Resource Access Management:Rencana respons kebocoran AccessKey

Tangani pasangan AccessKey akun Alibaba Cloud (akun root) yang bocor

• Pasangan AccessKey tidak lagi digunakan — Buka halaman manajemen AccessKey dan segera nonaktifkan serta hapus pasangan AccessKey tersebut.

• Pasangan AccessKey sedang digunakan — Lakukan rotasi pasangan AccessKey di halaman manajemen AccessKey:

  1. Buat pasangan AccessKey baru dan simpan Rahasia AccessKey secara aman.

  2. Ganti pasangan AccessKey asli dengan yang baru.

  3. Setelah memastikan semuanya berjalan normal, nonaktifkan dan hapus pasangan AccessKey asli.

Sebelum menghapus pasangan AccessKey asli, identifikasi cakupan penggunaannya seperti dijelaskan dalam Identifikasi cakupan penggunaan pasangan AccessKey. Setelah melakukan rotasi atau penghapusan pasangan AccessKey, selesaikan langkah-langkah dalam Investigasi operasi abnormal dan Periksa biaya abnormal.

Tangani pasangan AccessKey Pengguna RAM yang bocor

Tindakan yang tepat bergantung pada apakah pasangan AccessKey tersebut masih digunakan dan, jika iya, apakah dapat segera dirotasi. Jika pasangan AccessKey dapat dirotasi, rotasi merupakan respons yang direkomendasikan.

Pasangan AccessKey tidak lagi digunakan

Buka Konsol RAM dan nonaktifkan serta hapus pasangan AccessKey tersebut. Untuk petunjuknya, lihat Nonaktifkan AccessKey Pengguna RAM dan Hapus AccessKey Pengguna RAM.

Saat menonaktifkan pasangan AccessKey, konsol mengharuskan Anda menyelesaikan otentikasi keamanan (otentikasi multi-faktor, MFA). Status pasangan AccessKey hanya berubah menjadi Disabled setelah otentikasi berhasil. Jika pasangan AccessKey tersebut telah digunakan dalam 60 hari terakhir, konsol akan memperingatkan bahwa penonaktifannya dapat mengganggu bisnis Anda. Pastikan tidak ada bisnis yang bergantung pada pasangan AccessKey tersebut sebelum melanjutkan.

Pasangan AccessKey sedang digunakan dan dapat dirotasi (Direkomendasikan)

Lakukan rotasi pasangan AccessKey sesegera mungkin:

1. Klik Create AccessKey. Di kotak dialog Scenarios, pilih skenario yang sesuai dengan penggunaan aktual Anda dari opsi CLI, Local Development, ECS, ACK, Third-party Application, dan Other.

2. Buat pasangan AccessKey baru dan simpan Rahasia AccessKey secara aman.

3. Ganti pasangan AccessKey asli dengan yang baru.

4. Setelah memastikan semuanya berjalan normal, nonaktifkan dan hapus pasangan AccessKey lama.

   Untuk petunjuknya, lihat Rotasi AccessKey Pengguna RAM.

Saat menghapus pasangan AccessKey, Anda harus memasukkan secara manual ID AccessKey untuk menyelesaikan konfirmasi kedua. Jika pasangan AccessKey tersebut telah dinonaktifkan kurang dari tujuh hari, konsol akan memperingatkan bahwa penghapusannya dapat mengganggu bisnis Anda. Pastikan tidak ada bisnis yang bergantung pada pasangan AccessKey tersebut sebelum melanjutkan. Pasangan AccessKey yang dihapus tidak langsung dihancurkan. Pasangan tersebut dipindahkan ke recycle bin, disimpan selama 30 hari, lalu secara otomatis dihapus. Untuk memulihkannya, lakukan tindakan dalam periode retensi tersebut.

Pasangan AccessKey sedang digunakan tetapi tidak dapat dirotasi dalam waktu dekat

Jika Anda memastikan bahwa pasangan AccessKey tersebut sedang digunakan tetapi tidak dapat dirotasi dengan lancar dalam waktu dekat, ikuti langkah-langkah pada gambar berikut untuk mengurangi dampak penyalahgunaan. Segera lakukan rotasi setelahnya.

