AccessKey (AK) dan password akun merupakan kredensial inti untuk mengakses sumber daya Alibaba Cloud. Skenario seperti commit kode yang tidak disengaja atau unggah file konfigurasi yang salah dapat menyebabkan kebocoran kredensial, berujung pada pelanggaran data dan penyalahgunaan sumber daya. Topik ini menjelaskan cara Security Center mendeteksi dan merespons secara otomatis event kebocoran AccessKey serta menyediakan praktik keamanan terbaik untuk mengurangi risiko kebocoran kredensial.
Jenis kredensial dan risiko keamanan
Alibaba Cloud menyediakan dua jenis kredensial API untuk skenario penggunaan yang berbeda:
AccessKey (disingkat AK): digunakan untuk memanggil API layanan cloud secara terprogram. AccessKey terdiri dari AccessKey ID (digunakan untuk mengidentifikasi pengguna) dan AccessKey Secret (digunakan untuk memverifikasi identitas dan harus dirahasiakan).
Password akun: digunakan untuk login ke Konsol Alibaba Cloud guna mengelola sumber daya.
AccessKey setara dengan password login terprogram. AccessKey Secret adalah kunci yang digunakan untuk memverifikasi identitas pengguna dan harus dirahasiakan. Jika bocor, penyerang dapat menyamar sebagai identitas Anda untuk mengoperasikan sumber daya cloud, yang berpotensi menyebabkan konsekuensi serius seperti pelanggaran data dan penggunaan sumber daya secara jahat.
Kredensial API yang bocor dapat menyebabkan pelanggaran data, sehingga menimbulkan kerugian signifikan bagi pengguna.
Mekanisme deteksi kebocoran AccessKey oleh Security Center
Untuk mengatasi risiko keamanan akibat kebocoran AccessKey yang tidak disengaja, Security Center menyediakan kemampuan deteksi komprehensif mulai dari tahap sebelum kebocoran hingga setelah kebocoran, membentuk siklus deteksi keamanan AK otomatis yang lengkap:
Sebelum kebocoran: Gunakan Cloud Security Posture Management (CSPM) untuk memeriksa apakah konfigurasi produk cloud memiliki risiko keamanan.
Saat kebocoran: Bermitra dengan platform hosting kode seperti GitHub untuk menerapkan mekanisme pemindaian Token, mendeteksi kebocoran AK dalam hitungan detik setelah kode di-commit.
Setelah kebocoran: Pantau perilaku pemanggilan AK yang tidak biasa dan segera hasilkan peringatan ketika terdeteksi dugaan penggunaan AK yang bocor oleh penyerang.
Alibaba Cloud telah bermitra dengan GitHub, penyedia layanan hosting kode open-source terbesar di dunia, untuk menerapkan mekanisme pemindaian Token guna mendeteksi dan merespons secara cepat kebocoran AccessKey di GitHub. Ketika kode yang berisi AccessKey di-commit ke GitHub, Security Center dapat mendeteksi kebocoran tersebut dan memberi notifikasi kepada pengguna dalam hitungan detik.
Sebelum kebocoran: Deteksi konfigurasi dan troubleshooting risiko
Pastikan log audit operasi untuk produk cloud telah Activate Now agar Anda dapat menganalisis apakah terdapat panggilan API yang tidak normal.
Gunakan AccessKey Pengguna RAM alih-alih AccessKey akun Alibaba Cloud utama, dan ikuti prinsip hak istimewa minimal. Dengan demikian, meskipun AccessKey bocor, penyerang tidak dapat menguasai seluruh akun cloud.
Aktifkan otentikasi multi-faktor (TOTP) untuk akun utama guna secara signifikan mengurangi risiko akses tidak sah akibat kebocoran password.
CatatanOtentikasi multi-faktor (MFA) telah berganti nama menjadi TOTP.
Saat kebocoran: Melihat sumber dan detail kebocoran
Setelah kebocoran: Peringatan panggilan tidak normal
Di Konsol Security Center, pada modul Alert Handling, filter dan lihat jenis peringatan Cloud Service Threat Detection. Ketika Security Center mendeteksi dugaan panggilan AK tidak normal oleh penyerang, sistem akan segera memicu peringatan untuk respons tepat waktu.
Jalur navigasi: Detection and Response –
Praktik terbaik untuk mengurangi risiko kebocoran kredensial
Selain kemampuan deteksi dan respons yang disediakan oleh Security Center, menerapkan praktik keamanan terbaik berikut dalam operasional harian Anda dapat membantu meminimalkan risiko kebocoran kredensial.
Panduan penggunaan harian
Jangan menyematkan AccessKey dalam kode
Menyematkan AccessKey secara langsung dalam kode dapat menyebabkan kebocoran AK saat kode di-commit, dibagikan, atau di-open-source-kan. Kami menyarankan Anda menggunakan variabel lingkungan, layanan manajemen kunci, atau file konfigurasi untuk menyimpan AccessKey, serta menambahkannya ke daftar ignore sistem kontrol versi Anda.
Rotasi AccessKey secara berkala
Rotasi AccessKey secara berkala dapat mengurangi dampak kebocoran kode lama terhadap beban kerja produksi Anda. Kami menyarankan Anda secara rutin merotasi AccessKey dalam kode dengan membuat AccessKey baru dan menggantikan yang lama.
Nonaktifkan AccessKey yang tidak digunakan
Di Konsol AccessKey Alibaba Cloud, Anda dapat melihat waktu akses terakhir setiap AccessKey. Untuk AccessKey yang tidak digunakan dalam periode panjang, kami menyarankan Anda Disable agar permukaan serangan berkurang.
Tetapkan AccessKey Pengguna RAM khusus untuk beban kerja yang berbeda
Buat Pengguna RAM independen untuk skenario bisnis yang berbeda, berikan masing-masing izin minimal yang diperlukan, dan tetapkan AccessKey Pengguna RAM yang berbeda untuk beban kerja yang berbeda. Hindari penggunaan satu AccessKey berhak istimewa tinggi untuk mengelola semua beban kerja.
Konfigurasi audit keamanan
Aktifkan audit log operasi dan kirimkan log ke OSS dan SLS untuk penyimpanan dan analisis
Mengirimkan log operasi ke OSS untuk penyimpanan menyediakan bukti lengkap jika terjadi insiden keamanan. Mengirimkan log ke SLS secara bersamaan memungkinkan Anda mencari dan menganalisis perilaku tidak normal dalam log berskala besar dengan cepat.