ActionTrail:Consultar logs de AccessKey

Pré-requisitos

Obtenha o AccessKey ID que deseja consultar. Para mais informações, consulte Obtain an AccessKey.

O ActionTrail retém eventos dos últimos 90 dias por padrão. Para acessar registros mais antigos, crie uma trilha para entregar eventos ao SLS ou OSS. Para mais informações, consulte Create a single-account trail.

Procedimento

1. Faça login no console do ActionTrail.

2. No painel de navegação à esquerda, escolha AccessKey Pair Audit > AccessKey Event Query.

3. Na página AccessKey Event Query, insira o AccessKey ID e clique em .

4. Na seção Basic Information, visualize detalhes como AccessKey ID, Account ID (ID da conta Alibaba Cloud), Username, RAM User ID, Last Accessed At e Service Last Accessed.

5. Na seção Alibaba Cloud Service, visualize a lista de serviços da Alibaba Cloud acessados por este AccessKey, juntamente com a Event List, a IP Address List e a Resource List.

   • Lista de serviços da Alibaba Cloud

     Na seção Alibaba Cloud Service, visualize o Cloud Service e o campo Last Accessed At.

   • Lista de eventos

     Clique em Event List na coluna Actions de um serviço específico da Alibaba Cloud para visualizar detalhes como Event Name, Last Called At, Region e detalhes do evento.

     Nota

     • O AccessKey Audit fornece consultas de eventos de gerenciamento por padrão. Após create a data event trail, os eventos de dados gerados depois da criação da trilha aparecem na lista de eventos.

     • Para mais informações sobre os campos nos eventos, consulte Management event structure definition.

     • Chamadas de API iniciadas com um token do Security Token Service (STS), como GetCallerIdentity, não aparecem nos resultados da AccessKey Event Query. Essas chamadas usam o AccessKey ID das credenciais temporárias do STS em vez do par de AccessKey de longo prazo de um usuário RAM. Para consultar chamadas de API iniciadas com um token STS, acesse a página Event Query e pesquise pelo nome do evento.

   • Lista de IPs

     Clique em IP Address List na coluna Actions de um serviço específico da Alibaba Cloud para consultar o IP, o campo Last Accessed At, a Region e detalhes do endereço IP.

   • Lista de recursos

     Clique em Resource List na coluna Actions de um serviço específico da Alibaba Cloud para consultar o Resource Type, o Resource Name, o campo Last Accessed At, a Region e detalhes do recurso.

     Para obter uma lista de tipos de recursos suportados pelo AccessKey Audit, consulte Resource types.

Investigação e resposta a vazamento de AK

Se ocorrer um vazamento de AccessKey, use o AccessKey Audit para investigar operações anormais durante o período do vazamento e mitigar os danos.

Tipos críticos de eventos de alto risco

Na lista de eventos, concentre-se nestes eventos de operação de alto risco:

Etapas de resposta após detectar operações anormais

1. Desative e exclua o AccessKey vazado. Desative o AccessKey no console do RAM. Após confirmar que seus negócios não foram afetados, exclua-o. Além disso, faça a rotação para um novo AccessKey para o usuário afetado.

2. Verifique a existência de AccessKeys ou usuários RAM não autorizados. Pesquise na lista de eventos por CreateAccessKey e CreateUser. Exclua todos os AccessKeys e usuários RAM não autorizados.

3. Reverta recursos anormais. Identifique e libere recursos criados pelo invasor, como instâncias ECS e buckets do OSS. Revogue regras de grupo de segurança não autorizadas e alterações em políticas de acesso.

4. Investigue endereços IP suspeitos. Na lista de IPs, identifique endereços IP não internos para localizar a origem do ataque e avaliar o escopo do impacto.

Operações relacionadas

• Também é possível visualizar detalhes do AccessKey no Resource Access Management (RAM). Para mais informações, consulte View AccessKey information for a RAM user.

• Você também pode chamar operações de API para consultar registros de eventos de AccessKey. Para mais informações, consulte AccessKey audit.

• Outra opção é usar a consulta de eventos para recuperar registros detalhados de invocação de AccessKey. Para mais informações, consulte How do I query the Alibaba Cloud services and invocation records for an AccessKey?.