Security Center memantau kode sumber publik di GitHub secara real time untuk mendeteksi apakah pasangan AccessKey (selanjutnya disebut AK) milik akun Alibaba Cloud atau pengguna RAM Anda mengalami kebocoran, serta memberikan peringatan. Topik ini menjelaskan prinsip deteksi kebocoran pasangan AccessKey dan cara menanganinya.
Cara kerja
Cakupan
-
Detection platform: Hanya mendukung deteksi kebocoran pasangan AccessKey dalam kode sumber publik di GitHub. Platform hosting kode lainnya tidak didukung.
-
Detection targets: Pasangan AccessKey dari akun Alibaba Cloud (akun utama) dan pengguna RAM, mencakup AccessKey ID maupun AccessKey Secret.
Metode notifikasi
Security Center menggunakan metode notifikasi yang berbeda tergantung pada apakah AccessKey Secret yang bocor (selanjutnya disebut SK) masih valid:
Pihak ketiga hanya dapat mengeksploitasi pasangan AccessKey untuk mengambil alih semua sumber daya di bawah akun Anda jika AccessKey ID dan AccessKey Secret keduanya bocor.
|
Notification condition |
Notification method |
|
AccessKey ID bocor, terlepas dari apakah AccessKey Secret-nya valid atau tidak. |
Peringatan pada halaman AccessKey Leak Detection |
|
AccessKey Secret bocor dan masih valid. |
|
Konfigurasikan notifikasi peringatan kebocoran AccessKey
Security Center mengaktifkan notifikasi peringatan kebocoran AccessKey secara default. Peringatan dapat dikirim melalui SMS, panggilan suara, email, dan pesan internal.
Ubah metode notifikasi
-
Kunjungi atau Konsol Security Center - Pengaturan Sistem - Notifikasi. Di bagian atas sisi kiri halaman, pilih wilayah tempat aset yang akan dilindungi berada: Chinese Mainland atau Outside Chinese Mainland.
-
Pada tab Email/Internal Message, temukan AccessKey Leak Detection dan pilih Notification Method yang diperlukan.
Kebocoran AccessKey memiliki risiko tinggi. Untuk memastikan notifikasi diterima tepat waktu, kami menyarankan memilih semua metode notifikasi. Untuk informasi lebih lanjut, lihat Konfigurasikan notifikasi peringatan.
Tambahkan penerima notifikasi
Secara default, hanya kontak akun yang menerima notifikasi. Untuk menambahkan penerima lain, gunakan salah satu metode berikut:
-
SMS, email, dan pesan internal:
Pada halaman Basic Receiving Management, ubah penerima pesan di bagian Security Message > Cloud Shield Security Information Notification.
CatatanSetelah Anda mengubah penerima pesan di sini, perubahan tersebut juga berlaku untuk item notifikasi lain di Security Center, serta item notifikasi produk lain seperti Anti-DDoS dan Web Application Firewall.
Untuk informasi lebih lanjut, lihat Konfigurasikan peringatan event.
Tangani event kebocoran pasangan AccessKey
Setelah menerima peringatan kebocoran pasangan AccessKey, artinya informasi AK dan SK akun Alibaba Cloud atau pengguna RAM Anda telah terekspos. Tangani dengan mengikuti langkah-langkah berikut:
Langkah 1: Tangani kebocoran secara manual
Security Center tidak mendukung penanganan otomatis event kebocoran pasangan AccessKey. Anda harus terlebih dahulu menyelesaikan operasi berikut secara eksternal:
-
Hapus atau sembunyikan konten yang bocor di GitHub: Hubungi pihak terkait untuk menghapus atau menyembunyikan file, repositori, atau kode yang berisi informasi pasangan AccessKey.
-
Tangani AccessKey yang bocor di konsol RAM: Hapus atau nonaktifkan AccessKey yang bocor dan buat yang baru, pastikan operasi bisnis inti tidak terganggu. Untuk informasi lebih lanjut, lihat Hapus pasangan AccessKey untuk RAM user dan Nonaktifkan pasangan AccessKey untuk RAM user.
Langkah 2: Tandai status penanganan di konsol
Setelah menyelesaikan penanganan manual, tandai status event peringatan AccessKey di konsol Security Center:
-
KunjungiSecurity Center console - Risk Governance - AK Leak Detection.
-
Klik Handle pada kolom Actions event target, pilih salah satu metode penanganan berikut, lalu klik Handle Now.
|
Handling method |
Applicable scenario |
|
Manually Deleted |
AccessKey yang bocor sudah tidak digunakan dan telah dihapus. |
|
Manually Disabled AccessKey Pair |
AccessKey yang bocor masih perlu digunakan tetapi harus dinonaktifkan sementara. Setelah memilih metode ini, Anda dapat mengaktifkan kembali AccessKey tersebut di konsol RAM. Catatan
Jika AccessKey telah dinonaktifkan di konsol RAM, Security Center akan secara otomatis menyinkronkan status nonaktif tersebut, dan status event kebocoran AccessKey berubah menjadi Manually Disabled. |
|
Add to Whitelist |
Event ini merupakan false positive atau dapat diabaikan dengan aman. Setelah memilih opsi ini, status berubah menjadi Added to Whitelist dan event dipindahkan ke daftar yang telah ditangani. Saat Anda perlu melanjutkan deteksi, buka halaman detail kebocoran pasangan AccessKey dari daftar yang telah ditangani dan hapus dari daftar putih. |
Lihat catatan pemanggilan AccessKey
Dengan meninjau catatan pemanggilan AccessKey, Anda dapat menentukan apakah AccessKey yang bocor dieksploitasi oleh penyerang dan memahami cakupan dampaknya. Langkah-langkah berikut menjelaskan cara melihat event pemanggilan AccessKey secara kronologis melalui ActionTrail.
