علامات تسرّب مفاتيح الوصول

يُعد مفتاح الوصول في IAM بيانات اعتماد طويلة الأجل — تتكون من معرّف مفتاح وصول وسر — تتيح للتعليمات البرمجية أو للمستخدم استدعاء واجهات AWS البرمجية. وإذا تسرّب، يستطيع المهاجم انتحال تلك الهوية من أي مكان.

تُعد المفاتيح المتسرّبة أحد أكثر أسباب اختراق AWS شيوعًا، وعادةً ما يحدث ذلك بسبب تضمين مفتاح داخل التعليمات البرمجية ثم دفعه إلى مستودع عام.

تتسرّب المفاتيح بطرق متوقعة:

• إيداعها في مستودع GitHub عام.
• تضمينها في تطبيق جوّال أو تطبيق من جهة العميل.
• تسجيلها بنص واضح أو مشاركتها عبر الدردشة.
• تخزينها في حاوية S3 عامة مهيأة بشكل خاطئ.

تُعد المفاتيح طويلة الأجل أخطر أنواع بيانات الاعتماد تحديدًا لأنها لا تنتهي صلاحيتها تلقائيًا.

يصدر Amazon GuardDuty نتائج محددة بشأن إساءة استخدام بيانات الاعتماد، مثل UnauthorizedAccess:IAMUser/InstanceCredentialExfiltration أو استدعاءات API الشاذة.

ويرصد أنشطة مثل استخدام مفتاح فجأة من دولة جديدة أو من عقدة خروج Tor — وهي مؤشرات قوية على أن بيانات الاعتماد لم تعد في الأيدي الصحيحة.

تفحص AWS المواقع العامة استباقيًا بحثًا عن المفاتيح المكشوفة. وإذا عثرت على أحد مفاتيحك، ترسل إشعار إساءة استخدام، وقد تطبق سياسة عزل (AWSCompromisedKeyQuarantine) تمنع الإجراءات الخطرة.

إن تلقي هذه الرسالة علامة لا لبس فيها: تعامل معها فورًا باعتبارها حادثة مؤكدة.

راقب السلوك الذي لا يتوافق مع المهمة المعتادة للمفتاح:

• استدعاءات من مناطق أو عناوين IP غير مألوفة.
• إجراءات استطلاع مثل ListBuckets أو DescribeInstances في أوقات غريبة.
• محاولات إنشاء مستخدمي IAM جدد أو إرفاق سياسات إدارية.

يستكشف المهاجمون البيئة قبل استغلالها، ويمكن رصد هذا الاستكشاف.

تُعد الزيادة المفاجئة في فاتورة AWS أو ظهور موارد غير متوقعة من الأعراض التقليدية. يحب المهاجمون تشغيل أساطيل كبيرة من مثيلات EC2 لأغراض تعدين العملات المشفرة.

يمكن لتنبيهات AWS Budgets واكتشاف شذوذ التكاليف تحذيرك من البصمة المالية التي غالبًا ما يتركها المفتاح المخترق.

يسجل CloudTrail كل استدعاء API، بما في ذلك معرّف مفتاح الوصول الذي أجراه. ويكشف التصفية باستخدام مفتاح مشتبه فيه ما فعله المهاجم بالضبط ومتى فعله.

افحص عنوان IP المصدر، ووكيل المستخدم، والإجراءات المستدعاة لتحديد نطاق الضرر وقرار ما يجب تدويره أو التراجع عنه.

يتمثل أحد الأهداف الشائعة للمهاجم في تحويل مفتاح منخفض الصلاحيات إلى وصول واسع. راقب تغييرات IAM: المستخدمين الجدد، والمفاتيح الجديدة، والسياسات المرفقة، أو تولّي الأدوار.

يساعدك كل من IAM Access Analyzer وCloudTrail على اكتشاف هوية اكتسبت فجأة صلاحيات لا ينبغي أن تملكها.

قد تكون دفعة من أخطاء access-denied دالة بقدر الاستدعاءات الناجحة. فالمهاجم الذي يختبر ما يستطيع المفتاح المسروق فعله يتسبب في إخفاقات كثيرة.

يسجل CloudTrail حالات الرفض هذه أيضًا، لذا فإن ارتفاع أحداث AccessDenied الصادرة عن مفتاح واحد علامة حمراء تستحق التحقيق فورًا.

أفضل مؤشر هو ذلك الذي لا تضطر إلى قراءته أصلًا. فضّل بيانات الاعتماد المؤقتة من أدوار IAM على المفاتيح طويلة الأجل، وافحص المستودعات بحثًا عن الأسرار، ودوّر المفاتيح بانتظام.

يعني تقليل المفاتيح طويلة الأجل تقليل طرق تسرّبها وتقليص مساحة ظهور هذه النتائج من الأساس.

قد يكون المؤشر الواحد سليمًا؛ لكن اجتماع المؤشرات يؤكد الاختراق. فنتيجة من منطقة جديدة، وارتفاع في التكاليف، وتغييرات IAM صادرة عن المفتاح نفسه تشكل نمطًا واضحًا.

استخدم Security Hub وDetective لربط المؤشرات عبر الخدمات، وتحويل التنبيهات المتفرقة إلى استنتاج واحد واثق بشأن بيانات اعتماد متسرّبة.

حدّد أقوى مؤشر على التسرّب.

تُعد مفاتيح الوصول طويلة الأجل المتسرّبة من أبرز مسارات اختراق AWS. راقب نتائج GuardDuty المتعلقة ببيانات الاعتماد، ورسائل إساءة الاستخدام من AWS، والاستدعاءات من مناطق جديدة، وارتفاع التكاليف الناتج عن تعدين العملات المشفرة، وتصعيد صلاحيات IAM، ودفعات أخطاء access-denied. يربط CloudTrail النشاط بالمفتاح المسؤول، مما يتيح لك تحديد نطاق الضرر. وأفضل دفاع هو استخدام بيانات اعتماد مؤقتة للأدوار وفحص الأسرار، حتى لا تحدث التسريبات أصلًا إلا نادرًا.