Tanda-Tanda Access Key Bocor

Kunci akses IAM adalah kredensial jangka panjang — ID kunci akses dan rahasia — yang memungkinkan kode atau pengguna memanggil API AWS. Jika bocor, penyerang dapat bertindak sebagai identitas tersebut dari mana saja.

Kunci yang bocor merupakan salah satu jenis pembobolan AWS yang paling umum, biasanya karena kunci ditulis langsung dalam kode lalu dikirim ke repositori publik.

Kunci dapat keluar melalui cara-cara yang mudah diperkirakan:

• Dikirim ke repositori GitHub publik.
• Disematkan dalam aplikasi seluler atau aplikasi sisi klien.
• Dicatat dalam teks biasa atau dibagikan melalui obrolan.
• Disimpan dalam bucket S3 publik yang salah konfigurasinya.

Kunci jangka panjang adalah kredensial yang paling berisiko, tepatnya karena tidak kedaluwarsa dengan sendirinya.

Amazon GuardDuty menghasilkan temuan khusus untuk penyalahgunaan kredensial, seperti UnauthorizedAccess:IAMUser/InstanceCredentialExfiltration atau panggilan API yang tidak wajar.

Layanan ini menandai aktivitas seperti kunci yang tiba-tiba digunakan dari negara baru atau simpul keluar Tor — sinyal kuat bahwa kredensial tersebut tidak lagi berada di tangan yang semestinya.

AWS secara proaktif memindai situs publik untuk mencari kunci yang terekspos. Jika menemukan salah satu kunci Anda, AWS mengirimkan pemberitahuan penyalahgunaan dan mungkin menerapkan kebijakan karantina (AWSCompromisedKeyQuarantine) yang memblokir tindakan berbahaya.

Menerima email semacam itu merupakan tanda yang tidak terbantahkan: segera perlakukan sebagai insiden yang telah terkonfirmasi.

Perhatikan perilaku yang tidak sesuai dengan tugas normal kunci tersebut:

• Panggilan dari wilayah atau alamat IP yang tidak dikenal.
• Tindakan pengintaian seperti ListBuckets atau DescribeInstances pada jam-jam yang tidak wajar.
• Percobaan membuat pengguna IAM baru atau melampirkan kebijakan administrator.

Penyerang melakukan eksplorasi sebelum mengeksploitasi, dan eksplorasi itu dapat terdeteksi.

Kenaikan mendadak tagihan AWS atau munculnya sumber daya yang tidak diharapkan merupakan gejala klasik. Penyerang senang menjalankan banyak armada instans EC2 berukuran besar untuk penambangan kripto.

Peringatan AWS Budgets dan Cost Anomaly Detection dapat memberi tahu Anda tentang jejak finansial yang sering ditinggalkan oleh kunci yang disusupi.

CloudTrail mencatat setiap panggilan API, termasuk ID kunci akses yang melakukannya. Memfilter berdasarkan kunci yang dicurigai akan mengungkap dengan tepat apa yang dilakukan penyerang dan kapan tindakan itu dilakukan.

Periksa IP sumber, agen pengguna, dan tindakan yang dipanggil untuk menentukan cakupan kerusakan serta memutuskan apa yang perlu diganti atau dikembalikan.

Salah satu tujuan umum penyerang adalah mengubah kunci dengan hak akses rendah menjadi akses yang luas. Perhatikan perubahan IAM: pengguna baru, kunci baru, kebijakan yang dilampirkan, atau penggunaan peran.

IAM Access Analyzer dan CloudTrail bersama-sama membantu Anda menemukan identitas yang tiba-tiba memperoleh wewenang yang seharusnya tidak dimilikinya.

Ledakan kesalahan akses ditolak dapat sama informatifnya dengan panggilan yang berhasil. Penyerang yang menyelidiki kemampuan kunci curian akan menghasilkan banyak kegagalan.

CloudTrail juga mencatat penolakan ini, sehingga lonjakan peristiwa AccessDenied dari satu kunci merupakan tanda bahaya yang patut segera diselidiki.

Sinyal terbaik adalah sinyal yang tidak perlu Anda baca. Utamakan kredensial sementara dari peran IAM daripada kunci jangka panjang, pindai repositori untuk mencari rahasia, dan ganti kunci secara rutin.

Semakin sedikit kunci jangka panjang, semakin sedikit pula cara untuk membocorkannya dan semakin kecil permukaan yang memungkinkan temuan ini muncul sejak awal.

Satu sinyal saja mungkin tidak berbahaya; jika digabungkan, sinyal-sinyal tersebut mengonfirmasi pembobolan. Temuan dari wilayah baru, lonjakan biaya, dan perubahan IAM dari kunci yang sama membentuk pola yang jelas.

Gunakan Security Hub dan Detective untuk mengorelasikan sinyal di berbagai layanan, sehingga peringatan yang tersebar menjadi satu kesimpulan yang meyakinkan tentang kredensial yang bocor.

Temukan sinyal kebocoran yang paling kuat.

Kunci akses jangka panjang yang bocor merupakan salah satu jalur utama pembobolan AWS. Waspadai temuan kredensial GuardDuty, email penyalahgunaan dari AWS, panggilan dari wilayah baru, lonjakan biaya akibat penambangan kripto, eskalasi hak akses IAM, dan ledakan kesalahan akses ditolak. CloudTrail mengaitkan aktivitas dengan kunci yang bermasalah sehingga Anda dapat menentukan cakupan kerusakan. Pertahanan terbaik adalah menggunakan kredensial peran sementara dan memindai rahasia, sehingga kebocoran jarang terjadi sejak awal.