Data Security Center:アクセスキーペアの漏洩と異常なアクセスアラートの処理

前提条件

漏洩したアクセスキーペアと、漏洩したアクセスキーペアを使用してアクセスされたバケットオブジェクトに関する情報は、クエリされます。詳細については、「漏洩したアクセスキーペアと異常なアクセスアラートの表示」をご参照ください。

背景情報

アクセスキーペア漏洩検出と異常アクセスアラートの動作原理と制限の詳細については、「概要」をご参照ください。

ソリューションの説明

ハンドラの説明

• Alibaba Cloud アカウントとしてデータ検出と対応機能を有効にする場合：

  • デフォルトでは、Alibaba Cloud アカウントは、Alibaba Cloud アカウント内および Alibaba Cloud アカウントの RAM ユーザー内で発生するアクセスキーペア漏洩を処理し、関連するバケットガバナンスを実行するための完全な権限を持っています。

  • 複数アカウント管理が有効になっていて、メンバー内でアクセスキーペアの漏洩が発生した場合は、メンバーの所有者に連絡して漏洩を処理し、関連するバケットガバナンスを実行してください。

• AliyunYundunSDDPFullAccess ポリシーがアタッチされている RAM ユーザーとしてデータ検出と対応機能を有効にする場合：

  • RAM ユーザーは、RAM ユーザー内で発生するアクセスキーペア漏洩を処理し、関連するバケットガバナンスを実行するための完全な権限を持っています。

  • 他の RAM ユーザー内でアクセスキーペアの漏洩が発生した場合、RAM ユーザーはアクセスキーペアをホワイトリストに追加することしかできません。他の処理オプションについては、RAM ユーザーは次の操作を実行できます。

    • アクセスキーペアの漏洩を処理するために、Alibaba Cloud アカウントの管理者に連絡します。

    • 必要な権限を付与するために、Alibaba Cloud アカウントの管理者に連絡します。

      たとえば、RAM ユーザーがアクセスキーペアを無効にする場合、ListAccessKeys ポリシーと UpdateAccessKey ポリシーを RAM ユーザーにアタッチする必要があります。RAM ユーザーがアクセスキーペアのクイックローテーションを有効にする場合、AliyunKMSSecretAdminAccess ポリシーを RAM ユーザーにアタッチする必要があります。RAM ユーザーがバケットへのアクセス許可を付与するポリシーを作成し、そのポリシーを特定の RAM ユーザーにアタッチする場合、CreatePolicy ポリシーと AttachPolicyToUser ポリシーを RAM ユーザーにアタッチする必要があります。

      RAM ポリシーの詳細については、「RAM 認証」をご参照ください。

    • アクセスキーペアの漏洩を処理し、関連するバケットガバナンスを実行するために、Alibaba Cloud アカウントの所有者に連絡します。

アクセスキーペア漏洩の処理

1. DSC コンソール にログインします。

2. 左側のナビゲーションペインで、Data Detection and Response > [OSS データ漏洩 (アクセスキーペアシナリオ)] を選択します。

3. [OSS データ漏洩 (アクセスキーペアシナリオ)] ページで、[アクセスキーペア漏洩] セクションの数字をクリックして、漏洩したアクセスキーペアに関する情報を表示します。

4. 管理する AccessKey ペアを見つけ、[アクション] 列の [accesskey ペアの管理] をクリックします。[AccessKey ペアの管理] パネルで、処理方法を選択します。

   [OSS データ漏洩 (アクセスキーペアシナリオ)] ページの下部にあるアラートリストから管理するアクセスキーペアを見つけて、[アクション] 列の [詳細] をクリックすることもできます。[アラートの詳細] ページで、[アクセスキーペアの状態] の横にある [アクセスキーペアの管理] をクリックして、[アクセスキーペアの管理] パネルに移動します。

