Uma chave de acesso com permissões de produção acabou de ser encontrada em um repositório público. O que você faz?

Revogue primeiro, investigue depois. Desative ou apague a chave imediatamente em vez de esperar para confirmar o uso indevido, e então emita credenciais substitutas para os serviços se recuperarem. Depois, puxe o log de auditoria de toda chamada feita com aquela chave desde a exposição, procurando endereços desconhecidos, novas identidades ou acesso a dados. Trate como incidente, envolva a segurança, e depois elimine a necessidade de chaves estáticas.

Desative a chave primeiro. As pessoas hesitam porque temem quebrar alguma coisa, mas a chave é pública e a exposição se mede em segundos; scanners automatizados acham essas coisas mais rápido que a gente. Então desative em vez de apagar no primeiro momento, já que isso interrompe o risco e mantém a identidade para investigação, e depois entregue credenciais substitutas ao que legitimamente precisava delas. Depois o raio de impacto. Eu puxo toda chamada feita com aquela chave na trilha de auditoria desde que o commit entrou, e me interessa qualquer coisa de um endereço desconhecido, e especificamente persistência: novos usuários ou roles, novas chaves, políticas de confiança alteradas, porque um atacante esperto usa a chave vazada uma vez para criar um caminho de volta mais silencioso. Eu também confiro leituras de dados e padrões de exfiltração. Isso é tratado como incidente de segurança com o time de segurança envolvido, não em silêncio por quem notou. Depois, dois desdobramentos. Por que essa identidade tinha chaves de vida longa, já que deveria ser uma role, e por que o nosso escaneamento de segredos não pegou antes do push? Os dois valem mais que a rotação em si.