API Key, AWS Secret, ຫຼື Stripe Live Token ມຸ່ງຫມັ້ນໃຫ້ກັບ GitHub Repo ສາທາລະນະ: ການຂູດ Bot ອັດຕະໂນມັດໃນ 60 ວິນາທີ, ການຫມຸນລະຫັດທັນທີ, ແລະ Billing Kill-Switch¶

ທັນທີທີ່ທ່ານແລ່ນ git push ໄປຫາບ່ອນເກັບມ້ຽນ GitHub, GitLab, ຫຼື Bitbucket ສາທາລະນະ (or temporarily flip a private repository to "Public" for even 10 seconds) ໃນ​ຂະ​ນະ​ທີ່​ໄຟລ​໌​, .env ການຕັ້ງຄ່າ, ປື້ມບັນທຶກ Jupyter (.ipynb), ຫຼືເກົ່າກວ່າ Git commit history ມີກະແຈລັບສົດ (such as an AWS Access Key ID starting with AKIA, a Stripe Live Secret Key sk_live_, an OpenAI key sk-proj-, an Anthropic key sk-ant-, or a Google Cloud service account .json), ເຄືອຂ່າຍທົ່ວໂລກຂອງ bots ການເກັບກ່ຽວຂໍ້ມູນຮັບຮອງອັດຕະໂນມັດຈະຂັດຂວາງຄວາມລັບນັ້ນພາຍໃນ 2 ຫາ 60 ວິນາທີ. ເນື່ອງຈາກວ່າ GitHub ສາທາລະນະ Events API, GH Archive, ແລະ firehoses webhook ໃນເວລາຈິງ stream ທຸກສາທາລະນະ PushEvent ໃນທົ່ວໂລກ, scraper bots ທີ່ເປັນອັນຕະລາຍຈະວິເຄາະຄວາມແຕກຕ່າງຂອງທ່ານດ້ວຍການສະແດງອອກເປັນປົກກະຕິແລະເລີ່ມຕົ້ນປະຕິບັດຄໍາສັ່ງຟັງອັດຕະໂນມັດກ່ອນທີ່ທ່ານຈະສາມາດພິມໄດ້. git revert.

ພາຍ​ໃນ 90 seconds ຂອງ​ AWS ຫຼື GCP ການຕີຄວາມລັບຂອງ repo ສາທາລະນະ, botnets ອັດຕະໂນມັດ spin up ຂະຫນາດສູງສຸດຂອງ GPU / CPU instances (such as p4d.24xlarge or c6i.32xlarge ໃນທົ່ວພາກພື້ນທີ່ບໍ່ຊັດເຈນເຊັ່ນ ap-east-1 ຮົງ​ກົງ, me-south-1 ບາເຣນ, ຫຼື sa-east-1 Sao Paulo) ເພື່ອຂຸດຄົ້ນບໍ່ແຮ່ Monero (XMR), ຂໍ AWS Simple Email Service (SES) ໂຄຕ້າເພີ່ມຂຶ້ນເພື່ອລະເບີດ spam phishing, ຫຼື clone ສ່ວນຕົວຂອງທ່ານ S3 ຄຸ ແລະ RDS ຖານ​ຂໍ້​ມູນ​, ການ​ຜະ​ລິດ **$5,000 to $80,000+ ໃນ​ໃບ​ບິນ​ຄ່າ​ຄອມ​ພິວ​ເຕີ​ໃນ​ຕອນ​ກາງ​ຄືນ **​. ເຊັ່ນດຽວກັນ, ມີການຮົ່ວໄຫຼ OpenAI ຫຼື Anthropic ລະຫັດ API ທັນທີຖືກມັດເຂົ້າໄປໃນຕະຫຼາດ LLM "reverse-proxy" ໃຕ້ດິນເຊິ່ງເຮັດໃຫ້ສິນເຊື່ອ token ຫຼາຍພັນໂດລາຕໍ່ນາທີ, ໃນຂະນະທີ່ມີການຮົ່ວໄຫຼ. Stripe ກະແຈລັບສົດ (sk_live_...) ໃຫ້ຜູ້ໂຈມຕີເຂົ້າເຖິງການອ່ານ/ຂຽນໂປຣແກຣມເຕັມຮູບແບບເພື່ອອອກເງິນຄືນທີ່ຫຼອກລວງ, ສົ່ງອອກລູກຄ້າ PII, ຫຼືກະຕຸ້ນການຈ່າຍ Connect ທີ່ບໍ່ໄດ້ຮັບອະນຸຍາດ. ຖ້າຜູ້ໂຈມຕີກໍາລັງດຶງເອົາອົງກອນຂອງເຈົ້າອອກຢ່າງຈິງຈັງ ຫຼັງຈາກການຂຸດຄົ້ນຖານຂໍ້ມູນລູກຄ້າດ້ວຍກະແຈທີ່ຮົ່ວໄຫຼຂອງເຈົ້າ, ໃຫ້ປຶກສາການບັງຄັບໃຊ້ກົດໝາຍທ້ອງຖິ່ນຂອງເຈົ້າ ແລະສາຍດ່ວນເຫດການທາງອິນເຕີເນັດຜ່ານທາງພວກເຮົາ. ຕົວເລກສຸກເສີນ ໄດເລກະທໍລີທັນທີ, ແລະທົບທວນຄືນຄູ່ມືທີ່ກ່ຽວຂ້ອງຂອງພວກເຮົາກ່ຽວກັບ ການຫຼຸດລົງຖານຂໍ້ມູນການຜະລິດໂດຍບັງເອີນ, git force-push, ແລະ triage ຮົ່ວລັບ, ຖານຂໍ້ມູນການຜະລິດຫຼຸດລົງຫຼື S3 bucket ຖືກລົບໂດຍບໍ່ມີການສໍາຮອງຂໍ້ມູນທີ່ຜ່ານມາ, ແລະ ຄວາມປອດໄພບ່ອນເຮັດວຽກທາງໄກສຸກເສີນ ແລະຄວາມເປັນສ່ວນຕົວຂອງຂໍ້ມູນ.

