发现密钥疑似泄露

识别疑似泄露迹象

常见迹象包括：

• 出现未知 IP 的服务端 API 调用。
• 请求量突然增加或超过正常业务峰值。
• 出现不属于组织的应用或数据访问行为。
• 密钥出现在代码仓库、构建产物、聊天记录或公开日志中。
• 服务端 API 返回异常的 Region 或权限错误。

不要等待确认所有细节后才采取保护措施。只要有合理怀疑，就应先限制风险。

立即轮换

按照“轮换服务端密钥”流程立即轮换受影响 Region 的密钥，并优先更新生产服务。泄露的旧密钥即使尚在 48 小时宽限期内，也不应继续使用。

如果泄露的是 Public API Key，请检查接入端的来源/签名校验、异常用量和限流，并联系 GEELAB 确认停用或重新生成方案。

检查调用日志

轮换后检查：

• 异常 IP 和请求时间。
• 被访问的应用和 Region。
• 请求数量和错误类型。
• 是否出现数据查询或导出风险。
• 是否还有服务使用旧密钥。

保留必要的审计记录，并按组织安全事件流程处理。

收紧 IP 白名单

如果服务方案支持 IP 白名单：

1. 列出所有合法服务端出口 IP。
2. 删除未知或不再使用的地址。
3. 先在测试环境验证。
4. 更新生产白名单。
5. 观察鉴权失败和业务错误。

不要在无法确认出口地址时直接清空白名单，以免阻断正常服务。

联系 GEELAB 支持

联系支持时，请提供经过脱敏的信息：

• 组织和 Region。
• 发现异常的时间范围。
• 受影响的应用。
• 异常 IP 或日志摘要。
• Request ID 或错误码。
• 已完成的轮换和白名单操作。

不要在工单、邮件或聊天中发送完整服务端密钥或密码。