Mifteya API, Veşartî AWS, an Tokena Zindî ya Stripe ku ji Repoya GitHub-a Giştî re hatî peywirdar kirin: Di 60 Çirkeyan de Vegerandina Botê ya Xweser, Zivirandina Bişkojka Yekser, û Billing Kill-Switch¶

Wê gavê ku hûn direvin git push ji depoyek GitHub, GitLab, an Bitbucket giştî (or temporarily flip a private repository to "Public" for even 10 seconds) dema ku pelek, .env veavakirin, notebook Jupyter (.ipynb), an dîroka commit Git kevintir kilîtek veşartî ya zindî heye (such as an AWS Access Key ID starting with AKIA, a Stripe Live Secret Key sk_live_, an OpenAI key sk-proj-, an Anthropic key sk-ant-, or a Google Cloud service account .json), torgilokek gerdûnî ya botên hilberandina pêbaweriya otomatîkî ya ku veşartî di 2 heya 60 çirkeyan de digire. Ji ber ku gelemperî GitHub Events API, GH Archive, û firehookên webhook-ê yên rast-dem her gel diherikin PushEvent li çaraliyê cîhanê, botên scraper yên xerab cudahiya we bi vegotinên birêkûpêk par dikin û berî ku hûn karibin binivîsin dest bi pêkanîna fermanên ewr ên otomatîkî dikin. git revert.

di nav 90 seconds ji an AWS an GCP nepenî li depoyek giştî dixe, botnetên otomatîkî mînakên GPU/CPU-ya herî mezin dizivirînin (such as p4d.24xlarge or c6i.32xlarge li seranserê herêmên nezelal wek ap-east-1 Hong Kong, me-south-1 Bahreyn, an sa-east-1 Sao Paulo) ji bo Monero (XMR), Daxwaza Karûbarê E-nameya Hêsan a AWS (SES) kota zêde dibe da ku spam phishing biteqîne, an jî taybetiya we klon bike S3 kepçe û RDS databas, çêker **$5,000 to $80,000+ di ewr de fatoreyên hesabkirin di şevekê de **. Bi heman awayî, a leaked OpenAI an Anthropic Mifteya API-ê tavilê di nav bazarên LLM-ê yên "berepaş-proxy" yên binerdê de tê berhev kirin ku di her hûrdemê de bi hezaran dolar ji krediyên nîşanan derdixîne, dema ku diherike. Stripe mifteya veşartî ya zindî (sk_live_...) ji êrîşkaran re gihandina xwendin/nivîsandina bi tevahî bernameyî dide da ku vegerandina xapînok, xerîdar hinarde bike PII, an dravdanên Connect ên bêdestûr bidin destpêkirin. Ger êrîşkarek bi awayekî çalak rêxistina we distîne piştî ku databasên xerîdar bi mifteya weya derçûyî derdixe, bi xetên germ ên înfazê yên dadrêsî û bûyera sîberê re bişêwirin. hejmarên acîl pelrêça yekser, û rêberên me yên têkildar li ser binirxînin Daxistina databasa hilberîna qezayî, zora git-push, û tîraja rijandina veşartî, databasa hilberînê daket an jî kepçeya S3 bêyî paşvekişandina dawî hate jêbirin, û ewlehiya xebata dûr a acîl û nepeniya daneyê.