Untuk melihat catatan pemanggilan AccessKey yang mengakses layanan cloud tertentu, Anda dapat menggunakan fitur audit AccessKey di ActionTrail. Untuk informasi lebih lanjut, lihat Kueri log pasangan AccessKey.
-
Pada halaman Security Center console AccessKey Leak Detection, peroleh AccessKey ID yang ingin Anda kueri.
-
Login ke konsol ActionTrail.
-
Di panel navigasi kiri, pilih .
-
Di bilah navigasi atas, pilih wilayah tempat Anda ingin mengkueri event.
-
Atur jenis kueri ke AccessKey ID, masukkan AccessKey ID yang ingin dikueri, dan tentukan rentang waktu.
-
Lihat daftar event yang dipanggil oleh AccessKey ID tersebut. Klik View Details di kolom Actions event target untuk melihat catatan event secara detail.
Untuk informasi lebih lanjut tentang parameter peristiwa manajemen, lihat Struktur peristiwa manajemen.
Monitor pemanggilan AccessKey yang tidak normal
Setelah menangani event kebocoran pasangan AccessKey, kami menyarankan agar Anda terus memantau pemanggilan AccessKey yang tidak normal untuk mencegah insiden serupa, merespons dengan cepat saat terjadi kebocoran, dan meminimalkan dampaknya.
Deteksi pemanggilan AccessKey yang tidak normal dari perspektif penyerang
Berdasarkan pengalaman pertahanan keamanan dan model besar, Security Center dapat mendeteksi pemanggilan AccessKey yang tidak normal umum. Misalnya, alamat IP yang memanggil AccessKey baru-baru ini melakukan serangan, alamat IP tersebut memanggil pasangan AccessKey milik banyak pengguna secara batch di cloud, API yang dipanggil bersifat sensitif, dan AccessKey tersebut sebelumnya pernah bocor.
-
Login keSecurity Center console.
-
Di panel navigasi kiri, pilih. Di pojok kiri atas konsol, pilih wilayah tempat aset yang ingin dilindungi berada:Chinese MainlandatauOutside Chinese Mainland.
CatatanJika Anda telah mengaktifkan Agentic SOC, pilih .
-
Atur Alert Type ke Malicious Process (Cloud Threat Detection) dan periksa apakah ada peringatan pemanggilan AccessKey yang tidak normal.
CatatanJika terdapat peringatan pemanggilan AccessKey yang tidak normal, tinjau detailnya dan segera konfirmasi apakah pemanggilan AccessKey tersebut merupakan perilaku normal.
-
(Opsional) Konfigurasikan notifikasi peringatan: buka System Settings > Notification Settings, temukan Alert di kolom Notification Item, dan pilih metode yang Anda inginkan.
CatatanEdisi Dasar hanya mendukung metode notifikasi pesan internal.
Monitor pemanggilan AccessKey yang tidak normal oleh akun Alibaba Cloud Anda
ActionTrail menyediakan peringatan bawaan untuk memantau pemanggilan AccessKey oleh akun Alibaba Cloud Anda dan pemanggilan AccessKey yang tidak normal. Aktifkan peringatan bawaan Abnormal Frequency of AccessKey Usage Alert dan Root Account AccessKey Usage Detection di konsol ActionTrail untuk menerima notifikasi saat terjadi pemanggilan AccessKey yang tidak normal. Untuk informasi lebih lanjut, lihat Kueri peristiwa Insights.
Deteksi pemanggilan AccessKey yang tidak normal berdasarkan perilaku historis
Fitur Insights yang disediakan oleh ActionTrail menganalisis pasangan AccessKey dengan laju pemanggilan tidak normal berdasarkan perilaku historis, membantu Anda mendeteksi aktivitas mencurigakan secara tepat waktu. Untuk informasi lebih lanjut tentang cara mengaktifkan dan melihat peristiwa Insights, lihat Kueri peristiwa Insights di konsol ActionTrail.
Rekomendasi
-
Jangan gunakan pasangan AccessKey akun Alibaba Cloud Anda (akun utama).
-
Hindari hard-coding informasi AccessKey dalam kode Anda. Anda dapat mengelola pasangan AccessKey dengan mengonfigurasi variabel lingkungan. Untuk informasi lebih lanjut, lihat Praktik terbaik untuk mencegah kebocoran pasangan AccessKey.
-
Gunakan repositori GitHub privat untuk mengelola kode, atau siapkan sistem hosting kode internal di dalam perusahaan Anda untuk mencegah kebocoran kode sumber dan informasi sensitif.