IAM / Repository
iam-audit-lab
פלטפורמה אוטומטית לביקורת והערכה מקיפות של מדיניות Identity and Access Management (IAM) בסביבות multi-cloud, המזהה הרשאות יתר, חשבונות יתומים והפרות מדיניות עם הנחיות לתיקון.
צפה ב-GitHub ↗אודות הפרויקט
IAM Audit Lab היא פלטפורמת ביקורת עוצמתית שנועדה לנתח ולהעריך תצורות Identity and Access Management בסביבות ענן (AWS, Azure, GCP) ובסביבות on-premises. IAM הוא תחום האבטחה שמוודא שלאנשים ולשירותים הנכונים יש את רמת הגישה הנכונה למשאבים הנכונים — ולא יותר. עקרון זה, המכונה 'least privilege', הוא בסיסי למניעת גישה לא מורשית ולהגבלת ה-blast radius של פרצות אבטחה. הפלטפורמה מבצעת ניתוח עמוק במספר ממדים קריטיים: Privilege Analysis מזהה משתמשים, תפקידים ו-service accounts עם הרשאות החורגות מהצרכים התפעוליים האמיתיים שלהם — מצב המכונה 'privilege creep' שמתרחש באופן טבעי כאשר עובדים משנים תפקידים או פרויקטים לאורך זמן. Orphan Account Detection מאתר חשבונות של עובדים לשעבר, שירותים שהושבתו או סביבות בדיקה שמעולם לא נוקו כראוי — כל אחד מהם מייצג נקודת כניסה לא מנוטרת עבור תוקפים. Policy Compliance Verification בודק תצורות IAM מול benchmarks של התעשייה (CIS, NIST) ומדיניות ארגונית, ומסמן חריגות שמגבירות סיכון. המעבדה מייצרת דוחות מפורטים המציגים בדיוק אילו הרשאות הן מוגזמות, מדוע הן מהוות סיכון, ואילו צעדי תיקון נדרשים, כולל מדיניות ה-IAM המינימלית הדרושה לכל משתמש או שירות. הדוחות זמינים ב-HTML (לסקירה אנושית), JSON (לאוטומציה) ו-CSV (לניתוח בגיליונות אלקטרוניים). עבור ארגונים המנהלים מאות או אלפי ישויות IAM לאורך כמה ספקי ענן, המעבדה מספקת תצוגה מאוחדת של סיכון זהות, ומאפשרת לצוותי אבטחה לתעדף מאמצי תיקון במקום שבו תהיה להם ההשפעה הגדולה ביותר.
למה זה חשוב
תצורות שגויות ב-Identity and Access Management מדורגות בעקביות כסיבה מספר אחת לפריצות אבטחת ענן. לפי דוחות תעשייה מרובים, ליותר מ-90% מחשבונות הענן יש הרשאות יתר, ולארגון הממוצע יש מאות חשבונות לא פעילים שעלולים להיפגע. פרצות מתוקשרות בחברות גדולות נקשרו שוב ושוב לחשבונות שירות עם הרשאות יתר, אישורים ישנים או תפקידים שהוגדרו בצורה לא נכונה. האתגר הוא קנה מידה — סביבות ענן מודרניות יוצרות ישויות IAM בקצב חסר תקדים. כל פונקציית serverless, קונטיינר, pipeline של CI/CD ו-microservice זקוקים לזהות משלהם עם הרשאות ספציפיות. ביקורת ידנית של תצורות אלו היא בלתי אפשרית אנושית, אך כלים אוטומטיים מספקי הענן מכסים רק את הפלטפורמה שלהם, ומשאירים ארגונים multi-cloud עם אזורי עיוורון. מעבדה זו ממלאת את הפער הזה על ידי מתן נראות IAM חוצת-ענן, ניתוח אוטומטי והנחיות תיקון ישימות. היא הופכת את ביקורת ה-IAM ממשימה תקופתית וידנית לתהליך רציף ואוטומטי שמאתר תצורות שגויות לפני שניתן יהיה לנצל אותן.
מדריך שלב-אחר-שלב
- הגדירו אישורי גישת read-only לכל סביבת ענן שברצונכם לבקר. המעבדה דורשת רק הרשאות קריאה (ללא גישת כתיבה) כדי לנתח תצורות IAM. עקבו אחר מדריכי ההתקנה הספציפיים לספק ב-/docs/aws-setup.md, ב-/docs/azure-setup.md וב-/docs/gcp-setup.md, הכוללים את מדיניות ה-IAM המינימלית הדרושה לחשבון הביקורת.
- הריצו את סורק ה-IAM עם הפקודה 'iam-audit scan --provider aws' (או azure, gcp, או 'all' ל-multi-cloud). הסורק ימנה את כל ישויות ה-IAM, ינתח את ההרשאות האפקטיביות שלהן, יבדוק מול benchmarks של CIS ויזהה חריגות. סריקה מלאה אורכת בדרך כלל 5-15 דקות בהתאם לגודל הסביבה שלכם.
- עברו על דוח הממצאים המקיף שנוצר הן ב-HTML והן ב-JSON. הדוח מסווג ממצאים לפי חומרה (critical, high, medium, low), משאב מושפע ומאמץ תיקון. ממצאים קריטיים כוללים גישת admin על service accounts, MFA שלא הופעל למשתמשים עם הרשאות, ומפתחות API בני יותר מ-90 יום ללא rotation.
- ישמו את התיקונים המוצעים באמצעות ה-playbooks המצורפים. כל ממצא כולל תיקון ספציפי, מוכן להדבקה — כמו מדיניות IAM מינימלית להחלפת תפקיד עם הרשאות יתר. השתמשו בפקודה 'iam-audit apply --dry-run' כדי לצפות בשינויים לפני החלתם, תוך הבטחה שלא תהיה הפרעה תפעולית.