Revocare e ruotare i secret esposti

Una volta confermata la fuoriuscita di una credenziale, la rapidità è importante, ma lo è anche l'ordine delle operazioni. Disabilitare bruscamente una chiave può interrompere la produzione se prima non comprende cosa dipenda da essa.

L'obiettivo è bloccare l'attaccante mantenendo operativi i carichi di lavoro legittimi, idealmente attraverso un'unica sequenza provata in anticipo.

La prima operazione da eseguire su una chiave di accesso fuoriuscita è disattivarla, non eliminarla. Impostare lo stato della chiave su Inactive ne interrompe immediatamente il funzionamento.

Conservarla, per ora in stato inattivo, permette di usarla per la correlazione forense in CloudTrail. La elimini solo al termine dell'indagine.

Per gli usi legittimi, la rotazione consiste nell'emettere una nuova chiave di accesso, aggiornare ogni punto che utilizzava quella precedente e quindi disattivare la chiave compromessa.

Eseguire le operazioni in quest'ordine evita un'interruzione: la nuova credenziale è attiva prima che quella precedente venga disattivata. Verifichi sempre prima che l'applicazione funzioni con la nuova chiave.

La disattivazione di una chiave a lungo termine non termina le credenziali temporanee che potrebbe aver già generato. Per i ruoli, utilizzi la funzionalità IAM revoke sessions, che collega una policy di negazione basata su un orario limite di emissione del token.

In questo modo invalida ogni sessione attiva precedente a quel momento, chiudendo l'accesso alle credenziali già nelle mani dell'attaccante.

Prima di eseguire la rotazione, scopra dove si trova il segreto. CloudTrail mostra quali servizi e IP hanno utilizzato la chiave.

Un segreto inserito nel codice in molti punti dimostra esattamente perché questa pratica è pericolosa. Mappare ogni utilizzatore garantisce che la rotazione non lasci un sistema dimenticato non funzionante o una copia del segreto ancora attiva.

AWS Secrets Manager conserva segreti come password di database e chiavi API e può ruotarli automaticamente secondo una pianificazione utilizzando una funzione Lambda.

La rotazione automatica fa sì che un segreto fuoriuscito abbia una vita utile breve e che le applicazioni recuperino il valore corrente a runtime invece di conservarne una copia obsoleta inserita nel codice.

Una credenziale fuoriuscita spesso consente di accedere ad altre credenziali. Se un attaccante ha utilizzato una chiave per leggere un database, anche le relative password potrebbero essere compromesse.

Ruoti anche i segreti a valle. Consideri l'intera catena: ogni segreto che l'attaccante potrebbe aver raggiunto deve essere considerato esposto e sostituito.

Se AWS rileva un'esposizione, potrebbe collegare AWSCompromisedKeyQuarantineV2 all'utente, negando le azioni ad alto rischio e lasciandoLe la possibilità di indagare.

Non si limiti a scollegarla per poi ignorare il problema. La consideri un'indicazione che deve ancora completare personalmente la vera bonifica: disattivazione, rotazione e revisione.

La rotazione interrompe gli abusi futuri, ma non annulla i danni già provocati. Utilizzi CloudTrail per elencare ogni azione eseguita dalla credenziale compromessa.

Annulli le modifiche dannose: elimini gli utenti IAM illeciti, rimuova le chiavi di accesso introdotte come backdoor e smantelli le risorse create dall'attaccante. Contenimento e bonifica sono due fasi distinte e necessarie.

Dopo il ripristino, riduca i rischi futuri. Sostituisca le chiavi a lungo termine con credenziali temporanee basate sui ruoli, abiliti la rotazione automatica dei segreti e aggiunga l'analisi dei segreti alla pipeline CI/CD.

La correzione più efficace è architetturale: se non esiste alcun segreto statico da sottrarre, l'attaccante non ha nulla da trovare.

La bonifica non è terminata finché non viene documentata. Registri quali credenziali sono state ruotate, cosa ha fatto l'attaccante e quali modifiche sono state ripristinate.

Informi gli stakeholder indicati dal Suo runbook e, se sono stati esposti dati soggetti a normative, rispetti gli obblighi di notifica della violazione. Una documentazione chiara trasforma l'incidente in una lezione e soddisfa le verifiche successive.

Scelga la prima azione corretta.

Per rimediare a una credenziale divulgata, disattivi la chiave di accesso (conservandola per l'analisi forense), esegua la rotazione passando a una nuova chiave senza interruzioni e revochi le sessioni dei ruoli attive per invalidare le credenziali temporanee già emesse. Prima mappi ogni consumer, esegua la rotazione dei segreti downstream che l'attaccante potrebbe aver raggiunto e annulli le modifiche dannose da CloudTrail. Utilizzi Secrets Manager per la rotazione automatica e passi a credenziali temporanee basate sui ruoli per evitare che il problema si ripeta.