Conceito e funcionamento
IAM separa políticas de identidade, políticas de recurso, boundaries, SCPs e relações de confiança. A concessão de uma política ampla pode aumentar risco, mas é necessário avaliar permissões efetivas e condições. Um evento AttachRolePolicy ou PutRolePolicy deve ser contextualizado com papel afetado, autor e finalidade.
Como investigar e correlacionar
Investigue alteração em CloudTrail, documento da política, escopo do recurso, condições, trust e versão anterior. Correlacione com emissão de credenciais e uso posterior do role. Compare com mudanças de IaC e pipelines aprovados para identificar automação legítima.
ESTUDO DE CASO · CENÁRIO SINTÉTICO
Aplicação em uma investigação
Situação
Uma política gerenciada passa a permitir operação sensível e um scanner alerta risco elevado em recurso não exposto.
Procedimento orientado
Compare versões de política, boundaries, SCPs, role trusts e contexto real do recurso; busque uso posterior da permissão.
Resultado esperado
O resultado descreve privilégio efetivo e mudança confirmada, distinguindo exposição potencial de atividade de comprometimento.
Cuidados adicionais
Uma política nominalmente ampla pode ser limitada por controles organizacionais; não conclua sem avaliar interseções.
Limitações e interpretações incorretas
Um nome de política não define privilégio real. Permissões podem ser limitadas por SCP e boundaries, e políticas podem mudar de versão. Revogação de role ou chave sem plano pode afetar serviços críticos.
Checklist de validação
- Revisar evento de alteração
- Comparar política anterior e nova
- Avaliar privilégio efetivo
- Identificar proprietário e aprovação
Referências técnicas
Guias para aprofundar
- auditoria identidades cloud — aguardando publicação editorial