Como soluciono problemas de atividades de recursos incomuns em minha conta da AWS?

Breve descrição

Se você notar uma atividade de recursos inesperada em sua conta, suas credenciais poderão estar comprometidas. Um usuário não autorizado com suas credenciais pode realizar qualquer ação permitida pelas suas políticas do IAM. Para obter orientação sobre como lidar com possíveis acessos não autorizados, consulte O que posso fazer se eu notar atividade não autorizada em minha conta da AWS?

Resolução

Primenrio, identifique o usuário e a chave de acesso do IAM comprometidos e, em seguida, desative-os. Em seguida, use o AWS CloudTrail para pesquisar o histórico de eventos da API associado ao usuário do IAM comprometido.

No exemplo a seguir, uma instância do Amazon Elastic Compute Cloud (Amazon EC2) foi iniciada inesperadamente.

Observação: a resolução a seguir se aplica às credenciais de segurança de longo prazo, não às credenciais de segurança temporárias. Para desativar permissões de credenciais temporárias, consulte Desabilitar permissões para credenciais de segurança temporárias.

Identificar o ID da instância do Amazon EC2

Conclua as seguintes etapas:

1. Abra o console do Amazon EC2 e escolha Instâncias.
2. Selecione a instância do EC2 e, em seguida, escolha a guia Resumo da instância.
3. Copie o ID da instância.

Localize o ID da chave de acesso do IAM e o nome de usuário usados para executar a instância

Conclua as seguintes etapas:

1. Abra o console do CloudTrail e escolha Histórico de eventos.
2. Em Atributos de pesquisa, escolha Nome do recurso.
3. No campo Inserir nome do recurso, insira o ID da instância e escolha Enviar.
4. Expanda o nome do evento para RunInstances.
5. Copie a chave de acesso da AWS e anote o nome de usuário.

Exclua o usuário do IAM, crie uma chave de acesso de backup do IAM e, em seguida, desative a chave de acesso comprometida

Conclua as seguintes etapas:

1. Abra o console do IAM e, em seguida, insira o ID da chave de acesso do IAM na barra de pesquisa do IAM.
2. Selecione o nome de usuário e, em seguida, escolha a guia Credenciais de segurança.
3. Em Login do console, escolha Gerenciar acesso ao console.
   Observação: se a senha do Console de Gerenciamento da AWS estiver definida como Desativada, você poderá pular esta etapa.
4. Em Gerenciar acesso ao console, escolha Desativar e, em seguida, escolha Aplicar.
   Importante: se o usuário tiver chaves de acesso ativas, ele ainda poderá usar chamadas de API para acessar os serviços da AWS.
5. Atualize as chaves de acesso.
6. Para a chave de acesso do IAM comprometida, escolha Ações e selecione Desativar.
   Observação: se você desativar a chave de acesso do IAM comprometida enquanto ela estiver em uso, poderá impactar os ambientes de produção.

Analise o histórico de eventos do CloudTrail para verificar as atividades da chave de acesso comprometida

Conclua as seguintes etapas:

1. Abra o console do CloudTrail.
2. No painel de navegação, escolha Histórico de eventos.
3. Em Atributos de pesquisa, escolha a Chave de acesso da AWS.
4. No campo Inserir chave de acesso da AWS, insira o ID da chave de acesso do IAM comprometida.
5. Expanda o Nome do evento para a chamada de API RunInstances.
   Observação: é possível ver o histórico de eventos dos últimos 90 dias.

Também é possível pesquisar o histórico de eventos do CloudTrail para determinar como um grupo de segurança ou recurso foi alterado.

Para obter mais informações, consulte Trabalhando com o histórico de eventos do CloudTrail.

Informações relacionadas

Práticas recomendadas de segurança no IAM

Chaves de acesso seguras

Gerenciar políticas do IAM

Diretrizes de auditoria de segurança da AWS