AWS Security makes an inscrutable choice

Bài viết bàn về quyết định của AWS Security khi phát hiện thông tin đăng nhập bị rò rỉ: thay vì thu hồi ngay lập tức, họ chỉ cách ly (quarantine) các credential đó. Nguyên nhân kỹ thuật được chỉ ra là hệ thống quarantine chỉ ngăn chặn việc sử dụng credential trong một khoảng thời gian hữu hạn, sau đó chúng vẫn có thể được tái kích hoạt nếu không được thay đổi. Hệ quả là kẻ tấn công vẫn có thể khai thác các credential trong thời gian cách ly, dẫn đến nguy cơ truy cập trái phép vào tài nguyên AWS như EC2, S3 hoặc IAM roles. Điều đáng học là các đội ngũ bảo mật cần kết hợp cách ly với biện pháp thu hồi và quay lại credential ngay lập tức, đồng thời sử dụng token ngắn hạn như AWS STS session tokens hoặc Secrets Manager để giảm thiểu nguy cơ. Ngoài ra, bài viết khuyên nên tự động hóa quy trình phát hiện và phản hồi qua các dịch vụ như Amazon GuardDuty và AWS Security Hub để giảm thời gian phản hồi từ giờ xuống phút.