Langkah 1: Kurangi izin pasangan AccessKey

Identifikasi skenario bisnis Anda terlebih dahulu. Tanpa mengganggu operasi saat ini, segera kurangi izin pasangan AccessKey yang dicurigai. Batasi izin berisiko tinggi untuk menurunkan risiko kerugian terhadap bisnis dan penagihan Anda. Jangan cabut kebijakan restriktif ini hingga pasangan AccessKey dinonaktifkan dan dihapus.

Izin berisiko tinggi yang direkomendasikan untuk dibatasi meliputi: mencegah Pengguna RAM membuat Pengguna RAM baru atau memberikan izin di RAM, memblokir pelepasan sumber daya ECS, RDS, OSS, dan SLS, serta memblokir pengiriman SMS.

Contoh berikut menunjukkan kebijakan kustom yang menolak aksi berisiko tinggi. Evaluasi dampaknya secara menyeluruh dan sesuaikan berdasarkan kebutuhan bisnis Anda.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": [
        "ram:AddUserToGroup",
        "ram:AttachPolicyToGroup",
        "ram:AttachPolicyToRole",
        "ram:AttachPolicyToUser",
        "ram:ChangePassword",
        "ram:CreateAccessKey",
        "ram:CreateLoginProfile",
        "ram:CreatePolicyVersion",
        "ram:CreateRole",
        "ram:CreateUser",
        "ram:DetachPolicyFromUser",
        "ram:PassRole",
        "ram:SetDefaultPolicyVersion",
        "ram:UpdateAccessKey",
        "ram:SetPasswordPolicy",
        "ram:UpdateRole",
        "ram:UpdateLoginProfile",
        "ram:UpdateUser"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Deny",
      "Action": [
        "ecs:DeleteInstance",
        "ecs:DeleteInstances",
        "ecs:DeregisterManagedInstance",
        "ecs:ReleaseDedicatedHost"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Deny",
      "Action": [
        "rds:DeleteAccount",
        "rds:DeleteDatabase",
        "rds:DeleteDBInstance",
        "rds:DestroyDBInstance"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Deny",
      "Action": [
        "oss:DeleteBucket",
        "oss:DeleteObject",
        "oss:PutBucketAcl",
        "oss:PutBucketPolicy"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Deny",
      "Action": [
        "log:DeleteLogStore",
        "log:DeleteProject",
        "log:PutProjectPolicy",
        "log:DeleteProjectPolicy"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Deny",
      "Action": [
        "dysms:CreateProductNew",
        "dysms:CreateSmsTemplateNew",
        "dysms:AddSmsTemplate",
        "dysms:SendSms",
        "dysms:SendBatchSms"
      ],
      "Resource": "*"
    }
  ]
}

Untuk petunjuknya, lihat Buat kebijakan kustom dan Kelola izin untuk Pengguna RAM.

Tentukan dengan jelas izin bisnis yang dibutuhkan oleh pasangan AccessKey tersebut dan hapus semua izin yang tidak diperlukan.

Langkah 2: Aktifkan MFA untuk Pengguna RAM

Sebagai praktik terbaik, aktifkan otentikasi multi-faktor (MFA) untuk semua Pengguna RAM di bawah Akun Alibaba Cloud (akun root) yang mengakses konsol.

• Wajibkan MFA bagi Pengguna RAM di bawah akun root untuk login ke konsol. Untuk petunjuknya, lihat Wajibkan MFA untuk login Pengguna RAM.

• Bind perangkat MFA ke pengguna. Untuk petunjuknya, lihat Bind perangkat MFA ke Pengguna RAM.

  Setelah mengurangi izin dan mengaktifkan MFA, selesaikan langkah-langkah dalam Investigasi operasi abnormal, Identifikasi cakupan penggunaan pasangan AccessKey, dan Periksa biaya abnormal. Kemudian segera lakukan rotasi.

Investigasi operasi abnormal

Periksa apakah pasangan AccessKey yang bocor melakukan operasi abnormal, dan investigasi apakah identitas lain dicurigai mengalami kebocoran. Fokus pada alamat IP sumber yang tidak biasa serta operasi pembuatan atau penghapusan sumber daya yang tidak diperlukan oleh bisnis Anda.