ເຮັດອັນນີ້ດຽວນີ້¶

1. ** ຢ່າເສຍເວລາແລ່ນ 60 ວິນາທີທຳອິດຂອງເຈົ້າ git rm .env ຫຼື git push --force: ໄປ​ຫາ CONSOLE ຜູ້​ໃຫ້​ບໍ​ລິ​ການ​ໂດຍ​ກົງ (AWS IAM, Stripe, OpenAI, GCP) ແລະຖອນຄືນ / ຍົກເລີກກະແຈໃນ < 30 SECONDS.** ການລຶບໄຟລ໌ໃນ Git commit ໃໝ່ (or even making the GitHub repository Private) ບໍ່ ** ບໍ່ມີຫຍັງ ** ເພື່ອຢຸດ bots ທີ່ຂູດລະຫັດຂອງເຈົ້າຈາກ GitHub Events firehose 10 ວິນາທີກ່ອນ. ກຸນແຈຂອງມັນເອງຕ້ອງຖືກຂ້າຢູ່ແຫຼ່ງກ່ອນ.
2. ** ຖ້າ​ຫາກ​ວ່າ​ AWS ກະແຈ (AKIA... ຫຼື ASIA...) ຮົ່ວ:** ເປີດ AWS IAM -> Users -> Security credentials ແລະ​ໃຫ້​ຄລິກ​ໃສ່ **Deactivate / Delete ** ກ່ຽວ​ກັບ​ລະ​ຫັດ​ການ​ເຂົ້າ​ເຖິງ​ທັນ​ທີ​ທັນ​ໃດ​, ຫຼັງ​ຈາກ​ນັ້ນ​ຄັດ​ຕິດ AWSCompromisedKeyQuarantineV2 (or a blanketປະຕິເສດ *inline policy) ໃຫ້ກັບຜູ້ໃຊ້ IAM ແລະເພີ່ມຜູ້ໃຊ້ RevokeOldSessions ນະໂຍບາຍທີ່ຈະຂ້າຊົ່ວຄາວ STS tokens ຜູ້​ໂຈມ​ຕີ​ໄດ້ minted ແລ້ວ (see the exact STS bypass trap below).
3. ** ຖ້າ ກ Stripe Live Secret Key (sk_live_... ຫຼື rk_live_...) leaked:** Go to dashboard.stripe.com/apikeys, click ... -> Roll key, and set the expiration of the old key to "Now (Immediately)" (NOT "in 24 hours"). Immediately check Stripe Dashboard -> Logs ແລະ Balance -> Payouts / Refunds for unauthorized API calls.
4. ** ຖ້າ​ຫາກ​ວ່າ​ OpenAI, Anthropic, Google Gemini, ຫຼື SendGrid / Twilio key leaked:** Delete the API key in the provider dashboard immediately and set a Hard Monthly Spend Limit ($0 or your normal cap) in the Billing settings to cut off in-flight streaming requests.
5. Sweep ALL Cloud Regions (especially disabled/opt-in regions) for rogue EC2 instances, Lambda functions, ECS tasks, S3 buckets, and backdoor IAM users created by the bot during the 2-minute exposure window. Attackers specifically launch crypto-mining instances in regions you never click on in the console (like Stockholm eu-north-1, Osaka ap-northeast-3, or Mumbai ap-south-1) and create a second hidden IAM user (or SSH key pair) so they can stay inside your account after you delete the leaked key.
6. Only AFTER the secret is revoked and backdoor IAM accounts are purged, scrub the commit from Git (using git-filter-repo) AND contact GitHub Support (or remove cached PR/commit views) to purge dangling commit SHA caches, then file an AWS / GCP Accidental Leak Billing Waiver Request if bots ran up a massive cloud bill.

Decision tree: 60-Second Emergency Response by Leaked Secret Type¶

Follow this incident containment flowchart to kill the compromised credential, sever attacker persistence, and reverse runaway cloud billing.

flowchart TD
    A["Live Secret Committed to Public GitHub / GitLab Repo (.env, Source Code, or git History)"] --> B["SECOND 0 TO 30: DO NOT Run git rm First. Open Cloud/API Provider Console & REVOKE Key Immediately"]
    B --> C{"Which type of live credential was exposed?"}
    C -->|"1. AWS Access Key (AKIA... / ASIA...)"| D["1. Deactivate/Delete Key in IAM 2. Attach Inline 'Deny All' Policy to User (Kills Minted STS Tokens) 3. Audit CloudTrail for Backdoor IAM Users"]
    C -->|"2. Stripe Live Secret Key (sk_live_... / rk_live_...)"| E["1. Roll Key with Expiration = 'Immediately' 2. Check /v1/refunds, /v1/transfers & Webhook Endpoints 3. Assess Customer PII Exposure"]
    C -->|"3. OpenAI (sk-proj-...), Anthropic (sk-ant-...), or Gemini Key"| F["1. Revoke Key in Developer Console 2. Lower Organization Hard Billing Cap to $0 Temporarily 3. Check Usage Logs for Token Drain"]
    C -->|"4. Database URI (postgres://, mongodb+srv://) or Redis URL"| G["1. Rotate DB Password Immediately 2. Run pg_terminate_backend() / KILL to Drop Active Connections 3. Lock Down Security Group to VPC IPs Only"]
    D --> H["Run Multi-Region Compute Sweep (Terminate Rogue EC2/EKS/SageMaker/Lambda in All 30+ Regions)"]
    E --> I["Purge Git History via 'git filter-repo' + Clear GitHub Cached Commit SHA Views"]
    F --> I
    G --> I
    H --> J{"Did automated bots rack up a $1,000 to $100,000+ cloud bill?"}
    J -->|"ແມ່ນແລ້ວ"| K["Open AWS/GCP Billing Support Case -> Submit Post-Remediation Security Audit + Request One-Time Courtesy Fraud/Leak Bill Forgiveness"]
    J -->|"ບໍ່"| I

Part 1: Provider-by-Provider Kill-Switch & Forensics Matrix (First 5 Minutes)¶

Use this reference table to locate the exact revocation button, automatic GitHub Secret Scanning behavior, and hidden persistence vector for your leaked credential.

