Indicios de filtración de claves de acceso

Una clave de acceso de IAM es una credencial de larga duración —un ID de clave de acceso y un secreto— que permite a un usuario o al código realizar llamadas a las API de AWS. Si se filtra, un atacante puede actuar como esa identidad desde cualquier lugar.

Las claves filtradas son una de las causas más habituales de vulneraciones en AWS, normalmente porque una clave se incluyó directamente en el código y se subió a un repositorio público.

Las claves se filtran de formas predecibles:

• Se confirman en un repositorio público de GitHub.
• Se incluyen en una aplicación móvil o del lado del cliente.
• Se registran en texto sin formato o se comparten por chat.
• Se almacenan en un bucket público de S3 mal configurado.

Las claves de larga duración son las credenciales más arriesgadas precisamente porque no caducan por sí solas.

Amazon GuardDuty genera hallazgos específicos de abuso de credenciales, como UnauthorizedAccess:IAMUser/InstanceCredentialExfiltration o llamadas a la API anómalas.

Marca actividades como el uso repentino de una clave desde un país nuevo o desde un nodo de salida de Tor: señales claras de que la credencial ya no está en las manos adecuadas.

AWS analiza de forma proactiva los sitios públicos en busca de claves expuestas. Si encuentra una de sus claves, envía un aviso de abuso y puede aplicar una política de cuarentena (AWSCompromisedKeyQuarantine) que bloquea las acciones peligrosas.

Recibir un correo de este tipo es una señal inequívoca: trátelo inmediatamente como un incidente confirmado.

Preste atención a comportamientos que no encajen con la función habitual de la clave:

• Llamadas desde regiones o direcciones IP desconocidas.
• Acciones de reconocimiento, como ListBuckets o DescribeInstances, a horas inusuales.
• Intentos de crear nuevos usuarios de IAM o asociar políticas de administrador.

Los atacantes exploran antes de aprovecharse de la situación, y esa exploración se puede detectar.

Un aumento repentino de su factura de AWS o la aparición de recursos inesperados es un síntoma clásico. A los atacantes les encanta poner en marcha grandes flotas de instancias de EC2 para la minería de criptomonedas.

Las alertas de AWS Budgets y Cost Anomaly Detection pueden avisarle de la huella financiera que suele dejar una clave comprometida.

CloudTrail registra cada llamada a la API, incluido el ID de la clave de acceso que la realizó. Filtrar por una clave sospechosa revela exactamente qué hizo el atacante y cuándo.

Revise la IP de origen, el agente de usuario y las acciones llamadas para determinar el alcance de los daños y decidir qué debe rotarse o revertirse.

Un objetivo habitual de los atacantes es convertir una clave con pocos privilegios en un acceso amplio. Preste atención a los cambios de IAM: usuarios nuevos, claves nuevas, políticas asociadas o asunciones de roles.

IAM Access Analyzer y CloudTrail, en conjunto, le ayudan a detectar una identidad que de repente obtuvo permisos que no debería tener.

Un aluvión de errores de acceso denegado puede ser tan revelador como las llamadas correctas. Un atacante que comprueba qué puede hacer con una clave robada genera muchos fallos.

CloudTrail también registra estas denegaciones, por lo que un aumento de eventos AccessDenied procedentes de una misma clave es una señal de alarma que conviene investigar de inmediato.

La mejor señal es la que nunca tendrá que leer. Prefiera credenciales temporales de roles de IAM en lugar de claves de larga duración, analice los repositorios en busca de secretos y rote las claves periódicamente.

Menos claves de larga duración significan menos formas de que se filtren y una superficie menor para que estos hallazgos aparezcan en primer lugar.

Una sola señal puede ser inofensiva; juntas confirman una vulneración. Un hallazgo procedente de una región nueva, un pico de costes y cambios de IAM realizados con la misma clave forman un patrón claro.

Utilice Security Hub y Detective para correlacionar señales entre servicios y convertir alertas dispersas en una conclusión única y fiable sobre una credencial filtrada.

Identifique la señal más clara de una filtración.

Las claves de acceso de larga duración filtradas son una de las principales vías de vulneración de AWS. Esté atento a los hallazgos de credenciales de GuardDuty, los correos de abuso de AWS, las llamadas desde regiones nuevas, los picos de costes por minería de criptomonedas, la escalación de privilegios de IAM y los aluviones de errores de acceso denegado. CloudTrail vincula la actividad con la clave responsable para que pueda determinar el alcance de los daños. La mejor defensa consiste en utilizar credenciales temporales de roles y analizar los secretos, de modo que las filtraciones casi nunca lleguen a producirse.