cada hallazgo incluye los permisos otorgados a la identidad y la actividad de acceso más reciente asociada a dichos permisos.

• Usuarios o roles de superadministrador: identidades de RAM (usuarios o roles de RAM) que cuentan con permisos completos de gestión de recursos en la cuenta. Por ejemplo, un usuario o rol de RAM al que se le asignó la política AdministratorAccess.

• Usuarios o roles privilegiados: identidades de RAM (usuarios o roles de RAM) que poseen privilegios de alto riesgo. Estas identidades suelen poder escalar sus propios permisos o los de otras identidades de RAM para obtener mayores privilegios de acceso. Para consultar la lista actual de privilegios compatibles, consulte Privilege list.

• Usuarios o roles inactivos: identidades de RAM (usuarios o roles de RAM) que no registraron actividad relacionada con permisos durante el periodo especificado en Unused Access Age.

• Usuarios o roles con privilegios excesivos: identidades de RAM (usuarios o roles de RAM) que conservan permisos de servicio o de acción sin uso durante el periodo definido en Unused Access Age.

Alcance compatible del analizador de acceso con privilegios excesivos

El analizador de acceso con privilegios excesivos revisa los datos de auditoría de permisos de todas las identidades de RAM (excepto los roles vinculados a servicios) en su directorio de recursos o cuenta actual, y genera hallazgos a partir de esta información. Los tipos de políticas, los servicios de Alibaba Cloud y la granularidad de auditoría compatibles coinciden con los de la función de auditoría de permisos. Para más detalles, consulte Permission audit overview.

Consultar hallazgos

Puede consultar los hallazgos en la página Analyzers o Findings.

En la página de detalles del analizador, la sección Basic information muestra el nombre del analizador, su estado, el tipo de análisis (como Overprivileged), el alcance del análisis (como Current account), la fecha de creación, el ARN, la última hora de análisis y el periodo de acceso sin uso (por ejemplo, 90 días). Debajo de esta sección hay dos pestañas: Findings y Archive rules. En la pestaña Findings, filtre por Finding status (como Pending) para ver una tabla que enumera el ID del hallazgo, el recurso, el propietario del recurso, los servicios accedidos u otorgados, el estado del hallazgo, la hora de actualización y las acciones disponibles. Cada fila indica el tipo de hallazgo (por ejemplo, Inactive role o Privileged user).

Página de resultados del análisis:

• Vista gráfica

  La pestaña Data Overview muestra estadísticas de los Pending findings, incluidos recuentos y porcentajes para categorías como usuarios superadministradores, roles superadministradores, usuarios privilegiados, roles privilegiados, usuarios inactivos, roles inactivos, usuarios con privilegios excesivos y roles con privilegios excesivos. Un gráfico de dona visualiza la distribución entre estas categorías.

  Para ResourceDirectory: también se muestran las cinco cuentas miembro con mayor número de hallazgos pendientes en el directorio de recursos.

• Vista de lista

  En la página Access analytics > Findings, seleccione un analizador objetivo a la izquierda (por ejemplo, Test-1 de tipo Overprivileged) y cambie a la pestaña Findings list a la derecha. Filtre los resultados mediante criterios como Finding status igual a Pending. La tabla de hallazgos incluye columnas para Finding ID, Resource, Resource owner, Accessed/Granted services, Finding status, Update time y Actions. Muestra hallazgos de roles inactivos junto con recuentos de servicios accedidos y otorgados. Puede ejecutar la acción Archive finding en cualquier resultado.

Filtrar hallazgos

Filtre los hallazgos por recurso, tipo de recurso, propietario del recurso, estado del hallazgo o tipo de hallazgo para localizar resultados específicos.

Por ejemplo, para consultar rápidamente hallazgos de acceso con privilegios excesivos correspondientes a usuarios de RAM:

Establezca Filter key en Resource type, Match method en Equals y Filter value en Resource Access Management - User. Agregue otra condición donde Finding status sea igual a Pending y, a continuación, haga clic en el botón de búsqueda para aplicar los filtros.

Los resultados de la consulta pueden incluir Super User, Privileged User, Inactive User y Over-Privileged User. Para acotar aún más los resultados, agregue otra condición de filtro (Filter key establecido en Finding type, Match method establecido en Equals) para mostrar únicamente hallazgos de tipo Over-Privileged User.

Consultar detalles de un hallazgo

En la lista de hallazgos, haga clic en un Finding ID para consultar sus detalles.

La página de detalles del hallazgo tiene dos secciones: información básica e información detallada. La sección de información básica muestra campos como Finding type, Finding status, Resource type y Analyzer name. La sección de información detallada muestra la Creation time de la identidad, la Last access time y la proporción de Accessed/Granted services. En la parte inferior, una tabla compara las acciones accedidas y otorgadas por servicio. En la esquina superior derecha aparece un botón Rescan.

Para cada hallazgo, puede:

• Si el comportamiento de los permisos coincide con sus expectativas, haga clic en Archive para archivarlo de inmediato.

• Si el comportamiento de los permisos no coincide con sus expectativas, haga clic en Go for Governance (para recursos en la cuenta actual) o en Copy Resource URL (para recursos fuera de la cuenta actual) para ir a la página correspondiente y aplicar la corrección.

Archivar hallazgos automáticamente

Además de archivar hallazgos individuales de forma manual, puede crear reglas de archivo para archivar automáticamente aquellos hallazgos que no requieran corrección.

Cree y guarde reglas de archivo en la página Findings. Los nuevos hallazgos que coincidan con los criterios de una regla se archivarán automáticamente.

En la página Findings List, defina los criterios de filtro mediante los menús desplegables de filter key, match type y filter value, y luego haga clic en Save as Archive Rule.

Esta regla no se aplica a los hallazgos existentes. Para aplicarla de manera retroactiva, vaya a la página de detalles de un elemento en Analyzers y haga clic en Apply Archive Rule en la columna Actions de la lista de reglas de archivo.