Oznaki wycieku kluczy dostępu

IAM access key to długoterminowe dane uwierzytelniające — identyfikator klucza dostępu i jego sekret — które pozwalają kodowi lub użytkownikowi wywoływać interfejsy API AWS. Jeśli wyciekną, atakujący może działać jako dana tożsamość z dowolnego miejsca.

Wyciek kluczy jest jedną z najczęstszych przyczyn naruszeń AWS, zwykle dlatego, że klucz został wpisany na stałe w kod i przesłany do publicznego repozytorium.

Klucze wyciekają w przewidywalny sposób:

• Dodanie do publicznego repozytorium GitHub.
• Umieszczenie w aplikacji mobilnej lub po stronie klienta.
• Zapisanie w postaci jawnego tekstu w logach lub udostępnienie na czacie.
• Przechowywanie w nieprawidłowo skonfigurowanym publicznym zasobniku S3.

Klucze długoterminowe są najbardziej ryzykownymi danymi uwierzytelniającymi właśnie dlatego, że nie wygasają samoczynnie.

Amazon GuardDuty generuje konkretne wyniki dotyczące nadużycia danych uwierzytelniających, takie jak UnauthorizedAccess:IAMUser/InstanceCredentialExfiltration lub anomalne wywołania API.

Wykrywa aktywność taką jak nagłe użycie klucza z nowego kraju lub węzła wyjściowego Tor — to silne sygnały, że dane uwierzytelniające nie znajdują się już we właściwych rękach.

AWS aktywnie skanuje publiczne strony w poszukiwaniu ujawnionych kluczy. Jeśli znajdzie klucz należący do Ciebie, wyśle powiadomienie o nadużyciu i może zastosować zasadę kwarantanny (AWSCompromisedKeyQuarantine), która blokuje niebezpieczne działania.

Otrzymanie takiej wiadomości e-mail to jednoznaczny sygnał: natychmiast potraktuj tę sytuację jako potwierdzony incydent.

Obserwuj zachowania, które nie pasują do zwykłego zastosowania klucza:

• Wywołania z nieznanych regionów lub adresów IP.
• Działania rozpoznawcze, takie jak ListBuckets lub DescribeInstances, wykonywane o nietypowych porach.
• Próby tworzenia nowych użytkowników IAM lub dołączania zasad administratora.

Atakujący przeprowadzają rozpoznanie przed atakiem, a takie działania można wykryć.

Nagły wzrost rachunku AWS lub pojawienie się nieoczekiwanych zasobów to klasyczny objaw. Atakujący chętnie uruchamiają duże floty instancji EC2 do kopania kryptowalut.

Alerty AWS Budgets i Cost Anomaly Detection mogą ostrzec Cię o finansowym śladzie, który często pozostawia przejęty klucz.

CloudTrail rejestruje każde wywołanie API, w tym identyfikator klucza dostępu, który je wykonał. Filtrowanie według podejrzanego klucza pokazuje dokładnie, co i kiedy zrobił atakujący.

Sprawdź źródłowy adres IP, agenta użytkownika i wywołane działania, aby określić zakres szkód oraz zdecydować, co należy poddać rotacji lub wycofać.

Częstym celem atakującego jest przekształcenie klucza o niskich uprawnieniach w dostęp o szerokim zakresie. Obserwuj zmiany w IAM: nowych użytkowników, nowe klucze, dołączone zasady lub przyjmowanie ról.

IAM Access Analyzer i CloudTrail wspólnie pomagają wykryć tożsamość, która nagle uzyskała uprawnienia, których nie powinna mieć.

Seria błędów access-denied może być równie wymowna jak udane wywołania. Atakujący sprawdzający, co może zrobić skradziony klucz, generuje wiele niepowodzeń.

CloudTrail rejestruje również te odmowy, więc nagły wzrost zdarzeń AccessDenied pochodzących z jednego klucza to sygnał ostrzegawczy, który należy natychmiast zbadać.

Najlepszy sygnał to taki, którego nigdy nie trzeba analizować. Zamiast kluczy długoterminowych preferuj tymczasowe dane uwierzytelniające z ról IAM, skanuj repozytoria w poszukiwaniu sekretów i regularnie rotuj klucze.

Mniej kluczy długoterminowych oznacza mniej sposobów na wyciek i mniejszą powierzchnię, na której takie wyniki mogą się w ogóle pojawić.

Pojedynczy sygnał może być niegroźny, ale wszystkie razem potwierdzają naruszenie. Wynik z nowego regionu, skok kosztów i zmiany w IAM wykonane przy użyciu tego samego klucza tworzą wyraźny wzorzec.

Użyj Security Hub i Detective, aby korelować sygnały między usługami i przekształcić rozproszone alerty w jedno, pewne rozpoznanie wycieku danych uwierzytelniających.

Wskaż najsilniejszy sygnał wycieku.

Wyciek długoterminowych kluczy dostępu jest jednym z głównych wektorów naruszeń AWS. Obserwuj wyniki GuardDuty dotyczące danych uwierzytelniających, wiadomości e-mail o nadużyciu od AWS, wywołania z nowych regionów, skoki kosztów spowodowane kopaniem kryptowalut, eskalację uprawnień IAM oraz serie błędów odmowy dostępu. CloudTrail wiąże aktywność z konkretnym kluczem, dzięki czemu możesz określić zakres szkód. Najlepszą ochroną jest używanie tymczasowych danych uwierzytelniających ról i skanowanie w poszukiwaniu sekretów, aby do wycieków w ogóle dochodziło jak najrzadziej.