Como corrigir credenciais possivelmente AWS comprometidas

Modo de foco

Como corrigir credenciais possivelmente AWS comprometidas - Amazon GuardDuty

Quando GuardDuty geradoTipos de descobertas do IAM, indica que suas AWS credenciais foram comprometidas. O tipo de recurso potencialmente comprometido é AccessKey.

Para corrigir credenciais potencialmente comprometidas em seu AWS ambiente, execute as seguintes etapas:

Identifique a entidade do IAM possivelmente comprometida e a chamada de API usada.

A chamada de API usada será listada como API nos detalhes da descoberta. A entidade do IAM (um usuário ou um perfil do IAM) e as respectivas informações de identificação serão listadas na seção Recurso dos detalhes de uma descoberta. O tipo de entidade do IAM envolvida pode ser determinado pelo campo Tipo de usuário, o nome da entidade do IAM estará no campo Nome de usuário. O tipo de entidade do IAM envolvida na descoberta também pode ser determinado pelo ID de chave de acesso usado.

Para chaves que começam com AKIA:

Esse tipo de chave é uma credencial de longo prazo gerenciada pelo cliente associada a um usuário do IAM ou Usuário raiz da conta da AWS. Para obter informações sobre como gerenciar chaves de acesso para usuários do IAM, consulte Gerenciamento de chaves de acesso de usuários do IAM.

Para chaves que começam com ASIA:

Esse tipo de chave é uma credencial temporária de curto prazo gerada pelo AWS Security Token Service. Essas chaves existem por pouco tempo e não podem ser visualizadas nem gerenciadas no AWS Management Console. As funções do IAM sempre usarão AWS STS credenciais, mas elas também podem ser geradas para usuários do IAM. Para obter mais informações, AWS STS consulte IAM: Credenciais de segurança temporárias.

Se um perfil tiver sido usado, o campo Nome de usuário conterá informações sobre o nome do perfil usado. Você pode determinar como a chave foi solicitada AWS CloudTrail examinando o sessionIssuer elemento da entrada de CloudTrail registro. Para obter mais informações, consulte IAM e AWS STS informações em CloudTrail.
Revise as permissões para a entidade do IAM.

Abra o console do IAM. Dependendo do tipo de entidade usada, selecione a guia Usuários ou Funções e localize a entidade afetada digitando o nome identificado no campo de pesquisa. Use as guias Permissão e Consultor de acesso para revisar permissões efetivas para essa entidade.
Determine se as credenciais da entidade do IAM foram usadas legitimamente.

Entre em contato com o usuário das credenciais para determinar se a atividade foi intencional.

Por exemplo, descubra se o usuário fez o seguinte:
- Invocou a operação de API que foi listada na descoberta GuardDuty
- Invocou a operação da API no horário indicado na descoberta do GuardDuty
- Invocou a operação da API do endereço IP que foi listado na descoberta do GuardDuty

Se essa atividade for um uso legítimo das AWS credenciais, você poderá ignorar a GuardDuty descoberta. O https://console.aws.amazon.com/guardduty/console permite que você configure regras para suprimir totalmente as descobertas individuais, para que elas não apareçam mais. Para obter mais informações, consulte Regras de supressão em GuardDuty.

Se não for possível confirmar se essa atividade é um uso legítimo, isso pode indicar um comprometimento da chave de acesso específica, das credenciais de login do usuário do IAM ou, possivelmente, de toda a Conta da AWS. Se você suspeitar que suas credenciais foram comprometidas, revise as informações em Meu Conta da AWS pode estar comprometido para corrigir esse problema.