Security Center, Alibaba Cloud hesabınıza veya RAM kullanıcılarına ait AccessKey çiftlerinin (bundan sonra AK olarak anılacaktır) sızdırılıp sızdırılmadığını tespit etmek için GitHub'daki genel kaynak kodları gerçek zamanlı izler ve uyarılar sağlar. Bu konu, AccessKey çifti sızıntı tespiti ilkelerini ve sızıntılara nasıl yanıt verileceğini açıklar.
Çalışma mantığı
Kapsam
Tespit platformu: Yalnızca GitHub'daki genel kaynak kodlardaki AccessKey çifti sızıntılarının tespit edilmesini destekler. Diğer kod barındırma platformları desteklenmez.
Tespit hedefleri: Hem AccessKey ID hem de AccessKey Secret'ı içeren Alibaba Cloud hesaplarının (ana hesaplar) ve RAM kullanıcılarının AccessKey çiftleri.
Bildirim yöntemleri
Security Center, sızdırılan AccessKey Secret'ın (bundan sonra SK olarak anılacaktır) geçerliliğine bağlı olarak farklı bildirim yöntemleri kullanır:
Hesabınız altındaki tüm kaynakların kontrolünü ele geçirebilmek için üçüncü tarafların hem AccessKey ID hem de AccessKey Secret'ına erişmesi gerekir.
|
Bildirim koşulu |
Bildirim yöntemi |
|
AccessKey Secret'ın geçerli olup olmadığından bağımsız olarak AccessKey ID'sinin sızdırılması. |
AccessKey Leak Detection sayfasında uyarı |
|
AccessKey Secret'ın sızdırılması ve hala geçerli olması. |
|
AccessKey sızıntısı uyarı bildirimlerini yapılandırın
Security Center, AccessKey sızıntısı uyarı bildirimlerini varsayılan olarak etkinleştirir. Uyarılar SMS, sesli arama, e-posta ve dahili mesajlar aracılığıyla gönderilebilir.
Bildirim yöntemlerini değiştirin
Security Center konsolu - Sistem Ayarları - Bildirimler adresine gidin. Sayfanın sol üst köşesinde varlıklarınızın bölgesini seçin: Chinese Mainland veya Outside Chinese Mainland.
Email/Internal Message sekmesinde AccessKey Leak Detection öğesini bulun ve gerekli Notification Method değerini seçin.
AccessKey sızıntıları yüksek risk oluşturur. Bildirimlerin zamanında yapılmasını sağlamak için tüm bildirim yöntemlerini seçmenizi öneririz. Daha fazla bilgi için bkz. Uyarı bildirimlerini yapılandırma.
Bildirim alıcıları ekleyin
Varsayılan olarak yalnızca hesap iletişim kişileri bildirim alır. Diğer alıcıları eklemek için aşağıdaki yöntemlerden birini kullanın:
-
SMS, e-posta ve dahili mesaj:
Basic Receiving Management sayfasında Security Message > Cloud Shield Security Information Notification bölümünde mesaj alıcılarını değiştirin.
NotBurada mesaj alıcılarını değiştirdikten sonra değişiklikler Security Center'daki diğer bildirim öğelerine ve Anti-DDoS ile Web Application Firewall gibi ürünlerin bildirim öğelerine de uygulanır.
Daha fazla bilgi için bkz. Olay uyarılarını yapılandırma.
AccessKey çifti sızıntı olaylarını yönetin
Bir AccessKey çifti sızıntısı uyarısı aldığınızda, bu durum Alibaba Cloud hesabınızın veya RAM kullanıcınızın AK ve SK bilgilerinin ifşa edildiği anlamına gelir. Aşağıdaki adımları izleyerek durumu yönetin:
Adım 1: Sızıntıyı manuel olarak yönetin
Security Center, AccessKey çifti sızıntı olaylarının otomatik olarak yönetilmesini desteklemez. Önce aşağıdaki işlemleri harici olarak tamamlamanız gerekir:
GitHub'da sızdırılan içeriği silin veya gizleyin: AccessKey çifti bilgilerini içeren dosyaları, depoları veya kodu silmek ya da gizlemek için ilgili kişilerle iletişime geçin.
-
RAM konsolunda sızdırılan AccessKey'i yönetin: Sızdırılan AccessKey'i silin veya devre dışı bırakın ve yeni bir tane oluşturun; temel iş operasyonlarının etkilenmemesini sağlayın. Daha fazla bilgi için bkz. RAM kullanıcısı için AccessKey çiftini silme ve RAM kullanıcısı için AccessKey çiftini devre dışı bırakma.