ສ່ວນທີ 2: Deep Dive: ວິທີການຂັບໄລ່ຜູ້ໂຈມຕີອອກຈາກບັນຊີ AWS ຂອງທ່ານ (The 4-Step Cloud Eviction Protocol)¶

ເນື່ອງຈາກວ່າຮົ່ວ AWS ຂໍ້ມູນປະຈຳຕົວມີລັດສະໝີລະເບີດທາງການເງິນສູງສຸດ (up to $50,000+ per day in EC2/SageMaker/Bedrock bills), ທ່ານຕ້ອງປະຕິບັດທັງສີ່ຂັ້ນຕອນຂ້າງລຸ່ມນີ້ທຸກຄັ້ງທີ່ AKIA... ຫຼື ASIA... ຄີ hits a public repository:

+-----------------------------------------------------------------------------+
|     ANATOMY OF A 60-SECOND AUTOMATED AWS GITHUB SCRAPER BOT ATTACK          |
+-----------------------------------------------------------------------------+
|                                                                             |
|  [ SEC 00 ] Developer runs 'git push origin main' with .env (AKIA...)       |
|       |                                                                     |
|  [ SEC 04 ] Bot scrapes GitHub Events API Firehose -> Extracts AKIA key     |
|       |                                                                     |
|  [ SEC 06 ] Bot calls 'sts:GetCallerIdentity' & 'sts:GetSessionToken'       |
|       |     (Mints temporary ASIA... token that survives AKIA deletion.)    |
|       v                                                                     |
|  +----+------------------------------------------------------------------+  |
|  | [ SEC 15 TO 90: PARALLEL MULTI-REGION EXPLOITATION ]                  |  |
|  |  1. Persistence: Calls 'iam:CreateUser' / 'iam:CreateAccessKey'       |  |
|  |     (Creates hidden user 'aws-support-backup' with AdministratorAccess)|  |
|  |  2. Compute Abuse: Launches Auto-Scaling Groups of c6i.32xlarge /     |  |
|  |     g5.48xlarge in 12 regions + AWS Bedrock / SageMaker LLM endpoints |  |
|  |  3. Spam Abuse: Calls 'ses:PutAccountSendingAttributes' (50k emails)  |  |
|  |  4. Data Exfiltration: Lists & downloads S3 buckets / RDS snapshots   |  |
|  +-----------------------------------------------------------------------+  |
+-----------------------------------------------------------------------------+

ຂັ້ນຕອນທີ 1: ຂ້າທັງສອງ Static ໄດ້ AKIA ຄີ AND ທັງຫມົດ minted ASIA Session Token¶

ການລຶບ AKIA ລະຫັດໃນ AWS Console ບໍ່ ** ບໍ່ ** ບໍ່ຖືກຕ້ອງຊົ່ວຄາວ STS ໃບຢັ້ງຢືນທີ່ອອກໃຫ້ແລ້ວໂດຍ sts:GetSessionToken. ເພື່ອຂ້າທຸກສິ່ງທຸກຢ່າງທັນທີໂດຍຜ່ານ AWS CLI (using a separate clean admin profile):

# 1. Delete the compromised Access Key immediately
aws iam delete-access-key --user-name CompromisedUser --access-key-id AKIAIOSFODNN7EXAMPLE

# 2. Attach an explicit 'Deny All' inline policy to the IAM User to immediately
#    invalidate any STS tokens minted by that user AND block all further actions:
aws iam put-user-policy --user-name CompromisedUser --policy-name EmergencyKillSwitch \
  --policy-document '{
    "Version": "2012-10-17",
    "Statement": [{
      "Effect": "Deny",
      "Action": "*",
      "Resource": "*"
    }]
  }'

ຂັ້ນຕອນທີ 2: ລ່າສັດຜູ້ໃຊ້ Backdoor IAM, ບົດບາດ, ແລະກະແຈການເຂົ້າເຖິງໃນ CloudTrail¶

ດໍາເນີນການຄໍາສັ່ງ AWS CLI ເຫຼົ່ານີ້ເພື່ອກວດເບິ່ງວ່າ bot ສ້າງຜູ້ໃຊ້ IAM backdoor ທີ່ເຊື່ອງໄວ້ຫຼືແນບລະຫັດການເຂົ້າເຖິງຂັ້ນສອງໃສ່ຫນຶ່ງໃນບັນຊີພະນັກງານທີ່ມີຢູ່ຂອງທ່ານໃນລະຫວ່າງປ່ອງຢ້ຽມ:

# List all IAM users created recently across the account
aws iam list-users --query 'Users[?CreateDate>=`2026-10-30`].[UserName,CreateDate]' --output table

# Audit CloudTrail for every API call made by the compromised user in the last 24 hours
aws cloudtrail lookup-events \
  --lookup-attributes AttributeKey=Username,AttributeValue=CompromisedUser \
  --max-results 50 \
  --query 'Events[].[EventTime,EventName,EventSource]' --output table

ຂັ້ນຕອນທີ 3: ກວາດທັງຫມົດ 30+ ພາກພື້ນ AWS ສໍາລັບ Rogue EC2 Instances, Auto Scaling Groups, ແລະວຽກ Bedrock/SageMaker¶

ເປັນຫຍັງຜູ້ເຄາະຮ້າຍຍັງໄດ້ຮັບ ກ $12,000 ໃບບິນໃນທ້າຍເດືອນຫຼັງຈາກທີ່ພວກເຂົາ "ກວດເບິ່ງ dashboard EC2 ແລະເຫັນວ່າບໍ່ມີຕົວຢ່າງ"? ເນື່ອງຈາກວ່າ AWS Console ພຽງແຕ່ສະແດງ ** ພາກພື້ນຫນຶ່ງຕໍ່ເວລາ ** (e.g., us-east-1), ໃນຂະນະທີ່ bot spun ເຖິງ 20 ຕົວ​ຢ່າງ​ໃນ ap-south-1 (Mumbai), eu-north-1 (Stockholm), ແລະ sa-east-1 (Sao Paulo), ແລະເຊື່ອງພວກມັນໄວ້ພາຍໃນ EC2 Auto Scaling Groups (ASGs) ເພື່ອວ່າຖ້າທ່ານປິດຕົວຢ່າງ EC2 ດ້ວຍຕົນເອງ, Auto Scaling Group ເປີດຕົວການທົດແທນ. 30 seconds later.

