All Products
Search

This Product

    ActionTrail:Kueri log AccessKey

    Document Center

    ActionTrail:Kueri log AccessKey

    Last Updated:Sep 09, 2026

    Anda dapat menggunakan Konsol ActionTrail untuk mengkueri catatan penggunaan AccessKey, termasuk layanan Alibaba Cloud yang diakses, alamat IP terkait, dan resource, sehingga membantu memantau keamanan akun serta mendeteksi potensi ancaman.

    Prasyarat

    Dapatkan ID AccessKey yang ingin Anda kueri. Untuk informasi selengkapnya, lihat Dapatkan AccessKey.

    ActionTrail secara default menyimpan event dari 90 hari terakhir. Untuk mengakses catatan yang lebih lama, buat jejak untuk mengirimkan event ke SLS atau OSS. Untuk informasi selengkapnya, lihat Buat jejak akun tunggal.

    Prosedur

    1. Masuk ke Konsol ActionTrail.

    2. Pada panel navigasi di sebelah kiri, pilih AccessKey Pair Audit > AccessKey Event Query.

    3. Pada halaman AccessKey Event Query, masukkan ID AccessKey dan klik ikon 查询按钮.

    4. Pada bagian Basic Information, lihat detail seperti AccessKey ID, Account ID (ID akun Alibaba Cloud), Username, RAM User ID, Last Accessed At, dan Service Last Accessed.

    5. Pada bagian Alibaba Cloud Service, lihat daftar layanan Alibaba Cloud yang diakses oleh AccessKey ini, beserta Event List, IP Address List, dan Resource List.

      • Daftar layanan Alibaba Cloud

        Pada bagian Alibaba Cloud Service, lihat Cloud Service dan Last Accessed At.

      • Daftar event

        Klik Event List pada kolom Actions untuk layanan Alibaba Cloud tertentu guna melihat detail seperti Event Name, Last Called At, Region, dan detail event.

        Catatan

        • AccessKey Audit secara default menyediakan kueri peristiwa manajemen. Setelah Anda membuat jejak peristiwa data, peristiwa data yang dihasilkan setelah pembuatan jejak akan muncul dalam daftar event.

        • Untuk informasi selengkapnya mengenai bidang dalam event, lihat Definisi struktur peristiwa manajemen.

        • Panggilan API yang diinisiasi dengan menggunakan token Security Token Service (STS), seperti GetCallerIdentity, tidak muncul dalam hasil AccessKey event query. Panggilan tersebut menggunakan ID AccessKey dari kredensial temporary STS, bukan pasangan AccessKey jangka panjang milik RAM user. Untuk mengkueri panggilan API yang diinisiasi dengan token STS, buka halaman Event Query dan cari berdasarkan nama event.

      • Daftar IP

        Klik IP Address List pada kolom Actions untuk layanan Alibaba Cloud tertentu guna mengkueri IP, Last Accessed At, Region, dan detail alamat IP.

      • Daftar resource

        Klik Resource List pada kolom Actions untuk layanan Alibaba Cloud tertentu guna mengkueri Resource Type, Resource Name, Last Accessed At, Region, dan detail resource.

        Untuk daftar jenis resource yang didukung oleh AccessKey Audit, lihat Resource types.

    Investigasi dan respons kebocoran AK

    Jika AccessKey bocor, gunakan AccessKey Audit untuk menyelidiki operasi abnormal selama periode kebocoran dan memitigasi kerusakan.

    Jenis event berisiko tinggi yang kritis

    Dalam daftar event, fokuslah pada event operasi berisiko tinggi berikut:

    Nama event

    Deskripsi risiko

    CreateInstance

    Penyerang membuat instance ECS untuk penambangan kripto atau pengaturan proxy.

    AuthorizeSecurityGroup

    Penyerang membuka port yang rentan (seperti 22 atau 3389), sehingga mengekspos resource internal.

    CreateAccessKey

    Penyerang membuat AccessKey baru untuk RAM user yang sudah ada agar tetap memiliki akses.

    CreatePolicy / AttachPolicyToUser

    Penyerang melakukan eskalasi hak istimewa dengan memberikan izin berisiko tinggi seperti AdministratorAccess kepada dirinya sendiri atau pengguna baru yang dibuat.

    CreateUser

    Penyerang membuat RAM user backdoor untuk membangun akses persisten.

    Langkah respons setelah mendeteksi operasi abnormal

    1. Nonaktifkan dan hapus AccessKey yang bocor. Nonaktifkan AccessKey di Konsol RAM. Setelah memastikan bisnis Anda tidak terpengaruh, hapus AccessKey tersebut. Selain itu, ganti dengan AccessKey baru untuk pengguna yang terdampak.

    2. Periksa keberadaan AccessKey atau RAM user yang tidak sah. Cari dalam daftar event event CreateAccessKey dan CreateUser. Hapus semua AccessKey dan RAM user yang tidak sah.

    3. Batalkan resource abnormal. Identifikasi dan lepas resource yang dibuat oleh penyerang, seperti instance ECS dan bucket OSS. Cabut aturan security group dan perubahan kebijakan akses yang tidak sah.

    4. Selidiki alamat IP mencurigakan. Dalam daftar IP, identifikasi alamat IP non-internal untuk menemukan sumber serangan dan menilai cakupan dampaknya.

    Operasi terkait