如果AWS訪問密鑰暴露怎麼辦？記住這4步驟一定要先做起來！

2022/11/14

如果有一天，你發現你的AWS訪問密鑰暴露了，該怎麼辦呢？當你發現密鑰暴露後，建議一定要先將這4步驟做起來，好保護你的網站憑證與身分，本文就也告訴你該如何修復並從暴露的AWS憑證中，恢復憑證的喔！要瞭解AWS的身份包括根用戶、IAM 用戶、IAM 組和 IAM 角色。除 IAM 組之外的每個身份，都具有您必須通過遵循IAM 最佳實踐和架構完善的安全最佳實踐來保護的憑證。

AWS訪問密鑰暴露，必做的4步驟

Step1. 確定受洩露訪問密鑰影響資源
執行哪些操作以及他們可以訪問哪些資源？根憑證將在 AWS 管理控制台的安全憑證頁面下列出，具有對 AWS 賬戶中所有資源的完全訪問權限。IAM 憑證將與 IAM 用戶相關聯，您應該查看用戶的 IAM 策略。IAM 策略模擬器或 IAM 控制台等工具可以幫助您查看。
在您確定憑據提供的訪問權限後，您可以決定採取哪些步驟作為回應，以及按什麼順序進行回應。例如，如果憑證允許對敏感數據進行讀寫訪問，您可能希望立即禁用訪問。另一方面，如果憑證只允許對您打算公開的數據進行讀取訪問，您可以選擇首先創建新憑證，轉換到這些新憑證，然後禁用舊憑證。作為第三個範例，如果憑據允許對具有重要完整性要求的數據進行寫訪問，您將需要識別任何修改該數據並從備份嘗試恢復可信賴版本。

Step2. 使原先憑據失效不再訪問您帳戶
當您禁用或刪除憑據時，仍在使用它們的任何應用程序都會受到影響。我們建議首先禁用憑據而不是刪除它們，因為可以在需要時恢復禁用的憑據（例如以防應用程序受到意外影響）。
禁用 Root 根憑證
- 使用您的根用戶電子郵件地址和密碼登錄 AWS 管理控制台鏈接。
- 在導航欄中單擊您的帳戶名稱後，選擇 My Security Credentials
- 展開訪問密鑰部分。
- 通過單擊“操作”列中的“設為非活動”來禁用已洩露的現有訪問密鑰。

禁用 IAM 用戶憑證
- 使用您的 AWS 賬戶 ID 或賬戶別名、您的 IAM 用戶名和密碼登錄 IAM 控制台鏈接。
- 在右上角的導航欄中，選擇您的用戶名，然後選擇我的安全憑證。
- 在 AWS IAM 憑證選項卡上，轉到 CLI、開發工具包和 API 訪問的訪問密鑰。
- 通過單擊“操作”列中的“設為非活動”來禁用已洩露的現有訪問密鑰。

Step3. 使臨時安全憑證失效
可以使用 AWS 訪問密鑰頒發臨時安全憑證。臨時憑證的有效期有限（從 15 分鐘到 36 小時不等，具體取決於它們的獲取方式）。並且輪換暴露的憑證不會使使用暴露憑證獲得的任何臨時憑證無效。刪除 IAM 用戶可以解決問題，但可能會影響當前應用程序。因此，唯一可行的解決方案是為用戶更新 IAM 策略。

為用戶更新 IAM 策略

This adds an explicit deny policy to an IAM principal.

Step4. 等待恢復適當的訪問
由於在前面的步驟中禁用了訪問，請考慮以下選項來恢復訪問：如果您刪除了 IAM 用戶，請使用新的訪問密鑰創建一個新用戶。如果您禁用了 root 憑據，請考慮完全刪除該帳戶的訪問密鑰。相反，創建一個 IAM 用戶並使用該用戶的憑證進行 AWS 訪問。
與其使用 IAM 用戶的訪問密鑰之類的長期 AWS 憑證，不如考慮使用 IAM 角色或聯合。角色或聯合的優勢在於它們使用臨時安全憑證，因此沒有長期存在的 AWS 憑證需要保護（或無意中暴露）。

當訪問密鑰暴露時，AWS 採取反應是？
在不到 60 秒的時間裡，將收到了一封來自亞馬遜的電子郵件，通知我密鑰被洩露：

收到了一封來自亞馬遜的電子郵件

除了通知電子郵件是亞馬遜採取的唯一行動，現在亞馬遜不僅會通知您，還會自動將策略附加到受感染的用戶身上，該策略 AWSCompromisedKeyQuarantine 基本上明確否認了一些潛在的危險IAM、EC2、Organizations 和操作 lambdalightsail