Vê niha bikin¶

1. ** 60 saniyeyên xwe yên ewil bi bez winda nekin git rm .env an git push --force: DIRESTPÊR BIÇIN KONSOLA PÊŞKÊŞKIRIN (AWS IAM, Stripe, OpenAI, GCP) Û KÎLÊ LI VE BIKIN / BIKIN < 30 SECONDS.** Jêbirina pelê di peywirek nû ya Git de (or even making the GitHub repository Private) tiştekî nake da ku botên ku berî 10 saniyeyan mifteya we ji firehose-a GitHub Events qut kirine rawestîne. Divê kilît bixwe pêşî li çavkaniyê bê kuştin.
2. ** Ger ku AWS key (AKIA... an ASIA...) derçû:** Vekirî AWS IAM -> Users -> Security credentials û li ser bişkoja gihîştinê tavilê ** Bêçalak / Jêbirin ** bikirtînin, dûv re pêve bikin AWSCompromisedKeyQuarantineV2 (or a blanketînkar *inline policy) ji bikarhênerê IAM re û ya bikarhêner zêde bike RevokeOldSessions siyaseta kuştina her demkî STS îşaretên ku êrîşkar berê xwe daye (see the exact STS bypass trap below).
3. Heke a Stripe Mifteya Veşartî ya Zindî (sk_live_... an rk_live_...) leaked: Çûn dashboard.stripe.com/apikeys, bikirtînin **... -> Bişkojka bizivirîne **, û bidawîbûna mifteya kevin wekî "Niha (Immediately)" (NOT "in 24 hours"). Tavilê kontrol bikin Stripe Dashboard -> Logs û Balance -> Payouts / Refunds ji bo bangên API-ê yên bê destûr.
4. ** Ger ku OpenAI, Anthropic, Google Gemini, an SendGrid / Twilio Bişkojka derketiye:** Bişkojka API-ê ya di tabloya pêşkêşkerê de tavilê jêbibe û Sînorek Xerca Zehmetî ya Mehane ($0 an kapa weya normal) di mîhengên Billing de ji bo qutkirina daxwazên weşana di firînê de.
5. ** HEMÛ Herêmên Ewr bişopînin (especially disabled/opt-in regions(like Stockholm eu-north-1, Osaka ap-northeast-3, or Mumbai ap-south-1) û bikarhênerek IAM-ê veşartî ya duyemîn biafirîne (or SSH key pair) ji ber vê yekê ew dikarin di hundurê hesabê we de bimînin piştî ku hûn mifteya leakkirî jêbirin.
6. Tenê PIŞTÎ ku nepenî hate betal kirin û hesabên IAM-ê yên paşîn têne paqij kirin, qanûnê ji Git paqij bikin (using git-filter-repo) Û bi Piştgiriya GitHub re têkilî daynin (or remove cached PR/commit views) Ji bo paqijkirina kaşên SHA-yê yên dangling, dûv re ** Daxwaza Destûrdana Billinga Leaksaziya Rasthatî ya AWS / GCP ** heke bot fatûreya ewr a mezin biqede.

Dara biryarê: 60-Bersiva Awarte ya Duyemîn ji hêla Tîpa Veşartî ya Leaked ve¶

Vê nexşeya rêvegirtina bûyerê bişopînin da ku pêbaweriya têkçûyî bikujin, domdariya êrişker qut bikin, û fatûreya ewrê reviyan berevajî bikin.

