Terminer en EC2-instans, og rotdisken følger med. Hvert volum som ble koblet til etter oppstart blir liggende igjen, og AWS dokumenterer standardvalget rett ut: DeleteOnTermination er true for rotvolumet og false for tilkoblede volumer. Ingen valgte det for infrastrukturen din; det er det kontoen gjør når spørsmålet aldri kommer opp. Ingeniørene dine var ikke slurvete. Infrastrukturen din er større enn dokumentasjonen din fordi standardvalgene står på restenes side.
Et inventar over skyressurser satt sammen fra hukommelsen vil alltid være en delmengde av det som kjører og fakturerer. Flexeras 2026 State of the Cloud Report, publisert 18. mars 2026 med 753 skybeslutningstakere, satte bortkastet skyforbruk til 29 prosent, den første økningen på fem år. Det arkiveres som et økonomitall. Sikkerhetsversjonen av det er verre: en maskin ingen husker at de leier, er en maskin ingen patcher. Den holder fortsatt på den credential-en den fikk utstedt, svarer fortsatt på en port, og ligger utenfor omfanget av den neste penetrasjonstesten din, fordi skopingsmøtet jobbet ut fra den samme listen som du gjorde.
Hvor foreldreløse skyressurser faktisk kommer fra
Ingeniøren som sluttet er det reneste eksempelet. Noen satte opp et proof of concept i en region teamet ellers ikke bruker, demonstrerte det, og sluttet atten måneder senere. Instansen kjører fortsatt, og den står ikke i noens Terraform. Ved siden av den ligger den andre kontoen: et prosjekt som måtte bevege seg raskere enn innkjøp, opprettet på et privat kort, aldri ført tilbake. Cisco anslår andelen ansatte som bruker ikke-godkjent teknologi til 80 prosent. Gartner fant at 41 prosent anskaffet, endret eller laget teknologi utenfor IT-avdelingens synsfelt i 2022, og anslår at 38 prosent av teknologikjøpene ligger hos forretningsledere fremfor IT.
Resten er mekanikk. Autoskalering skalerte opp til en lansering, og nedskaleringspolicyen ble aldri skrevet like aggressivt som oppskaleringen, så en gruppe som burde ligge på fire ligger på elleve. En lastbalanserer overlever tjenesten den lå foran. Snapshots kjører på en plan noen satte i 2022 uten utløp. Og et sted i de fleste infrastrukturer ble et staging-miljø til produksjon ved et uhell, fordi en kundeintegrasjon ble pekt mot det én gang og ingen ville være den som skrudde det av.
En ukjent maskin er en upatchet maskin
Verizons DBIR for 2026, publisert 20. mai 2026, fant at utnyttelse av sårbarheter var blitt den aller vanligste inngangsvektoren, med 31 prosent av bruddene, opp fra 20 prosent året før. Den setter mediantiden for å utbedre en kjent utnyttet sårbarhet til 43 dager, opp fra 32, og finner at bare 26 prosent av sårbarhetene på CISAs liste over kjente utnyttede sårbarheter noen gang ble fullt utbedret. De tallene beskriver maskinene du vet om. For de andre er utbedringstiden aldri.
En instans som er eldre enn patcheverktøyet ditt, holder også fortsatt på den credential-en den fikk utlevert på sin første dag. Datadogs State of Cloud Security 2025 fant at 59 prosent av AWS IAM-brukere har en aktiv tilgangsnøkkel eldre enn ett år, en fjerdedel av alle nøkler eldre enn tre år og én av ti eldre enn fem. 2026 Cloud Security Report fra Cybersecurity Insiders og Fortinet, basert på 1 163 IT- og sikkerhetsfagfolk, har 69 prosent som peker på verktøyspredning og hull i synligheten som den viktigste faktoren som begrenser skysikkerheten deres. Den glemte maskinen er der de to funnene møtes.
Slik ser inaktivt skyforbruk ut, linje for linje
Siden 1. februar 2024 tar AWS 0,005 dollar i timen for hver offentlige IPv4-adresse, tilkoblet eller ikke, rundt 43 dollar i året for en adresse som ikke gjør noe. En Application Load Balancer i US East (N. Virginia) koster 0,0225 dollar i timen, omtrent 16,43 dollar i måneden, fakturert enten den ruter en eneste forespørsel eller ikke. Enkeltvis er dette avrundingsfeil, og det er derfor de overlever: ingen linje er stor nok til at noen oppretter en sak, og en mellomstor infrastruktur bærer hundrevis av dem. De tyngre pengene ligger i ressurser som kjører korrekt og ikke gjør noe. Datadogs 2024 State of Cloud Costs fant at 83 prosent av containerkostnadene var knyttet til inaktive ressurser: 54 prosent av containerforbruket er inaktivt på klyngenivå, infrastruktur som er provisjonert og som det aldri ble planlagt noe inn på, og 29 prosent er inaktivt på arbeidslastnivå, ressursforespørsler større enn arbeidslastene trenger.
