Perché ho ricevuto un avviso del tipo di ricerca di Amazon GuardDuty UnauthorizedAccess:iamUser/toripCaller o recon:iamUser/toripCaller per il mio utente o ruolo IAM?

Breve descrizione

I tipi di risultati UnauthorizedAccess:IAMUser/TorIPCaller and Recon:IAMUser/TorIPCaller indicano che le credenziali di identità o le chiavi di accesso di AWS Identity and Access Management (IAM) sono state utilizzate per eseguire un'operazione API su AWS da un indirizzo IP del nodo di uscita Tor. Ad esempio, puoi ricevere questo errore quando provi a creare un'istanza Amazon Elastic Compute Cloud (Amazon EC2), elencare gli ID delle chiavi di accesso o modificare le autorizzazioni IAM. Questi tipi di ricerca possono anche indicare che le credenziali di identità o le chiavi di accesso IAM sono state associate ad attività non autorizzate. Per ulteriori informazioni, consultaTipi di risultato.

Risoluzione

Usa GuardDuty per individuare la chiave di accesso IAM e AWS CloudTrail per identificare l'attività dell'API AWS.

1. Segui le istruzioni per localizzare e analizzare i risultati di GuardDuty.
2. Nel riquadro dei dettagli dei risultati, annota l'ID della chiave di accesso IAM.
3. Segui le istruzioni per cercare l'attività API della chiave di accesso IAM utilizzando CloudTrail.

Se confermi che l'attività è un uso legittimo delle credenziali AWS, puoi:

• Ignorare il tipo di risultati.
• Archiviare il tipo di risultati.
• Creare regole di soppressione per archiviare automaticamente i nuovi tipi di risultati.

Se confermi che l'attività non è un uso legittimo delle credenziali AWS, è buona prassi di sicurezza presumere che tutte le credenziali AWS siano compromesse. Segui queste istruzioni per correggere le credenziali AWS compromesse.

Per ulteriori informazioni, consulta Che cosa devo fare se noto un'attività non autorizzata nel mio account AWS?

Informazioni correlate

Cosa fare se si espone inavvertitamente una chiave di accesso AWS