自動將策略附加到受感染的用戶

此外，還自動為此案例創建了支持票證。在接到亞馬遜支持的電話兩天後。支持顧問甚至分析了 AWS 賬戶中的日誌，並通知最近啟動了 EC2 實例

分析了 AWS 賬戶中的日誌

儘管如此，根據這個資源，應該看到來自 support.amazonaws.com 事件歷史的動作，幸運的是，可以使用以下命令在 CloudTrail 中查看他們的操作：
與附加 AWSCompromisedKeyQuarantine 策略相關的事件來自"sourceIPAddress": "AWS Internal".

sourceIPAddress

總結

始終安全地存儲您的 AWS 憑證並定期輪換它們作為安全最佳實踐。萬一您無意中暴露了您的憑據，請按照我們在本文中列出的步驟進行操作。如果您對賬戶的安全性有任何問題或疑慮，請隨時聯繫 AWS Support。如果您需要進一步的幫助，我強烈建議您記錄 AWS 支持工單，如果您還沒有業務或更高級別的支持計劃，那麼請選擇業務支持計劃以獲取 24x7 電話、電子郵件和聊天訪問權限。

產業訊息

如果AWS訪問密鑰暴露怎麼辦？記住這4步驟一定要先做起來！

其他訊息

全新登場！阿里雲 CAPTCHA 服務，給您頂級安全防護與用戶體驗

什麼是DDoS攻擊？一次教你如何做好DDoS防護，保護你的網站！

如何提升網站效能優化？推薦5個改善網站速度的方法一次看！

雲端遷移成功關鍵因素

SOC它到底是什麼?它對資安有什麼作用?對於SOC資訊安全監控的功能與優勢有哪些?

精準運維，一站監控：探索騰訊雲可觀測平台的強大功能

Page Speed網頁速度如何加快？四種方法教你如何改善網站速度！

果核 2024 首發 Hacker Talk 論壇， 破解資安求職與無人機資安盲點

如何定義開源軟體＆套件？3分鐘快速搞懂第三方套件的授權模式！

雜貨店也能數位轉型？食品零售商如何透過公有雲優化商務呢

騰訊雲CCN雲聯網 手把手配置 高效穩定企業跨境全球互聯

【2024最新】公司企業的3款最佳Devops工具，成功案例一次看！

使用CDN安全嗎？CDN如何達到基本防護功能呢?

我用的APP安全嗎？會被竊個資嗎？3分鐘快速檢查手機APP資安！

如何確保做好企業資訊安全？這4大DDoS防護方法，推薦學起來！

發現手機被追蹤怎麼辦？注意 這十大被駭徵兆，手機資安恐不 保！

如何加快網站速度?影響網速的要件及升級指南

Vertex AI 和 Workbench 語言模組實戰，打造有人性的客服小幫手

我的 AWS實例啟用失敗，應該怎麼做？

果核 2023 最終場駭客論壇，探討網站風險、原碼檢測盲點與 Crypto 黑暗面

DDOS流量清洗是什麼？可以阻擋攻擊嗎？DDOS防禦方法一次看！

Devops是什麼？推薦企業一次看懂Devops定義、流程及優缺點！

如何做好資安防護？3個APP資安檢測工具、費用及功能一次看！

CDN廠商怎麼選？中華電信CDN、Cloudflare及Multi CDN大評比！

如何檢測iOS、Android手機資安？4招檢測方法預防詐騙＆駭客！

Google Cloud 引領潮流，擴大企業級生成式 AI的應用範疇，開創無限可能！

果核邀請專家獻策，破解惡意後門與車載資安盲點

企業為什麼要上雲？用途為何？盤點上雲5大優勢和費用解析！

可自建CDN嗎？和供應商差在哪？兩者優缺點和供應商挑選一次懂！

優化數據處理體驗：探索騰訊雲 EdgeOne 邊緣計算新境界

我該如何選擇最適合 AWS EC2 實例?