ແລ່ນ bash one-liner ຫຼາຍພາກພື້ນນີ້ເພື່ອລາຍຊື່ ** EC2 ທັງຫມົດທີ່ກໍາລັງແລ່ນຫຼືລໍຖ້າຢູ່ໃນທຸກໆພາກພື້ນ AWS ທີ່ໃຊ້ວຽກ ** ໃນ 10 seconds:

for region in $(aws ec2 describe-regions --query 'Regions[].RegionName' --output text); do
  echo "=== Checking Region: $region ==="
  aws ec2 describe-instances --region "$region" \
    --filters "Name=instance-state-name,Values=running,pending,stopped" \
    --query 'Reservations[].Instances[].[InstanceId,InstanceType,State.Name,LaunchTime]' \
    --output table
done

ສ່ວນ​ທີ 3​: Scrubbing ຄວາມ​ລັບ​ຈາກ​ປະ​ຫວັດ​ສາດ Git (git-filter-repo) & Purging GitHub's Hidden Commit Cache¶

ເມື່ອຂໍ້ມູນປະຈໍາຕົວຕາຍຢູ່ໃນລະດັບຜູ້ໃຫ້ບໍລິການ, ທ່ານຕ້ອງເອົາສາຍລັບອອກຈາກບ່ອນເກັບມ້ຽນຂອງເຈົ້າ. .git ປະ​ຫວັດ​ສາດ​ເພື່ອ​ບໍ່​ວ່າ​ເພື່ອນ​ຮ່ວມ​ງານ​ຫຼື scrapers ໃນ​ອະ​ນາ​ຄົດ​ບໍ່​ສາ​ມາດ​ເບິ່ງ​ມັນ (and so GitHub's Push Protection stops blocking your branches).

1. Why git rm .env + git commit ບໍ່ເອົາຄວາມລັບອອກຈາກ Git¶

ແລ່ນ git rm .env && git commit -m "remove env" ພຽງແຕ່ເອົາໄຟລ໌ອອກຈາກ ** ຄໍາຫມັ້ນສັນຍາຫຼ້າສຸດ (HEAD)**; ຄວາມລັບຂອງຂໍ້ຄວາມທໍາມະດາຍັງຄົງສາມາດອ່ານໄດ້ຢ່າງຖາວອນພາຍໃນຄໍາຫມັ້ນສັນຍາຂອງພໍ່ແມ່ (the parent commit) ກັບທຸກຄົນທີ່ຄລິກໃສ່ "Commits" ໃນ GitHub.

2. Rewrite the Repository History Cleanly using git-filter-repo¶

1. ** ຖ້າ​ຫາກ​ວ່າ​ພຽງ​ແຕ່​ຄໍາ​ຫມັ້ນ​ສັນ​ຍາ​ສຸດ​ທ້າຍ (HEAD) ມີ​ຄວາມ​ລັບ (and nobody else has pulled it yet):**

   # Remove the sensitive file from the staging index while keeping it on your local disk
   git rm --cached .env
   echo ".env" >> .gitignore
   git add .gitignore
   git commit --amend --no-edit
   git push --force-with-lease origin main
   

2. ** ຖ້າ​ຫາກ​ວ່າ​ຄວາມ​ລັບ​ໄດ້​ຖືກ​ຝັງ​ໄວ້​ຫຼາຍ​ຄໍາ​ຫມັ້ນ​ສັນ​ຍາ​ກັບ​ຄືນ​ໄປ​ບ່ອນ​ໃນ​ປະ​ຫວັດ​ສາດ​ຂອງ​ທ່ານ (or inside a code file you want to keep):** ໃຊ້ git-filter-repo (the official, fast replacement recommended by Git and GitHub instead of the deprecated git filter-branch):

   # Option A: Completely purge a file (.env) from every commit in history
   git filter-repo --path .env --invert-paths --force
   
   # Option B: Replace a specific secret string with '***REMOVED***' across all files in history
   echo "sk_live_51NzExampleSecretKey12345==>***REMOVED***" > expressions.txt
   git filter-repo --replace-text expressions.txt --force
   
   # Force-push the rewritten history to GitHub across all branches and tags
   git push origin --force --all
   git push origin --force --tags
   

3. GitHub Cache Trap ທີ່ເຊື່ອງໄວ້ (Dangling Commit SHAs)¶

ເຖິງແມ່ນວ່າຫຼັງຈາກທ່ານແລ່ນ git filter-repo ແລະ git push --force, ** ເຊີບເວີເວັບຂອງ GitHub ຍັງຄົງຮັກສາແບບເກົ່າ, ບໍ່ມີການອ້າງອີງ ("dangling") ຫມັ້ນສັນຍາ SHA ມີຊີວິດຢູ່ແລະສາທາລະນະສາມາດເຂົ້າເຖິງໄດ້ຢູ່ທີ່ https://github.com/<owner>/<repo>/commit/<old-40-char-sha>** (and in any forks or Pull Requests) ຈົນກ່ວາການເກັບຂີ້ເຫຍື້ອແລ່ນ. - ** ວິ​ທີ​ການ​ລົບ​ລ້າງ Cached ຄໍາ​ຫມັ້ນ​ສັນ​ຍາ SHA ໃນ GitHub ທັນ​ທີ​ທັນ​ໃດ​:* 1. ສຳເນົາສະບັບເຕັມ 40-character ຄໍາຫມັ້ນສັນຍາ SHA ຂອງຄໍາຫມັ້ນສັນຍາທີ່ຮົ່ວໄຫລກ່ອນທີ່ທ່ານຈະຂຽນປະຫວັດສາດໃຫມ່. 2. ເປີດ https://support.github.com/contact -> ຂໍໃຫ້ "ເອົາຂໍ້ມູນທີ່ລະອຽດອ່ອນອອກ / ລຶບມຸມເບິ່ງທີ່ເກັບໄວ້ໃນຖານຄວາມຈໍາສໍາລັບ SHA ທີ່ບໍ່ສາມາດເຂົ້າຫາໄດ້" ໃນບ່ອນເກັບມ້ຽນ owner/repo ແລະສະຫນອງຄໍາຫມັ້ນສັນຍາທີ່ແນ່ນອນ SHA (or use the GitHub Support portal's automated cache-purge workflow).

