项目地址: https://github.com/al0ne/cloud-audit
cloud-audit (云安全审计助手)是检测公有云厂商 AK/SK 泄漏被利用的工具,通过定期调用云平台接口审计日志,基于异常行为/黑特征/基线发现疑似入侵行为。
在使用一些针对云平台利用工具时,这类工具通常的动作会包括扫描所有 region 下是否存在 RDS 实例,所有 region 下是否存在 ECS 实例或者容器等,创建/删除子账号,执行命令等。这些动作本身就属于比较敏感的操作,所以通过各个云平台的日志接口来获取这些动作。
还有一种则是根据来自非可信网段的敏感操作,正常都是 IDC 内网调用或者 IDC 出口 IP 调用,如果非企业可信网段出现 AK/SK 调用并且为高危操作则直接告警。
常见比较敏感的关键操作例如:
腾讯云与 AWS API 调用最大的不同在于,腾讯云可以通过 API 接口查询某个 AK id 的详细动作,但是 AWS 只能在平台上搜索,而不能通过 AK/SK 调用接口查询某个 AK id 的最近的执行信息
所以要检测腾讯云 AK/SK 的利用,就需要输入要监控线上业务使用的 AK id 列表,定期查看某个 AK id 执行的动作
AWS 则只能根据 region 和动作来获取日志,通过 AK/SK 调用 CloudTrail 接口获取某个 region 下某个动作是否有日志,所以 AWS 更多是根据基线来判断的。
1
0xccff 201 天前
Aws 下可以所有 cloudtrail 日志存储到 s3,然后利用 athena 类工具做分析。s3 下有个好处是日志是汇总的。另外 Aws 调 Aksk 直接用 ip 判断会有坑,比如经常会发现 aws 出口 ip 调 aksk,但是显然又不适合直接整个 Aws 网段加白
|