AccessKey ログのクエリ - ActionTrail - Alibaba Cloud ドキュメントセンター

Alibaba Cloud では、アカウントのセキュリティを監視し、潜在的な脅威を迅速に検出できるよう、AccessKey の使用記録を表示・管理する機能を提供しています。ActionTrail コンソールを使用することで、AccessKey の基本情報をクエリでき、その AccessKey がアクセスした Alibaba Cloud サービス、関連付けられた IP アドレス、およびリソースを確認できます。

前提条件

クエリ対象の AccessKey ID を取得します。詳細については、「AccessKey の取得」をご参照ください。

ActionTrail はデフォルトで過去 90 日間のイベントを保持します。それより古い記録を参照するには、トレイルを作成してイベントを SLS または OSS に配信する必要があります。詳細については、「シングルアカウントトレイルの作成」をご参照ください。

操作手順

ActionTrail コンソールにログインします。
左側のナビゲーションウィンドウで、AccessKey ペアの監査 > AccessKeyEvents を選択します。
AccessKeyEvents ページで、AccessKey ID を入力し、アイコンをクリックします。
基本情報 セクションで、AccessKey ID、アカウント ID (Alibaba Cloud アカウント ID)、ユーザー名、RAM User ID、Last Accessed At、および Service Last Accessed などの詳細を表示します。
Alibaba Cloud サービス セクションで、この AccessKey がアクセスした Alibaba Cloud サービスの一覧と、Event List、IP Address List、および Resource List を表示します。
- Alibaba Cloud サービス一覧
  
  Alibaba Cloud サービス セクションで、Cloud サービス および 前回のアクセス時刻 を表示します。
- イベントリスト
  
  特定の Alibaba Cloud サービスの操作列で イベントリスト をクリックすると、イベント名、Last Called At、Region、およびイベントの詳細を表示できます。
  説明
  
  AccessKey 監査では、デフォルトで管理イベントのクエリが提供されます。データイベントトレイルを作成すると、トレイル作成後に生成されたデータイベントがイベントリストに表示されます。
  
  イベント内のフィールドの詳細については、「管理イベント構造定義」をご参照ください。
- IP リスト
  
  特定の Alibaba Cloud サービスの操作列で IP アドレスリスト をクリックすると、IP、Last Accessed At、リージョン、および IP アドレスの詳細をクエリできます。
- リソースリスト
  
  特定の Alibaba Cloud サービスの操作列で リソースリスト をクリックすると、リソースタイプ、リソース名、Last Accessed At、リージョン、およびリソースの詳細をクエリできます。
  
  AccessKey 監査でサポートされているリソースタイプの一覧については、「リソースタイプ」をご参照ください。

AK 漏洩時の調査と対応

AccessKey が漏洩した場合は、AccessKey 監査機能を使用して漏洩期間中の異常な操作を調査し、直ちに被害を軽減してください。

重大な高リスクイベントタイプ

イベントリストでは、以下の異常な操作イベントに注目してください。

イベント名	リスクの説明
`CreateInstance`	攻撃者が漏洩した AccessKey を使用して ECS インスタンスを作成し、マイニングやプロキシ設定を行います。
`AuthorizeSecurityGroup`	攻撃者が脆弱性のあるポート (例：22 や 3389) を開放し、内部ネットワークリソースを外部にさらします。
`CreateAccessKey`	攻撃者が既存の RAM ユーザーに対して新しい AccessKey を作成し、永続的なアクセスを維持しようとします。
`CreatePolicy` / `AttachPolicyToUser`	攻撃者が自身または新しく作成したユーザーに対して AdministratorAccess などの高リスク権限を付与し、権限昇格を試みます。
`CreateUser`	攻撃者がバックドアとなる RAM ユーザーを作成し、永続的なアクセスチャネルを確立しようとします。

異常な操作を検出した後の対応手順

漏洩した AccessKey を無効化および削除します。 RAM コンソールで AccessKey を無効化します。業務への影響がないことを確認した後、削除してください。また、影響を受けたユーザーの AccessKey を新しいものにローテーションしてください。
不正な AccessKey や RAM ユーザーの有無を確認します。 イベントリストで CreateAccessKey イベントおよび CreateUser イベントを検索し、すべての不正な AccessKey および RAM ユーザーを削除してください。
異常なリソースをロールバックします。 攻撃者によって作成された ECS インスタンスや OSS バケットなどのリソースを特定してリリースし、不正なセキュリティグループルールおよびアクセスポリシーの変更を元に戻してください。
疑わしい IP アドレスを調査します。 IP リストで内部 IP アドレス以外のアドレスを特定し、攻撃元を特定して影響範囲を評価してください。

ActionTrail:AccessKey ログのクエリ

前提条件

操作手順

AK 漏洩時の調査と対応

関連操作