セキュリティ研究者によると、2022年8月から2026年8月の間に流出した9,300件を超えるAWSキーが依然として有効な状態にあり、その中には完全な管理者権限を持つものも数百件含まれているといいます。
Truffle Securityは、Gitの履歴、Hugging Faceのデータセット、Dockerイメージ、パッケージレジストリ、CIログなど、公開情報431,875件から64,024件のユニークなAWSキーペアをスキャナーで検出したと発表しました。
「完全な認証情報を含む10,616組のペアを対象に再検証を行い、各キーからそのアカウントについて何がわかるかを洗い出しました。キーの経過年数、アタッチされたポリシー、予算設定、そして直近1ヶ月の利用額です」と同セキュリティベンダーは説明しています。
「キー本体を公開することは一切なく、特定できた所有者には全員に通知を行っています」
10,616組のペアのうち、88%が依然として認証可能な状態でした。その中には完全な管理者権限を持つ企業のAWSキーが768件含まれていたと、Truffle Securityは述べています。
AWSキーに関する関連記事はこちら： CISA、露出したAWS GovCloudキーへのインシデント対応を公表
AWSアカウントが乗っ取られると、悪意ある攻撃者が重要なクラウドデータを窃取・削除するだけでなく、アクセス権を悪用して密かに暗号資産のマイニングソフトウェアをインストールし、収益化を図る恐れもあります。
報告書によると、こうした不審な挙動を検知できる予算アラートを設定していたキーは、わずか9.5%にとどまっていました。
Hugging Faceは流出キーの最大の発生源であり、3,394件の公開データセットから8,482件のユニークな有効キーが発見され、そのうち18%がroot権限を持っていました。
作成日が判明している有効キーについては、経過年数の中央値は約5年でしたが、最も古いものは17年を超えていました。
「ローテーションが行われることの方がむしろ稀です」と報告書は続けています。「アクセスキーの利用状況を確認できたユーザーのうち、流出したキーと並んで新しいキーを保有していたのはわずか13.7%（2,903件中398件）でした。残りの86%は一度もローテーションされず、置き換えられることも、整理されることもありませんでした」
AWSキー流出のリスクを軽減するための対策
Truffle Securityは、セキュリティリスクを最小限に抑えるため、組織や個人にキー管理の改善を呼びかけ、以下のアドバイスを示しています。
- root権限のアクセスキーを削除すること。個人アカウントも含め、すべてのアカウントを確認する。報告書によると、流出したキーの6件に1件はroot権限を持っていた
- 「aws iam list-access-keys」コマンドと最大有効期間ポリシーを併用し、IAMキーを経過年数順に並べて管理する
- 暗号資産マイニングの不正利用を早期に検知するため、予算アラームを設定する。流出キーが紐づくアカウントの90.5%がアラート未設定という現状を踏まえれば、たとえ10ドル程度のアラートでも設定しないよりはましである
- 漏えいした認証情報は恒久的に危殆化したものとして扱う。研究者が発見した認証情報の43%は、リポジトリ・データセット・イメージにまたがって複数回出現していた
- 隔離ポリシーに注意する。AWSがユーザーに「AWSCompromisedKeyQuarantine」をアタッチした場合、それはそのキーが公開状態にあることを意味している
翻訳元: https://www.infosecurity-magazine.com/news/researchers-thousands-eaked-aws/
