障害シナリオ① 漏えいしたアクセスキー
Pro会員限定上級約40分7レッスン
公開リポジトリに IAM ユーザーのアクセスキーが載ってしまった、という通知から始まるインシデント対応です。キーの持ち主と使われ方を調べて無効化し、CloudTrail で一時認証情報まで追跡して影響範囲を確定します。セッションの無効化、公開されたバケットの是正、攻撃者が残したユーザーの削除まで、手順を自分で組み立てます。
対象者: 認証情報の漏えいに、落ち着いて手順どおりに対応できるようになりたい方
前提知識: CloudTrail で「誰が・いつ・何を」を追う 修了程度
この教材を終えると、できるようになること
- アクセスキー ID から、持ち主と最後に使われた日時・サービス・リージョンを特定できるようになる。
- 漏えいしたアクセスキーを無効化し、調査のために残しておく理由を説明できるようになる。
- アクセスキー ID とユーザー名で CloudTrail のイベント履歴を引き、一時認証情報での操作まで影響範囲を確定できるようになる。
- 発行済みの一時認証情報を拒否するポリシーを付け、公開されたバケットを非公開に戻せるようになる。
- CloudTrail から攻撃者が作ったユーザーを見つけ、付随するキーとポリシーを外してから削除できるようになる。
- 認証情報レポートを取り出して読み、使われていない・古い長期キーを見つけられるようになる。
修了後の姿: マルチアカウント・ネットワーク・可観測性・自動化まで含めて、AWS環境を安全に設計・運用・改善できるクラウドエンジニアへ。
Chapter 1封じ込め・調査・根絶を、順番どおりに
演習の指示は「目標」だけです。使うコマンドは自分で考え、詰まったらヒントを開きましょう。
- 通知を受けたら、まずキーの持ち主を確かめる誰のキーで、いつ・どこで使われたか約6分（有料会員限定）
- キーを無効化して封じ込める削除ではなく、まず Inactive に約6分（有料会員限定）
- CloudTrail で、一時認証情報まで追うAKIA から ASIA へ、リージョンをまたいで約7分（有料会員限定）
- 一時認証情報を無効にし、公開を止めるaws:TokenIssueTime と、バケットの是正約7分（有料会員限定）
- 残されたバックドアを取り除く攻撃者が作った IAM ユーザーを削除する約6分（有料会員限定）
- 認証情報レポートで、ほかの長期キーを点検するgenerate-credential-report と base64 -d約6分（有料会員限定）
- 確認クイズ: 漏えいしたアクセスキー封じ込め・調査・根絶の順番約2分（有料会員限定）