如果我发现我的 AWS 账户中存在未经授权的活动该怎么办？

2 分钟阅读

我看到了一些资源，但我不记得在 AWS 管理控制台中创建过这些资源。或者，我收到一个通知，说我的 AWS 资源或账户可能已被盗用。

简短描述

如果您怀疑您的 AWS 账户中有未经授权的活动并希望验证该活动是否未经授权，请完成以下步骤：

确认您账户中的 AWS Identity and Access Management（AWS IAM）身份是否执行了未经授权的操作。
确认是否存在未经授权而访问或更改您账户的行为。
确认是否存在创建未经授权的资源的行为。
确认是否存在创建未经授权的 IAM 资源（例如角色、托管策略）或管理变更（例如，在您的 AWS Organizations 中创建的欺诈性关联账户等））的行为。

然后，如果您发现未经授权的活动，请按照本文如果您的 AWS 账户中存在未经授权的活动部分中的说明进行操作。

确认您账户中的 IAM 身份是否执行了未经授权的操作

完成以下步骤：

确认是否存在未经授权而访问或更改您账户的行为

确认是否存在创建未经授权的资源或 IAM 用户的行为

要确定未经授权的资源使用情况，包括意外服务、区域或向您的账户收取的费用，请查看以下内容：

**注意：**您还可以使用 AWS Cost Explorer 成本管理服务来查看与您的 AWS 账户相关的费用和使用情况。有关更多信息，请参阅如何使用 AWS Cost Explorer 成本管理服务分析我的支出和使用情况？

**重要事项：**如果您收到 AWS 关于账户中存在异常活动的通知，请先按照以下说明进行操作。然后，在 AWS Support 中心回复通知，确认您已完成的操作。

轮换和删除已泄露的账户访问密钥

查看 AWS Support 发送的异常活动通知，了解是否有泄露的账户访问密钥。如果列出了密钥，则对这些密钥执行以下步骤：

轮换可能未经授权的 IAM 用户凭证

完成以下步骤：

打开 IAM 控制台。
在左侧导航窗格中，选择用户。此时将显示您的 AWS 账户中的 IAM 用户列表。
选择列表中第一个 IAM 用户的名称。此时将打开此 IAM 用户的摘要页面。
在权限选项卡的权限策略部分下，查找名为 AWSCompromisedKeyQuarantineV2 的策略。如果用户附加了此策略，则轮换该用户的访问密钥。
对账户中的每个 IAM 用户重复步骤 3 和 4。
删除并非由您创建的 IAM 用户。
为由您创建并想要保留的所有 IAM 用户更改密码。

如果您使用临时安全凭证，请参阅撤销 IAM 角色临时安全凭证。

检查您的 AWS CloudTrail 日志中是否有未经批准的活动

完成以下步骤：

打开 AWS CloudTrail 控制台。
在左侧的导航窗格中，选择事件历史记录。
审查是否存在任何未经批准的活动，例如创建访问密钥、策略、角色或临时安全凭证。
重要事项：请务必查看活动时间，以确认资源是否为近期创建，是否与不定期活动相匹配。
删除您确认未经批准的访问密钥、策略、角色或临时安全凭证。

有关更多信息，请参阅使用 CloudTrail。

删除无法识别或未经授权的资源

完成以下步骤：