Zrušte EC2 instanci a její kořenový disk zmizí s ní. Každý svazek připojený až po startu zůstane, a AWS ten výchozí stav dokumentuje bez okolků: DeleteOnTermination je true pro kořenový svazek a false pro připojené svazky. Nikdo to za vaše estate nezvolil; je to prostě to, co účet udělá, když ta otázka nikdy nepadne. Vaši inženýři nebyli nedbalí. Vaše infrastruktura je větší než vaše dokumentace, protože výchozí nastavení stojí na straně zbytků.
Inventura cloudových zdrojů poskládaná z paměti bude vždycky podmnožinou toho, co běží a co se fakturuje. Flexera State of the Cloud Report 2026, vydaný 18. března 2026 na základě odpovědí 753 lidí rozhodujících o cloudu, uvádí podíl promarněných cloudových výdajů na 29 procentech - první nárůst za pět let. Vede se to jako finanční číslo. Bezpečnostní verze téhož je horší: stroj, o kterém si nikdo nepamatuje, že ho platí, je stroj, který nikdo nepatchuje. Pořád drží credential, který dostal, pořád odpovídá na portu a je mimo rozsah vašeho příštího penetračního testu, protože i ten rozsah se domlouval nad stejným seznamem jako vy.
Odkud se osiřelé cloudové zdroje ve skutečnosti berou
Nejčistší příklad je inženýr, který odešel. Někdo postavil proof of concept v regionu, který tým jinak nepoužívá, předvedl ho a o osmnáct měsíců později odešel. Instance pořád běží a není v ničím Terraformu. Vedle ní leží druhý účet: projekt, který potřeboval jet rychleji než nákup, založený na soukromou kartu a nikdy nevrácený zpátky pod křídla firmy. Cisco uvádí podíl zaměstnanců používajících neschválené technologie na 80 procentech. Gartner zjistil, že 41 procent jich v roce 2022 pořídilo, upravilo nebo vytvořilo technologii mimo dohled IT, a uvádí, že 38 procent nákupů technologií jde přes byznysové vedoucí, ne přes IT.
Zbytek je mechanický. Autoscaling se naškáloval nahoru kvůli jednomu spuštění a politika škálování dolů nikdy nebyla napsaná tak agresivně jako ta nahoru, takže skupina, která má mít čtyři stroje, jich má jedenáct. Load balancer přežije službu, kterou obsluhoval. Snapshoty běží podle rozvrhu, který někdo nastavil v roce 2022 a bez expirace. A někde ve většině estate se ze staging prostředí omylem stala produkce, protože se na ně jednou nasměrovala integrace u zákazníka a nikdo nechtěl být ten, kdo to vypne.
Neznámý stroj je nezapatchovaný stroj
Verizon DBIR 2026, vydaný 20. května 2026, zjistil, že zneužití zranitelnosti se stalo jednoznačně nejčastějším vstupním vektorem s 31 procenty narušení bezpečnosti, oproti 20 procentům o rok dřív. Medián doby do nápravy známé zneužívané zranitelnosti uvádí na 43 dnech, dřív to bylo 32, a zjišťuje, že jen 26 procent zranitelností ze seznamu známých zneužívaných zranitelností CISA bylo někdy plně napraveno. Ta čísla popisují stroje, o kterých víte. U těch ostatních je doba do nápravy nikdy.
Instance starší než vaše patchovací nástroje navíc pořád drží credential, který dostala první den. Datadog State of Cloud Security 2025 zjistil, že 59 procent uživatelů AWS IAM má aktivní access key starší než rok, čtvrtina všech klíčů je starší tří let a jeden z deseti starší pěti. Cloud Security Report 2026 od Cybersecurity Insiders a Fortinetu, postavený na odpovědích 1 163 lidí z IT a bezpečnosti, v něm 69 procent respondentů jmenuje bujení nástrojů a mezery ve viditelnosti jako hlavní faktor, který omezuje jejich cloudovou bezpečnost. Zapomenutý stroj je místo, kde se ty dva nálezy potkávají.
Jak nečinné cloudové výdaje vypadají položku po položce
Od 1. února 2024 účtuje AWS 0,005 USD za hodinu za každou veřejnou IPv4 adresu, připojenou i nepřipojenou - zhruba 43 USD ročně za adresu, která nedělá nic. Application Load Balancer v US East (N. Virginia) stojí 0,0225 USD za hodinu, tedy asi 16,43 USD měsíčně, a fakturuje se, ať už odbaví jediný požadavek, nebo ne. Jednotlivě jsou to zaokrouhlovací chyby, a právě proto přežívají: žádná položka není dost velká na to, aby kvůli ní někdo založil ticket, a středně velké estate jich nese stovky. Těžší peníze leží ve zdrojích, které běží správně a nedělají nic. Datadog State of Cloud Costs 2024 zjistil, že 83 procent nákladů na kontejnery souvisí s nečinnými zdroji: 54 procent výdajů na kontejnery je nečinnost clusteru, tedy infrastruktura naprovisionovaná a nikdy nevyužitá plánovačem, a 29 procent je nečinnost workloadu, tedy resource requesty větší, než workloady potřebují.