flowchart TD
    A["Veşartina Zindî ya ku ji GitHub / GitLab Repoya Giştî (.env, Koda Çavkaniyê, an Dîroka git) re hatî peywirdar kirin"] --> B["DUYEMÎN 0 HETA 30: Pêşî git rm NEMEZIN. Konsola Pêşkêşkara Cloud/API-ê vekin û Bişkojka Yekser Vekin"]
    B --> C{"Kîjan celeb pêbaweriya zindî hate eşkere kirin?"}
    C -->|"1. Mifteya Têketinê ya AWS (AKIA... / ASIA...)"| D["1. Bişkojka di IAM-ê de neçalak bike/Jêbibe 2. Siyaseta 'Hemûyan Înkara' ya Inline bi Bikarhêner ve girêbide (Tokenên STS yên Minted Dikuje) 3. Kontrolkirina CloudTrail ji bo Bikarhênerên IAM-ê yên Backdoor"]
    C -->|"2. Stripe Live Secret Key (sk_live_... / rk_live_...)"| E["1. Bişkojka Bi Dorpêdan = 'Di cih de' 2. /v1/vegerandin, /v1/ veguheztin û xalên dawî yên Webhook kontrol bikin 3. Ragihandina PII-ya Xerîdar binirxînin"]
    C -->|"3. OpenAI (sk-proj-...), Antropîk (sk-ant-...), an Key Gemini"| F["1. Di Konsola Pêşdebirê de Kilîta Rabe 2. Bi Demkî Sermaseya Billê ya Zehmetî ya Rêxistinê Jê Bike 0 $ 3. Ji bo Derxistina Tokenê Têketinên Bikaranînê kontrol bikin"]
    C -->|"4. Database URI (postgres://, mongodb+srv://) an URL Redis"| G["1. Tavilê şîfreya DB-ê bizivirînin 2. Pg_terminate_backend() / KILL bimeşînin da ku Têkiliyên Çalak bavêjin 3. Koma Ewlekariyê tenê li IP-yên VPC-ê kilît bikin"]
    D --> H["Sweep Compute Multi-Region Bike (Li Hemî 30+ Herêmên Rogue EC2/EKS/SageMaker/Lambda biqedîne)"]
    E --> I["Dîroka Git bi navgîniya 'git filter-repo' paqij bikin + Nêrînên GitHub Cached Commit SHA Paqij bikin"]
    F --> I
    G --> I
    H --> J{"Ma botên otomatîk 1,000 $ heya 100,000 $+ fatûreya ewr berhev kirin?"}
    J -->|"YES"| K["Doza Piştgiriya Billê ya AWS/GCP vekin -> Kontrola Ewlekariyê ya Pişt-Rêvekirinê bişînin + Daxwaza Xepêdana Dadwerî ya Yek-Care / Lêborîna Billê Leak"]
    J -->|"NO"| I

Beş 1: Pêşkêşkar-ji-Pêşkêşkar Kill-Switch & Matrix Forensics (First 5 Minutes)¶

Vê tabloya referansê bikar bînin da ku bişkoja betalkirinê ya rastîn, tevgera Veşartina Veşartî ya GitHub-ê ya otomatîkî, û vektora domdariya veşartî ya ji bo pêbaweriya weya derçûyî bibînin.

Beş 2: Diveya Kûr: Meriv Çawa Êrîşkerek Ji Hesabê xweya AWS derxe (The 4-Step Cloud Eviction Protocol)¶

Ji ber ku derketiye AWS pêbawerî radiusa teqîna darayî ya herî bilind digire (up to $50,000+ per day in EC2/SageMaker/Bedrock bills), divê hûn her çar gavên jêrîn gava ku yek pêk bînin AKIA... an ASIA... kilît li depoyek giştî dixe:

+-----------------------------------------------------------------------------+
|     ANATOMY OF A 60-SECOND AUTOMATED AWS GITHUB SCRAPER BOT ATTACK          |
+-----------------------------------------------------------------------------+
|                                                                             |
|  [ SEC 00 ] Developer runs 'git push origin main' with .env (AKIA...)       |
|       |                                                                     |
|  [ SEC 04 ] Bot scrapes GitHub Events API Firehose -> Extracts AKIA key     |
|       |                                                                     |
|  [ SEC 06 ] Bot calls 'sts:GetCallerIdentity' & 'sts:GetSessionToken'       |
|       |     (Mints temporary ASIA... token that survives AKIA deletion.)    |
|       v                                                                     |
|  +----+------------------------------------------------------------------+  |
|  | [ SEC 15 TO 90: PARALLEL MULTI-REGION EXPLOITATION ]                  |  |
|  |  1. Persistence: Calls 'iam:CreateUser' / 'iam:CreateAccessKey'       |  |
|  |     (Creates hidden user 'aws-support-backup' with AdministratorAccess)|  |
|  |  2. Compute Abuse: Launches Auto-Scaling Groups of c6i.32xlarge /     |  |
|  |     g5.48xlarge in 12 regions + AWS Bedrock / SageMaker LLM endpoints |  |
|  |  3. Spam Abuse: Calls 'ses:PutAccountSendingAttributes' (50k emails)  |  |
|  |  4. Data Exfiltration: Lists & downloads S3 buckets / RDS snapshots   |  |
|  +-----------------------------------------------------------------------+  |
+-----------------------------------------------------------------------------+

