Tüm Ürünler
Search

Bu Ürün

    ActionTrail:AccessKey günlüklerini sorgulama

    Belge Merkezi

    ActionTrail:AccessKey günlüklerini sorgulama

    Son Güncelleme:Oct 04, 2026

    ActionTrail konsolunu kullanarak AccessKey kullanım kayıtlarınızı sorgulayabilirsiniz. Bu kayıtlar arasında erişilen Alibaba Cloud hizmetleri, ilişkili IP adresleri ve kaynaklar yer alır. Böylece hesap güvenliğinizi izleyebilir ve olası tehditleri tespit edebilirsiniz.

    Ön koşullar

    Sorgulamak istediğiniz AccessKey ID değerini edinin. Daha fazla bilgi için bkz. AccessKey alma.

    ActionTrail, varsayılan olarak son 90 güne ait olayları saklar. Daha eski kayıtlara erişmek için olayları SLS veya OSS hizmetine ileten bir iz (trail) oluşturun. Daha fazla bilgi için bkz. Tek hesaplı iz oluşturma.

    Yordam

    1. ActionTrail konsolunda oturum açın.

    2. Sol gezinme bölmesinde AccessKey Pair Audit > AccessKey Event Query seçeneklerini seçin.

    3. AccessKey Event Query sayfasında AccessKey ID değerini girin ve 查询按钮 simgesine tıklayın.

    4. Basic Information bölümünde AccessKey ID, Account ID (Alibaba Cloud hesap kimliği), Username, RAM User ID, Last Accessed At ve Service Last Accessed gibi ayrıntıları görüntüleyin.

    5. Alibaba Cloud Service bölümünde bu AccessKey tarafından erişilen Alibaba Cloud hizmetlerinin listesini; ayrıca Event List, IP Address List ve Resource List bilgilerini görüntüleyin.

      • Alibaba Cloud hizmet listesi

        Alibaba Cloud Service bölümünde Cloud Service ve Last Accessed At bilgilerini görüntüleyin.

      • Olay listesi

        Belirli bir Alibaba Cloud hizmeti için Actions sütunundaki Event List seçeneğine tıklayarak Event Name, Last Called At, Region ve olay ayrıntıları gibi bilgileri görüntüleyin.

        Not

        • AccessKey Audit, varsayılan olarak yönetim olayı sorgularını sağlar. Bir veri olayı izi oluşturduktan sonra, iz oluşturma işleminden sonra üretilen veri olayları olay listesinde görünür.

        • Olaylardaki alanlarla ilgili daha fazla bilgi için bkz. Yönetim olayı yapı tanımı.

        • GetCallerIdentity gibi Security Token Service (STS) belirteci kullanılarak başlatılan API çağrıları AccessKey event query sonuçlarında görünmez. Bu çağrılar, bir RAM kullanıcısının uzun vadeli AccessKey çifti yerine STS geçici kimlik bilgilerinin AccessKey ID değerini kullanır. STS belirteci kullanılarak başlatılan API çağrılarını sorgulamak için Event Query sayfasına gidin ve olay adına göre arama yapın.

      • IP listesi

        Belirli bir Alibaba Cloud hizmeti için Actions sütunundaki IP Address List seçeneğine tıklayarak IP, Last Accessed At, Region ve IP adresi ayrıntılarını sorgulayın.

      • Kaynak listesi

        Belirli bir Alibaba Cloud hizmeti için Actions sütunundaki Resource List seçeneğine tıklayarak Resource Type, Resource Name, Last Accessed At, Region ve kaynak ayrıntılarını sorgulayın.

        AccessKey Audit tarafından desteklenen kaynak türlerinin listesi için bkz. Kaynak türleri.

    AccessKey sızıntısı araştırması ve müdahale

    Bir AccessKey sızdırıldığında, sızıntı dönemindeki anormal işlemleri araştırmak ve zararı azaltmak için AccessKey Audit özelliğini kullanın.

    Kritik yüksek riskli olay türleri

    Olay listesinde aşağıdaki yüksek riskli işlem olaylarına odaklanın:


    Olay adı


    Risk açıklaması


    CreateInstance


    Saldırgan, kripto para madenciliği veya proxy kurulumu amacıyla ECS örnekleri oluşturur.


    AuthorizeSecurityGroup


    Saldırgan, dahili kaynakları açığa çıkaran savunmasız bağlantı noktalarını (22 veya 3389 gibi) açar.


    CreateAccessKey


    Saldırgan, erişimi sürdürmek için mevcut bir RAM kullanıcısı adına yeni bir AccessKey oluşturur.


    CreatePolicy / AttachPolicyToUser


    Saldırgan, kendisine veya yeni oluşturduğu kullanıcılara AdministratorAccess gibi yüksek riskli izinler vererek yetki yükseltmesi gerçekleştirir.


    CreateUser


    Saldırgan, kalıcı erişim sağlamak amacıyla bir arka kapı RAM kullanıcısı oluşturur.

    Anormal işlemler tespit edildiğinde uygulanacak müdahale adımları

    1. Sızdırılan AccessKey'i devre dışı bırakın ve silin. AccessKey'i RAM konsolunda devre dışı bırakın. İş süreçlerinizin etkilenmediğinden emin olduktan sonra anahtarı silin. Ayrıca etkilenen kullanıcı için yeni bir AccessKey'e geçiş yapın.

    2. Yetkisiz AccessKey'leri veya RAM kullanıcılarını kontrol edin. Olay listesinde CreateAccessKey ve CreateUser olaylarını arayın. Yetkisiz tüm AccessKey'leri ve RAM kullanıcılarını silin.

    3. Anormal kaynakları geri alın. Saldırgan tarafından oluşturulan ECS örnekleri ve OSS paketleri gibi kaynakları belirleyip serbest bırakın. Yetkisiz güvenlik grubu kurallarını ve erişim ilke değişikliklerini iptal edin.

    4. Şüpheli IP adreslerini araştırın. IP listesinde dahili olmayan IP adreslerini belirleyerek saldırı kaynağını bulun ve etki kapsamını değerlendirin.

    İlgili işlemler