企業如何挑選合適的雲端服務？公有雲、私有雲差異比較總整理

技術專欄_運用AWS Network Firewall控制 Workspaces

弱點掃描工具有哪些？5款免費、付費弱點掃描工具優缺點分析！

如何設定網站CDN？推薦公司企業使用CDN加速的4大原因！

如何應對邊緣節點的網路攻擊？在 CDN 邊緣節點建立防護系統！

如何測試網站安全？OWASP工具測試弱點掃描的功能服務解析！

如何防禦DDoS攻擊？推薦這4大DDoS防護方法，避免網站被駭！

Google Cloud 初學者指南：我該將服務運行在哪呢？

果核串聯執法機關、資安廠商與風險顧問引導企業降低遇駭危機

企業需要SOC資安監控嗎？如何評估？看懂SOC監控的5大功能！

Multi CDN是什麼？為什麼要融合CDN？其應用方法與原理一次知！

如何利用CDN內容傳遞網路讓網站加速？4大優勢與趨勢分析！

DDoS攻擊怎麼防禦？DDoS攻擊手法與資安供應商挑選一次搞懂！

為什麼網站速度慢？和網頁設計有關嗎？速度慢會造成什麼影響？

如何提升企業雲端防護力-Cloud Armor

果核 2023 首發論壇，揭示藍隊能力升級、 開發／資安磨合的奧妙心法

2021 OWASP Top 10 A09資安紀錄與監控失效

2021 OWASP Top 10 A10伺服器請求偽造

安全防護：Web Application Firewall 設定教學

主動追蹤 AWS 「資源用量」，避免配額用盡造成任務失敗

我的網站慢嗎？如何檢測讓網站加速？新手必知 5 項網站優化指南！

阿里雲訪問控制與權限設置教學

該怎麼選擇 GCP Disk ?

AWS-WorkSpaces雲端桌面服務 (下集)

SOC 是什麼？SOC 資訊安全監控 v.s NOC 網路操作中心的差異？

2021 OWASP Top 10 A08軟體及資料完整性失效

OWASP前10大A07認證及驗證機制失效，瞭解如何修補及預防！

2022 果核 Hacker Talk 漂亮收尾， 解構開發模式、弱點檢測之安全盲點

CDN 內容傳遞網路是什麼？其運作的原理及用途為何？

SOC 資訊安全監控中心是什麼？4 項功能服務與優勢一次知！

如何提高網站的速度，為中國用戶提供可靠的體驗?

如果AWS訪問密鑰暴露怎麼辦？記住這4步驟一定要先做起來！

快速上手打造專屬直播平台

2021 OWASP Top 10 A06易受攻擊和已淘汰的組件

果核Hacker Talk傳授企業資安設計要訣，並探索IoT資安風險化解之道

HACKER TALK - 常被遺漏的開發測試環境如何面對駭客迎擊? 弱點掃描是否足夠阻擋駭客攻擊? 今年最後一場論壇，精彩議程不容錯過!

資安弱點掃描v.s滲透測試，差異在哪？3分鐘看優缺點與流程！

智慧戰情室能夠帶給企業什麼好處？一次瞭解其功能與特點！

我該如何選擇最適合的阿里雲 ECS 實例?

收到 AWS Abuse Report，該怎麼辦?

AWS-WorkSpaces雲端桌面服務 (上集)

公司網站速度慢怎麼辦？4 大網站速度慢原因，與自我檢測方法一次看

智慧戰情室能夠帶給企業什麼好處？一次瞭解其功能與特點！

什麼是公有雲？公有雲安全嗎？適合哪種企業使用？

2021 OWASP Top 10 A05 Security Misconfiguration 安全設定缺陷

2021 OWASP Top 10 A04 不安全設計

果核 2024 首發 Hacker Talk 論壇，破解資安求職與無人機資安盲點

騰訊雲CCN雲聯網手把手配置高效穩定企業跨境全球互聯

發現手機被追蹤怎麼辦？注意這十大被駭徵兆，手機資安恐不保！

果核 2023 首發論壇，揭示藍隊能力升級、開發／資安磨合的奧妙心法

2022 果核 Hacker Talk 漂亮收尾，解構開發模式、弱點檢測之安全盲點

如何提升網站速度及效能？推薦先搞懂動態v.s靜態網站的差異！

從零基礎學破解的駭客工具 Magisk Root，看懂駭客攻擊如何操作！

嚇！手遊資安危機　數小時恐喪失上億營收

從Google Play下載App保證安全!？資安業者：超過100款惡意程式會偷資料、點擊詐騙

網銀App漏洞金管會關注