Gav 1: Herdu Statîk bikujin AKIA Key Û Hemû Minted ASIA Nîşaneyên Rûniştinê¶

Jêbirina AKIA mifteya di Konsola AWS de **ne ** demî betal nake STS pêbaweriyên berê ji hêla sts:GetSessionToken. Ji bo ku her tiştî tavilê bi AWS CLI bikujin (using a separate clean admin profile):

# 1. Delete the compromised Access Key immediately
aws iam delete-access-key --user-name CompromisedUser --access-key-id AKIAIOSFODNN7EXAMPLE

# 2. Attach an explicit 'Deny All' inline policy to the IAM User to immediately
#    invalidate any STS tokens minted by that user AND block all further actions:
aws iam put-user-policy --user-name CompromisedUser --policy-name EmergencyKillSwitch \
  --policy-document '{
    "Version": "2012-10-17",
    "Statement": [{
      "Effect": "Deny",
      "Action": "*",
      "Resource": "*"
    }]
  }'

Gav 2: Li CloudTrail Bikarhêner, Rol û Bişkojkên Gihîştinê yên IAM-ê paşde bigerin¶

Van emrên AWS CLI bişopînin da ku kontrol bikin ka botê bikarhênerek IAM-a paşverû ya veşartî çêkiriye an mifteyek gihîştina duyemîn bi yek ji hesabên karmendê weya heyî ve girêdaye di pencereyê de:

# List all IAM users created recently across the account
aws iam list-users --query 'Users[?CreateDate>=`2026-10-30`].[UserName,CreateDate]' --output table

# Audit CloudTrail for every API call made by the compromised user in the last 24 hours
aws cloudtrail lookup-events \
  --lookup-attributes AttributeKey=Username,AttributeValue=CompromisedUser \
  --max-results 50 \
  --query 'Events[].[EventTime,EventName,EventSource]' --output table

Gav 3: Hemî bişon 30+ Herêmên AWS ji bo Mînakên Rogue EC2, Komên Scaling Auto, û Karên Bedrock / SageMaker¶

Çima mexdûr hê jî distînin a $12,000 fatûreya di dawiya mehê de piştî ku wan "daştboarda EC2 kontrol kir û zero bûyer dîtin"? Ji ber ku AWS Console tenê ** yek herêmek di demekê de nîşan dide ** (e.g., us-east-1), dema ku bot dizivire 20 mînakên di ap-south-1 (Mumbai), eu-north-1 (Stockholm), û sa-east-1 (Sao Paulo), û wan di hundurê ** EC2 Komên Pîvankirina Xweser (ASGs)** ji ber vê yekê heke hûn mînaka EC2 bi destan biqedînin, Koma Scaling Auto veguhezek dest pê dike 30 seconds paşê.

Vê pir-herêmê bash-yek-hêlê bixebitîne da ku navnîş bike hemû mînakên EC2-ê yên xebitandin an li bendê li her devera AWS-ya çalak ** li 10 seconds:

for region in $(aws ec2 describe-regions --query 'Regions[].RegionName' --output text); do
  echo "=== Checking Region: $region ==="
  aws ec2 describe-instances --region "$region" \
    --filters "Name=instance-state-name,Values=running,pending,stopped" \
    --query 'Reservations[].Instances[].[InstanceId,InstanceType,State.Name,LaunchTime]' \
    --output table
done

Beş 3: Rakirina Veşartî Ji Dîroka Git (git-filter-repo) & Paqijkirina Cache Veşartî ya GitHub¶

Gava ku pêbawerî di asta pêşkêşker de mirî ye, divê hûn rêzika veşartî ji depoya xwe derxînin .git dîrokê bipejirînin da ku ne hevkar û ne jî şopdarên pêşerojê nikaribin wê bibînin (and so GitHub's Push Protection stops blocking your branches).

