Ein Access Key mit Production-Rechten wurde gerade in einem öffentlichen Repository gefunden. Was machst du?

Erst widerrufen, dann untersuchen. Deaktivier oder lösch den Key sofort, statt auf die Bestätigung eines Missbrauchs zu warten, und stell dann Ersatz-Credentials aus, damit die Services sich erholen. Als Nächstes ziehst du das Audit Log für jeden Aufruf mit diesem Key seit der Offenlegung und suchst nach unbekannten Adressen, neuen Identitäten oder Datenzugriffen. Behandle es als Incident, hol Security dazu, und zieh im Nachgang die Notwendigkeit statischer Keys ganz raus.

Key zuerst deaktivieren. Leute zögern, weil sie Angst haben, etwas kaputt zu machen, aber der Key ist öffentlich und die Zeit bis zur Ausnutzung misst sich in Sekunden, automatische Scanner finden so etwas schneller als wir. Also anfangs deaktivieren statt löschen, denn das stoppt das Risiko und behält die Identität für die Untersuchung, dann Ersatz-Credentials an alles, was ihn legitim gebraucht hat. Dann Blast Radius. Ich ziehe jeden Aufruf mit diesem Key aus dem Audit Trail seit dem Commit, und mich interessiert alles von einer unbekannten Adresse, und speziell Persistenz: neue User oder Rollen, neue Keys, geänderte Trust Policies, denn ein cleverer Angreifer nutzt den geleakten Key einmal, um sich einen leiseren Weg zurück zu bauen. Ich prüfe außerdem auf Lesezugriffe und Exfiltrationsmuster. Das wird als Sicherheitsvorfall mit dem Security-Team behandelt, nicht still von dem, der es bemerkt hat. Danach zwei Nacharbeiten. Warum hatte diese Identität überhaupt langlebige Keys, wo es doch eine Rolle sein sollte, und warum hat unser Secret Scanning das nicht vor dem Push erwischt? Beides ist wertvoller als die Rotation selbst.