Signes de fuite de clés d'accès

Une clé d’accès IAM est un identifiant à long terme — un identifiant de clé d’accès et un secret — qui permet à du code ou à un utilisateur d’appeler les API AWS. Si elle est divulguée, un attaquant peut agir au nom de cette identité depuis n’importe où.

Les clés divulguées sont à l’origine de nombreuses compromissions AWS, généralement parce qu’une clé a été inscrite en dur puis publiée dans un dépôt public.

Les clés s’échappent de manière prévisible :

• Validée dans un dépôt GitHub public.
• Intégrée à une application mobile ou côté client.
• Journalisée en clair ou partagée dans une discussion.
• Stockée dans un compartiment S3 public mal configuré.

Les clés à long terme sont les identifiants les plus risqués, précisément parce qu’elles n’expirent pas automatiquement.

Amazon GuardDuty génère des détections spécifiques en cas d’utilisation abusive d’identifiants, comme UnauthorizedAccess:IAMUser/InstanceCredentialExfiltration, ou en cas d’appels d’API anormaux.

Il signale notamment l’utilisation soudaine d’une clé depuis un nouveau pays ou un nœud de sortie Tor : ce sont de forts indices que l’identifiant n’est plus entre les bonnes mains.

AWS analyse de manière proactive les sites publics à la recherche de clés exposées. S’il en trouve une qui vous appartient, AWS envoie un avis d’abus et peut appliquer une stratégie de mise en quarantaine (AWSCompromisedKeyQuarantine) qui bloque les actions dangereuses.

La réception d’un tel courriel est un signe incontestable : traitez-la immédiatement comme un incident confirmé.

Surveillez les comportements qui ne correspondent pas à la fonction habituelle de la clé :

• Appels provenant de régions ou d’adresses IP inconnues.
• Actions de reconnaissance comme ListBuckets ou DescribeInstances à des heures inhabituelles.
• Tentatives de création de nouveaux utilisateurs IAM ou d’association de stratégies d’administration.

Les attaquants explorent avant d’exploiter, et cette exploration est détectable.

Une hausse soudaine de votre facture AWS ou l’apparition de ressources inattendues est un symptôme classique. Les attaquants aiment lancer de vastes flottes d’instances EC2 pour le minage de cryptomonnaies.

Les alertes AWS Budgets et la détection des anomalies de coûts peuvent vous avertir de l’empreinte financière qu’une clé compromise laisse souvent derrière elle.

CloudTrail enregistre chaque appel d’API, y compris l’identifiant de la clé d’accès qui l’a effectué. Le filtrage sur une clé suspecte révèle exactement ce que l’attaquant a fait et à quel moment.

Examinez l’adresse IP source, l’agent utilisateur et les actions appelées pour évaluer l’étendue des dégâts et décider ce qui doit être renouvelé ou restauré.

Un objectif courant des attaquants consiste à transformer une clé à faibles privilèges en accès étendu. Surveillez les modifications IAM : nouveaux utilisateurs, nouvelles clés, stratégies associées ou utilisations de rôles.

IAM Access Analyzer et CloudTrail vous aident ensemble à repérer une identité qui a soudainement obtenu des pouvoirs qu’elle ne devrait pas avoir.

Une série d’erreurs access-denied peut être aussi révélatrice que des appels réussis. Un attaquant qui teste ce qu’une clé volée lui permet de faire génère de nombreux échecs.

CloudTrail journalise également ces refus. Une hausse des événements AccessDenied provenant d’une même clé est donc un signal d’alerte à examiner immédiatement.

Le meilleur signal est celui que vous n’aurez jamais à examiner. Préférez les identifiants temporaires issus de rôles IAM aux clés à long terme, recherchez les secrets dans les dépôts et renouvelez régulièrement les clés.

Moins de clés à long terme signifie moins de possibilités de fuite et une surface réduite pour l’apparition de ces détections.

Un seul signal peut être bénin : ensemble, ils confirment une compromission. Une détection provenant d’une nouvelle région, un pic de coûts et des modifications IAM effectuées avec la même clé forment un schéma évident.

Utilisez Security Hub et Detective pour mettre les signaux en corrélation entre les services et transformer des alertes dispersées en une conclusion unique et fiable concernant un identifiant divulgué.

Repérez le signal de fuite le plus fort.

Les clés d’accès à long terme divulguées constituent un vecteur majeur de compromission AWS. Surveillez les détections d’identifiants de GuardDuty, les courriels d’abus d’AWS, les appels provenant de nouvelles régions, les pics de coûts liés au minage de cryptomonnaies, l’élévation de privilèges IAM et les séries d’erreurs d’accès refusé. CloudTrail relie l’activité à la clé responsable afin que vous puissiez évaluer l’étendue des dégâts. La meilleure défense consiste à utiliser des identifiants temporaires de rôles et à rechercher les secrets, afin que les fuites se produisent rarement, voire jamais.