ສ່ວນທີ 4: ວິທີການຮັບ a $5,000 to $100,000+ AWS ຫຼື GCP Bot Bill Waived (The Courtesy Forgiveness Appeal)¶

ຈະເປັນແນວໃດຖ້າຫາກວ່າທ່ານ pushed .env ໄຟລ໌ໃນຕອນບ່າຍວັນສຸກ, ບໍ່ໄດ້ກວດເບິ່ງອີເມວຂອງເຈົ້າຈົນກ່ວາຕອນເຊົ້າວັນຈັນ, ແລະຕື່ນຂຶ້ນເປັນ $28,400.00 ໃບບິນ AWS ຫຼື Google Cloud ຈາກ crypto-mining ຫຼື LLM-proxy bots?

ຢ່າ​ຕົກ​ໃຈ, ແລະ​ຢ່າ​ຍົກ​ເລີກ​ບັດ​ເຄຣ​ດິດ​ຂອງ​ທ່ານ ຫຼື​ຍື່ນ​ໃບ​ແຈ້ງ​ເງິນ​ຄືນ​ຈາກ​ທະ​ນາ​ຄານ​ເທື່ອ. ທັງ​ສອງ ** Amazon Web Services (AWS)** ແລະ Google Cloud Platform (GCP) ມີ​ການ​ສ້າງ​ຕັ້ງ​ຂຶ້ນ​ພາຍ​ໃນ ການ​ປັບ​ໃບ​ບິນ​ໃບ​ຢັ້ງ​ຢືນ​ການ​ຮົ່ວ​ໄຫລ​ໂດຍ​ບັງ​ເອີນ​ຄັ້ງ​ດຽວ / ນະ​ໂຍ​ບາຍ​ການ​ປ່ອຍ​ສິນ​ເຊື່ອ ສໍາ​ລັບ​ຜູ້​ພັດ​ທະ​ນາ​ບຸກ​ຄົນ, ນັກ​ສຶກ​ສາ, ແລະ​ການ​ເລີ່ມ​ຕົ້ນ, ** ສະ​ຫນອງ​ໃຫ້ ** ທ່ານ​ເຮັດ​ສໍາ​ເລັດ 100% ຂອງລາຍການກວດສອບການແກ້ໄຂຄວາມປອດໄພທີ່ບັງຄັບຂອງພວກເຂົາ ກ່ອນ ທີມງານກວດສອບການຮຽກເກັບເງິນຂອງພວກເຂົາຈະປະເມີນການອຸທອນຂອງທ່ານ.

5 ຂັ້ນຕອນ AWS / GCP Bill Waiver Protocol (90%+ Success Rate for First-Time Leaks)¶