ホワイトリストにアクセスキーペアを追加する

[ホワイトリストに追加] をクリックします。表示されるメッセージで、[OK] をクリックします。

アクセスキーペアのアラート通知を設定した場合、アクセスキーペアがホワイトリストに追加された後は、DSC はアラート通知を送信しません。

アクセスキーペアを無効にする

[無効にする] をクリックします。RAM コンソールの [アクセスキーペア] ページにリダイレクトされます。ページで、アクセスキーペアを無効にします。詳細については、「RAM ユーザーのアクセスキーペアを無効にする」をご参照ください。

アクセスキーペアを無効にする権限がない場合、必要な権限を取得するように求められます。アクセスキーペアの所有者に連絡してアクセスキーペアを無効にすることもできます。

アクセスキーペアをローテーションする

[ローテーション] をクリックします。DSC は、KMS で RAM シークレットに設定したローテーションポリシーを確認し、[即時ローテーション] を実行します。ローテーション期間は 10 分です。

KMS をアクティブ化していない場合、KMS に接続して定期的なアクセスキーペアローテーションを設定するように求められます。

詳細については、「RAM シークレットの管理と使用」をご参照ください。

他の RAM ユーザーのアクセスキーペアをローテーションする権限がない場合は、アクセスキーペアの所有者に連絡してアクセスキーペアをローテーションしてもらうことができます。

アクセスキーペアの処理ステータスをマークする

RAM コンソールでアクセスキーペアを無効にしたり削除したりした場合、操作結果は DSC コンソールに自動的に同期されません。DSC コンソールでアクセスキーペアの処理ステータスを手動でマークする必要があります。

1. DSC コンソール にログインします。

2. 左側のナビゲーションペインで、Data Detection and Response > [OSS データ漏洩 (アクセスキーペアシナリオ)] を選択します。

3. [OSS データ漏洩 (アクセスキーペアシナリオ)] ページで、アラートリストで管理するアクセスキーペアを見つけて、[アクセスキーペアの状態] 列のドロップダウンリストから状態を選択して、アクセスキーペアの処理ステータスをマークします。

   

バケットへのアクセスを制限する

1. DSC コンソール にログインします。

2. 左側のナビゲーションペインで、Data Detection and Response > [OSS データ漏洩 (アクセスキーペアシナリオ)] を選択します。

3. [OSS データ漏洩 (アクセスキーペアシナリオ)] ページの下部にあるアラートリストで管理するバケットを見つけて、[アクション] 列の [詳細] をクリックします。

4. バケットの [詳細] セクションで、[バケットガバナンスの進捗状況] の横にある [管理] をクリックします。

5. [管理] パネルで、バケット内のオブジェクトへのアクセスを制限します。

バケット ACL

[バケット ACL] の横にある [設定] をクリックし、[バケット ACL] を [プライベート] に設定します。

プライベート は、バケット所有者のみがバケット内のオブジェクトに対する読み取りおよび書き込み操作を実行できることを指定します。他のユーザーは、バケット内のオブジェクトにアクセスできません。この場合、バケット ACL に 処理済み と表示されます。

[バケット ACL] を [パブリック読み取り] または [パブリック読み取り/書き込み] に設定すると、[バケット ACL] には [未処理] と表示されます。

IP アドレスからのアクセスを制限する

[ブロックされた IP アドレス] セクションで、カスタムポリシーを設定し、アクセスキーペアの所有者アカウントにアタッチします。

1. [コピー] をクリックして、ポリシーテンプレートを取得します。

   {
     "Version": "1",
     "Statement": [
       {
         "Effect": "Deny", // ポリシーの効果
         "Action": [
           "oss:*"
         ],
         "Resource": [
           "acs:oss:*:*:sddp-acl-xxxx-read-1/*"
         ],
         "Condition": {
           "IpAddress": {
             "acs:SourceIp": [
               "2xx.xxx.xxx.xxx"
             ]
           }
         }
       }
     ]
   }