1. Çima git rm .env + git commit Veşartî ji Git dernakeve¶

Running git rm .env && git commit -m "remove env" tenê pelê ji komîteya herî dawî (HEAD); raza nivîsa zelal di hundurê danûstendina dêûbav de bi domdarî tê xwendin (the parent commit) ji her kesê ku li ser GitHub "Pêşkêşan" bikirtîne.

2. Dîroka Depoyê Bi Paqij Bikaranîna Ji Nûve Binivîsin git-filter-repo¶

1. ** Ger tenê kirina herî dawî (HEAD) sirê dihewand (and nobody else has pulled it yet):**

   # Remove the sensitive file from the staging index while keeping it on your local disk
   git rm --cached .env
   echo ".env" >> .gitignore
   git add .gitignore
   git commit --amend --no-edit
   git push --force-with-lease origin main
   

2. Heke sir di dîroka we de çendîn kiryaran veşartiye (or inside a code file you want to keep): Bikaranîn git-filter-repo (the official, fast replacement recommended by Git and GitHub instead of the deprecated git filter-branch):

   # Option A: Completely purge a file (.env) from every commit in history
   git filter-repo --path .env --invert-paths --force
   
   # Option B: Replace a specific secret string with '***REMOVED***' across all files in history
   echo "sk_live_51NzExampleSecretKey12345==>***REMOVED***" > expressions.txt
   git filter-repo --replace-text expressions.txt --force
   
   # Force-push the rewritten history to GitHub across all branches and tags
   git push origin --force --all
   git push origin --force --tags
   

3. Xefika Veşartî ya GitHub (Dangling Commit SHAs)¶

Piştî ku hûn direvin jî git filter-repo û git push --force, Pêşkêşkerên webê yên GitHub hîn jî SHA-ya kevn, neçapkirî ("dangdar") zindî dihêlin û ji raya giştî re tê gihîştin. https://github.com/<owner>/<repo>/commit/<old-40-char-sha> (and in any forks or Pull Requests) heta komkirina çopê biçe. - ** Meriv çawa Tavilê li ser GitHub Commit SHA-ya Cached Paqij dike:** 1. Bi tevahî kopî bikin 40-character Berî ku hûn dîrokê ji nû ve binivîsin, SHA-ya kiryara derketî bikin. 2. Vekir https://support.github.com/contact -> bipirsin "Daneyên hesas rakin / Ji bo pêkanîna SHA ya negihîştî dîtinên cache paqij bikin" di depoyê de owner/repo û SHA ya rastîn peyda bikin (or use the GitHub Support portal's automated cache-purge workflow).

Beş 4: Meriv çawa a $5,000 to $100,000+ AWS an GCP Bot Bill Rakir (The Courtesy Forgiveness Appeal)¶

Çi eger hûn an dehfdan .env dosya roja înê piştî nîvro, heta sibeha duşemê e-nameya xwe kontrol nekir, û bi a $28,400.00 AWS an fatûreya Google Cloud ji botên krîpto-mîner an LLM-proxy?

Xeber nebin, û qerta xweya krediyê betal nekin an jî berdêla berdêla bankê bidin. ** Herdu ** Karûbarên Web Amazon (AWS) û Platforma Ewrê Google (GCP) ji bo pêşdebirên takekesî, xwendekar û destpêkeran xwedan navxweyek damezrandî ye ** Veguhastina Bilêvkirina Qezaya Qezaya Yekcarî / Siyaseta Krediyê ** ji bo pêşdebirên kesane, xwendekar û destpêk, ** bi şertê ku hûn temam bikin. 100% navnîşa kontrolkirina sererastkirina ewlehiyê ya mecbûrî berî tîmê wana Billing Review îtiraza we dinirxîne.