Operasi berbahaya yang perlu diinvestigasi selama periode kebocoran meliputi:

• Perubahan identitas dan izin: membuat Pengguna RAM (CreateUser), membuat pasangan AccessKey (CreateAccessKey), menyambungkan kebijakan akses (AttachPolicyToUser), membuat peran (CreateRole), dan mengaktifkan login konsol (CreateLoginProfile). Event seperti CreateLoginProfile, AttachPolicyToUser, dan CreateUser biasanya menunjukkan bahwa penyerang sedang membuat akun backdoor atau meningkatkan hak istimewa. Perhatikan baik-baik alamat IP sumber dan UserAgent dari panggilan tersebut.

• Penghapusan dan pelepasan sumber daya: menghapus instance ECS (DeleteInstance), menghapus instance RDS (DeleteDBInstance), dan menghapus bucket OSS (DeleteBucket).

• Eksfiltrasi data: memodifikasi izin akses bucket OSS (PutBucketAcl), memodifikasi kebijakan bucket OSS (PutBucketPolicy), dan operasi serupa.

• Perilaku pemanggilan abnormal: jumlah besar permintaan API dalam waktu singkat, operasi dari alamat IP atau wilayah yang tidak biasa, serta operasi batch di luar jam kerja.

  Cara memeriksa: Di Konsol RAM, temukan daftar AccessKey Pengguna RAM dan lihat catatan operasi di daftar tersebut, atau masukkan ID AccessKey di halaman AccessKey audit pada Konsol ActionTrail untuk langsung mengkueri catatan operasi.

Selain ActionTrail, Anda dapat login ke Konsol Security Center untuk melihat detail peringatan kebocoran AccessKey, termasuk nama Pengguna RAM yang dibuat secara jahat dan alamat IP pemanggilan abnormal.

Fitur audit AccessKey ActionTrail menampilkan semua pemanggilan API dari pasangan AccessKey tertentu dalam 90 hari terakhir, termasuk waktu pemanggilan, nama aksi, alamat IP sumber, dan layanan cloud yang diakses. Untuk petunjuknya, lihat Audit AccessKey.

Untuk log operasi bidang data yang tidak terhubung ke ActionTrail, seperti OSS dan SLS, gunakan fitur log masing-masing layanan cloud untuk mengkueri.

Investigasi lebih lanjut apakah Pengguna RAM dan pasangan AccessKey lain menunjukkan operasi abnormal selain pasangan AccessKey yang diketahui berisiko bocor. Jika Anda menemukan perilaku abnormal, konfirmasi dengan pihak terkait apakah operasi tersebut dilakukan oleh mereka. Jika dicurigai terjadi kebocoran, tangani sebagai berikut:

• Jika Pengguna RAM harus tetap digunakan, segera ubah password Pengguna RAM tersebut dan aktifkan otentikasi multi-faktor (MFA).

• Jika Pengguna RAM tersebut tidak dibuat secara sah atau dikonfirmasi sebagai pengguna menganggur yang tidak lagi diperlukan, hapuslah. Pengguna RAM yang dihapus dipindahkan ke recycle bin. Pantau apakah bisnis Anda terpengaruh. Jika iya, Pengguna RAM tersebut dapat segera dipulihkan.

• Untuk operasi abnormal pasangan AccessKey, pertama batasi izinnya, lalu rotasi kredensial tersebut.

Identifikasi cakupan penggunaan pasangan AccessKey

Alamat IP sumber yang dicatat oleh ActionTrail hanya mencerminkan panggilan event tipe manajemen, seperti operasi manajemen GetService dan GetBucketInfo OSS. Operasi bidang data yang tidak terhubung ke ActionTrail, seperti unggah dan unduh objek OSS, tidak dicatat secara default. Oleh karena itu, daftar alamat IP saja tidak dapat mengungkap seluruh cakupan penggunaan pasangan AccessKey. Sebelum menonaktifkan atau menghapus pasangan AccessKey asli, periksa konfigurasi AccessKey di setiap lingkungan berikut:

• Mesin pengembangan lokal — Variabel lingkungan pengembang, file konfigurasi SDK, dan file kredensial CLI.

• Pipeline CI/CD — Variabel lingkungan job build, penyimpanan kredensial, dan skrip deployment.

• Aplikasi pihak ketiga dan SaaS — Kredensial yang diberikan ke platform eksternal yang memanggil API Alibaba Cloud.

• Kontainer dan image — Layer image kontainer, Kubernetes secrets, dan kredensial dalam template orkestrasi.

• Job terjadwal dan skrip operasi — Entri crontab server, skrip backup, dan kolektor pemantauan.