2. [設定] をクリックします。RAM コンソールの [権限] > [ポリシー] > [ポリシーの作成] ページにリダイレクトされます。ページで、[JSON] をクリックします。

3. このタブのポリシードキュメントをテンプレートのポリシードキュメントに置き換えます。ビジネス要件に基づいてポリシードキュメントを変更できます。次の表は、ポリシーについて説明しています。詳細については、「RAM ポリシー」をご参照ください。

   パラメータ	説明
   Effect	ポリシーの効果。値は、特定の IP アドレスからのアクセスを拒否するために Deny に固定されています。
   Action	バケットで実行される操作。
   Resource	ポリシーが対象とするオブジェクト。デフォルトでは、値はバケットの名前です。
   Condition	IpAddress は、条件のタイプが IP アドレスであることを指定し、acs:SourceIp は、ポリシーが有効になる IP アドレスを指定します。バケットに最も頻繁にアクセスする IP アドレスが、acs:SourceIp の値として自動的に指定されます。 テンプレートは、指定された IP アドレスが sddp-acl-unittest-public-read-1 バケット内のすべてのオブジェクトにアクセスできないことを示しています。

4. [次へ: ポリシー情報を編集] をクリックし、ポリシーの [名前] と [説明] を設定して、[OK] をクリックします。

5. アクセスキーペアの所有者アカウントにポリシーをアタッチします。詳細については、「RAM ユーザーへの権限の付与」をご参照ください。

6. [管理] パネルに戻り、[ブロックされた IP アドレス] の横にある 処理済み アイコンをクリックし、ドロップダウンリストから を選択します。

   RAM コンソールの操作結果は DSC コンソールに自動的に同期されません。認証が完了したら、DSC コンソールで処理ステータスを手動で更新する必要があります。

機密オブジェクトへのアクセスを制限する

[アクセスできない機密ファイル] セクションで、IP アドレスからのアクセスを制限するために行った前述の操作を繰り返します。次に、[管理] パネルに戻り、[アクセスできない機密ファイル] の横にあるドロップダウンリストから状態を選択します。

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Deny", // ポリシーの効果
      "Action": [
        "oss:*"
      ],
      "Resource": [
        "acs:oss:*:*:sddp-acl-xxxx-read-1/*"
      ],
      "Condition": {
        "StringEquals": {
          "oss:ExistingObjectTag/SensitiveLevelTagForSDDP": [
            "4"  // 機密レベル
          ]
        }
      }
    }
  ]
}

ビジネス要件に基づいてポリシードキュメントを変更できます。次の表は、ポリシーについて説明しています。詳細については、「RAM ポリシー」をご参照ください。

参照

• アクセスキーペアは、Alibaba Cloud API オペレーションを呼び出すときに ID を認証するために使用されます。アクセスキーペアが漏洩すると、アカウント内のすべてのリソースが危険にさらされたり、予期しない料金が発生したり、身代金目的の攻撃が発生したりする可能性があります。深刻なケースでは、アクセスキーペアの漏洩が Alibaba Cloud または他のユーザーに損害を与える可能性もあります。アクセスキーペア漏洩の処理方法の詳細については、「アクセスキーペア漏洩のソリューション」と「認証情報セキュリティソリューション」をご参照ください。

• デフォルトでは、バケットとオブジェクトを含む OSS リソースのバケット ACL パラメータはプライベートに設定されています。この場合、リソース所有者または承認されたユーザーのみがリソースにアクセスできます。サードパーティユーザーに対してきめ細かいアクセス制御を実行する場合は、異なるポリシーを作成して異なるユーザーにアタッチし、OSS リソースへの権限をユーザーに付与できます。

  OSS は、バケット内のオブジェクトへのアクセスを制御するための 4 つのタイプのポリシーをサポートしています。詳細については、「RAM ポリシー」、「バケットポリシー」、「バケット ACL」、および「オブジェクト ACL」をご参照ください。