1. ** ເຮັດ​ໃຫ້​ສໍາ​ເລັດ​ທຸກ​ຂັ້ນ​ຕອນ​ການ​ແກ້​ໄຂ​ຄວາມ​ປອດ​ໄພ​ທໍາ​ອິດ (AWS Will Reject Your Waiver Until the Account Is Clean):**
   • ລຶບກະແຈການເຂົ້າເຖິງ IAM ທີ່ຖືກເຄາະຮ້າຍ (and the IAM User if possible).
   • ຢຸດທຸກຕົວຢ່າງ EC2 ທີ່ບໍ່ໄດ້ຮັບອະນຸຍາດ, Auto Scaling Group, EBS volume, Elastic IP, RDS instance, ແລະ S3 bucket ທົ່ວ ທຸກຂົງເຂດ (verify via AWS Cost Explorer and AWS Billing -> Bills -> Charges by Region that daily accrual has dropped back to $0.00).
   • ເປີດໃຊ້ ** ຮາດແວ ຫຼື Authenticator App MFA (Multi-Factor Authentication)** ຢູ່ໃນ AWS Root Account ຂອງເຈົ້າ ແລະຜູ້ໃຊ້ IAM ທຸກຄົນ.
2. ** ເປີດກໍລະນີສະຫນັບສະຫນູນພາຍໃຕ້ "Account and Billing" (Free for All AWS/GCP Tiers, No Paid Support Plan Required):**
   • ໄປທີ່ console.aws.amazon.com/support/home -> ສ້າງກໍລະນີ -> ບັນຊີ ແລະໃບບິນ -> ບໍລິການ: ການເອີ້ນເກັບເງິນ -> ໝວດໝູ່: ພິພາດການເກັບຄ່າທຳນຽມ/ບັນຊີທີ່ຖືກລະເມີດ.
3. ** ຍື່ນ​ສະ​ເຫນີ​ການ​ແກ້​ໄຂ​ຄວາມ​ເປັນ​ຈິງ​ນີ້​ແລະ​ສະ​ຫຼຸບ​ຄວາມ​ຫຍຸ້ງ​ຍາກ​:**
   • ** ຮັບ​ຮູ້​ກໍາ​ນົດ​ເວ​ລາ​ແລະ​ເຫດ​ຜົນ​: ** ບອກ​ຢ່າງ​ຊັດ​ເຈນ​ໃນ​ເວ​ລາ​ທີ່​ກະ​ແຈ​ໄດ້​ຖືກ​ເປີດ​ເຜີຍ​ໂດຍ​ບັງ​ເອີນ​ກ່ຽວ​ກັບ GitHub (e.g., "October 30 at 22:14 UTC") ແລະ​ເມື່ອ​ໄດ້​ຖືກ​ຍົກ​ເລີກ ("October 31 at 09:05 UTC").
   • ເຮັດລາຍການຄ່າບໍລິການທີ່ບໍ່ໄດ້ຮັບອະນຸຍາດຕາມພາກພື້ນ ແລະການບໍລິການ: ບອກຈຳນວນເງິນໂດລາທີ່ແນ່ນອນຂອງການເຄື່ອນໄຫວ bot ທີ່ມີການສໍ້ໂກງທຽບກັບບັນຊີລາຍການປະຈຳເດືອນປະຫວັດສາດປົກກະຕິຂອງເຈົ້າ (e.g., "My normal monthly AWS bill for the past 8 months is $14.50/month in us-east-1; the unauthorized charges total $18,420.12 across ap-east-1, eu-north-1, and sa-east-1 EC2/Bedrock usage").
   • ຢືນຢັນ 100% ການແກ້ໄຂ: Bullet-point ຂັ້ນຕອນທີ່ແນ່ນອນທີ່ທ່ານໄດ້ສໍາເລັດແລ້ວ (1. Deleted IAM key AKIA...; 2. Terminated all unauthorized resources across all regions; 3. Audited CloudTrail for backdoor users; 4. Enabled Root & IAM MFA; 5. Configured AWS Budgets alerts).
   • ຂໍການປັບໃບບິນຄ່າທຳນຽມອັນໜຶ່ງຄັ້ງຢ່າງສຸພາບ: ອະທິບາຍວ່າທ່ານເປັນນັກພັດທະນາສ່ວນບຸກຄົນ/ນັກສຶກສາ/ການເລີ່ມຕົ້ນຂັ້ນຕົ້ນ, ທີ່ຈ່າຍເງິນ. $18,420 ບັນຊີລາຍການ bot ທີ່ບໍ່ໄດ້ຮັບອະນຸຍາດຈະເຮັດໃຫ້ເກີດຄວາມຫຍຸ້ງຍາກທາງດ້ານການເງິນທີ່ຮ້າຍແຮງ, ແລະຂໍໃຫ້ ** ເຄດິດການເອີ້ນເກັບເງິນ / ການຍົກເວັ້ນຄັ້ງດຽວ ** ສໍາລັບການນໍາໃຊ້ທີ່ສໍ້ໂກງ.
4. ** ແລກປ່ຽນ ຫຼືໃສ່ບັດການຈ່າຍເງິນທີ່ເຊື່ອມຕໍ່ຂອງເຈົ້າເປັນການຊົ່ວຄາວ ຖ້າການຮຽກເກັບເງິນອັດຕະໂນມັດແມ່ນກຳລັງເກີດຂຶ້ນ:**
   • ໃນຂະນະທີ່ກໍລະນີສະຫນັບສະຫນູນການເອີ້ນເກັບເງິນ AWS ຂອງທ່ານຢູ່ໃນການກວດສອບ (which usually takes 5 to 15 business days ໃນຂະນະທີ່ທີມບໍລິການຄວາມປອດໄພ ແລະ ການຮຽກເກັບເງິນຂອງ AWS ກວດສອບວ່າຊັບພະຍາກອນທີ່ຮ້າຍກາດທັງໝົດຖືກຢຸດຕິ), ຕິດຕໍ່ຝ່າຍຊ່ວຍເຫຼືອ AWS ພາຍໃນປີ້ ແລະຂໍໃຫ້ພວກເຂົາ ** ວາງການເອີ້ນເກັບເງິນຊົ່ວຄາວ (defer auto-charge)** ຢູ່ໃນໃບແຈ້ງໜີ້ທີ່ມີການໂຕ້ແຍ້ງ ເພື່ອບໍ່ໃຫ້ບັນຊີທະນາຄານຂອງທ່ານເກີນບັນຊີ ໃນຂະນະທີ່ການປັບສິນເຊື່ອກຳລັງດຳເນີນຢູ່.

(ສຳລັບຜູ້ພັດທະນາທີ່ກ່ຽວຂ້ອງ ແລະເຫດການຄວາມປອດໄພທີ່ເຮັດວຽກທາງໄກ, ເບິ່ງ ການຫຼຸດລົງຂອງຖານຂໍ້ມູນການຜະລິດໂດຍບັງເອີນ, git force-push, ຮົ່ວລັບ, ແລະ triage ເຫດການ, ຖານຂໍ້ມູນການຜະລິດຫຼຸດລົງຫຼື S3 bucket ຖືກລົບໂດຍບໍ່ມີການສໍາຮອງຂໍ້ມູນທີ່ຜ່ານມາ, ອີເມວບັນຊີເງິນເດືອນເປັນຄວາມລັບ, ລູກຄ້າ PII, ຫຼື HIPAA spreadsheet, ແລະ ຄວາມປອດໄພບ່ອນເຮັດວຽກສຸກເສີນທາງໄກ ແລະຄວາມເປັນສ່ວນຕົວຂອງຂໍ້ມູນ.)

ການລະເມີດຂໍ້ມູນພາກພື້ນ ແລະເຈົ້າໜ້າທີ່ລາຍງານຄວາມປອດໄພຄລາວ¶

ຄຳຖາມທີ່ມັກຖາມເລື້ອຍໆ¶

ຖ້າຂ້ອຍຮູ້ວ່າຂ້ອຍໄດ້ຍູ້ .env ຍື່ນໄປຫາ repo ສາທາລະນະ GitHub ແລະເຮັດໃຫ້ repo ເປັນສ່ວນຕົວ 2 ນາທີຕໍ່ມາ, ຂ້ອຍຍັງຈໍາເປັນຕ້ອງໄດ້ຫມຸນລະຫັດຂອງຂ້ອຍບໍ?¶