• Layanan pesan dan notifikasi — Pemanggil seperti aplikasi yang memanggil Short Message Service untuk mengirim pesan teks.

  Setelah mengganti semua lingkungan tersebut dengan pasangan AccessKey baru dan memastikan bisnis berjalan normal, nonaktifkan atau hapus pasangan AccessKey asli. Hal ini mencegah gangguan bisnis akibat pemanggil yang terlewat.

Periksa biaya abnormal

Di Biaya dan Pengeluaran, periksa apakah terdapat biaya abnormal. Untuk layanan yang terdampak, terapkan langkah perlindungan berdasarkan operasi abnormal yang Anda identifikasi selama investigasi.

Apa yang harus saya lakukan jika kebocoran AccessKey menyebabkan Pengguna RAM tidak dapat login atau akun dibekukan?

Saat sistem keamanan Alibaba Cloud mendeteksi bahwa pasangan AccessKey berisiko bocor, sistem secara otomatis memicu mekanisme perlindungan yang membatasi Pengguna RAM terkait dari login ke konsol. Anda mungkin menemui pesan error seperti Authentication.Block.AccountFrozen atau "The current account is not allowed to log on."

Untuk mengatasi masalah ini:

1. Login ke Konsol RAM dengan Akun Alibaba Cloud (akun root). Segera nonaktifkan atau hapus pasangan AccessKey yang bocor, lalu buat pasangan AccessKey baru untuk menyelesaikan rotasi. Hanya menonaktifkan pasangan AccessKey mungkin tidak mencabut pembatasan tersebut. Anda harus menghapus atau merotasinya.

2. Setelah menangani pasangan AccessKey, jika Pengguna RAM masih tidak dapat login, kirim tiket untuk meminta pencabutan pembatasan kontrol risiko keamanan.

Mengapa pasangan AccessKey saya terdeteksi bocor meskipun disimpan di repositori pribadi, Nacos, atau database offline?

Meskipun Anda yakin pasangan AccessKey disimpan dengan aman, kredensial tersebut tetap dapat terdeteksi atau dicuri melalui jalur umum berikut:

• Repositori kode — Jika repositori pribadi sebelumnya bersifat publik, telah difork, atau kolaborator mengunggah kode ke lokasi lain, pasangan AccessKey masih dapat terdeteksi oleh layanan pemindaian.

• Pusat konfigurasi (seperti Nacos) — Jika pusat konfigurasi tidak memiliki kontrol akses, memiliki kerentanan, atau server telah dikompromikan, pasangan AccessKey yang disimpan dalam teks biasa dapat dicuri.

• Penyimpanan offline — Jika aplikasi atau skrip yang membaca pasangan AccessKey terhubung ke internet untuk memanggil API, kunci tersebut dapat dicegat selama transmisi atau ditulis ke catatan log.

• Kerentanan aplikasi — Kerentanan eksekusi kode jarak jauh (RCE) atau pembacaan file arbitrer memungkinkan penyerang mencuri pasangan AccessKey dari file konfigurasi di server.

  Untuk mencegah kebocoran di masa depan:

• Gunakan tool Credentials untuk mengelola kredensial alih-alih hard-coding pasangan AccessKey.

• Konfigurasikan pembatasan akses jaringan (daftar putih IP) untuk pasangan AccessKey.

• Hindari menuliskan pasangan AccessKey langsung ke kode sumber atau file konfigurasi.

Dapatkah saya meminta penonaktifan darurat pasangan AccessKey yang dimiliki akun berbeda?

Karena perlindungan privasi dan isolasi izin, Alibaba Cloud tidak dapat langsung menonaktifkan pasangan AccessKey yang tidak dimiliki oleh akun yang sedang Anda login, berdasarkan laporan kebocoran. Tangani sebagai berikut:

1. Jika Anda mengetahui pemilik akun pasangan AccessKey tersebut, hubungi pemilik akun dan minta mereka menanganinya.

2. Jika Anda memiliki akses ke akun pemilik pasangan AccessKey tersebut, gunakan API DeleteAccessKey atau Konsol RAM untuk menghapus kunci tersebut sendiri.

3. Untuk pasangan AccessKey yang bocor milik akun lain yang tidak dapat Anda akses, koordinasikan penanganannya melalui saluran kepatuhan hukum atau keamanan.