Protokola Destûrdana Billê ya 5-Gavê AWS / GCP (90%+ Success Rate for First-Time Leaks)¶

1. ** Pêşî Her Pêngava Çareserkirina Ewlekariyê temam bikin (AWS Will Reject Your Waiver Until the Account Is Clean):**
   • Mifteya Têketinê ya IAM-ê ya têkçûyî jêbirin (and the IAM User if possible).
   • Her mînakek EC2 ya nedestûr, Koma Pîvankirina Xweser, volta EBS, IP-ya Elastîk, mînaka RDS, û kelek S3 li hemû herêman (verify via AWS Cost Explorer and AWS Billing -> Bills -> Charges by Region that daily accrual has dropped back to $0.00).
   • Hardware an Authenticator App MFA çalak bike (Multi-Factor Authentication) li ser Hesabê Root AWS û her bikarhênerek IAM.
2. ** Li binê Doza Piştgiriyê vekin "Account and Billing" (Free for All AWS/GCP Tiers, No Paid Support Plan Required):**
   • Biçe console.aws.amazon.com/support/home -> Meselê biafirîne -> Hesab û fatûreya -> Xizmet: Berçûn -> Kategorî: Berguzariyek / Hesabek lihevhatî nakok bike.
3. ** Vê Serpêhatiya Rastî û Kurteya Zehmetiyê Bişînin:**
   • ** Demjimêr & Sedem qebûl bikin: ** Kengî kilît bi xeletî li ser GitHub hate xuyang kirin, bi eşkere diyar bikin (e.g., "October 30 at 22:14 UTC") û dema ku hate betal kirin ("October 31 at 09:05 UTC").
   • ** Ji hêla Herêm û Xizmetê ve Berdêlên Bê Destûr binav bikin:** Navnîşana dravê rastîn a çalakiya botê ya xapînok li hember fatûreya mehane ya xweya dîrokî ya normal (e.g., "My normal monthly AWS bill for the past 8 months is $14.50/month in us-east-1; the unauthorized charges total $18,420.12 across ap-east-1, eu-north-1, and sa-east-1 EC2/Bedrock usage").
   • ** 100% Remediate piştrast bikin: ** Pêngavên tam ên ku we berê qedandine (1. Deleted IAM key AKIA...; 2. Terminated all unauthorized resources across all regions; 3. Audited CloudTrail for backdoor users; 4. Enabled Root & IAM MFA; 5. Configured AWS Budgets alerts).
   • ** Bi hurmetî Daxwaza Serastkirina Billê ya Yekcarî Daxwaz bikin:** Rave bikin ku hûn pêşdebirek ferdî / xwendekar / destpêkek qonaxa destpêkê ne, ku drav didin $18,420 fatûreya botê ya bêdestûr dê bibe sedema tengasiyek darayî ya giran, û ji bo karanîna xapînok **krediya fatûreya danûstendinê ya yek-carî / dev jê berdan ** bixwaze.
4. ** Ger Bûyera Xweser Nêzîk be, Qerta Tezmînata Xweya Girêdayî biguhezînin an Bikin:**
   • Dema ku doza weya Piştgiriya Billing AWS di binê çavan de ye (which usually takes 5 to 15 business days dema ku Tîmên Karûbarên Ewlekarî û Billing AWS piştrast dikin ku hemî çavkaniyên xapînok hatine qedandin), bi Piştgiriya AWS re têkilî bilêtê bidin û ji wan bipirsin ku ** girtina fatûreya demkî (defer auto-charge)** li ser fatûreya nakokî ji ber vê yekê dema ku verastkirina krediyê tê pêvajoy kirin ew hesabê weya bankê zêde nake.

