Отзыв и замена раскрытых секретов

После подтверждения утечки учётных данных важна скорость, но важен и порядок действий. Резкое отключение ключа может нарушить работу рабочей среды, если сначала не понять, что от него зависит.

Цель — перекрыть доступ злоумышленнику и сохранить работу легитимных нагрузок, желательно в рамках одной отрепетированной последовательности.

Первое действие при утечке ключа доступа — деактивировать его, а не удалять. Немедленная установка статуса ключа Inactive прекращает его работу.

Сохранение ключа в неактивном состоянии позволяет пока использовать его для криминалистического сопоставления в CloudTrail. Удаляйте его только после завершения расследования.

Для легитимного использования замена ключа означает выпуск нового ключа доступа, обновление всех мест, где использовался старый, и последующую деактивацию скомпрометированного ключа.

Такой порядок предотвращает простой: новые учётные данные начинают работать до отключения старых. Сначала обязательно убедитесь, что приложение работает с новым ключом.

Деактивация долгосрочного ключа не прекращает действие временных учётных данных, которые он мог уже создать. Для ролей используйте функцию IAM отзыва сеансов, которая присоединяет запрещающую политику на основе времени отсечения выдачи токенов.

Это делает недействительными все активные сеансы, созданные до этого момента, и захлопывает дверь перед учётными данными, уже попавшими к злоумышленнику.

До замены ключа выясните, где находится секрет. CloudTrail показывает, какие службы и IP-адреса использовали ключ.

Секрет, жёстко прописанный во множестве мест, как раз и демонстрирует опасность такого подхода. Составление списка всех потребителей гарантирует, что замена не оставит забытую систему неработоспособной и не позволит копии секрета продолжить использоваться.

AWS Secrets Manager хранит секреты, например пароли баз данных и ключи API, и может автоматически менять их по расписанию с помощью функции Lambda.

Автоматическая замена означает, что у утёкшего секрета короткий срок полезного использования, а приложения получают текущее значение во время работы вместо хранения устаревшей жёстко прописанной копии.

Одна утёкшая учётная запись часто открывает доступ к другим. Если злоумышленник использовал ключ для чтения базы данных, пароли этой базы данных также могли быть скомпрометированы.

Заменяйте и зависимые секреты. Продумайте всю цепочку: каждый секрет, к которому злоумышленник мог получить доступ, следует считать раскрытым и заменить.

Если AWS обнаруживает раскрытие ключа, служба может присоединить к пользователю политику изоляции скомпрометированного ключа AWS, запрещающую высокорисковые действия, но оставляющую возможность расследования.

Не следует просто отсоединять её и двигаться дальше. Считайте её сигналом о том, что вы всё ещё должны выполнить настоящее устранение последствий — деактивацию, замену и проверку.

Замена ключа прекращает будущие злоупотребления, но не устраняет прошлый ущерб. Используйте CloudTrail, чтобы перечислить каждое действие, выполненное скомпрометированными учётными данными.

Откатите вредоносные изменения: удалите посторонних пользователей IAM, удалите ключи для скрытого доступа и уничтожьте ресурсы, созданные злоумышленником. Сдерживание угрозы и очистка — это отдельные необходимые этапы.

После восстановления снизьте будущие риски. Замените долгосрочные ключи временными учётными данными на основе ролей, включите автоматическую замену секретов и добавьте сканирование секретов в конвейер CI/CD.

Самое эффективное исправление имеет архитектурный характер: если нет статического секрета, который можно украсть, злоумышленнику нечего искать.

Устранение последствий не завершено, пока оно не задокументировано. Запишите, какие учётные данные были заменены, что сделал злоумышленник и какие изменения были отменены.

Уведомите заинтересованных лиц, указанных в вашем руководстве по реагированию, а если были раскрыты регулируемые данные, выполните обязательства по уведомлению о взломе. Чёткая запись превращает инцидент в урок и помогает пройти последующие аудиты.

Выберите правильное первое действие.

Чтобы устранить последствия утечки учетных данных, деактивируйте ключ доступа, сохранив его для криминалистического анализа, перейдите на новый ключ без простоя и отзовите активные сеансы ролей, чтобы отключить уже выданные временные учетные данные. Сначала определите всех потребителей, замените секреты в зависимых системах, к которым мог получить доступ злоумышленник, и отмените вредоносные изменения на основе данных CloudTrail. Используйте Secrets Manager для автоматической замены ключей и перейдите на временные учетные данные на основе ролей, чтобы предотвратить повторные инциденты.