Resource Access Management：Solusi untuk kebocoran pasangan AccessKey

Langkah penanganan Alibaba Cloud

Alibaba Cloud berkomitmen meningkatkan keamanan layanan cloud dan melindungi akun serta aset Anda. Jika Alibaba Cloud mendeteksi kebocoran pasangan AccessKey, kami segera memberi tahu Anda melalui informasi kontak yang Anda berikan. Untuk melindungi beban kerja dan data Anda, Alibaba Cloud memberlakukan perlindungan pembatasan pada pasangan AccessKey yang terganggu. Dengan demikian, pasangan tersebut tidak dapat digunakan untuk memanggil operasi API berisiko tinggi dari layanan cloud tertentu. Untuk informasi lebih lanjut, lihat Perlindungan Pembatasan untuk Pasangan AccessKey.

Menangani kebocoran pasangan AccessKey untuk akun Alibaba Cloud

• Jika pasangan AccessKey tidak digunakan, nonaktifkan dan hapus di halaman Pasangan AccessKey.

• Jika pasangan AccessKey sedang digunakan, rotasikan di halaman Pasangan AccessKey.

  Buat pasangan AccessKey baru dan jaga kerahasiaannya. Ganti pasangan lama dengan yang baru, verifikasi penggantian, lalu nonaktifkan dan hapus pasangan lama.

Menangani kebocoran pasangan AccessKey untuk pengguna RAM

• Jika pasangan AccessKey tidak digunakan, nonaktifkan dan hapus di Konsol Resource Access Management (RAM). Untuk informasi lebih lanjut, lihat Nonaktifkan Pasangan AccessKey Pengguna RAM dan Hapus Pasangan AccessKey Pengguna RAM.

• Jika pasangan AccessKey sedang digunakan dan dapat dirotasi, segera lakukan rotasi.

  Buat pasangan AccessKey baru dan jaga kerahasiaannya. Ganti pasangan lama dengan yang baru, verifikasi penggantian, lalu nonaktifkan dan hapus pasangan lama. Untuk informasi lebih lanjut, lihat Rotasi Pasangan AccessKey Pengguna RAM.

• Jika pasangan AccessKey sedang digunakan tetapi tidak dapat dirotasi, ikuti prosedur dalam gambar berikut untuk mengurangi dampak pencurian. Setelah menyelesaikan prosedur, rotasikan pasangan AccessKey sesegera mungkin.

  Langkah 1: Cabut Izin dari Pasangan AccessKey

  Buat kebijakan untuk mencabut izin berisiko tinggi dari pasangan AccessKey yang bocor guna meminimalkan kerugian ekonomi dan dampak pada beban kerja Anda. Pastikan pencabutan tidak memengaruhi beban kerja Anda. Jangan lepaskan kebijakan sebelum menonaktifkan dan menghapus pasangan AccessKey.

  Izin berisiko tinggi meliputi izin untuk membuat pengguna RAM lain, memberikan izin kepada pengguna RAM di Konsol RAM, melepaskan sumber daya Elastic Compute Service (ECS), ApsaraDB RDS, Object Storage Service (OSS), Simple Log Service, serta mengirim pesan teks.

  Contoh kode berikut menunjukkan kebijakan kustom untuk mencabut izin berisiko tinggi. Kami merekomendasikan agar Anda mengonfigurasi kebijakan berdasarkan kebutuhan bisnis setelah sepenuhnya mengevaluasi dampaknya.