(Ji bo bûyerên ewlehiyê yên pêşdebir û xebata dûr, binêre Daxistina databasa hilberîna qezayê, zora git-push, rijandina veşartî, û ceribandina bûyerê, Databasa hilberînê daket an jî kepçeya S3 bêyî paşvekişandina dawî hate jêbirin, Bi tesadufî mûçeya nepenî, PII-ya xerîdar, an pelgeya HIPAA-ê bi e-nameyê şandin, û Ewlekariya xebata dûr a lezgîn û nepeniya daneyê.)

Binpêkirina daneya herêmî û rayedarên raporkirina ewlehiya ewr¶

Pirsên ku pir caran têne pirsîn¶

Ger min fêhm kir ku min an dehf kir .env pelê li depoyek GitHub ya giştî bike û 2 hûrdem şûnda depoyê taybet kir, ma ez hîn jî hewce dikim ku mifteyên xwe bizivirim?¶

Erê, ji sedî 100 kilîtên di wê pelê de divê bêne hesibandin û tavilê werin rakirin. Botên berhevkirina pêbaweriya otomatîkî li bendê ne ku Google depoya we navnîş bike; ew rasterast beşdarî raya giştî ya GitHub-ê ya rast-demê dibin `Events API` firehose (`and GH Archive`), ku her gel belav dike `PushEvent` gerdûnî di nav 1 heta 3 çirkeyên we de `git push`. Wexta ku we du hûrdeman klîk kir "Settings -> Guhertina Dîtina depoyê -> Taybetmendiyê Bikin" bikirtînin, bi dehan botên scraper-ê yên otomatîk berê cûdahiya kirina we daxistin û pêbaweriyên AWS, Stripe, OpenAI, û databasa we ji bo îstîsmarê danîne rêzê.

Çima piştî ku min venebû jêbirin, bot di hesabê min AWS de mînakên EC2 didin destpêkirin AKIA mifteya gihîştinê?¶

Jêbirina statîkek `AKIA...` mifteya gihîştinê di AWS IAM de tenê wê mifteya daîmî ya taybetî neçalak dike; ew demkî betal nake `ASIA...` Xizmeta Token Ewlekariyê (`STS`) Nîşaneyên danişînê yên ku êrîşkar berê bi kar anîne `sts:GetSessionToken` an `sts:AssumeRole` di çend saniyeyên ewil de piştî qutkirina mifteya xwe (`which remain valid for up to 12 to 36 hours`). Wekî din, skrîptên êrişa AWS-ya otomatîk bi rêkûpêk bang dikin `iam:CreateUser` û `iam:CreateAccessKey` di saniyeya yekem a gihîştina wan de ku hesabek rêveberê paşîn a duyemîn, veşartî saz bikin. Ji bo ku destwerdanek AWS ya çalak bi tevahî rawestîne, divê hûn jêbirin `AKIA` kilît, pêvekirinek eşkere `Deny *` Siyaseta hundurîn ji bikarhênerê IAM-ê re têkildar (`which immediately invalidates all minted STS tokens`), û CloudTrail ji bo her bikarhêner an rolên ku nû hatine afirandin IAM-ê kontrol bikin.

Ma AWS an Google Cloud dê girseyek bibaxşîne $10,000+ bill eger hackeran mifteya API-ya min ji GitHub dizîn û krîptoyê derxistin?¶

