Anzeichen geleakter Access Keys

Ein IAM-Access Key ist eine langfristige Zugangsinformation – bestehend aus einer Access Key ID und einem Secret –, mit der Code oder ein Benutzer AWS-APIs aufrufen kann. Wird sie offengelegt, kann ein Angreifer von überall aus unter dieser Identität handeln.

Offengelegte Schlüssel gehören zu den häufigsten Ursachen für AWS-Kompromittierungen, meist weil ein Schlüssel fest im Code hinterlegt und in ein öffentliches Repository übertragen wurde.

Schlüssel gelangen auf vorhersehbare Weise nach außen:

• Sie werden in ein öffentliches GitHub-Repository übertragen.
• Sie werden in eine mobile App oder clientseitige Anwendung eingebettet.
• Sie werden im Klartext protokolliert oder über einen Chat geteilt.
• Sie werden in einem falsch konfigurierten öffentlichen S3-Bucket gespeichert.

Langfristige Schlüssel sind gerade deshalb die riskantesten Zugangsdaten, weil sie nicht automatisch ablaufen.

Amazon GuardDuty erzeugt spezifische Findings für den Missbrauch von Zugangsdaten, etwa UnauthorizedAccess:IAMUser/InstanceCredentialExfiltration oder anomale API-Aufrufe.

Der Dienst markiert beispielsweise einen Schlüssel, der plötzlich aus einem neuen Land oder über einen Tor-Exit-Node verwendet wird – deutliche Hinweise darauf, dass die Zugangsdaten nicht mehr in den richtigen Händen sind.

AWS durchsucht öffentliche Websites proaktiv nach offengelegten Schlüsseln. Wenn ein Schlüssel von Ihnen gefunden wird, sendet AWS eine Missbrauchsmeldung und kann eine Quarantänerichtlinie (AWSCompromisedKeyQuarantine) anwenden, die gefährliche Aktionen blockiert.

Der Erhalt einer solchen E-Mail ist ein unmissverständliches Zeichen: Behandeln Sie sie sofort als bestätigten Vorfall.

Achten Sie auf Verhalten, das nicht zur üblichen Aufgabe des Schlüssels passt:

• Aufrufe aus unbekannten Regionen oder von unbekannten IP-Adressen.
• Erkundungsaktionen wie ListBuckets oder DescribeInstances zu ungewöhnlichen Uhrzeiten.
• Versuche, neue IAM-Benutzer zu erstellen oder Administrationsrichtlinien anzuhängen.

Angreifer erkunden die Umgebung, bevor sie sie ausnutzen, und diese Erkundung ist erkennbar.

Ein plötzlicher Anstieg Ihrer AWS-Rechnung oder unerwartete Ressourcen sind ein klassisches Anzeichen. Angreifer starten gerne große Flotten von EC2-Instanzen für Kryptomining.

Warnungen von AWS Budgets und Cost Anomaly Detection können Sie auf den finanziellen Fingerabdruck hinweisen, den ein kompromittierter Schlüssel häufig hinterlässt.

CloudTrail zeichnet jeden API-Aufruf auf, einschließlich der Access Key ID, mit der er ausgeführt wurde. Wenn Sie nach einem verdächtigen Schlüssel filtern, sehen Sie genau, was der Angreifer wann getan hat.

Untersuchen Sie die Quell-IP, den User-Agent und die aufgerufenen Aktionen, um den Schaden einzugrenzen und zu entscheiden, was rotiert oder zurückgesetzt werden muss.

Ein häufiges Ziel von Angreifern besteht darin, aus einem Schlüssel mit geringen Rechten weitreichenden Zugriff zu machen. Achten Sie auf IAM-Änderungen: neue Benutzer, neue Schlüssel, angehängte Richtlinien oder Rollenübernahmen.

IAM Access Analyzer und CloudTrail helfen Ihnen gemeinsam, eine Identität zu erkennen, die plötzlich Befugnisse erhalten hat, über die sie nicht verfügen sollte.

Eine Häufung von access-denied-Fehlern kann ebenso aussagekräftig sein wie erfolgreiche Aufrufe. Ein Angreifer, der testet, was ein gestohlener Schlüssel bewirken kann, erzeugt zahlreiche Fehlversuche.

Auch diese verweigerten Zugriffe werden von CloudTrail protokolliert. Eine Häufung von AccessDenied-Ereignissen für einen Schlüssel ist daher ein Warnsignal, das Sie sofort untersuchen sollten.

Das beste Signal ist eines, das Sie nie untersuchen müssen. Bevorzugen Sie temporäre Zugangsdaten aus IAM-Rollen gegenüber langfristigen Schlüsseln, durchsuchen Sie Repositories nach Secrets und rotieren Sie Schlüssel regelmäßig.

Weniger langfristige Schlüssel bedeuten weniger Möglichkeiten für eine Offenlegung und eine kleinere Angriffsfläche, auf der solche Findings überhaupt entstehen können.

Ein einzelnes Signal kann harmlos sein; gemeinsam bestätigen sie eine Kompromittierung. Ein Finding aus einer neuen Region, eine Kostenspitze und IAM-Änderungen durch denselben Schlüssel ergeben ein eindeutiges Muster.

Verwenden Sie Security Hub und Detective, um Signale dienstübergreifend zu korrelieren und verstreute Warnungen in eine eindeutige, verlässliche Schlussfolgerung über offengelegte Zugangsdaten zu überführen.

Erkennen Sie das stärkste Signal für eine Offenlegung.

Offengelegte langfristige Access Keys gehören zu den häufigsten Angriffsvektoren in AWS. Achten Sie auf GuardDuty-Findings zu Zugangsdaten, Missbrauchsmeldungen von AWS, Aufrufe aus neuen Regionen, Kostenspitzen durch Kryptomining, eine Ausweitung von IAM-Rechten und Häufungen verweigerter Zugriffe. CloudTrail ordnet die Aktivitäten dem betreffenden Schlüssel zu, sodass Sie den Schaden eingrenzen können. Die beste Verteidigung besteht darin, temporäre Zugangsdaten aus Rollen zu verwenden und nach Secrets zu suchen, damit es gar nicht erst zu einer Offenlegung kommt.