Security Center:AccessKey pair leak detection

Escopo

• Plataforma de detecção: Detecta vazamentos de pares de AccessKey apenas em código source público no GitHub. Não há suporte para outras plataformas de hospedagem de código.

• Alvos da detecção: Pares de AccessKey de contas Alibaba Cloud (contas primárias) e usuários RAM, incluindo o AccessKey ID e o AccessKey Secret.

Métodos de notificação

O Security Center utiliza diferentes métodos de notificação dependendo da validade do AccessKey Secret vazado (doravante SK):

Modifique métodos de notificação

1. Acesse o console do Security Center - System Settings - Notifications. No canto superior esquerdo da página, selecione a região dos seus ativos: Chinese Mainland ou Outside Chinese Mainland.

2. Na aba Email/Internal Message, localize AccessKey Leak Detection e selecione o Notification Method desejado.

Adicionar destinatários de notificação

Por padrão, apenas os contatos da conta recebem notificações. Para adicionar outros destinatários, use um dos seguintes métodos:

• SMS, e-mail e mensagem interna:

  Na página Basic Receiving Management, modifique os destinatários das mensagens na seção Security Message > Cloud Shield Security Information Notification.

  Nota

  Após modificar os destinatários das mensagens aqui, as alterações também se aplicam a outros itens de notificação no Security Center e a itens de notificação de products como Anti-DDoS e Web Application Firewall.

  Para mais informações, consulte Configure event alerts.

Etapa 1: Tratar o vazamento manualmente

O Security Center não oferece suporte ao tratamento automático de eventos de vazamento de par de AccessKey. Conclua primeiro as seguintes operações externamente:

1. Exclua ou oculte o conteúdo vazado no GitHub: entre em contato com os responsáveis para excluir ou ocultar os arquivos, repositórios ou códigos que contêm as informações do par de AccessKey.

2. Trate o AccessKey vazado no console RAM: exclua ou desative o AccessKey vazado e crie um novo, garantindo que as operações comerciais essenciais não sejam afetadas. Para mais informações, consulte Delete an AccessKey pair for a RAM user e Disable an AccessKey pair for a RAM user.

   Observe o seguinte ao tratar um AccessKey vazado:

   • A alteração entra em vigor imediatamente após desativar o AccessKey: ao desativar um par de AccessKey no console RAM, a mudança é aplicada instantaneamente. O AccessKey não pode mais ser usado para chamadas de API, o que bloqueia imediatamente quaisquer operações realizadas com ele.

   • Você ainda pode receber alertas após desativar o AccessKey: depois que um AccessKey é desativado, as chamadas feitas com ele falham. No entanto, como o registro da chave ainda existe, o Security Center pode continuar detectando o risco de vazamento e enviando alertas. Se confirmar que o AccessKey não está mais em uso, recomendamos excluir o AccessKey após desativá-lo para eliminar totalmente os alertas.

   • Avalie o impacto nos negócios e planeje uma estratégia de rotação: antes de desativar ou excluir um AccessKey, verifique se a chave ainda é utilizada pelos seus negócios, por exemplo, como credenciais configuradas para um cluster Kubernetes (K8s) ou outros services. Caso o AccessKey ainda esteja em uso, recomendamos criar primeiro um novo AccessKey de usuário RAM, substituí-lo na configuração de negócios relevante e verificar se a nova chave funciona conforme o esperado antes de desativar e excluir o AccessKey antigo. Isso ajuda a evitar impactos nos services online.

   • Controle temporário quando a rotação não for possível: se não for possível concluir a rotação do AccessKey por um motivo específico, configure uma política de controle de acesso (lista de permissões de endereços IP) com base nos requisitos do seu negócio para permitir acesso apenas de endereços IP comerciais especificados, como medida de mitigação temporária.

     Nota

     A lista de permissões de endereços IP mencionada aqui refere-se a uma política de controle de acesso no nível de rede. Ela difere da lista de permissões de alertas (o método de tratamento Add to whitelist descrito em "Tratar eventos de vazamento de par de AccessKey" neste tópico), que serve para marcar eventos de falso positivo no console. Não confunda as duas.

Etapa 2: Marcar o status de tratamento no console

Após concluir o tratamento manual, marque o status do evento de alerta de AccessKey no console do Security Center:

1. Acesse o console do Security Center - Risk Governance - AK Leak Detection.

2. Clique em Handle na coluna Actions do evento alvo, selecione um dos seguintes métodos de tratamento e clique em Handle Now.

Detectar chamadas anormais de AccessKey sob a perspectiva do invasor

Com base na experiência de ataque e defesa de segurança e em grandes modelos, o Security Center detecta chamadas anormais comuns de AccessKey. Por exemplo, se o endereço IP que chama o AccessKey lançou ataques recentemente, se o endereço IP chama pares de AccessKey de vários usuários em lote na cloud ou se a API chamada é sensível e o AccessKey já vazou anteriormente. Se um par de AccessKey for chamado de um endereço IP em uma região incomum para acessar uma API sensível, o sistema identifica a chamada como comportamento anormal e aciona um alerta. Caso confirme que um alerta foi disparado por um comportamento comercial normal, use o console do ActionTrail para verificar os registros de chamadas do par de AccessKey. Após verificar a chamada, defina o status do alerta como False positive na página de detalhes do alerta. Não é possível configurar endereços IP confiáveis para este recurso.

1. Faça login no console do Security Center.

2. No painel de navegação à esquerda, escolha Detection and Response > Alerts. No canto superior esquerdo do console, selecione a região onde o ativo a ser protegido está localizado: Chinese Mainland ou Outside Chinese Mainland.

   Nota

   Se você ativou o Agentic SOC, selecione Agentic SOC > Management > Alerts.

3. Defina Alert Type como Malicious Process (Cloud Threat Detection) e verifique se há alertas de chamadas anormais de AccessKey.

   Nota

   Se existir um alerta de chamada anormal de AccessKey, visualize seus detalhes e confirme prontamente se a chamada de AccessKey é um comportamento normal.

4. (Opcional) Configure notificações de alerta: acesse System Configuration > Notification Settings, localize Alert na coluna Notification Item e selecione seus métodos preferidos.

   Nota

   A Basic Edition suporta apenas o método de notificação por mensagem interna.

Monitorar chamadas anormais de AccessKey pela sua conta Alibaba Cloud

O ActionTrail fornece alertas integrados para monitorar chamadas de AccessKey pela sua conta Alibaba Cloud e chamadas anormais de AccessKey. Ative os alertas integrados Abnormal Frequency of AccessKey Usage Alert e Root Account AccessKey Usage Detection no console do ActionTrail para receber notificações quando ocorrerem chamadas anormais de AccessKey. Para mais informações, consulte Query Insights events.

Detectar chamadas anormais de AccessKey com base no comportamento histórico

O recurso Insights fornecido pelo ActionTrail analisa pares de AccessKey com taxas de chamada anormais com base no comportamento histórico, ajudando você a detectar atividades anômalas em tempo hábil. Para mais informações sobre como ativar e visualizar eventos do Insights, consulte Query Insights events in the ActionTrail console.