Security Center:AccessKey pair leak detection

Escopo

• Plataforma de detecção: Suporta apenas a detecção de vazamentos de AccessKey pair em código-fonte público no GitHub. Outras plataformas de hospedagem de código não são suportadas.

• Alvos de detecção: AccessKey pairs de contas Alibaba Cloud (contas primárias) e usuários RAM, incluindo o AccessKey ID e o AccessKey Secret.

Métodos de notificação

O Security Center utiliza métodos de notificação diferentes dependendo de o AccessKey Secret vazado (doravante denominado SK) ainda estar válido:

Modifique métodos de notificação

1. Acesse Security Center console - System Settings - Notifications. No canto superior esquerdo da página, selecione a região dos seus ativos: Chinese Mainland ou Outside Chinese Mainland.

2. Na aba Email/Internal Message, localize AccessKey Leak Detection e selecione o Notification Method desejado.

Adicionar destinatários de notificação

Por padrão, apenas os contatos da conta recebem notificações. Para adicionar outros destinatários, utilize um dos seguintes métodos:

• SMS, e-mail e mensagem interna:

  Na página Basic Receiving Management, modifique os destinatários de mensagens na seção Security Message > Cloud Shield Security Information Notification.

  Nota

  As alterações feitas nos destinatários aqui também se aplicam a outros itens de notificação no Security Center, bem como a itens de notificação de produtos como Anti-DDoS e Web Application Firewall.

  Para mais informações, consulte Configure event alerts.

Etapa 1: Tratar o vazamento manualmente

O Security Center não suporta o tratamento automático de eventos de vazamento de AccessKey pair. Conclua primeiro as seguintes operações externamente:

1. Exclua ou oculte o conteúdo vazado no GitHub: entre em contato com o pessoal responsável para exclua ou ocultar os arquivos, repositórios ou código que contenham informações do AccessKey pair.

2. Trate o AccessKey vazado no console RAM: exclua ou desative o AccessKey vazado e crie um novo, garantindo que as operações essenciais do negócio não sejam afetadas. Para mais informações, consulte Delete an AccessKey pair for a RAM user e Disable an AccessKey pair for a RAM user.

   Observe os seguintes pontos ao tratar um AccessKey vazado:

   • A alteração entra em vigor imediatamente após você desativar o AccessKey: ao desativar um AccessKey pair no console RAM, a alteração tem efeito imediato. O AccessKey não pode mais ser usado em chamadas de API, bloqueando imediatamente quaisquer operações realizadas com ele.

   • Você pode continuar recebendo alertas após desativar o AccessKey: depois que um AccessKey é desativado, as chamadas feitas com ele falham, mas como o registro da chave ainda existe, o Security Center pode continuar detectando o risco de vazamento e enviando alertas. Caso confirme que o AccessKey não está mais em uso, recomendamos excluí-lo após desativá-lo para eliminar completamente os alertas.

   • Avalie o impacto no negócio e planeje uma estratégia de rotação: antes de desativar ou exclua um AccessKey, verifique se a chave ainda é utilizada pelo seu negócio — por exemplo, como credencial configurada em um cluster Kubernetes (K8s) ou em outros serviços. Se o AccessKey ainda estiver em uso, recomendamos crie primeiro um novo AccessKey de usuário RAM, substituí-lo nas configurações de negócio relevantes e verifique que a nova chave funciona conforme esperado antes de desativar e exclua o AccessKey antigo. Isso evita impacto nos serviços em produção.

   • Controle temporário quando a rotação não é possível: se não for possível concluir a rotação do AccessKey por algum motivo específico, configure uma política de controle de acesso (lista de permissões de endereços IP) de acordo com os requisitos do negócio para permitir acesso apenas a partir dos endereços IP comerciais especificados, como medida de mitigação temporária.

     Nota

     A lista de permissões de endereços IP mencionada aqui refere-se a uma política de controle de acesso no nível de rede. É diferente da lista de permissões de alertas (o método de tratamento Add to Whitelist descrito em "Tratar eventos de vazamento de AccessKey pair" neste tópico), que é usada para marcar eventos como falsos positivos no console. Não confunda as duas.

Etapa 2: Marcar o status de tratamento no console

Após concluir o tratamento manual, marque o status do evento de alerta de AccessKey no console do Security Center:

1. Acesse Security Center console - Risk Governance - AK Leak Detection.

2. Clique em Handle na coluna Actions do evento desejado, selecione um dos seguintes métodos de tratamento e clique em Handle Now.

Detectar chamadas anormais de AccessKey a partir da perspectiva do atacante

Com base em experiência em segurança ofensiva e defensiva e em large models, o Security Center consegue detectar chamadas anormais comuns de AccessKey. Por exemplo: o endereço IP que chama o AccessKey lançou ataques recentemente; o endereço IP chama AccessKey pairs de múltiplos usuários em lote na cloud; a API chamada é sensível e o AccessKey foi vazado anteriormente. Se um AccessKey pair for chamado a partir de um endereço IP em uma região incomum para acessar uma API sensível, o sistema identifica a chamada como comportamento anormal e dispara um alerta. Caso confirme que um alerta foi disparado por comportamento normal do negócio, utilize o ActionTrail console para verifique os registros de chamadas do AccessKey pair. Após verifique a chamada, defina o status do alerta como False positive na página de detalhes do alerta. Não é possível configure endereços IP confiáveis para este recurso.

1. Faça login no Security Center console.

2. No painel de navegação à esquerda, escolha Detection and Response > Alerts. No canto superior esquerdo do console, selecione a região onde o ativo a ser protegido está localizado: Chinese Mainland ou Outside Chinese Mainland.

   Nota

   Se você tiver ativado o Agentic SOC, selecione Agentic SOC > Management > Alerts.

3. Defina Alert Type como Malicious Process (Cloud Threat Detection) e verifique se há alertas de chamadas anormais de AccessKey.

   Nota

   Se existir um alerta de chamada anormal de AccessKey, visualize seus detalhes e confirme prontamente se a chamada de AccessKey é um comportamento normal.

4. (Opcional) Configure notificações de alerta: acesse System Configuration > Notification Settings, localize Alert na coluna Notification Item e selecione os métodos de sua preferência.

   Nota

   A Basic Edition suporta apenas o método de notificação por mensagem interna.

Monitorar chamadas anormais de AccessKey da sua conta Alibaba Cloud

O ActionTrail fornece alertas integrados para monitorar chamadas de AccessKey pela sua conta Alibaba Cloud e chamadas anormais de AccessKey. Ative os alertas integrados Abnormal Frequency of AccessKey Usage Alert e Root Account AccessKey Usage Detection no console do ActionTrail para receber notificações quando chamadas anormais de AccessKey ocorrerem. Para mais informações, consulte Query Insights events.

Detectar chamadas anormais de AccessKey com base no comportamento histórico

O recurso Insights fornecido pelo ActionTrail analisa AccessKey pairs com taxas de chamada anormais com base no comportamento histórico, ajudando a detectar atividades anômalas em tempo hábil. Para mais informações sobre como ative e visualize eventos do Insights, consulte Query Insights events in the ActionTrail console.