ແມ່ນແລ້ວ, 100 ເປີເຊັນຂອງກະແຈໃນໄຟລ໌ນັ້ນຕ້ອງຖືກພິຈາລະນາວ່າຖືກປະນີປະນອມ ແລະຖືກຖອນຄືນທັນທີ. bots ການຂຸດຄົ້ນຂໍ້ມູນການຢັ້ງຢືນອັດຕະໂນມັດບໍ່ໄດ້ລໍຖ້າໃຫ້ Google ດັດສະນີບ່ອນເກັບມ້ຽນຂອງທ່ານ; ພວກເຂົາເຈົ້າສະຫມັກໂດຍກົງກັບສາທາລະນະໃນເວລາຈິງຂອງ GitHub `Events API` ທໍ່ດັບເພີງ (`and GH Archive`), ເຊິ່ງອອກອາກາດທຸກສາທາລະນະ `PushEvent` ທົ່ວໂລກພາຍໃນ 1 ຫາ 3 ວິນາທີຂອງເຈົ້າ `git push`. ເມື່ອເວລາທີ່ທ່ານຄລິກ "Settings -> Change repository visibility -> Make private" ສອງນາທີຕໍ່ມາ, bots scraper ອັດຕະໂນມັດຫຼາຍສິບໂຕໄດ້ດາວໂຫລດ commit diff ຂອງເຈົ້າແລ້ວ ແລະຈັດຄິວກັບ AWS, Stripe, OpenAI, ແລະຖານຂໍ້ມູນຖານຂໍ້ມູນຂອງເຈົ້າເພື່ອການຂຸດຄົ້ນ.

ເປັນຫຍັງ bots ຈຶ່ງສືບຕໍ່ເປີດຕົວຢ່າງ EC2 ໃນບັນຊີ AWS ຂອງຂ້ອຍເຖິງແມ່ນວ່າຫຼັງຈາກທີ່ຂ້ອຍລຶບການຮົ່ວໄຫຼ AKIA ກະແຈການເຂົ້າເຖິງ?¶

ການລຶບສະຖິດ `AKIA...` ກະແຈການເຂົ້າເຖິງໃນ AWS IAM ພຽງແຕ່ປິດການນຳໃຊ້ລະຫັດຖາວອນສະເພາະນັ້ນເທົ່ານັ້ນ; ມັນບໍ່ໄດ້ເຮັດໃຫ້ບໍ່ຖືກຕ້ອງຊົ່ວຄາວ `ASIA...` Security Token Service (`STS`) session tokens ທີ່ຜູ້ໂຈມຕີສ້າງແລ້ວໂດຍໃຊ້ `sts:GetSessionToken` ຫຼື `sts:AssumeRole` ໃນລະຫວ່າງສອງສາມວິນາທີທໍາອິດຫຼັງຈາກຂູດກະແຈຂອງເຈົ້າ (`which remain valid for up to 12 to 36 hours`). ນອກຈາກນັ້ນ, ອັດຕະໂນມັດ AWS attack scripts ປົກກະຕິໂທຫາ `iam:CreateUser` ແລະ `iam:CreateAccessKey` ໃນວິນາທີທໍາອິດຂອງພວກເຂົາໃນການເຂົ້າເຖິງການປູກທີສອງ, ບັນຊີຜູ້ເບິ່ງແຍງ backdoor ທີ່ເຊື່ອງໄວ້. ເພື່ອຢຸດການບຸກລຸກຂອງ AWS ທີ່ເຄື່ອນໄຫວຢ່າງສົມບູນ, ທ່ານຕ້ອງລຶບ `AKIA` ຄີ, ຄັດຕິດຢ່າງຈະແຈ້ງ `Deny *` ນະໂຍບາຍໃນແຖວຕໍ່ຜູ້ໃຊ້ IAM ທີ່ຖືກເຄາະຮ້າຍ (`which immediately invalidates all minted STS tokens`), ແລະກວດສອບ CloudTrail ສໍາລັບຜູ້ໃຊ້ ຫຼືບົດບາດ IAM ທີ່ສ້າງຂຶ້ນໃໝ່.

AWS ຫຼື Google Cloud ຈະໃຫ້ອະໄພອັນໃຫຍ່ຫຼວງ $10,000+ ໃບບິນຖ້າແຮກເກີລັກລະຫັດ API ຂອງຂ້ອຍຈາກ GitHub ແລະ crypto ຂຸດຄົ້ນບໍ່?¶

ໃນສ່ວນໃຫຍ່ຂອງການຮົ່ວໄຫຼໂດຍບັງເອີນຄັ້ງທໍາອິດ, ແມ່ນແລ້ວ, ໃຫ້ທ່ານປະຕິບັດຢ່າງໄວວາ, ຮ່ວມມືຢ່າງເຕັມທີ່ກັບທີມງານຄວາມປອດໄພຂອງພວກເຂົາ, ແລະບໍ່ສົນໃຈໃບແຈ້ງຫນີ້. ທັງ AWS ແລະ Google Cloud ມີນະໂຍບາຍການປັບການເອີ້ນເກັບເງິນຕາມມາລະຍາດພາຍໃນຄັ້ງດຽວສຳລັບນັກພັດທະນາ ແລະ ທຸລະກິດຂະໜາດນ້ອຍທີ່ໄດ້ຮັບຜົນກະທົບຈາກການຮົ່ວໄຫຼຂອງຂໍ້ມູນຮັບຮອງທີ່ບໍ່ໄດ້ຮັບອະນຸຍາດ. ກ່ອນທີ່ຈະຮ້ອງຂໍການຍົກເວັ້ນໃບບິນພາຍໃຕ້ການສະຫນັບສະຫນູນ "ບັນຊີແລະການເອີ້ນເກັບເງິນ", ກ່ອນອື່ນ ໝົດ ທ່ານຕ້ອງພິສູດວ່າການຮົ່ວໄຫຼຖືກປິດລົງ 100 ເປີເຊັນ: ຖອນລະຫັດ IAM ທີ່ຖືກເປີດເຜີຍ, ຍົກເລີກການຄິດໄລ່ທີ່ຫຼອກລວງທັງຫມົດແລະກຸ່ມການຂະຫຍາຍອັດຕະໂນມັດໃນທົ່ວພາກພື້ນທົ່ວໂລກ 30+, ເປີດໃຊ້ການພິສູດຄວາມຖືກຕ້ອງຫຼາຍປັດໃຈ (`MFA`) ໃນບັນຊີຮາກຂອງທ່ານ, ແລະຕັ້ງຄ່າການແຈ້ງເຕືອນຄ່າໃຊ້ຈ່າຍ AWS Budgets.

