AWS 安全信息泄露-----21天烧了27万

  安全问题一直都是个老生常谈的话题,对于我们做IT的来说,是更为重视的。从使用开发工具的是否授权合规,到从事的工作内容是否合法。我们都应该认真的思考一下这些问题,毕竟我们要靠IT这门手艺吃饭。

  2021年7月,对我来说差点成了我一生的梦魇挥之不去。我的个人的AWS账号的IAM User 子账号(以下就简称A账号)的安全信息泄露,导致从7月7号到7月30号烧掉了约4.3万美元,折合人民币27.8万。

   2020年5月,我注册了AWS的个人账号用于学习,平时的话经常使用ECS,EC2,Lambda等服务做一些简单的测试Demo,所以我的重点就一直在学习AWS 技术,没有想着按照公司基本的信息安全防护,比如开启MFA,定期轮换 AWS 账户密码等策略。

  对于AWS 的学习计划,我的博客中也可以体现出来,之前也分享过跨账号资源访问权限,以及使用Azure DevOps 部署AWS ECS Service 等文章。对于每月的学习,分享计划,我自己也自始自终尽量控制每月的服务花费。2020年开账号到年底几个月基本控制在每月20美元以内,2021年这几个月基本上每月不超过5美元。

事情的开端

  21年的3月那会儿,刚好有同事为了和我一次测试 aws 服务,由于公司的 aws 账号申请流程繁琐且慢,所以我的自作主张的给同事开了 AWS IAM 账号在我个人的 AWS 账号做测试,完事后也完全疏忽删除这个A账号。此时的aws账单也正常。

  21年的6月有发现这个子账号在登陆我的AWS,又自认为是同事只是误操作登陆,所以又疏忽没有删除这个账号。这两月的 aws 账单也是正常

 

噩梦的开始

  每个月月底的时候,我都会下意识的看看aws 的账单,结果可怕的时候就发生了。7月29号下午,登陆到AWS 控制台查账单的时候,发现数额巨大的3.68万美元看的我瞬间整个人都不好了,“难道是我忘记关闭ECS了”,“难道是我开了RDS忘记删了“,在无数个自我找原因的同时,我急忙查看这巨额费用是怎么产生的。从7月7号 下午13点开始几乎所有的区域都分别开了2台规格为 ”p3.2xlarge“ 的EC2。

 

我慌了,赶紧删这些资源,脑子里面想到的第一件事情就是”我的账号被盗了“,停完这些服务已经29号下午4点40多了。此时我的心思完全不在工作上,急忙联系aws 技术支持说我的 ”access_key被黑客盗用“ 了,黑客开了好多EC2 服务,我自己没有及时检查,是否可以退还这笔费用。

 

 

那天也着急回去,并且想跟踪 aws 的技术支持回复的问题,想弄清到底出了什么问题,包括这笔快4万美元的费用怎么处理。这个时候我有个很大的疑问 ”Access_key“ 是怎么泄露的?

噩梦依旧持续

  29号下午7点40左右到家,赶紧登陆到AWS 控制台,看到aws 的技术支持并没有回复我的这些问题。我就先联系aws 绑定的信用卡的客服中心,并说明情况,能否先冻结信用卡。(不是恶意逃费,而是折合人民币20多万对我个人来说不是一笔小数目,并且我一年都赚不到20多万),信用卡中心回复这个牵扯到境外的免密,让我先冻结信用卡,并继续联系 aws 沟通此情况。

  29号晚上10点再次登陆 aws 控制台,并查看这笔巨额账单的时候,发现有莫名奇妙的在好多个区域创建了同规格的”p3.2xlarge“ 的EC2。我震惊了,不是都删了吗,怎么又出现了。于是又紧急删这些非法创建的资源,同时发现A账号有登陆的痕迹,于是赶紧打电话给 pm 情况,让她帮忙问问情况。同时我也删除了A账号的权限。并在 CloudTrail 中查看相关日志。

  7月07 13:08,A账号登陆创建大量规格为 ”p3.2xlarge“ 的EC2

       7月29 18:41,A账号登陆到AWS控制台

       7月29 18:51,A账号通过某种方式又创建了大量规则为 ”p3.2xlarge“ 的EC2

  7月29 22:26,紧急删除了A账号的权限

       7月30 02:08,A账号再次登陆到AWS控制台

登陆痕迹

 

创建资源痕迹

 

出现这一系类问题,我急忙联系那位同事,并且得知他就自从3月和我一起测试完需要验证的服务后,就再也没有登陆过。且没有任何人知道A账号的登陆信息。挂完电话后,短暂通过110报警后,就奔赴当地的派出所现场沟通报案。对话内容就暂时不透露了。

  从派出所回来,想着民警告知的先通知银行挂失,将绑定到 aws 上所有的银行卡/信用卡都解绑,先止损。在联系aws 调查此事。但问题在于账单金额每分钟都在上涨。因为短短的4个小时,账单金额增长了4000多美金,我不确定什么时候金额才能停下来?我有些不知道接下来我应该做点什么,即使我关闭了所有的服务,这个账单的费用依旧在增长..........

前路如何,不得而知

  7月30号早上6点,经历了前一晚的初步判断调查,我把 aws cloudtrail 中的日志逐步进行筛选分析,得出并不是aws root 账号信息泄露,也不是 access_key 泄露。就是因为这系列看似正常的操作才导致悲剧的发生。A账号信息是怎么泄露的,一直是个谜。

  7月30号7点左右的时候,我第三次给招商银行信用卡中心打电话再次确认,这笔暂时还没有扣款的巨额费用在我注销卡之后是否会扣款成功,听到他们那边很肯定的回复,我心里暂时松了一口气,我知道接下来我需要证明得是我不是恶意注销卡,不付款的。而是在警方,和银行的建议下先行注销,即使止损,同时发邮件这些信息告知 aws 的技术支持。

  7月30号9点左右,项目pm先行我一步去了公司所在区域的分局报警,希望网警能介入调查此事..........

  7月30号12点左右,回到家里后,看到aws 回复告知,他们很重视这次信息安全时间,会将我的账号冻结24小时,判断是否要进行下一步操作,同时审计部门也会介入进来核算账单。

.............

  其实写道这里,我暂时写不下去了,因为后面就牵扯太多的个人,公司,aws 的太多信息。此时此刻,我自己有对安全不重视的自我匹配,也更多的是愤怒。登陆的安全信息不管是从公司泄露出去,还是其他方式被黑客攻击,都不是我想看到了。不管是内部人员干的,还是外部人员干的,我真的有些失望了。人心太可怕了。

言谈外传

  对于这次的安全信息被盗用,我承认有我的问题,但在没有任何邮件通知的情况下,产生4.3 万美元的巨额账单,这正常吗?

  我统计了历史账单,2020年5月到2020年12月,基本上每月都可以保证到不超20美元。2021年1月到2021年6月,基本上每月都不超4美元,我真的特别想反问一句aws,根据意识账单的消费情况,是否有风控监管部门?是否有很人性化的提醒?对我来说,这样的事情发生一次就够了。

  这段经历确实给我造成了很严重的困扰,作为一个不合格的云开发人员,真的很失败。但这不会打乱我的整个学习。我想通过这件事告诉大家,信息安全问题真的不容无视,云信息安全真的更为重要。

作者:Allen 版权:转载请在文章明显位置注明作者及出处。如发现错误,欢迎批评指正。
posted @ 2021-08-03 17:23  Grant_Allen  阅读(520)  评论(3编辑  收藏  举报