你继承了一个混乱的云环境。从哪里开始？

实用的前90天计划，用于保护一个你没有设计过、目前还不完全了解的AWS、Azure或GCP环境。

你刚刚接管了一个（或十个）云账户，这些账户是某个人在三年内建立的，没有文档、经历了轮流的承包商、还有一个叫#aws-help的Slack频道，自2022年以来就没活跃过。这是云安全工作中最常见的情况之一，也很令人不适，因为你要为一些你还无法解释的东西负责。

下面是如何从零可见性转变为可防御状态的方法，而不需要面面俱到。

停止猜测，先做清单

你无法保护看不到的东西。在修改任何IAM策略之前，运行一次清单扫描：

AWS：使用aws organizations list-accounts查看完整的账户结构，然后使用Steampipe或AWS Config聚合器将各账户中的资源提取到一个可查询的视图中。
Azure：使用Resource Graph查询（az graph query）跨订阅进行查询，因为Azure的租户/订阅模型很容易隐藏资源扩散。
GCP：在组织级别使用gcloud asset search-all-resources。

将此与计费数据交叉引用。计费数据不会对正在运行的内容撒谎，即使标签和文档会。如果你看到某项服务的支出，而在入职时没有人提及，那就是你的第一个发现。

配置错误获得了头条新闻，但在继承的环境中，身份通常才是真正的暴露所在。提取每个IAM用户、角色和服务账户，并问三个问题：这个还需要存在吗，它是否拥有未使用的访问权限，它是人工账户还是机器账户。

运行AWS IAM Access Analyzer或类似iam-lint的工具来标记过去90天内未使用的权限。实际上，继承的账户几乎总是至少有一个IAM用户拥有长期访问密钥，这些密钥本应被

本文由人工智能协助撰写，经 Michal Pilch（CISSP）审核并发布，Korra Studio。