AK泄露检测

适用范围

• 检测平台：仅支持检测 GitHub 平台公开源代码中的 AK 泄露，暂不支持其他代码托管平台。

• 检测对象：阿里云账号（主账号）及 RAM 用户的 AccessKey（包括 AccessKey ID 和 AccessKey Secret）。

通知方式

云安全中心根据泄露的 AccessKey ID（以下简称 AK）和 AccessKey Secret（以下简称 SK）是否有效，采用不同的通知方式：

修改通知方式

1. 访问云安全中心控制台-系统配置-通知设置，在页面左侧顶部，选择需防护资产所在的区域：中国内地或非中国内地。

2. 在 短信/邮件/站内信页签中，找到 AccessKey 泄露情报，选择需要的 通知方式。

添加通知接收人

默认仅账号联系人会收到通知。如需其他联系人接收告警，可通过以下方式添加：

• 短信、邮件、站内信：

  在基本接收管理页面的安全消息 > 云盾安全信息通知区域，修改消息接收人。

  说明

  修改此处的消息接收人后，会对云安全中心的其他通知项同时生效，也会对 DDoS 防护和 Web 应用防火墙等产品的消息通知项生效。

• 语音：

  在语音接收管理页面的安全消息 > 账号安全告警区域，修改消息接收人。

步骤一：手动处理泄露事件

云安全中心不支持自动处理 AK 泄露事件，需要先在外部完成以下操作：

1. 删除或隐藏 GitHub 上的泄露内容：联系相关人员删除或隐藏包含 AK 信息的文件、仓库或代码。

2. 在 RAM 控制台处理泄露的 AccessKey：在确保核心业务不受影响的前提下，删除或禁用已泄露的 AccessKey，并创建新的 AccessKey。具体操作，请参见删除RAM用户的AccessKey和禁用RAM用户的AccessKey。

步骤二：在控制台标注处理状态

手动处理完成后，在云安全中心控制台对该 AK 告警事件进行状态标注：

1. 访问云安全中心控制台-风险治理-AK泄露检测。

2. 单击目标事件操作列的 处理，选择以下处理方式之一，并单击 立即处理。

从攻击视角监测 AK 异常调用

云安全中心基于安全攻防经验和大模型，可检测常见的 AK 调用异常。例如：调用 AK 的 IP 地址在近期发起过攻击行为、该 IP 在云上批量调用多个用户的 AK、调用的 API 较为敏感且该 AK 出现过泄露等。

1. 登录云安全中心控制台。

2. 在左侧导航栏，选择检测响应 > 告警。在控制台左上角，选择需防护资产所在的区域：中国内地或非中国内地。

   说明

   若已开通 Agentic SOC，请选择Agentic SOC > 管理 > 告警。

3. 将告警类型选择为云产品威胁检测，查看是否存在 AK 异常调用告警。

   说明

   如果存在 AK 异常调用告警，需要查看详情，及时确认该 AK 调用是否为正常行为。

4. （可选）配置安全告警通知。

   进入云安全中心控制台 系统设置 > 通知设置 页面，配置安全告警的通知方式，以便及时收到 AK 调用异常告警。免费版仅支持配置站内信通知方式。具体操作，请参见 通知设置。

监测阿里云账号调用 AK 等异常

操作审计服务提供内置告警，可监控阿里云账号调用 AK 及 AK 异常调用。在操作审计控制台启用内置告警 AK 使用的异常频率告警 和 Root 账号 AK 使用检测，以便在出现 AK 异常调用时收到通知。具体操作，请参见 设置事件告警。

基于历史行为检测 AK 异常调用

操作审计服务提供的审计事件洞察（Insights 事件）功能，可基于历史行为分析调用率异常的 AK，及时发现异常行为。开通并查看 Insights 事件的具体操作，请参见 通过操作审计控制台查询 Insights 事件。