Å kjøre oppdagelse på tvers av kontoer du ikke opprettet
Start fra penger og identitet, ikke fra konsoller. Hver konto er knyttet til et betalingsmiddel, så tolv måneder med kort- og kontoutskrifter er en bedre kilde til oppdagelse enn noe leverandør-API; deretter identitetsleverandøren din og DNS-sonene dine, fordi en konto ingen husker, fortsatt løser opp et navn noen registrerte.
Inne i en konto hjelper leverandørens egne verktøy, og lyver samtidig ved fortielse. AWS Resource Explorer bygger én indeks per region, tillater nøyaktig én, og trenger at én forfremmes til aggregator før søk på tvers av regioner fungerer i det hele tatt, så en region du aldri indekserte bidrar med ingenting til resultater som ser komplette ut. Taggede ressurser dukker opp på minutter og utaggede tar opptil to timer eller lenger, så de minst dokumenterte ressursene er de tregeste til å vise seg. Kjør den to ganger, med en dag mellom, før du tror på den.
På tvers av leverandører er sammenslåingen selve arbeidet, og for hånd blir den aldri ferdig, fordi hver eksport har sin egen oppfatning av hva som teller som en ressurs, og ingen to navngir regioner på samme måte. Sencai gjør den sammenslåingen til selve produktet: koble til en konto med avgrensede credentials, og de eksisterende instansene, nettverkene, lagringen og DNS-en dukker opp i én liste, ved siden av maskinene i dine egne rack som en host-agent kan nå, uten at noe av det er migrert eller bygget på nytt. Forfremmelse til administrasjon skjer én ressurs om gangen, så det å se noe er ikke det samme som å si ja til å drifte det.
Prioriter etter eksplosjonsradius, ikke etter månedskostnad
Første gjennomkjøring gir tilbake mer enn noe team kan handle på. Et ark med drøye tusen funn sortert etter månedskostnad setter en disk til 9 dollar over en internettvendt instans med en tre år gammel tilgangsnøkkel på seg. Wiz' State of Cloud Risk 2026 fant at bare 9 prosent av funnene er ekstern kjøring av kode; eksponerings- og tilgangsproblemer dominerer det som blir til en hendelse. Sorter heller etter hva en angriper får: alt som kan nås fra internett og holder på en credential først, deretter alt som holder på data, så nøklene og rollene som tilhører ressurser ingen har vedkjent seg. Ubrukte adresser og inaktive lastbalanserere kommer sist, uansett hvor lette de er å fikse. Å ta feil om en av dem koster 43 dollar.
Sletting er feil første handling for noe ingen har vedkjent seg. Stopp det og se på i stedet. En instans som står stoppet i tretti dager uten at én eneste person legger merke til det, er trygg å fjerne; en som utløser en supporthenvendelse innen fire timer, har nettopp identifisert eieren sin. Ta et snapshot av alt med en disk før du rører det. Den ene irreversible feilen som er tilgjengelig her, er å slette lagringen til noe som viste seg å være bærende, og hvert team som har gjort det én gang, utfører ventetiden på tretti dager for alltid etterpå.
Et inventar med en målstrek er verdiløst om seks uker
Et regneark er korrekt den ettermiddagen det produseres og forfaller fra samme kveld. Alt som skapte gapet kjører fortsatt: standardvalgene er ikke endret, og fristen som rettferdiggjorde den andre kontoen kommer rundt igjen i mars. Artikkel 21(2)(i) i NIS2 lister ressursstyring blant de ti minimumstiltakene for risikostyring som omfattede virksomheter må gjennomføre, ved siden av risikoanalyse etter 21(2)(a) og cyberhygiene etter 21(2)(g), og ikke noe dokument oppfyller noen av dem. Gjennomføringsfristen var 17. oktober 2024; 8. juli 2026 henviste Kommisjonen Irland, Spania, Frankrike og Nederland til EU-domstolen for ufullstendig gjennomføring, med krav om daglige tvangsmulkter.
Kontinuerlig oppdagelse er noe annet enn et prosjekt, og den eneste versjonen som overlever en reell infrastruktur. Sencais gratiskonfigurasjon, én bruker og én organisasjon med fem administrerte ressurser, kjører en oppdagelsesrunde mot en reell konto og viser deg listen før du forfremmer noe til administrasjon. Vær tydelig på begrensningen: live-administrasjon hos leverandøren er dyp fremfor bred, DNS hos fem leverandører, brannmurer hos to og nettverk hos én, så mye av det du finner vil du fortsatt endre i leverandørens egen konsoll. Uansett hva du bruker: ta den eldste kontoen din, tell opp hver region inkludert de to du er sikker på er tomme, og sorter det som kommer tilbake etter om det kan nås fra internett, ikke etter hva det koster. Den første ressursen ingen kan sette et navn på er der arbeidet begynner.