Tegn på lekkede tilgangsnøkler

En IAM-tilgangsnøkkel er en langsiktig legitimasjon – en tilgangsnøkkel-ID og en hemmelig nøkkel – som lar kode eller en bruker kalle AWS-API-er. Hvis den lekker, kan en angriper opptre som denne identiteten fra hvor som helst.

Lekkede nøkler er en av de vanligste årsakene til AWS-sikkerhetsbrudd, vanligvis fordi en nøkkel ble hardkodet og sendt til et offentlig repositorium.

Nøkler lekker på forutsigbare måter:

• Commitet til et offentlig GitHub-repositorium.
• Bygget inn i en mobilapp eller klientapplikasjon.
• Logget i klartekst eller delt i chat.
• Lagret i en feilkonfigurert offentlig S3-bøtte.

Langsiktige nøkler er den mest risikable typen legitimasjon nettopp fordi de ikke utløper av seg selv.

Amazon GuardDuty oppretter spesifikke funn for misbruk av legitimasjon, som UnauthorizedAccess:IAMUser/InstanceCredentialExfiltration eller unormale API-kall.

Det flagger aktivitet som at en nøkkel plutselig brukes fra et nytt land eller en Tor-utgangsnode – sterke signaler om at legitimasjonen ikke lenger er i de rette hendene.

AWS skanner proaktivt offentlige nettsteder etter eksponerte nøkler. Hvis de finner en av Deres, sender de et misbruksvarsel og kan bruke en karantenepolicy (AWSCompromisedKeyQuarantine) som blokkerer farlige handlinger.

En slik e-post er et entydig tegn: Behandle det umiddelbart som en bekreftet hendelse.

Se etter atferd som ikke passer med nøkkelens normale oppgave:

• Kall fra ukjente regioner eller IP-adresser.
• Rekognoseringshandlinger som ListBuckets eller DescribeInstances på uvanlige tidspunkter.
• Forsøk på å opprette nye IAM-brukere eller knytte administratorpolicyer.

Angripere utforsker før de utnytter, og denne utforskingen kan oppdages.

En plutselig økning i AWS-regningen eller uventede ressurser er et klassisk symptom. Angripere liker å starte store flåter av EC2-instanser for kryptoutvinning.

Varsler fra AWS Budgets og Cost Anomaly Detection kan advare Dem om det økonomiske fingeravtrykket en kompromittert nøkkel ofte etterlater.

CloudTrail registrerer hvert API-kall, inkludert tilgangsnøkkel-ID-en som utførte det. Filtrering på en mistenkelig nøkkel viser nøyaktig hva angriperen gjorde, og når.

Se på kilde-IP-en, brukeragenten og handlingene som ble kalt, for å avgrense skadeomfanget og avgjøre hva som må roteres eller rulles tilbake.

Et vanlig mål for angripere er å gjøre en nøkkel med få privilegier om til bred tilgang. Se etter IAM-endringer: nye brukere, nye nøkler, tilknyttede policyer eller antakelse av roller.

IAM Access Analyzer og CloudTrail hjelper Dem samlet med å oppdage en identitet som plutselig fikk rettigheter den ikke skulle ha.

En bølge av access-denied-feil kan være like avslørende som vellykkede kall. En angriper som undersøker hva en stjålet nøkkel kan gjøre, genererer mange feil.

CloudTrail logger også disse avvisningene, så en økning i AccessDenied-hendelser fra én nøkkel er et rødt flagg som bør undersøkes umiddelbart.

Det beste signalet er det De aldri trenger å lese. Foretrekk midlertidige legitimasjoner fra IAM-roller fremfor langsiktige nøkler, skann repositorier etter hemmeligheter og roter nøkler regelmessig.

Færre langsiktige nøkler betyr færre måter å lekke på og en mindre flate der disse funnene kan oppstå i utgangspunktet.

Ett signal alene kan være ufarlig; samlet bekrefter de en kompromittering. Et funn fra en ny region, en kostnadsøkning og IAM-endringer fra samme nøkkel danner et tydelig mønster.

Bruk Security Hub og Detective til å korrelere signaler på tvers av tjenester, slik at spredte varsler blir til en samlet, sikker konklusjon om en lekket legitimasjon.

Lekkede langsiktige tilgangsnøkler er en av de viktigste angrepsvektorene ved AWS-sikkerhetsbrudd. Se etter GuardDuty-funn om legitimasjon, AWS-varsler om misbruk, kall fra nye regioner, kostnadsøkninger på grunn av kryptoutvinning, privilegieeskalering i IAM og bølger av avviste kall. CloudTrail knytter aktiviteten til den aktuelle nøkkelen, slik at De kan avgrense skadeomfanget. Det beste forsvaret er å bruke midlertidige rolletilknyttede legitimasjoner og skanne etter hemmeligheter, slik at lekkasjer sjelden oppstår i det hele tatt.