Resource Access Management:Identificar acesso com privilégios excessivos

O que é o analisador de acesso com privilégios excessivos

O analisador de acesso com privilégios excessivos monitora continuamente todas as identidades do RAM (usuários e funções do RAM) no diretório de recursos ou na conta atual e gera achados para identidades com permissões excedentes. Os achados dividem-se em quatro categorias: usuários/funções superadministradores, usuários/funções privilegiados, usuários/funções inativos e usuários/funções com privilégios excessivos. Cada achado inclui as permissões concedidas à identidade e a atividade de acesso mais recente associada a essas permissões.

• Usuários/funções superadministradores: identidades do RAM (usuários ou funções) com permissões completas de gerenciamento de recursos na conta. Por exemplo, um usuário ou função do RAM com a política AdministratorAccess atribuída.

• Usuários/funções privilegiados: identidades do RAM (usuários ou funções) com privilégios de alto risco. Essas identidades frequentemente conseguem elevar suas próprias permissões ou as de outras identidades do RAM para obter níveis de acesso superiores. Para consultar a lista atualizada de privilégios suportados, visualize Privilege list.

• Usuários/funções inativos: identidades do RAM (usuários ou funções) sem atividade relacionada a permissões durante o período definido em Unused Access Age.

• Usuários/funções com privilégios excessivos: identidades do RAM (usuários ou funções) com permissões no nível de service ou de ação não utilizadas durante o intervalo especificado em Unused Access Age.

Escopo suportado pelo analisador de acesso com privilégios excessivos

O analisador revisa os dados de auditoria de permissões de todas as identidades do RAM (exceto funções vinculadas a serviços) no diretório de recursos ou na conta atual e gera achados com base nessas informações. Os tipos de política, serviços da Alibaba Cloud e a granularidade de auditoria suportados correspondem aos do recurso de auditoria de permissões. Para mais detalhes, consulte Permission audit overview.

Visualize achados

Consulte os achados na página Analyzers ou Findings.

Na página de detalhes do analisador, a seção Basic information exibe o nome do analisador, status, tipo de análise (como Overprivileged), escopo da análise (como Current account), horário de criação, ARN, última análise realizada e período de acesso não utilizado (por exemplo, 90 dias). Abaixo dessa seção, há duas abas: Findings e Archive rules. Na aba Findings, filtre por Finding status (como Pending) para acessar uma tabela com ID do achado, recurso, proprietário do recurso, serviços acessados/concedidos, status do achado, horário de atualização e ações disponíveis. Cada linha indica o tipo de achado (por exemplo, Inactive role ou Privileged user).

Página de resultados da análise:

• Visualização gráfica

  A aba Data Overview apresenta estatísticas sobre Pending findings, incluindo quantidades e percentuais para categorias como usuários superadministradores, funções superadministradoras, usuários privilegiados, funções privilegiadas, usuários inativos, funções inativas, usuários com privilégios excessivos e funções com privilégios excessivos. Um gráfico de rosca ilustra a distribuição entre essas categorias.

  Para ResourceDirectory: o sistema também exibe as cinco contas-membro com maior número de achados pendentes no diretório de recursos.

• Visualização em lista

  Na página Access analytics > Findings, selecione o analisador desejado à esquerda (por exemplo, Test-1 do tipo Overprivileged) e mude para a aba Findings list à direita. Filtre os resultados usando critérios como Finding status igual a Pending. A tabela de achados contém colunas para Finding ID, Resource, Resource owner, Accessed/Granted services, Finding status, Update time e Actions. Ela mostra achados referentes a funções inativas, juntamente com contagens de serviços acessados e concedidos. Execute a ação Archive finding em qualquer resultado listado.

Filtrar achados

Filtre os achados por recurso, tipo de recurso, proprietário do recurso, status do achado ou tipo de achado para localizar resultados específicos.

Por exemplo, para visualizar rapidamente achados de acesso com privilégios excessivos relacionados a usuários do RAM:

Defina Filter key como Resource type, Match method como Equals e Filter value como Resource Access Management - User. Adicione outra condição em que Finding status seja igual a Pending e clique no botão de pesquisa para aplicar os filtros.

Os resultados da consulta podem incluir Super User, Privileged User, Inactive User e Over-Privileged User. Para refinar ainda mais os resultados, adicione outra condição de filtro (Filter key definido como Finding type, Match method definido como Equals) para exibir apenas achados do tipo Over-Privileged User.

Visualize detalhes do achado

Na lista de achados, clique em um Finding ID para ver seus detalhes.

A página de detalhes do achado possui duas seções: informações básicas e informações detalhadas. A seção de informações básicas mostra campos como Finding type, Finding status, Resource type e Analyzer name. A seção de informações detalhadas exibe o Creation time da identidade, Last access time e a proporção de Accessed/Granted services. Na parte inferior, uma tabela compara as ações acessadas e concedidas por service. Um botão Rescan aparece no canto superior direito.

Para cada achado, você pode:

• Se o comportamento da permissão corresponder às suas expectativas, clique em Archive para arquivá-lo imediatamente.

• Se o comportamento da permissão não estiver alinhado com o esperado, clique em Go for Governance (para recursos na conta atual) ou em Copy Resource URL (para recursos fora da conta atual) para acessar a página adequada e realizar a correção.

Arquivar achados automaticamente

Além de arquivar achados individuais manualmente, crie regras de arquivamento para automatizar o processo em casos que não exigem governança.

Crie e salve regras de arquivamento na página Findings. Novos achados que atenderem aos critérios da regra serão arquivados automaticamente.

Na página Findings List, defina os critérios de filtro utilizando os menus suspensos de filter key, match type e filter value e clique em Save as Archive Rule.

Essa regra não se aplica a achados já existentes. Para aplicá-la retroativamente, acesse a página de detalhes de um dos Analyzers e clique em Apply Archive Rule na coluna Actions da lista de regras de arquivamento.