Признаки утечки ключей доступа

Ключ доступа IAM — это долгосрочные учётные данные, состоящие из идентификатора ключа доступа и секрета, которые позволяют коду или пользователю вызывать API AWS. При утечке злоумышленник может действовать от имени этой идентичности из любой точки мира.

Утёкшие ключи — одна из самых распространённых причин взломов AWS, обычно потому, что ключ был жёстко прописан в коде и отправлен в общедоступный репозиторий.

Ключи обычно становятся доступными следующими предсказуемыми способами:

• Добавляются в общедоступный репозиторий GitHub.
• Встраиваются в мобильное приложение или приложение на стороне клиента.
• Записываются в журнал в открытом виде или передаются через чат.
• Хранятся в неправильно настроенной общедоступной корзине S3.

Долгосрочные ключи наиболее опасны именно потому, что не истекают автоматически.

Amazon GuardDuty создаёт специальные обнаружения злоупотребления учётными данными, например UnauthorizedAccess:IAMUser/InstanceCredentialExfiltration, а также аномальных вызовов API.

Он отмечает такую активность, как внезапное использование ключа из новой страны или через выходной узел Tor, — это сильные признаки того, что ключ оказался не в тех руках.

AWS проактивно сканирует общедоступные сайты на наличие раскрытых ключей. Если обнаруживается один из ваших ключей, AWS отправляет уведомление о злоупотреблении и может применить политику изоляции, блокирующую опасные действия.

Получение такого письма — однозначный признак: немедленно считайте это подтверждённым инцидентом.

Следите за поведением, которое не соответствует обычной задаче ключа:

• Вызовы из незнакомых регионов или с неизвестных IP-адресов.
• Разведывательные действия, такие как ListBuckets или DescribeInstances, в необычное время.
• Попытки создать новых пользователей IAM или присоединить административные политики.

Злоумышленники проводят разведку до эксплуатации, и эту разведку можно обнаружить.

Внезапный рост счёта AWS или появление неожиданных ресурсов — классический симптом. Злоумышленники любят запускать большие группы экземпляров EC2 для майнинга криптовалюты.

Оповещения AWS Budgets и обнаружение аномалий затрат могут предупредить о финансовом следе, который часто оставляет скомпрометированный ключ.

CloudTrail записывает каждый вызов API, включая идентификатор ключа доступа, с которого он был выполнен. Фильтрация по подозрительному ключу точно показывает, что и когда сделал злоумышленник.

Изучите исходный IP-адрес, пользовательский агент и вызванные действия, чтобы определить масштаб ущерба и решить, что необходимо заменить или откатить.

Распространённая цель злоумышленника — превратить ключ с низкими привилегиями в средство широкого доступа. Следите за изменениями IAM: новыми пользователями, ключами, присоединёнными политиками или принятием ролей.

IAM Access Analyzer и CloudTrail вместе помогают заметить идентичность, которая внезапно получила полномочия, которых у неё быть не должно.

Всплеск ошибок отказа в доступе может быть столь же показательным, как и успешные вызовы. Злоумышленник, проверяющий возможности украденного ключа, порождает множество неудачных попыток.

CloudTrail также записывает эти отказы, поэтому всплеск событий AccessDenied от одного ключа — тревожный сигнал, который нужно немедленно расследовать.

Лучший сигнал — тот, который вам никогда не придётся читать. Предпочитайте временные учётные данные ролей IAM долгосрочным ключам, сканируйте репозитории на наличие секретов и регулярно меняйте ключи.

Чем меньше долгосрочных ключей, тем меньше способов для их утечки и тем меньше поверхность, на которой такие обнаружения могут появиться.

Один сигнал может быть безобидным, но вместе они подтверждают взлом. Обнаружение из нового региона, всплеск затрат и изменения IAM, выполненные с одного ключа, образуют ясную картину.

Используйте Security Hub и Detective, чтобы сопоставлять сигналы между службами и превращать разрозненные оповещения в единый обоснованный вывод об утёкших учётных данных.

Определите наиболее сильный сигнал утечки.

Утёкшие долгосрочные ключи доступа — один из главных векторов взлома AWS. Следите за обнаружениями GuardDuty, связанными с учётными данными, уведомлениями AWS о злоупотреблении, вызовами из новых регионов, всплесками затрат из-за майнинга криптовалюты, повышением привилегий IAM и сериями ошибок отказа в доступе. CloudTrail связывает активность с нарушившим правила ключом, позволяя определить масштаб ущерба. Лучшая защита — использовать временные учётные данные ролей и сканировать системы на наличие секретов, чтобы утечки вообще происходили как можно реже.