Di pirraniya lehiyên qezayê yên cara yekem de, erê, bi şertê ku hûn zû tevbigerin, bi tîmê ewlehiya wan re bi tevahî hevkariyê bikin, û fatûreyê paşguh nekin. Hem AWS û hem jî Google Cloud ji bo pêşdebiran û karsaziyên piçûk ên ku ji hêla pêlên pêbawer-leaksaziyê yên nedestûr ve hatine lêdan polîtîkayek sererastkirina fatûreya nezaketê ya yek-carî ya hundurîn heye. Berî ku hûn di bin piştgirîya "Hesab û Billing" de daxwaza betalkirina fatûreyê bikin, divê hûn pêşî îspat bikin ku derçûn ji sedî 100 girtî ye: Bişkojkên IAM-ê yên eşkerekirî betal bikin, hemî mînakên hesabkirinê yên nebaş û Komên Pîvankirina Xweser li hemî 30+ herêmên gerdûnî biqedînin, Nasnameya Pir-Faktorî çalak bikin (`MFA`) li ser hesabê xweya root, û hişyariyên lêçûnên AWS Budgets saz bikin.

Çima dike git rm .env mifteya min a veşartî ji GitHub dernakeve?¶

Git pirtûkek guhertoya-kontrola neguhêrbar e: gava ku hûn direvin `git rm .env` û komîteyek nû bişopîne, Git tenê tomar dike ku pel di wêneya herî nû de tune ye (`HEAD`), di heman demê de ku naveroka tam nivîsa sade diparêze `.env` bi domdarî di hundurê komîteya berê de hatî hilanîn (`the parent commit`) di dîroka commit depoya we de. Ger hûn dîroka xwe ji nû ve binivîsin jî `git filter-repo` û bi zorê bikişîne, her kes dîsa jî dikare razê bixwîne ger we ew li konsolê pêşkêşker betal nekiribe. Pêşî mifteya nepenî ya di dashboarda pêşkêşkarê ewrê xwe de her gav paşde bavêjin û bizivirînin, û dûv re bikar bînin `git filter-repo` da ku xêza mirî ji dîroka xwe ya peywirdar paqij bikin.

rêberên Related¶

• Daxistina databasa hilberîna qezayê, zora git-push, rijandina veşartî, û ceribandina bûyerê
• Databasa hilberînê daket an jî kepçeya S3 bêyî paşvekişandina dawî hate jêbirin
• Bi xeletî mûçeya nepenî, PII-ya xerîdar, an pelgeya HIPAA ji wergirê xelet re şandin.
• Parvekirina rasthatî ya pelgeya meaşê nepenî, rêveberê şîfreyê, an navnîşa betalkirinê li ser Zoom / Tîm
• Ewlekariya xebata dûr a lezgîn û nepeniya daneyê
• Hejmarên acîl

Çavkanî û rêbernameya fermî¶

• ** Karûbarên Web Amazon (AWS Security Incident Response Guide & AWS Knowledge Center: "What should I do if I notice unauthorized activity or exposed IAM access keys?"):***AWSCompromisedKeyQuarantineV2 Siyaseta Behavior, Betalkirina Demkî STS Nîşaneyên Rûniştinê (RevokeOldSessions), û Kontrolkirina Çavkaniya Pir-Herêm *.
• ** Belgekirina GitHub (GitHub Secret Scanning, Push Protection, & "Removing sensitive data from a repository" using git-filter-repo):** *Bernameya Vegerandina Xweser a Hevkar (Stripe, AWS, OpenAI, NPM), git-filter-repo Ji nû ve nivîsandina Dîrokê, û Paqijkirina SHAyên Cached Commit *.
• ** Stripe Inc.Stripe Developer Security Guide: API Key Rotation & Compromised Key Incident Triage):** *Di cih de sk_live_ Kêmbûna Key, Kontrolkirin /v1/events û /v1/webhook_endpoints, û Bişkojkên Sînordar bi rêya rk_live_ Scopes *.
• NIST (Special Publication 800-61 Rev. 2 / Rev. 3: Computer Security Incident Handling Guide) & OWASP (Secrets Management Cheat Sheet): *Qedexekirina pêbaweriyê, Federasyona Nasnameya Karê Xebatê ya Efemeral (replacing static CI/CD keys), û Pêşniyarkirina Veşartî *.