ເປັນຫຍັງ git rm .env ບໍ່ເອົາກະແຈລັບຂອງຂ້ອຍອອກຈາກ GitHub ບໍ?¶

Git ແມ່ນບັນຊີລາຍການຄວບຄຸມເວີຊັນທີ່ບໍ່ປ່ຽນແປງໄດ້: ເມື່ອທ່ານແລ່ນ `git rm .env` ແລະຊຸກຍູ້ໃຫ້ຄໍາຫມັ້ນສັນຍາໃຫມ່, Git ພຽງແຕ່ບັນທຶກວ່າໄຟລ໌ແມ່ນບໍ່ມີຢູ່ໃນຮູບຖ່າຍໃຫມ່ຫຼ້າສຸດ (`HEAD`), ໃນຂະນະທີ່ຮັກສາເນື້ອໃນ plaintext ເຕັມຂອງ `.env` ເກັບຮັກສາໄວ້ຢ່າງຖາວອນພາຍໃນຄໍາຫມັ້ນສັນຍາທີ່ຜ່ານມາ (`the parent commit`) ໃນ​ປະ​ຫວັດ​ສາດ​ຄໍາ​ຫມັ້ນ​ສັນ​ຍາ​ຂອງ repository ຂອງ​ທ່ານ​. ເຖິງແມ່ນວ່າທ່ານຈະຂຽນປະຫວັດສາດຂອງທ່ານກັບ `git filter-repo` ແລະ force-push, ທຸກຄົນຍັງສາມາດອ່ານຄວາມລັບຖ້າທ່ານບໍ່ໄດ້ຖອນຄືນມັນຢູ່ທີ່ console ຜູ້ໃຫ້ບໍລິການ. ຖອນຄືນ ແລະໝຸນລະຫັດລັບຢູ່ໃນ dashboard ຂອງຜູ້ໃຫ້ບໍລິການຄລາວທຸກຄັ້ງກ່ອນ, ແລ້ວໃຊ້ `git filter-repo` ເພື່ອຂັດສາຍທີ່ຕາຍແລ້ວຈາກປະຫວັດຄໍາຫມັ້ນສັນຍາຂອງເຈົ້າ.

ຄູ່ມືທີ່ກ່ຽວຂ້ອງ¶

• ການຫຼຸດລົງຂອງຖານຂໍ້ມູນການຜະລິດໂດຍບັງເອີນ, git force-push, ຮົ່ວລັບ, ແລະ triage ເຫດການ
• ຖານຂໍ້ມູນການຜະລິດຫຼຸດລົງຫຼື S3 bucket ຖືກລົບໂດຍບໍ່ມີການສໍາຮອງຂໍ້ມູນທີ່ຜ່ານມາ
• ອີເມວບັນຊີເງິນເດືອນເປັນຄວາມລັບ, ລູກຄ້າ PII, ຫຼື HIPAA spreadsheet ໄປຫາຜູ້ຮັບຜິດ
• ການແບ່ງປັນຫນ້າຈໍອຸບັດຕິເຫດຂອງເອກະສານເງິນເດືອນທີ່ເປັນຄວາມລັບ, ຜູ້ຈັດການລະຫັດຜ່ານ, ຫຼືລາຍຊື່ການຢຸດຢູ່ໃນ Zoom/Teams
• ຄວາມປອດໄພບ່ອນເຮັດວຽກສຸກເສີນທາງໄກ ແລະຄວາມເປັນສ່ວນຕົວຂອງຂໍ້ມູນ
• ເບີສຸກເສີນ

ແຫຼ່ງຂໍ້ມູນແລະຄໍາແນະນໍາຢ່າງເປັນທາງການ¶

• ** ບໍ​ລິ​ການ​ເວັບ​ໄຊ​ຕ​໌ Amazon (AWS Security Incident Response Guide & AWS Knowledge Center: "What should I do if I notice unauthorized activity or exposed IAM access keys?"):*AWSCompromisedKeyQuarantineV2 ພຶດຕິກໍານະໂຍບາຍ, ບໍ່ຖືກຕ້ອງຊົ່ວຄາວ STS Session Token (RevokeOldSessions), ແລະການກວດສອບຊັບພະຍາກອນຫຼາຍພາກພື້ນ.
• ** ເອ​ກະ​ສານ GitHub (GitHub Secret Scanning, Push Protection, & "Removing sensitive data from a repository" using git-filter-repo):** ໂຄງການຖອນຄືນອັດຕະໂນມັດຂອງຄູ່ຮ່ວມງານ (Stripe, AWS, OpenAI, NPM), git-filter-repo ປະຫວັດການຂຽນຄືນໃຫມ່, ແລະການກໍາຈັດ Cached Unreachable commit SHAs.
• *Stripe Inc. (Stripe Developer Security Guide: API Key Rotation & Compromised Key Incident Triage): ** * ທັນ​ທີ​ sk_live_ ການຫມົດອາຍຸທີ່ສໍາຄັນ, ການກວດສອບ /v1/events ແລະ /v1/webhook_endpoints, ແລະຈໍາກັດຄີໂດຍຜ່ານ rk_live_ ຂອບເຂດ.
• NIST (Special Publication 800-61 Rev. 2 / Rev. 3: Computer Security Incident Handling Guide) ແລະ OWASP (Secrets Management Cheat Sheet): ການບັນຈຸຂໍ້ມູນປະຈຳຕົວ, ສະຫະພັນກຳມະກອນ ODC ຊົ່ວຄາວ (replacing static CI/CD keys), ແລະ Pre-Commit Secret Scanning.