Wer in Ihr AWS-Konto gelangt, kann alle Ihre Maschinen löschen, Ihre Daten mitnehmen oder, was am häufigsten vorkommt, Dutzende leistungsstarke Maschinen zum Schürfen von Kryptowährungen anlegen und Ihnen die Rechnung hinterlassen. Das passiert täglich, und fast immer aus demselben Grund: ein durchgesickertes Passwort ohne zweiten Faktor oder ein Zugriffsschlüssel, der versehentlich in ein öffentliches Repository hochgeladen wurde.
Sich zu schützen dauert zwanzig Minuten und kostet nichts. Es sind vier Maßnahmen, und die erste ist die, auf die es wirklich ankommt: wenn Sie nur eine umsetzen, dann diese.
Bevor Sie anfangen: was die Begriffe bedeuten
- Root-Konto (root)
- Der Benutzer, mit dem das AWS-Konto erstellt wurde, der sich mit der E-Mail-Adresse anmeldet. Er kann alles, auch das Konto schließen, und lässt sich nicht einschränken. Deshalb muss man ihn wegschließen und nicht täglich benutzen.
- Zweiter Faktor (MFA)
- Ein zweiter Schritt bei der Anmeldung, zusätzlich zum Passwort: ein Code, der sich alle 30 Sekunden in einer App auf dem Handy ändert, oder ein physischer Schlüssel. Wird Ihnen das Passwort gestohlen, kommt ohne das Handy niemand hinein.
- Authentifizierungs-App
- Eine kostenlose Handy-App, die diese Codes erzeugt (Google Authenticator, Microsoft Authenticator, Authy und andere). Jede ist geeignet.
- IAM
- Der AWS-Dienst, in dem Benutzer angelegt werden und Rechte erhalten.
- IAM-Benutzer
- Eine Identität innerhalb Ihres Kontos, mit eigenem Namen und Passwort, deren Möglichkeiten Sie einschränken können. Damit sollten Sie sich täglich anmelden, statt mit dem Root-Konto.
- Zugriffsschlüssel
- Das "Benutzer und Passwort", das Programme verwenden, um mit AWS zu sprechen. Das Root-Konto sollte keinen haben.
- Alternative Kontakte
- Adressen und Telefonnummern für Abrechnung, Betrieb und Sicherheit, die AWS benachrichtigt, wenn etwas passiert. Sind sie veraltet, erreichen die Warnungen niemanden.
Schritt für Schritt
Aktivieren Sie den zweiten Faktor für das Root-Konto
Melden Sie sich bei AWS mit der E-Mail-Adresse des Kontos an (das Root-Konto). Oben rechts, Menü mit Ihrem Namen, Sicherheitsanmeldeinformationen. Klicken Sie im Block Multi-Faktor-Authentifizierung (MFA) auf MFA-Gerät zuweisen. Wählen Sie Authentifizierungs-App, öffnen Sie die App auf Ihrem Handy, scannen Sie den QR-Code und geben Sie zwei aufeinanderfolgende Codes ein. Fertig: ab jetzt verlangt die Anmeldung mit dem Root-Konto den Code vom Handy.
Sie können mehr als ein Gerät zuweisen. Fügen Sie ein zweites hinzu (das Handy einer anderen verantwortlichen Person oder einen physischen Schlüssel in einer Schublade), falls Sie das erste verlieren: ein Root-Konto ohne zweiten Faktor wiederherzustellen ist ein langsamer Prozess mit AWS.
Entfernen Sie die Zugriffsschlüssel des Root-Kontos
Auf derselben Seite Sicherheitsanmeldeinformationen, Block Zugriffsschlüssel. Gibt es dort einen, deaktivieren Sie ihn und löschen Sie ihn, sobald Sie geprüft haben, dass nichts aufhört zu funktionieren. Ein Schlüssel des Root-Kontos ist ein Generalschlüssel, der nie abläuft; nichts sollte ihn benutzen. Programme, die Zugriff brauchen, verwenden Benutzer oder Rollen mit eingeschränkten Rechten (zu beiden gibt es Anleitungen in diesem Abschnitt).
Legen Sie einen Administrator-Benutzer für den Alltag an
Öffnen Sie IAM, Benutzer, Benutzer erstellen. Name: Ihr Name oder
admin-nombre. Kreuzen Sie Zugriff auf die Konsole gewähren an und wählen Sie ein Passwort. Bei den Berechtigungen Richtlinien direkt anfügen und AdministratorAccess ankreuzen: der Benutzer kann fast alles, aber weder das Konto schließen noch die Zahlungsdaten ändern, das bleibt dem Root-Konto vorbehalten. Erstellen Sie den Benutzer und notieren Sie die angezeigte Anmeldeadresse (sie enthält Ihre Kontonummer).Wenn Sie mehrere sind, ein Benutzer pro Person. Teilen Sie sich nie einen: wenn etwas kaputtgeht, wollen Sie wissen, wer es war.
