Amazon Web Services (AWS)

Root-account zonder MFA

Ernst: Kritiek

Wat het betekent

De AWS root-account heeft onbeperkte toegang tot alles in uw AWS-account: facturering, alle services, alle gegevens. Het is de krachtigste inloggegevens in uw hele cloudopstelling. Zonder MFA betekent een gecompromitteerd root-wachtwoord volledige overname.

Hoe je het oplost

1. Meld u aan bij de AWS-console als root.

2. Ga naar IAM > Dashboard > Activeer MFA op uw root-account.

3. Klik op MFA beheren > MFA activeren.

4. Kies Virtueel MFA-apparaat (aanbevolen: gebruik een hardware-sleutel zoals YubiKey voor maximale beveiliging).

5. Scan de QR-code met uw authenticatie-app.

6. Voer twee opeenvolgende codes in en klik op MFA toewijzen.

Volg na het inschakelen van MFA de best practices van AWS:

• Gebruik het root-account nooit voor dagelijkse taken. Maak IAM-gebruikers aan of gebruik in plaats daarvan IAM Identity Center.

• Bewaar de root-inloggegevens op een veilige, offline locatie (kluis, wachtwoordbeheerder).

Root-account onlangs gebruikt

Ernst: Hoog

Wat het betekent

Het root-account is in de afgelopen 90 dagen gebruikt om in te loggen. Net als de ingebouwde Administrator in Active Directory moet het root-account alleen worden gereserveerd voor noodgevallen (bijv. accountherstel, wijzigingen in facturering). Dagelijks werk moet worden uitgevoerd met IAM-gebruikers of -rollen met de juiste machtigingen.

Hoe je het oplost

1. Maak IAM-gebruikers of gebruik IAM Identity Center (SSO) voor dagelijks beheer.

2. Ken alleen de machtigingen toe die elke persoon nodig heeft (principe van minimale bevoegdheden).

3. Stop met het gebruiken van het root-account voor routinetaken.

4. De waarschuwing verdwijnt na 90 dagen inactiviteit van het root-account.

IAM-gebruikers zonder MFA

Ernst: Medium

Wat het betekent

Eén of meer IAM-gebruikers kunnen zonder MFA inloggen op de AWS-console. Als hun wachtwoord wordt gecompromitteerd, krijgt de aanvaller volledige toegang tot alles wat die gebruiker in AWS kan doen.

Hoe je het oplost

1. Ga naar IAM > Gebruikers > selecteer de gebruiker.

2. Ga naar de Beveiligingsgegevens .

3. Onder Meerfactorauthenticatie (MFA), klik op Beheren.

4. Wijs een MFA-apparaat toe.

Om MFA voor alle gebruikers af te dwingen, maakt u een IAM-beleid dat alle acties weigert tenzij MFA aanwezig is:

1. Ga naar IAM > Beleid > Beleid maken.

2. Gebruik de AWS-beleid voor MFA-handhaving sjabloon.

3. Koppel het aan alle gebruikersgroepen.