Sızdırılmış Erişim Anahtarlarının Belirtileri

IAM erişim anahtarı, kodun veya bir kullanıcının AWS API'lerini çağırmasını sağlayan uzun süreli bir kimlik bilgisidir; bir erişim anahtarı kimliği ve gizli anahtardan oluşur. Sızarsa saldırgan, her yerden bu kimlik gibi davranabilir.

Sızdırılmış anahtarlar, genellikle bir anahtar sabit kodlanıp herkese açık bir depoya gönderildiği için en yaygın AWS ihlallerinden biridir.

Anahtarlar öngörülebilir yollarla dışarı çıkar:

• Herkese açık bir GitHub deposuna gönderilmesi.
• Mobil veya istemci tarafı bir uygulamaya gömülmesi.
• Düz metin olarak günlüğe kaydedilmesi veya sohbet üzerinden paylaşılması.
• Yanlış yapılandırılmış, herkese açık bir S3 klasöründe saklanması.

Uzun süreli anahtarlar, kendi kendilerine sona ermedikleri için tam da bu nedenle en riskli kimlik bilgileridir.

Amazon GuardDuty, kimlik bilgisi kötüye kullanımı için UnauthorizedAccess:IAMUser/InstanceCredentialExfiltration veya olağan dışı API çağrıları gibi özel bulgular oluşturur.

Bir anahtarın aniden yeni bir ülkeden veya Tor çıkış düğümünden kullanılması gibi etkinlikleri işaretler. Bunlar, kimlik bilgisinin artık doğru kişinin elinde olmadığını gösteren güçlü sinyallerdir.

AWS, açığa çıkmış anahtarlar için herkese açık siteleri proaktif olarak tarar. Anahtarlarınızdan birini bulursa kötüye kullanım bildirimi gönderir ve tehlikeli eylemleri engelleyen bir karantina ilkesi (AWSCompromisedKeyQuarantine) uygulayabilir.

Böyle bir e-posta almanız açıkça bir işarettir: bunu hemen doğrulanmış bir olay olarak ele alın.

Anahtarın normal göreviyle uyuşmayan davranışlara dikkat edin:

• Bilinmeyen bölgelerden veya IP adreslerinden gelen çağrılar.
• Olağan dışı saatlerde ListBuckets veya DescribeInstances gibi keşif eylemleri.
• Yeni IAM kullanıcıları oluşturma veya yönetici ilkeleri ekleme girişimleri.

Saldırganlar istismar etmeden önce keşif yapar ve bu keşif tespit edilebilir.

AWS faturanızda ani bir artış veya beklenmeyen kaynaklar, klasik bir belirtidir. Saldırganlar kripto madenciliği için büyük EC2 örnek filoları başlatmayı sever.

AWS Budgets uyarıları ve Cost Anomaly Detection, ele geçirilmiş bir anahtarın çoğu zaman geride bıraktığı mali iz konusunda sizi uyarabilir.

CloudTrail, çağrıyı yapan erişim anahtarı kimliği de dahil olmak üzere her API çağrısını kaydeder. Şüpheli bir anahtara göre filtreleme yapmak, saldırganın tam olarak ne yaptığını ve ne zaman yaptığını gösterir.

Hasarın kapsamını belirlemek ve nelerin yenilenmesi veya geri alınması gerektiğine karar vermek için kaynak IP'ye, kullanıcı aracısına ve çağrılan eylemlere bakın.

Saldırganların yaygın bir amacı, düşük ayrıcalıklı bir anahtarı geniş erişime dönüştürmektir. IAM değişikliklerine dikkat edin: yeni kullanıcılar, yeni anahtarlar, eklenen ilkeler veya rol üstlenmeleri.

IAM Access Analyzer ve CloudTrail birlikte, aniden sahip olmaması gereken yetkileri kazanan bir kimliği fark etmenize yardımcı olur.

Bir dizi erişim reddedildi hatası, başarılı çağrılar kadar açıklayıcı olabilir. Çalınmış bir anahtarın neler yapabileceğini yoklayan saldırgan çok sayıda başarısız işlem üretir.

CloudTrail bu retleri de günlüğe kaydeder; bu nedenle tek bir anahtardan gelen AccessDenied olaylarındaki artış, hemen incelenmesi gereken bir uyarı işaretidir.

En iyi sinyal, okumak zorunda kalmadığınız sinyaldir. Uzun süreli anahtarlar yerine IAM rollerinden alınan geçici kimlik bilgilerini tercih edin, depoları gizli bilgiler için tarayın ve anahtarları düzenli olarak yenileyin.

Daha az uzun süreli anahtar, sızıntı için daha az yol ve bu bulguların ortaya çıkabileceği daha küçük bir saldırı yüzeyi anlamına gelir.

Tek bir sinyal zararsız olabilir; ancak birlikte bir ihlali doğrularlar. Yeni bir bölgeden gelen bulgu, maliyet artışı ve aynı anahtardan yapılan IAM değişiklikleri açık bir örüntü oluşturur.

Sinyalleri hizmetler arasında ilişkilendirmek için Security Hub ve Detective kullanın; böylece dağınık uyarıları, sızdırılmış bir kimlik bilgisi hakkında tek ve güvenilir bir sonuca dönüştürün.

En güçlü sızıntı sinyalini bulun.

Sızdırılmış uzun süreli erişim anahtarları, AWS ihlallerinin başlıca yollarından biridir. GuardDuty kimlik bilgisi bulgularına, AWS kötüye kullanım e-postalarına, yeni bölgelerden gelen çağrılara, kripto madenciliğinden kaynaklanan maliyet artışlarına, IAM ayrıcalık yükseltmelerine ve erişim reddedildi hatalarındaki artışlara dikkat edin. CloudTrail, etkinlikleri sorunlu anahtarla ilişkilendirerek hasarın kapsamını belirlemenizi sağlar. En iyi savunma, geçici rol kimlik bilgileri kullanmak ve gizli bilgileri taramaktır; böylece sızıntılar en başta nadiren gerçekleşir.