Richten Sie auch für diesen Benutzer den zweiten Faktor ein
Melden Sie sich mit dem neuen Benutzer an, Menü mit Ihrem Namen, Sicherheitsanmeldeinformationen, und weisen Sie ein MFA-Gerät zu wie in Schritt 1. Machen Sie das für alle Benutzer, die Sie anlegen, zur Pflicht. Ab jetzt melden Sie sich immer mit diesem Benutzer an und bewahren das Passwort des Root-Kontos in einem Passwort-Manager auf, um es nur zu benutzen, wenn AWS es verlangt (Zahlungsdaten ändern, Konto schließen, irgendeine seltene Operation).
Aktualisieren Sie die Kontakte und richten Sie eine Kostenwarnung ein
Mit dem Root-Konto, Menü mit Ihrem Namen, Konto: prüfen Sie die Haupt-E-Mail-Adresse und füllen Sie die alternativen Kontakte (Abrechnung, Betrieb, Sicherheit) mit Adressen aus, die jemand liest. Über sie warnt AWS Sie vor einem durchgesickerten Schlüssel oder einer ungewöhnlichen Nutzung. Und legen Sie ein Budget mit E-Mail-Benachrichtigung an (eine Anleitung dazu gibt es in diesem Abschnitt): wenn jemand eindringt und anfängt, Maschinen anzulegen, ist die Kostenprognose-Warnung wahrscheinlich das erste Signal.
Prüfen Sie von Zeit zu Zeit
Einmal im Quartal, in IAM, Registerkarte Benutzer: Arbeiten all diese Leute noch hier? Haben alle MFA? Gibt es Zugriffsschlüssel, die seit Monaten nicht benutzt wurden (Spalte "Letzte Verwendung")? Löschen Sie, was überflüssig ist. IAM hat außerdem einen herunterladbaren Anmeldeinformationsbericht, der all das in einer Tabelle zusammenfasst.
Was schiefgehen kann
Ich habe das Handy mit dem zweiten Faktor des Root-Kontos verloren
Haben Sie ein zweites Gerät registriert, benutzen Sie es und melden Sie das verlorene ab. Wenn nicht, hat AWS einen Wiederherstellungsprozess, der E-Mail-Adresse und Telefonnummer des Kontos prüft; er ist langsam, und deshalb bestehen wir auf zwei Geräten.
Ein Programm funktioniert nicht mehr, seit ich den Schlüssel des Root-Kontos entfernt habe
Dieses Programm hat den Generalschlüssel benutzt. Legen Sie dafür einen IAM-Benutzer mit nur den nötigen Rechten an (Anleitung in diesem Abschnitt) und geben Sie ihm einen eigenen Schlüssel. Das ist genau das Problem, das Sie entdecken wollten.
Der zweite Faktor wird jedes Mal verlangt und das nervt
Das ist der Preis, und er ist klein im Vergleich zu einem gestohlenen Konto. Authentifizierungs-Apps brauchen drei Sekunden. Wenn es wirklich stört, ist ein physischer USB-Schlüssel noch schneller.
Ich habe eine E-Mail von AWS erhalten, dass mein Schlüssel in einem öffentlichen Repository liegt
Das ist echt und dringend: es gibt Programme, die im Internet nach Schlüsseln suchen und sie innerhalb von Minuten benutzen. Melden Sie sich an, deaktivieren Sie diesen Schlüssel sofort, prüfen Sie in EC2 in allen Regionen, ob Maschinen aufgetaucht sind, die nicht Ihre sind, und antworten Sie auf den Support-Fall, den AWS eröffnet haben wird.
In Simplio
Simplio befolgt dieselben Regeln für Sie: jeder Benutzer meldet sich mit seinem Passwort und seinem verpflichtenden zweiten Faktor an (ohne Wiederherstellungscodes per E-Mail, die gestohlen werden könnten), und heikle Aktionen verlangen ihn erneut. Die AWS-Schlüssel, die Sie hinterlegen, werden verschlüsselt gespeichert und nie wieder angezeigt, oder sie existieren gar nicht erst, wenn Sie sich per Rolle verbinden. Und das Aktivitätsprotokoll sagt, wer was wann und von wo getan hat.
Dasselbe, in AWS und in Simplio
| In der AWS-Konsole | In Simplio | |
|---|---|---|
| Zweiter Faktor für das ganze Team | MFA Benutzer für Benutzer in IAM einrichten und kontrollieren, dass es alle tun | Pflicht für alle Simplio-Benutzer, ohne Wiederherstellungscodes per E-Mail |
| Einschränken, was jede Person tun darf | Von Hand geschriebene IAM-Richtlinien | Rechte pro Aktion und pro Maschine mit Kästchen |
| Wissen, wer was getan hat | CloudTrail | Aktivitätsprotokoll in normaler Sprache |