AWS áp dụng chính sách cách ly cho khóa truy cập bị lộ
"The article argues that AWS's quarantine policy for leaked credentials is insufficient because it blocks some high-risk actions while leaving many destructive and abusive permissions available. It highlights that leaked root or active AWS keys can still be used to assume roles, manipulate storage and backups, stop logging, send spam or SMS, and access secrets, creating significant account compromise risk despite the quarantine response."
Rủi ro chiếm quyền tài khoản AWS vẫn cao dù đã cách ly khóa; kẻ tấn công có thể leo thang đặc quyền và vô hiệu hóa ghi log.
Có thể gây gián đoạn dịch vụ, rò rỉ dữ liệu và mất khả năng khôi phục nếu backup hoặc secret bị truy cập trái phép.
AWS Security được cho là đã áp dụng Quarantine Policy khi phát hiện AWS credentials bị rò rỉ, nhằm hạn chế các hành vi gian lận và tránh ảnh hưởng trực tiếp đến môi trường hiện có. Tuy nhiên, theo phân tích trong bài viết, cơ chế này vẫn để lại nhiều quyền có thể bị lạm dụng nếu khóa bị lộ là root key hoặc active key còn hiệu lực.
Bài viết nêu rằng kẻ tấn công vẫn có thể thực hiện nhiều hành động nguy hiểm như sts:AssumeRole, chạy lệnh trên EC2 qua ssm:SendCommand / ssm:StartSession, thao túng S3, tắt CloudTrail, gửi email qua SES, phát tán tin nhắn qua SNS, truy cập Secrets Manager và giải mã bằng kms:Decrypt. Ngoài ra, một số thao tác với backup và CloudFormation cũng có thể dẫn đến mất dữ liệu hoặc gián đoạn hệ thống.
Khuyến nghị cho đội kỹ thuật là ưu tiên xoay vòng khóa truy cập ngay lập tức, rà soát quyền theo nguyên tắc least privilege, bật giám sát phát hiện rò rỉ khóa, và kiểm tra các quyền liên quan đến assume role, logging, backup và secret access. Với các tài khoản có dấu hiệu lộ khóa, cần đánh giá nhanh mức độ ảnh hưởng và chuẩn bị phương án khôi phục.