Ortaya Çıkan Gizli Bilgileri İptal Etme ve Yenileme

Bir kimlik bilgisinin sızdığı doğrulandığında hız önemlidir; ancak sıralama da önemlidir. Bir anahtarı aniden devre dışı bırakmak, önce ona neyin bağlı olduğunu anlamazsanız üretimi bozabilir.

Amaç, meşru iş yüklerini çalışır durumda tutarken saldırganın erişimini kesmek ve bunu mümkünse önceden prova edilmiş tek bir sırayla gerçekleştirmektir.

Sızdırılmış bir erişim anahtarı için ilk adım onu silmek değil, devre dışı bırakmaktır. Anahtarın durumunu Inactive olarak ayarlamak, çalışmasını hemen durdurur.

Şimdilik anahtarı (devre dışı olarak) tutmak, CloudTrail'de adli ilişkilendirme yapılabilmesi için onu korur. Anahtarı yalnızca inceleme tamamlandıktan sonra silin.

Meşru kullanımlar için yenileme, yeni bir erişim anahtarı oluşturmak, eski anahtarı kullanan her yeri güncellemek ve ardından ele geçirilmiş anahtarı devre dışı bırakmak anlamına gelir.

Bu sırayı izlemek kesintiyi önler: eski kimlik bilgisi kapatılmadan önce yeni kimlik bilgisi etkin olur. Uygulamanın yeni anahtarla çalıştığını her zaman önce doğrulayın.

Uzun süreli bir anahtarı devre dışı bırakmak, onun daha önce oluşturmuş olabileceği geçici kimlik bilgilerini sonlandırmaz. Roller için IAM'in oturumları iptal et özelliğini kullanın. Bu özellik, belirteç oluşturma zamanından önceye dayanan bir ret ilkesi ekler.

Bu işlem, o andan daha eski tüm etkin oturumları geçersiz kılar ve saldırganın elindeki kimlik bilgilerinin kullanımını kesin olarak durdurur.

Yenilemeden önce gizli bilginin nerede bulunduğunu öğrenin. CloudTrail, anahtarı hangi hizmetlerin ve IP'lerin kullandığını gösterir.

Birçok yere sabit kodlanmış gizli bilgi, sabit kodlamanın neden tehlikeli olduğunu açıkça gösterir. Her tüketiciyi haritalamak, yenilemenin unutulmuş bir sistemi bozmasını veya gizli bilginin bir kopyasının hâlâ kullanılmasını önler.

AWS Secrets Manager, veritabanı parolaları ve API anahtarları gibi gizli bilgileri saklar ve bunları bir Lambda işlevi kullanarak belirli bir zamanlamaya göre otomatik olarak yenileyebilir.

Otomatik yenileme, sızdırılmış bir gizli bilginin kısa bir kullanım ömrü olmasını sağlar; uygulamalar güncel değeri çalışma zamanında alır ve eski, sabit kodlanmış bir kopyayı tutmaz.

Tek bir sızdırılmış kimlik bilgisi çoğu zaman başkalarının da kilidini açar. Saldırgan bir veritabanını okumak için anahtar kullandıysa veritabanı parolaları da ele geçirilmiş olabilir.

Alt düzeydeki gizli bilgileri de yenileyin. Zinciri baştan sona düşünün: saldırganın erişmiş olabileceği her gizli bilgi açığa çıkmış kabul edilmeli ve değiştirilmelidir.

AWS bir açığa çıkma durumu tespit ederse kullanıcıya AWSCompromisedKeyQuarantineV2 ekleyebilir. Bu, inceleme yapmaya devam etmenize izin verirken yüksek riskli eylemleri reddeder.

İlkeyi yalnızca kaldırıp devam etmeyin. Bunu, gerçek düzeltme işlemlerinin — devre dışı bırakma, yenileme ve incelemenin — hâlâ sizin tarafınızdan tamamlanması gerektiğini gösteren bir işaret olarak ele alın.

Yenileme gelecekteki kötüye kullanımı durdurur, ancak geçmişteki zararı geri almaz. Ele geçirilmiş kimlik bilgisinin gerçekleştirdiği her eylemi listelemek için CloudTrail'i kullanın.

Kötü amaçlı değişiklikleri geri alın: izinsiz IAM kullanıcılarını silin, arka kapı anahtarlarını kaldırın ve saldırganın oluşturduğu kaynakları ortadan kaldırın. Sınırlama ve temizlik ayrı ve gerekli adımlardır.

Kurtarma sonrasında gelecekteki riski azaltın. Uzun süreli anahtarları rol tabanlı geçici kimlik bilgileriyle değiştirin, otomatik gizli bilgi yenilemeyi etkinleştirin ve CI/CD işlem hattınıza gizli bilgi taraması ekleyin.

En güçlü çözüm mimariden gelir: sızdırılabilecek statik bir gizli bilgi yoksa saldırganın bulabileceği hiçbir şey de yoktur.

Düzeltme işlemleri kayda geçirilene kadar tamamlanmış sayılmaz. Hangi kimlik bilgilerinin yenilendiğini, saldırganın ne yaptığını ve nelerin geri alındığını belgeleyin.

Çalıştırma kılavuzunuzda listelenen paydaşları bilgilendirin ve düzenlemeye tabi veriler açığa çıktıysa ihlal bildirim yükümlülüklerinizi yerine getirin. Açık bir kayıt, olayı bir derse dönüştürür ve sonraki denetimleri karşılamanızı sağlar.

Sızdırılmış bir kimlik bilgisini düzeltmek için erişim anahtarını devre dışı bırakın (adli inceleme amacıyla saklayarak), kesinti yaşanmaması için yeni bir anahtara geçiş yapın ve daha önce verilmiş geçici kimlik bilgilerini geçersiz kılmak için etkin rol oturumlarını iptal edin. Önce tüm tüketicileri belirleyin, saldırganın erişmiş olabileceği alt sistemlerdeki gizli bilgileri değiştirin ve CloudTrail üzerinden kötü amaçlı değişiklikleri geri alın. Otomatik anahtar değişimi için Secrets Manager kullanın ve tekrar yaşanmasını önlemek üzere rol tabanlı geçici kimlik bilgilerine geçin.