L'auditeur du client nous demande de créer un « rôle d'audit de sécurité AWS » sur notre compte cloud — quelles permissions accorder ?

La distinction la plus critique se fait entre ReadOnlyAccess et SecurityAudit. Si vous mettez ReadOnlyAccess, l'auditeur pourra télécharger les fichiers de vos compartiments de stockage d'objets et fouiller de trop près dans les métadonnées de vos bases de données. Un auditeur de sécurité n'a besoin que de la politique SecurityAudit et, éventuellement, de quelques tableaux de bord de surveillance restreints.

Pour un rôle d'audit sécurisé, ne zappez pas ces 3 étapes : 1) Ajoutez une condition ExternalId aléatoire et impossible à deviner dans la relation de confiance du rôle. 2) Réglez la durée maximale de session (MaxSessionDuration) sur une heure. 3) Ajoutez une restriction d'adresse IP dans la politique de ressource pour cantonner le rôle à leur bloc d'IP.

Très peu de normes d'audit exigent qu'un auditeur externe accède directement à un compte AWS en production. La plupart du temps, les rapports de configuration et des exports suffisent largement. Leur avez-vous demandé par écrit pourquoi de simples rapports d'infrastructure ne conviennent pas avant de leur ouvrir l'accès au compte ?

Correction : je me suis trompé sur le chiffre, c'était un peu plus bas.

Avant toute ouverture d'accès, il faut impérativement signer un accord de confidentialité (NDA) bilatéral avec le cabinet d'audit. Ce contrat doit définir clairement le périmètre de l'audit, les ressources accessibles et la responsabilité liée aux journaux de session. Aucun droit sur le compte ne doit être partagé sans un cadre juridique parfaitement clair.

On a passé deux audits similaires l'an dernier. On a activé le rôle uniquement pour une fenêtre de 72 heures avec une durée de session limitée à 3 heures. Au total, l'auditeur n'a fait que 42 requêtes d'API différentes et a bouclé son travail. Dès la fin du délai, on a supprimé le rôle, zéro problème.

c'est tout à fait normal de stresser la première fois. mais pas de panique : si vous dites à l'auditeur du client « notre politique de sécurité interdit de fournir un accès utilisateur console direct nous créons un rôle d'audit avec un identifiant externe », vous ferez preuve d'un grand professionnalisme.

une fois le rôle créé filtrez le nom du rôle de l'auditeur sur cloudtrail et allez jeter un œil de temps en temps pr voir ce qu'il fabrique. s'il commence à fouiller des services inutiles vous lui demandez direct.

Ne perdez pas de temps : allez direct dans l'interface IAM, créez un nouveau rôle choisissez un autre compte AWS comme type, entrez le numéro de compte du client cochez la case pour l'identifiant externe, attachez uniquement la permission SecurityAudit et sauvegardez.

Je partage mon expérience. Le vrai problème n'est pas le chiffre, mais la base sur laquelle il est calculé.

Je suis aussi curieux de savoir si d'autres font autrement.

En regardant le processus, le tableau change. Quand on essaie de tout changer en même temps, rien ne prend.

Voilà, désolé si je me suis étendu.

Il y a aussi un aspect mesure à considérer. Un rapport de scan automatique n'est pas la même chose qu'un test d'intrusion.

Je suis aussi curieux de savoir si d'autres font autrement.

Vous avez raison.

Si vous partez dans cette direction, réglez cela dès le départ. Ce que tout le monde fait ne signifie pas que c'est la bonne chose.

Une modification des coordonnées bancaires n'est jamais confirmée par le canal d'origine. Je suis aussi curieux de savoir si d'autres font autrement.

Vous avez raison, je suis aussi passé par là. Les environnements de test oubliés sont plus souvent des portes d'entrée que les systèmes de production.

Mon regard a changé après avoir vécu cela. Aucun processus sans suivi ne s'améliore car vous ne savez pas quoi corriger.

Un rapport de scan automatique n'est pas la même chose qu'un test d'intrusion. C'est confirmé par l'expérience.

Je ne savais pas ça.

J'ai vécu la même chose.

Laissez-moi détailler l'aspect technique. La plupart des pertes de temps s'accumulent sur les tâches en attente de validation.

Bien sûr, cela change si votre situation est différente.