Sızdırılan bir AccessKey'i yönetirken aşağıdakilere dikkat edin:
AccessKey'i devre dışı bıraktıktan sonra değişiklik hemen etkili olur: RAM konsolunda bir AccessKey çiftini devre dışı bıraktığınızda değişiklik hemen etkili olur. AccessKey artık API çağrıları için kullanılamaz ve bu da onunla gerçekleştirilen tüm işlemleri derhal engeller.
AccessKey'i devre dışı bıraktıktan sonra hala uyarı alabilirsiniz: Bir AccessKey devre dışı bırakıldıktan sonra bununla yapılan çağrılar başarısız olur ancak anahtar kaydı hala mevcut olduğundan Security Center sızıntı riskini algılamaya devam edebilir ve uyarı gönderebilir. AccessKey'in artık kullanılmadığını onaylarsanız uyarıları tamamen ortadan kaldırmak için devre dışı bıraktıktan sonra AccessKey'i silmenizi öneririz.
İş etkisini değerlendirin ve bir rotasyon stratejisi planlayın: Bir AccessKey'i devre dışı bırakmadan veya silmeden önce anahtarın işiniz tarafından hala kullanılıp kullanılmadığını kontrol edin (örneğin, Kubernetes (K8s) kümesi veya diğer hizmetler için yapılandırılmış kimlik bilgisi olarak). AccessKey hala kullanılıyorsa önce yeni bir RAM kullanıcısı AccessKey'i oluşturmanızı, ilgili iş yapılandırmasında bunu değiştirmenizi ve eski AccessKey'i devre dışı bırakıp silmeden önce yeni anahtarın beklendiği gibi çalıştığını doğrulamanızı öneririz. Bu yaklaşım çevrimiçi hizmetlerdeki etkiyi önlemeye yardımcı olur.
-
Rotasyon mümkün olmadığında geçici kontrol: Belirli bir nedenle AccessKey rotasyonunu tamamlayamıyorsanız iş gereksinimlerinize göre bir erişim kontrol ilkesi (IP adresi izin listesi) yapılandırarak yalnızca belirtilen iş IP adreslerinden gelen erişime izin verebilir ve geçici bir azaltma önlemi olarak kullanabilirsiniz.
NotBurada bahsedilen IP adresi izin listesi ağ tarafında bir erişim kontrol ilkesidir. Bu konu kapsamında "AccessKey çifti sızıntı olaylarını yönetin" bölümünde açıklanan Add to whitelist işlem yöntemi olan ve konsoldaki yanlış pozitif olayları işaretlemek için kullanılan uyarı izin listesinden farklıdır. İkisini karıştırmayın.
Adım 2: Konsolda yönetim durumunu işaretleyin
Manuel yönetimi tamamladıktan sonra Security Center konsolunda AccessKey uyarı olayının durumunu işaretleyin:
Security Center konsolu - Risk Yönetimi - AK Sızıntı Tespiti adresine gidin.
Hedef olayın Actions sütununda Handle öğesine tıklayın, aşağıdaki yönetim yöntemlerinden birini seçin ve ardından Handle Now öğesine tıklayın.
|
Yönetim yöntemi |
Uygulanabilir senaryo |
|
Manually Deleted |
Sızdırılan AccessKey artık kullanılmıyor ve silindi. |
|
Manually Disabled AccessKey Pair |
Sızdırılan AccessKey'in kullanılması gerekiyor ancak geçici olarak devre dışı bırakılması gerekiyor. Bu yöntemi seçtikten sonra AccessKey'i RAM konsolunda yeniden etkinleştirebilirsiniz. Not
AccessKey RAM konsolunda zaten devre dışı bırakılmışsa Security Center devre dışı bırakma durumunu otomatik olarak senkronize eder ve AccessKey sızıntı olayı durumu Manually Disabled olarak değişir. |
|
Add to Whitelist |
Olay yanlış pozitiftir veya güvenle yok sayılabilir. Bu seçeneği belirlediğinizde durum Added to Whitelist olarak değişir ve olay yönetilenler listesine taşınır. Tespiti yeniden başlatmanız gerektiğinde yönetilenler listesinden AccessKey çifti sızıntı ayrıntıları sayfasına gidin ve izin listesini kaldırın. |
AccessKey çağrı kayıtlarını görüntüleyin
AccessKey çağrı kayıtlarını inceleyerek sızdırılan AccessKey'in saldırganlar tarafından istismar edilip edilmediğini belirleyebilir ve etkinin kapsamını anlayabilirsiniz. Aşağıdaki adımlar, ActionTrail aracılığıyla AccessKey çağrı olaylarını kronolojik sırayla nasıl görüntüleyeceğinizi açıklar.
