访问密钥泄露的迹象

IAM访问密钥是一种长期凭证——由访问密钥 ID 和私密密钥组成——可让代码或用户调用 AWS API。如果它泄露，攻击者就能从任何地方冒充该身份进行操作。

密钥泄露是最常见的 AWS 入侵方式之一，通常是因为密钥被硬编码后推送到了公共代码仓库。

密钥通常会通过以下可预见的方式泄露：

• 提交到公共 GitHub 仓库。
• 嵌入移动应用或客户端应用中。
• 以明文记录，或通过聊天工具共享。
• 存储在配置错误的公共 S3 存储桶中。

长期密钥之所以是风险最高的凭证，恰恰是因为它们不会自行过期。

亚马逊 GuardDuty会针对凭证滥用生成特定的发现结果，例如UnauthorizedAccess:IAMUser/InstanceCredentialExfiltration，或针对异常 API 调用生成发现结果。

它会标记这样的活动：某个密钥突然从新国家或 Tor 出口节点被使用——这些都是凭证已不再由正确人员掌握的有力信号。

AWS 会主动扫描公共网站，以查找暴露的密钥。如果发现其中一个属于您的密钥，AWS 会发送滥用通知，并可能应用隔离策略（AWSCompromisedKeyQuarantine），阻止危险操作。

收到此类邮件是一个明确无误的信号：请立即将其视为已确认的安全事件。

请留意不符合该密钥正常用途的行为：

• 来自不熟悉的区域或 IP 地址的调用。
• 在异常时间执行 ListBuckets 或 DescribeInstances 等侦察操作。
• 尝试创建新的 IAM 用户或附加管理员策略。

攻击者会先进行探索，然后实施利用，而这种探索是可以被检测到的。

AWS 账单突然激增或出现意外资源，是一种典型症状。攻击者喜欢启动大量 EC2 实例来进行加密货币挖矿。

AWS Budgets 警报和成本异常检测可以提醒您注意遭到入侵的密钥通常会留下的财务痕迹。

CloudTrail会记录每一次 API 调用，包括发起调用的访问密钥 ID。按可疑密钥进行筛选，就能准确了解攻击者做了什么以及何时做的。

请查看源 IP、用户代理和调用的操作，以确定影响范围，并决定需要轮换或回滚哪些内容。

攻击者的常见目标，是将低权限密钥转变为广泛的访问权限。请留意 IAM 变更：新用户、新密钥、附加的策略或角色使用。

IAM访问分析器与 CloudTrail 结合使用，可以帮助您发现某个身份突然获得了本不应拥有的权限。

大量访问被拒绝错误所传达的信息，可能并不亚于成功调用。攻击者探测被盗密钥能够执行哪些操作时，会产生大量失败记录。

CloudTrail 也会记录这些拒绝，因此，某个密钥产生的 AccessDenied 事件突然激增，就是值得立即调查的危险信号。

最好的信号，就是您永远不必查看的信号。请优先使用 IAM 角色提供的临时凭证，而不是长期密钥；扫描代码仓库中的机密，并定期轮换密钥。

长期密钥越少，泄露途径就越少，这些发现结果一开始出现的可能性也越小。

单独一个信号可能无害，但多个信号结合起来就能确认入侵。来自新区域的发现结果、成本激增，以及同一密钥引发的 IAM 变更，会形成清晰的模式。

使用安全中心和调查器关联各项服务中的信号，将零散的警报转化为关于凭证泄露的统一且可信的结论。

找出最强的泄露信号。

泄露的长期访问密钥是 AWS 入侵的主要途径之一。请留意 GuardDuty 凭证发现结果、AWS 滥用通知、来自新区域的调用、加密货币挖矿导致的成本激增、IAM 权限提升，以及大量访问被拒绝的错误。CloudTrail会将活动与违规密钥关联起来，以便您确定影响范围。最好的防御方式是使用临时角色凭证并扫描机密，从根本上降低泄露发生的可能性。