Jak dělat discovery napříč účty, které jste nezakládali
Začněte od peněz a identit, ne od konzolí. Každý účet visí na platebním prostředku, takže dvanáct měsíců výpisů z karty a z účtu je lepší zdroj pro discovery než jakékoliv API providera; po nich váš identity provider a vaše DNS zóny, protože účet, o kterém si nikdo nepamatuje, pořád překládá jméno, které někdo zaregistroval.
Uvnitř účtu nástroje providera pomáhají a zároveň lžou tím, co zamlčí. AWS Resource Explorer staví jeden index na region, povoluje přesně jeden a než vyhledávání napříč regiony vůbec začne fungovat, musí být jeden z nich povýšen na agregátor - takže region, který jste nikdy nezaindexovali, nepřispěje do výsledků, které vypadají úplně, ničím. Otagované zdroje se objeví během minut, u neotagovaných to trvá až dvě hodiny nebo déle, takže nejhůř zdokumentované zdroje se objevují nejpomaleji. Než tomu uvěříte, pusťte to dvakrát s odstupem jednoho dne.
Napříč providery je tou prací samotné slučování a ručně nikdy neskončí, protože každý export má vlastní představu o tom, co se počítá jako zdroj, a žádní dva nepojmenovávají regiony stejně. Sencai dělá tohle slučování jako produkt: připojíte účet se scoped credentials a jeho existující instance, sítě, úložiště a DNS dorazí v jednom seznamu, vedle strojů ve vašich vlastních racích, na které dosáhne hostový agent, a nic z toho se nemigruje ani nestaví znovu. Povýšení do správy probíhá po jednom zdroji, takže vidět něco neznamená souhlasit s tím, že to budete provozovat.
Třiďte podle dosahu škod, ne podle měsíčních nákladů
První průchod vrátí víc, než na co má jakýkoliv tým kapacitu. Tabulka s tisícovkou nálezů seřazená podle měsíčních nákladů dá disk za 9 USD nad instanci vystavenou do internetu, na které leží tři roky starý access key. Wiz State of Cloud Risk 2026 zjistil, že jen 9 procent nálezů je vzdálené spuštění kódu; to, z čeho se nakonec stane incident, ovládají problémy s expozicí a přístupem. Řaďte místo toho podle toho, co útočník získá: nejdřív cokoliv dosažitelného z internetu, co drží credential, pak cokoliv, co drží data, pak klíče a role patřící zdrojům, ke kterým se nikdo nehlásí. Nepřipojené adresy a nečinné load balancery jdou poslední, ať se opravují sebesnáz. Zmýlit se u jedné z nich stojí 43 USD.
Smazání je u čehokoliv, k čemu se nikdo nehlásí, špatná první akce. Místo toho to zastavte a sledujte. Instance, která stojí zastavená třicet dnů, aniž by si toho jediný člověk všiml, se dá bezpečně odstranit; ta, po které do čtyř hodin přiletí ticket na podporu, právě identifikovala svého vlastníka. Cokoliv, co má disk, si před sáhnutím zasnapshotujte. Jediná nevratná chyba, která je tu k mání, je smazat úložiště něčeho, o čem se ukáže, že drží nosnou zeď - a každý tým, který to jednou udělal, si to třicetidenní čekání odbývá už napořád.
Inventura s cílovou páskou je za šest týdnů k ničemu
Tabulka je přesná to odpoledne, kdy vznikne, a od téhož večera se rozpadá. Všechno, co tu mezeru vyrobilo, běží dál: výchozí nastavení se nezměnila a termín, kterým se ospravedlnil druhý účet, přijde v březnu zase. Článek 21 odst. 2 písm. i) NIS2 řadí evidenci aktiv mezi deset minimálních opatření k řízení rizik, která musí subjekty v působnosti zavést, vedle analýzy rizik podle 21 odst. 2 písm. a) a kybernetické hygieny podle 21 odst. 2 písm. g) - a žádný z těch bodů nesplní dokument. Transpoziční lhůta uplynula 17. října 2024; 8. července 2026 Komise zažalovala Irsko, Španělsko, Francii a Nizozemsko u Soudního dvora kvůli neúplné transpozici a žádá denní penále.
Průběžné discovery je něco jiného než projekt a je to jediná varianta, která přežije reálné estate. Bezplatná konfigurace Sencai, jeden uživatel a jedna organizace s pěti spravovanými zdroji, spustí discovery proti skutečnému účtu a ukáže vám seznam dřív, než cokoliv povýšíte do správy. Mějte jasno v tom, kde je limit: živá správa u providera je spíš hluboká než široká - DNS u pěti providerů, firewally u dvou a sítě u jednoho - takže spoustu z toho, co najdete, budete pořád měnit v konzoli providera. Ať používáte cokoliv, vezměte svůj nejstarší účet, vyjmenujte každý region včetně těch dvou, o kterých jste si jistí, že jsou prázdné, a to, co se vrátí, seřaďte podle toho, jestli se na to dá dosáhnout z internetu, ne podle toho, co to stojí. První zdroj, ke kterému nikdo nedokáže přiřadit jméno, je místo, kde ta práce začíná.