Belirli bir bulut hizmetine erişmek için bir AccessKey'in çağrı kayıtlarını görüntülemek üzere ActionTrail'deki AccessKey denetim özelliğini kullanabilirsiniz. Daha fazla bilgi için bkz. AccessKey çiftinin günlüklerini sorgulama.
Security Center konsolu AccessKey Leak Detection sayfasından sorgulamak istediğiniz AccessKey ID'sini alın.
ActionTrail konsolunda oturum açın.
Sol gezinme bölmesinde seçeneğini belirleyin.
Üst gezinme çubuğunda olayları sorgulamak istediğiniz bölgeyi seçin.
Sorgu türünü AccessKey ID olarak ayarlayın, sorgulanacak AccessKey ID'sini girin ve bir zaman aralığı belirtin.
-
AccessKey ID tarafından çağrılan olayların listesini görüntüleyin. Hedef olayın Actions sütununda View Details seçeneğine tıklayarak ayrıntılı olay kayıtlarını görüntüleyin.
Yönetim olaylarının parametreleri hakkında daha fazla bilgi için bkz. Yönetim olayı yapısı.
Çağrı kayıtlarını incelerken potansiyel saldırıları araştırmak ve kaynaklarını izlemek için aşağıdaki yaklaşımı kullanın:
Kaynağın dahili bir IP adresi olup olmadığını kontrol edin: Bir AccessKey çağrısının kaynak IP adresi bir Alibaba Cloud dahili IP adresiyse bir bulut sunucusu ele geçirilmiş ve zombi haline gelmiş olabilir. İlgili bulut sunucusunun güvenlik durumunu derhal kontrol etmenizi ve sunucu korumasını güçlendirmenizi öneririz.
Kötü amaçlı bir RAM kullanıcısının oluşturulmasını izleyin: Bir saldırganın sızdırılan AccessKey'i kullanarak kötü amaçlı bir RAM kullanıcısı oluşturduğundan şüpheleniyorsanız ActionTrail'deki ayrıntıları veya uyarı e-postasını (anormal AccessKey, IP adresi ve saat) kullanarak hangi AccessKey'in API çağrısı yoluyla RAM kullanıcısını oluşturmak için kullanıldığını teyit edebilir ve RAM kullanıcısının konsol oturumuyla mı yoksa API çağrısıyla mı oluşturulduğunu belirleyebilirsiniz.
Uyarılan arayüz türü beklediğiniz üründen farklı olabilir: Anormal bir AccessKey çağrı uyarısında gösterilen arayüz türü (örneğin
Ecs:DescribeInstances) beklediğiniz üründen (örneğin OSS) farklı olabilir. Uyarıda gerçekten gösterilen arayüzü kullanın ve ActionTrail'de ilgili ürünün çağrı kayıtlarını sorgulayın. Aksi takdirde yanlış ürünün günlüklerini kontrol edebilir ve potansiyel riskleri gözden kaçırabilirsiniz.Risk değerlendirme sınırı: Çağrı kayıtları saldırganın yalnızca kaynak bilgilerini sorgulamak için API çağrıları kullandığını gösteriyorsa (örneğin yalnızca
Describeişlemlerini çağırdıysa) bu durum genellikle doğrudan daha fazla sızmaya yol açmaz. Sızıntının etkisini makul bir şekilde değerlendirmek için bu bilgiyi kullanabilirsiniz.
Anormal AccessKey çağrılarını izleyin
Bir AccessKey çifti sızıntı olayını yönettikten sonra benzer olayları önlemek, sızıntı oluştuğunda hızlı yanıt vermek ve etkiyi en aza indirmek için anormal AccessKey çağrılarını sürekli olarak izlemenizi öneririz.
Çağrılan arayüz alanı açıklaması
Çağrılan arayüz, AccessKey kullanılarak bir API çağrısı üzerinden erişilen belirli bulut hizmeti işlemidir. Arayüz adı {Ürün öneki}:{API adı} biçimini kullanır; burada:
Ürün öneki: Bir Alibaba Cloud ürün adıyla eşleşir. Örneğin Ecs ECS ile, Oss OSS ile ve Rds RDS ile eşleşir.
API adı: Belirli bir API işlemiyle eşleşir. Örneğin DescribeRegions kullanılabilir bölgeleri sorgulamayla eşleşir.
Aşağıdaki tabloda yaygın arayüz adları ve karşılık gelen ürünler listelenmiştir.
