Плейбук: взлом консоли облака или аккаунта хостинга

Кто-то вошёл в консоль облака или аккаунт хостинга и создаёт ресурсы, меняет доступы или копирует данные. Сначала закройте вход и ключи, потом ищите чужие ресурсы. Один утёкший ключ — другой текст: утечка ключа. Сутки: первые 24 часа. Каталог: каталог плейбуков.

Статья опирается на логику направления «Управление инцидентами» из методики зрелости Группы Сбер (источник); это методика для крупных компаний, мы используем её как ориентир и пересказываем своими словами. CIS Control 17: cisecurity.org/controls. Это не российский закон. Имена консолей не даём: сценарий один для любого поставщика.

Признаки и что не делать

Письмо о входе из чужой страны, неожиданные виртуальные машины, всплеск счёта, новые пользователи и ключи доступа, отключённый журнал аудита. Не удаляйте чужие ресурсы сразу: сначала снимите их список и журнал. Не меняйте пароль с той же станции, где мог быть украден сеанс. Не отключайте журнал «чтобы не шумел».

Схема решений

Читайте сверху вниз. Оранжевая рамка — вопрос: «да» уводит вправо, «нет» продолжает путь вниз. Текст ниже ведёт по тем же шагам и добавляет команды и пояснения.

Ответ «да» уходит вправо, «нет» продолжает путь вниз.

Первые шаги

С чистой машины зайдите в консоль владельца и завершите все сеансы, отзовите ключи и токены доступа.
Снимите список ресурсов, пользователей, ролей и ключей, журнал аудита за период; храните копию вне облака.
Остановите чужие ресурсы (не удаляйте до копирования диска, если нужен разбор), снимите чужие роли и пользователей.
Включите второй фактор для владельца и административных ролей; ключи выдавайте заново, срок — по ролям.
Проверьте, не копировали ли данные из хранилищ и баз; ПДн — сроки РКН: уведомление.
Свяжитесь с поддержкой поставщика по официальному каналу: ограничение счёта и возврат.

Приоритет: критический при доступе к данным или платёжным ресурсам; высокий при одном чужом ресурсе. Эскалация директору, финансы при счёте.

Кто что делает и в какой срок

Первый звонок: директор и финансы при счёте. Ориентир срока первой реакции в малой компании: критический приоритет — сразу и не позже 15 минут, высокий — в течение часа, средний — в течение рабочего дня. Подставьте свои сроки в карточку инцидента; уровень выбирайте по наибольшему возможному ущербу, а не по тому, что видно сейчас (классификация).

Роль	Кто в малой компании	Что делает в этом сценарии
Руководитель инцидента	ответственный за ИБ	координация, оценка данных
Владелец консоли	облачный инженер или администратор	отзыв, роли, остановка ресурсов
Финансы	бухгалтерия	счёт, связь с поддержкой поставщика

Если людей двое, руководитель инцидента ведёт и журнал, а администратор делает действия.

Когда считать закрытым

Все ключи и сеансы заменены, второй фактор включён
Чужие ресурсы и роли убраны, диски сохранены для разбора
Период доступа определён по журналу аудита
Счёт ограничен или возвращён по обращению

Что сохранить: список ресурсов, ролей и ключей до правок; журнал аудита за период; переписка с поддержкой. Ссылки на материалы кладите в карточку инцидента, сами значения секретов и персональные данные в карточку не копируйте. Если затронуты персональные данные, часы Роскомнадзора идут от выявления, а не от подтверждения.

Разбор: в течение пяти рабочих дней по схеме разбора после инцидента. Типичная первопричина здесь: нет второго фактора у владельца и широкие права у ключей. Допишите в этот плейбук шаг, которого не хватило, и укажите дату правки. Остальные сценарии — в каталоге плейбуков.

Диагностика

Симптом	Причина и что делать
Журнал аудита выключен	Включите и сохраняйте вне облака; без него период доступа не определить
Ресурсы удалили и поднимаются снова	Остался ключ или роль. Ищите по списку пользователей и ключей

Где это в модели зрелости

Материал относится к направлению «Управление инцидентами» (хаб: инциденты, карта: карта зрелости). Журнал аудита и роли по минимуму дают материал для разбора; плейбук говорит, что отозвать первым.