Security Center:AccessKey ペアの漏えい検知

範囲

• 検知プラットフォーム：GitHub の公開ソースコードにおける AccessKey ペアの漏えい検知のみをサポートします。その他のコードホスティングプラットフォームはサポートされていません。

• 検知対象：Alibaba Cloud アカウント (ルートアカウント) と RAM ユーザーの AccessKey ペア。AccessKey ID と AccessKey Secret の両方が含まれます。

通知方法

Security Center は、漏えいした AccessKey Secret (以下、SK) がまだ有効かどうかに応じて、異なる通知方法を使用します。

通知方法の変更

1. Security Center コンソール > システム設定 > 通知 にアクセスします。ページの左側上部で、保護対象のアセットが配置されているリージョンを選択します：Chinese Mainland または Outside Chinese Mainland。

2. メール / サイト内通知 タブで、AccessKey Leak Detection を見つけ、必要な Notification Method を選択します。

通知受信者の追加

デフォルトでは、アカウントの連絡先のみが通知を受信します。他の受信者を追加するには、次のいずれかの方法を使用します。

• SMS、メール、およびサイト内メッセージ：

  [基本受信管理] ページで、[セキュリティメッセージ] > [Cloud Shield セキュリティ情報通知] セクションのメッセージ受信者を変更します。

  説明

  ここでメッセージ受信者を変更すると、Security Center の他の通知項目、および Anti-DDoS や Web Application Firewall などの製品の通知項目にも変更が適用されます。

  詳細については、「イベントアラートの設定」をご参照ください。

ステップ 1：手動で漏えいに対応する

Security Center は、AccessKey ペアの漏えいイベントの自動対応をサポートしていません。まず、次の操作を外部で完了する必要があります。

1. GitHub 上の漏えいしたコンテンツを削除または非表示にする：関係者に連絡して、AccessKey ペア情報を含むファイル、リポジトリ、またはコードを削除または非表示にします。

2. RAM コンソールで漏えいした AccessKey を処理する：漏えいした AccessKey を削除または無効化し、新しい AccessKey を作成します。その際、コアビジネスの運用に影響を与えないようにしてください。詳細については、「RAM ユーザーの AccessKey ペアを削除する」および「RAM ユーザーの AccessKey ペアを無効化する」をご参照ください。

ステップ 2：コンソールで対応ステータスを記録する

手動対応が完了したら、Security Center コンソールで AccessKey アラートイベントのステータスを記録します。

1. Security Center コンソール > リスクガバナンス > AK 漏えい検知 にアクセスします。

2. 対象イベントの 処理 列で 操作する をクリックし、次のいずれかの対応方法を選択して、今すぐ処理 をクリックします。

攻撃者の視点による異常な AccessKey 呼び出しの検知

Security Center は、セキュリティ攻撃と防御の経験および大規模モデルに基づいて、一般的な異常な AccessKey 呼び出しを検知できます。たとえば、AccessKey を呼び出す IP アドレスが最近攻撃を開始した、IP アドレスがクラウド上の複数のユーザーの AccessKey ペアを一括で呼び出している、呼び出された API が機密性が高く AccessKey が以前に漏えいしたことがあるなどです。

1. Security Center コンソール にログインします。

2. 左側のナビゲーションペインで、レスポンス検出 > アラート を選択します。コンソールの左上隅で、保護対象のアセットが配置されているリージョンを選択します：Chinese Mainland または Outside Chinese Mainland。

   説明

   Agentic SOC を有効にしている場合は、脅威の分析と応答 > 管理 > アラート を選択します。

3. アラートタイプ を Malicious Process (Cloud Threat Detection) に設定し、異常な AccessKey 呼び出しアラートがないか確認します。

   説明

   異常な AccessKey 呼び出しアラートが存在する場合は、その詳細を確認し、AccessKey の呼び出しが正常な動作であるかどうかを速やかに確認してください。

4. (オプション) アラート通知を設定する：システム設定 > 通知設定 に移動し、[通知項目] 列で Notification Item を見つけ、希望する方法を選択します。

   説明

   Basic Edition では、サイト内メッセージ通知方法のみがサポートされています。

Alibaba Cloud アカウントによる異常な AccessKey 呼び出しの監視

ActionTrail は、Alibaba Cloud アカウントによる AccessKey の呼び出しと異常な AccessKey の呼び出しを監視するための組み込みアラートを提供します。ActionTrail コンソールで組み込みアラート「AccessKey 使用頻度の異常アラート」と「ルートアカウント AccessKey 使用検知」を有効にして、異常な AccessKey 呼び出しが発生したときに通知を受信できます。詳細については、「Insights イベントのクエリ」をご参照ください。

過去の動作に基づく異常な AccessKey 呼び出しの検知

ActionTrail が提供する Insights 機能は、過去の動作に基づいて異常な呼び出し率を持つ AccessKey ペアを分析し、異常なアクティビティをタイムリーに検知するのに役立ちます。Insights イベントを有効化および表示する方法の詳細については、「ActionTrail コンソールで Insights イベントをクエリする」をご参照ください。