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Tolak",
        "Action": [
          "ram:AddUserToGroup",
          "ram:AttachPolicyToGroup",
          "ram:AttachPolicyToRole",
          "ram:AttachPolicyToUser",
          "ram:ChangePassword",
          "ram:CreateAccessKey",
          "ram:CreateLoginProfile",
          "ram:CreatePolicyVersion",
          "ram:CreateRole",
          "ram:CreateUser",
          "ram:DetachPolicyFromUser",
          "ram:PassRole",
          "ram:SetDefaultPolicyVersion",
          "ram:UpdateAccessKey",
          "ram:SetPasswordPolicy",
          "ram:UpdateRole",
          "ram:UpdateLoginProfile",
          "ram:UpdateUser"
        ],
        "Resource": "*"
      },
      {
        "Effect": "Tolak",
        "Action": [
          "ecs:DeleteInstance",
          "ecs:DeleteInstances",
          "ecs:DeregisterManagedInstance",
          "ecs:ReleaseDedicatedHost"
        ],
        "Resource": "*"
      },
      {
        "Effect": "Tolak",
        "Action": [
          "rds:DeleteAccount",
          "rds:DeleteDatabase",
          "rds:DeleteDBInstance",
          "rds:DestroyDBInstance"
        ],
        "Resource": "*"
      },
      {
        "Effect": "Tolak",
        "Action": [
          "oss:DeleteBucket",
          "oss:DeleteObject",
          "oss:PutBucketAcl",
          "oss:PutBucketPolicy"
        ],
        "Resource": "*"
      },
      {
        "Effect": "Tolak",
        "Action": [
          "log:DeleteLogStore",
          "log:DeleteProject",
          "log:PutProjectPolicy",
          "log:DeleteProjectPolicy"
        ],
        "Resource": "*"
      },
      {
        "Effect": "Tolak",
        "Action": [
          "dysms:CreateProductNew",
          "dysms:CreateSmsTemplateNew",
          "dysms:AddSmsTemplate",
          "dysms:SendSms",
          "dysms:SendBatchSms"
        ],
        "Resource": "*"
      }
    ]
  }

  Untuk informasi lebih lanjut, lihat Buat Kebijakan Kustom dan Berikan Izin kepada Pengguna RAM.

  Hapus semua izin yang tidak diperlukan oleh pasangan AccessKey.

  Langkah 2: Aktifkan MFA untuk Pengguna RAM

  Aktifkan autentikasi multi-faktor (MFA) untuk semua pengguna RAM yang memiliki akses konsol dari akun Alibaba Cloud Anda sesuai praktik terbaik.

  1. Aktifkan MFA untuk semua pengguna RAM dengan akses konsol dari akun Alibaba Cloud Anda.

     Untuk informasi lebih lanjut, lihat Kelola Pengaturan Login Konsol untuk Pengguna RAM.

  2. Tautkan perangkat MFA ke pengguna RAM.

     Untuk informasi lebih lanjut, lihat Tautkan Perangkat MFA ke Pengguna RAM.

  Langkah 3: Periksa Operasi Mencurigakan Menggunakan Pasangan AccessKey

  Periksa apakah pasangan AccessKey telah digunakan untuk operasi mencurigakan dan apakah identitas lainnya bocor. Perhatikan alamat IP akses mencurigakan serta pembuatan atau penghapusan sumber daya yang tidak diperlukan oleh beban kerja Anda.

  Metode: Di Konsol RAM, buka daftar pasangan AccessKey pengguna RAM untuk melihat catatan operasi. Atau, masukkan ID AccessKey di halaman AccessKey Pair Audit di Konsol ActionTrail untuk menanyakan catatan operasi.

  Catatan

  Jika log operasi OSS dan Simple Log Service tidak ditambahkan ke ActionTrail, log operasi harus ditanyakan menggunakan fitur log dari setiap layanan.

  Periksa apakah pengguna RAM dan pasangan AccessKey lainnya digunakan untuk operasi mencurigakan selain dari pasangan AccessKey yang bocor. Jika Anda mengidentifikasi operasi mencurigakan, periksa apakah operasi tersebut dilakukan oleh pemilik pengguna RAM atau pasangan AccessKey. Jika terjadi kebocoran pasangan AccessKey, Anda dapat menggunakan salah satu metode berikut berdasarkan kebutuhan bisnis:

  • Jika ingin terus menggunakan pengguna RAM, segera ubah kata sandi pengguna RAM dan aktifkan MFA.

  • Jika pengguna RAM dibuat secara tidak sengaja atau tidak lagi diperlukan, hapus pengguna RAM. Setelah penghapusan, pengguna RAM dipindahkan ke tempat sampah. Periksa apakah beban kerja Anda terpengaruh. Jika terpengaruh, Anda dapat memulihkan pengguna RAM.

  • Jika operasi mencurigakan dilakukan menggunakan pasangan AccessKey, cabut izin seperti langkah sebelumnya, lalu rotasikan pasangan AccessKey.

  Langkah 4: Periksa Biaya Tak Terduga

  Di konsol Expenses and Costs, periksa apakah ada biaya tak terduga. Ambil tindakan pencegahan berdasarkan hasil langkah sebelumnya.

Solusi jangka panjang untuk kebocoran pasangan AccessKey

Untuk informasi lebih lanjut, lihat Praktik Terbaik untuk Menggunakan Kredensial Akses untuk Memanggil Operasi API.