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Saldırgan perspektifinden anormal AccessKey çağrılarını tespit edin
Security Center, güvenlik saldırı ve savunma deneyimine ve büyük modellere dayanarak yaygın anormal AccessKey çağrılarını tespit edebilir. Örneğin, AccessKey'i çağıran IP adresi son zamanlarda saldırılar başlattıysa, IP adresi bulut üzerinde birden çok kullanıcının AccessKey çiftlerini toplu halde çağırıyorsa, çağrılan API hassassa ve AccessKey daha önce sızdırılmışsa sistem çağrıyı anormal davranış olarak tanımlar ve uyarı tetikler. Bir uyarının normal iş davranışı tarafından tetiklendiğini onaylarsanız AccessKey çiftinin çağrı kayıtlarını kontrol etmek için ActionTrail konsolunu kullanın. Çağrıyı doğruladıktan sonra uyarı ayrıntıları sayfasında uyarı durumunu False positive olarak ayarlayın. Bu özellik için güvenilir IP adresleri yapılandıramazsınız.
Security Center konsolu adresinde oturum açın.
-
Sol gezinme bölmesinde seçeneğini belirleyin. Konsolun sol üst köşesinde korunacak varlığın bulunduğu bölgeyi seçin: Chinese Mainland veya Outside Chinese Mainland.
NotAgentic SOC'yi etkinleştirdiyseniz seçeneğini belirleyin.
-
Alert Type değerini Malicious Process (Cloud Threat Detection) olarak ayarlayın ve anormal AccessKey çağrı uyarısı olup olmadığını kontrol edin.
NotAnormal bir AccessKey çağrı uyarısı varsa ayrıntılarını görüntüleyin ve AccessKey çağrısının normal bir davranış olup olmadığını hızla onaylayın.
-
(İsteğe bağlı) Uyarı bildirimlerini yapılandırın: System Configuration > Notification Settings adresine gidin, Notification Item sütununda Alert öğesini bulun ve tercih ettiğiniz yöntemleri seçin.
NotBasic Edition yalnızca dahili mesaj bildirim yöntemini destekler.
Alibaba Cloud hesabınız tarafından yapılan anormal AccessKey çağrılarını izleyin
ActionTrail, Alibaba Cloud hesabınız tarafından yapılan AccessKey çağrılarını ve anormal AccessKey çağrılarını izlemek için yerleşik uyarılar sağlar. ActionTrail konsolunda Abnormal Frequency of AccessKey Usage Alert ve Root Account AccessKey Usage Detection yerleşik uyarılarını etkinleştirerek anormal AccessKey çağrıları oluştuğunda bildirim alabilirsiniz. Daha fazla bilgi için bkz. Insights olaylarını sorgulama.
Geçmiş davranışa dayalı anormal AccessKey çağrılarını tespit edin
ActionTrail tarafından sağlanan Insights özelliği, geçmiş davranışa dayalı olarak anormal çağrı oranlarına sahip AccessKey çiftlerini analiz eder ve anormal faaliyetleri zamanında tespit etmenize yardımcı olur. Insights olaylarını etkinleştirme ve görüntüleme hakkında daha fazla bilgi için bkz. ActionTrail konsolunda Insights olaylarını sorgulama.
Öneriler
Alibaba Cloud hesabınızın (ana hesap) AccessKey çiftini kullanmayın.
AccessKey bilgilerini kodunuzda sabit kodlamaktan kaçının. AccessKey çiftlerini ortam değişkenlerini yapılandırarak yönetebilirsiniz. Daha fazla bilgi için bkz. AccessKey çifti sızıntılarını önlemeye yönelik en iyi uygulamalar.
Kaynak kodu ve hassas bilgi sızıntılarını önlemek için kodu yönetmek üzere özel GitHub depoları kullanın veya kuruluşunuz içinde dahili bir kod barındırma sistemi kurun.
SSS
Üçüncü taraf bir SDK ile yerel olarak dosya yüklemelerini test etmek AccessKey sızıntısına neden olur mu?
Üçüncü taraf bir SDK kullanarak yerel olarak dosya yüklemelerini test etmek doğrudan AccessKey sızıntısına neden olmaz. AccessKey sızıntıları genellikle AccessKey'in uygulama kodunda veya genel bir kod deposunda düz metin olarak sabit kodlanması ve daha sonra başkaları tarafından ele geçirilmesinden kaynaklanır.
Aşağıdaki önlemleri almanızı öneririz:
Sızdırılan AccessKey'i ve karşılık gelen RAM kullanıcısını silin.
AccessKey çiftlerinizi düzenli olarak döndürün.
AccessKey çiftleri gibi kimlik bilgilerini kodunuzda düz metin olarak saklamak yerine ortam değişkenlerini kullanarak yönetin.