Segnali di chiavi di accesso sottratte

Una chiave di accesso IAM è una credenziale a lungo termine, composta da un ID della chiave di accesso e da un segreto, che consente al codice o a un utente di chiamare le API AWS. Se fuoriesce, un attaccante può agire come quell'identità da qualsiasi luogo.

Le chiavi fuoriuscite sono una delle cause più comuni di compromissione di AWS, generalmente perché una chiave è stata inserita nel codice e pubblicata in un repository pubblico.

Le chiavi fuoriescono secondo modalità prevedibili:

• Inserite in un repository GitHub pubblico.
• Incorporate in un'app mobile o lato client.
• Registrate in chiaro o condivise via chat.
• Conservate in un bucket S3 pubblico configurato in modo errato.

Le chiavi a lungo termine sono le credenziali più rischiose proprio perché non scadono automaticamente.

Amazon GuardDuty genera finding specifici per l'uso illecito delle credenziali, come UnauthorizedAccess:IAMUser/InstanceCredentialExfiltration o chiamate API anomale.

Segnala attività come l'uso improvviso di una chiave da un nuovo Paese o da un nodo di uscita Tor: sono forti indizi che la credenziale non si trovi più nelle mani giuste.

AWS analizza proattivamente i siti pubblici alla ricerca di chiavi esposte. Se ne trova una di vostra proprietà, invia una notifica di abuso e potrebbe applicare una policy di quarantena (AWSCompromisedKeyQuarantine) che blocca le azioni pericolose.

Ricevere un'e-mail di questo tipo è un segnale inequivocabile: lo tratti immediatamente come un incidente confermato.

Presti attenzione ai comportamenti che non corrispondono alla normale funzione della chiave:

• Chiamate provenienti da aree geografiche o indirizzi IP sconosciuti.
• Azioni di ricognizione come ListBuckets o DescribeInstances eseguite a orari insoliti.
• Tentativi di creare nuovi utenti IAM o di collegare policy di amministrazione.

Gli attaccanti esplorano l'ambiente prima di sfruttarlo, e questa esplorazione è rilevabile.

Un aumento improvviso della fattura AWS o la comparsa di risorse inattese è un sintomo classico. Gli attaccanti amano avviare grandi flotte di istanze EC2 per il cryptomining.

Gli avvisi di AWS Budgets e Cost Anomaly Detection possono segnalare l'impronta finanziaria che spesso una chiave compromessa lascia dietro di sé.

CloudTrail registra ogni chiamata API, incluso l'ID della chiave di accesso che l'ha effettuata. Filtrare in base a una chiave sospetta rivela esattamente cosa ha fatto l'attaccante e quando.

Esamini l'IP di origine, l'user agent e le azioni chiamate per valutare l'entità del danno e decidere cosa debba essere ruotato o ripristinato.

Un obiettivo comune degli attaccanti è trasformare una chiave con pochi privilegi in un accesso esteso. Presti attenzione alle modifiche IAM: nuovi utenti, nuove chiavi, policy collegate o assunzioni di ruolo.

IAM Access Analyzer e CloudTrail insieme aiutano a individuare un'identità che ha acquisito improvvisamente autorizzazioni che non dovrebbe avere.

Un'ondata di errori access-denied può essere indicativa quanto le chiamate riuscite. Un attaccante che verifica cosa può fare con una chiave rubata genera numerosi errori.

CloudTrail registra anche questi rifiuti, quindi un picco di eventi AccessDenied provenienti da una singola chiave è un segnale d'allarme da esaminare immediatamente.

Il segnale migliore è quello che non dovrà mai analizzare. Preferisca credenziali temporanee ottenute dai ruoli IAM alle chiavi a lungo termine, analizzi i repository alla ricerca di segreti e ruoti regolarmente le chiavi.

Meno chiavi a lungo termine significano meno possibilità di fuoriuscita e una superficie minore in cui questi finding possano comparire.

Un singolo segnale può essere innocuo; insieme, i segnali confermano una compromissione. Un finding proveniente da una nuova area geografica, un picco dei costi e modifiche IAM effettuate con la stessa chiave formano un pattern chiaro.

Utilizzi Security Hub e Detective per correlare i segnali tra i servizi, trasformando avvisi frammentari in una conclusione unica e affidabile su una credenziale fuoriuscita.

Individui il segnale più forte di una fuoriuscita.

Le chiavi di accesso a lungo termine fuoriuscite sono uno dei principali vettori di compromissione di AWS. Presti attenzione ai finding sulle credenziali di GuardDuty, alle e-mail di abuso di AWS, alle chiamate provenienti da nuove aree geografiche, ai picchi dei costi dovuti al cryptomining, all'escalation dei privilegi IAM e alle raffiche di errori di accesso negato. CloudTrail collega l'attività alla chiave responsabile, consentendoLe di valutarne l'entità. La difesa migliore consiste nell'usare credenziali temporanee dei ruoli e nell'analizzare la presenza di segreti, così le fuoriuscite si verificano molto più raramente.