Orca Security で MFA を有効化していないユーザーを炙り出す

こんにちは、Orca Security 担当の尾谷です。

先週、PoC を進めていただいているお客様のオフィスを訪問させていただき、Orca の使用感に関するヒヤリングをさせていただきました。

その中で、MFA を有効にしていない利用者の一覧を出したいとご希望いただきました。
Orca ならすぐに出せますので、ご紹介したいと思います。

結論

結論から書きますと、AI に作ってもらったクエリーが一番シンプルで早くフィルタリングできました。

以下、各クラウドごとにフィルタリングする方法をご紹介します。

MFA を有効にしていないと AWS Users without MFA Enabled というアラートを検知します。
このアラートの一覧を表示します。

アセット一覧から表示する方法です。
コンソールにアクセスするユーザー以外にもアクセスキー払い出しに作成したユーザーもヒットします。

Discovery を開きます。
Query ボックスに IAM と入力します。表示された AWS IAM User のチェックボックスのチェックを入れます。
Add Filters をクリックし、テキストボックスに MFA と入力します。表示された MFA Active のチェックボックスにチェックを入れます。
最後に Is Set を Is Not Set にすると、一覧が表示されます。

Azure ユーザーの場合も検索方法は AWS と同様です。

Discovery を開きます。
Alerts をクリックします。
Add Single Filters をクリックします。
Rule Type を選択し、Select Parameter に MFA と入力します。
az_non_privileged_users_without_mfa と az_privileged_users_without_mfa にチェックを入れます。