Mencabut dan Merotasi Secret yang Terbuka

Setelah kredensial dipastikan bocor, kecepatan sangat penting — tetapi urutan tindakan juga penting. Menonaktifkan kunci secara tiba-tiba dapat mengganggu produksi jika Anda belum memahami apa saja yang bergantung padanya.

Tujuannya adalah menghentikan penyerang sambil menjaga beban kerja yang sah tetap berjalan, idealnya dalam satu rangkaian tindakan yang telah dilatih.

Langkah pertama untuk kunci akses yang bocor adalah menonaktifkannya, bukan menghapusnya. Mengatur status kunci menjadi Inactive akan segera menghentikan fungsinya.

Untuk sementara, mempertahankannya dalam keadaan tidak aktif akan menyimpannya sebagai bahan korelasi forensik di CloudTrail. Hapus kunci hanya setelah penyelidikan selesai.

Untuk penggunaan yang sah, penggantian kunci berarti menerbitkan kunci akses baru, memperbarui setiap tempat yang menggunakan kunci lama, lalu menonaktifkan kunci yang disusupi.

Melakukannya dalam urutan tersebut mencegah gangguan: kredensial baru sudah aktif sebelum yang lama dimatikan. Selalu pastikan aplikasi berfungsi dengan kunci baru terlebih dahulu.

Menonaktifkan kunci jangka panjang tidak menghentikan kredensial sementara yang mungkin sudah dibuatnya. Untuk peran, gunakan fitur IAM pencabutan sesi, yang melampirkan kebijakan penolakan berdasarkan waktu batas penerbitan token.

Hal ini membatalkan setiap sesi aktif yang lebih lama dari waktu tersebut, sehingga menutup rapat akses menggunakan kredensial yang sudah berada di tangan penyerang.

Sebelum mengganti kunci, cari tahu di mana rahasia tersebut berada. CloudTrail menunjukkan layanan dan IP mana yang menggunakan kunci itu.

Rahasia yang ditulis langsung dalam kode di banyak tempat menunjukkan dengan tepat mengapa praktik tersebut berbahaya. Memetakan setiap pengguna memastikan penggantian kunci tidak membuat sistem yang terlupakan rusak atau meninggalkan salinan rahasia yang masih aktif.

AWS Secrets Manager menyimpan rahasia seperti kata sandi basis data dan kunci API, serta dapat menggantinya secara otomatis sesuai jadwal menggunakan fungsi Lambda.

Penggantian otomatis berarti rahasia yang bocor hanya memiliki masa guna yang singkat, sementara aplikasi mengambil nilai terbaru saat berjalan alih-alih menyimpan salinan lama yang ditulis langsung dalam kode.

Satu kredensial yang bocor sering kali membuka akses ke kredensial lain. Jika penyerang menggunakan kunci untuk membaca basis data, kata sandi basis data tersebut mungkin juga telah disusupi.

Ganti juga rahasia di sistem hilir. Telusuri rantainya: setiap rahasia yang mungkin disentuh penyerang harus dianggap terekspos dan diganti.

Jika AWS mendeteksi paparan, AWS mungkin melampirkan AWSCompromisedKeyQuarantineV2 kepada pengguna, yang menolak tindakan berisiko tinggi sambil tetap memungkinkan Anda melakukan penyelidikan.

Jangan sekadar melepaskannya lalu melanjutkan. Perlakukan kebijakan tersebut sebagai tanda bahwa perbaikan nyata — penonaktifan, penggantian, dan peninjauan — masih harus Anda selesaikan.

Penggantian kunci menghentikan penyalahgunaan di masa mendatang, tetapi tidak membatalkan kerusakan yang telah terjadi. Gunakan CloudTrail untuk mencantumkan setiap tindakan yang dilakukan kredensial yang disusupi.

Kembalikan perubahan berbahaya: hapus pengguna IAM ilegal, hapus kunci pintu belakang, dan hancurkan sumber daya yang dibuat penyerang. Penahanan dan pembersihan adalah dua langkah terpisah yang sama-sama diperlukan.

Setelah pemulihan, kurangi risiko di masa mendatang. Ganti kunci jangka panjang dengan kredensial sementara berbasis peran, aktifkan penggantian rahasia otomatis, dan tambahkan pemindaian rahasia ke alur CI/CD Anda.

Perbaikan terkuat bersifat arsitektural: jika tidak ada rahasia statis yang dapat dibocorkan, tidak ada apa pun yang dapat ditemukan penyerang.

Perbaikan belum selesai sampai semuanya dicatat. Dokumentasikan kredensial yang diganti, tindakan penyerang, dan hal-hal yang dikembalikan.

Beri tahu pemangku kepentingan yang tercantum dalam panduan operasional Anda, dan jika data yang diatur peraturan terekspos, ikuti kewajiban pemberitahuan pembobolan yang berlaku. Catatan yang jelas mengubah insiden menjadi pembelajaran dan memenuhi kebutuhan audit berikutnya.

Pilih tindakan pertama yang benar.

Untuk menangani kredensial yang bocor, nonaktifkan kunci akses tersebut (sambil mempertahankannya untuk keperluan forensik), rotasikan ke kunci baru tanpa menyebabkan gangguan, dan cabut sesi peran aktif untuk menghentikan kredensial sementara yang sudah diterbitkan. Petakan setiap konsumen terlebih dahulu, rotasikan rahasia di sistem hilir yang mungkin telah dijangkau penyerang, dan kembalikan perubahan berbahaya berdasarkan CloudTrail. Gunakan Pengelola Rahasia untuk rotasi otomatis dan beralihlah ke kredensial sementara berbasis peran untuk mencegah kejadian berulang.