Zterminuj instancję EC2, a jej dysk główny odejdzie razem z nią. Każdy wolumen podpięty po starcie zostaje, a AWS dokumentuje domyślne ustawienie wprost: DeleteOnTermination jest ustawione na true dla wolumenu głównego i na false dla wolumenów podpiętych. Nikt nie wybrał tego dla Twojego majątku; tak po prostu zachowuje się konto, gdy pytanie nigdy nie pada. Twoi inżynierowie nie byli niedbali. Twoja infrastruktura jest większa niż Twoja dokumentacja, bo domyślne ustawienia stoją po stronie resztek.
Inwentarz zasobów cloud złożony z pamięci zawsze będzie podzbiorem tego, co działa i nalicza opłaty. Flexera 2026 State of the Cloud Report, opublikowany 18 marca 2026 na podstawie odpowiedzi 753 osób decyzyjnych w obszarze cloud, ustalił zmarnowane wydatki na cloud na 29 procent - pierwszy wzrost od pięciu lat. To trafia do szuflady z liczbami finansowymi. Wersja bezpieczeństwa jest gorsza: maszyna, o której wynajęciu nikt nie pamięta, to maszyna, której nikt nie łata. Wciąż trzyma poświadczenie, które jej wydano, wciąż odpowiada na jakimś porcie i jest poza zakresem Twojego następnego testu penetracyjnego, bo rozmowa o zakresie pracowała na tej samej liście co Ty.
Skąd naprawdę biorą się osierocone zasoby cloud
Inżynier, który odszedł, to najczystszy przykład. Ktoś postawił proof of concept w regionie, którego zespół poza tym nie używa, pokazał go na demo i osiemnaście miesięcy później odszedł. Instancja wciąż działa i nie ma jej w niczyim Terraformie. Obok siedzi drugie konto: projekt, który musiał ruszyć szybciej niż dział zakupów, założony na prywatną kartę, nigdy nie wciągnięty z powrotem. Cisco szacuje udział pracowników korzystających z niezatwierdzonej technologii na 80 procent. Gartner ustalił, że 41 procent z nich nabyło, zmodyfikowało lub stworzyło technologię poza widocznością IT w 2022 roku, i podaje, że 38 procent zakupów technologicznych podlega liderom biznesowym, a nie IT.
Reszta jest mechaniczna. Autoskalowanie dorzuciło maszyn na premierę, a polityka skalowania w dół nigdy nie została napisana tak agresywnie jak ta w górę, więc grupa, która powinna stać na czterech maszynach, stoi na jedenastu. Load balancer przeżywa usługę, którą osłaniał. Snapshoty chodzą według harmonogramu, który ktoś ustawił w 2022 roku i nie dołożył do niego wygasania. A gdzieś w większości majątków środowisko staging stało się przez przypadek produkcją, bo raz skierowano na nie integrację klienta i nikt nie chciał być tym, kto to wyłączy.
Nieznana maszyna to maszyna niezałatana
Raport Verizon 2026 DBIR, opublikowany 20 maja 2026, wykazał, że wykorzystanie podatności stało się najczęstszym pojedynczym wektorem dostępu początkowego - 31 procent naruszeń, wobec 20 procent rok wcześniej. Podaje medianę czasu usunięcia znanej, aktywnie wykorzystywanej podatności na 43 dni, wobec 32, i stwierdza, że tylko 26 procent podatności z prowadzonej przez CISA listy aktywnie wykorzystywanych zostało kiedykolwiek w pełni usuniętych. Te liczby opisują maszyny, o których wiesz. Dla pozostałych czas usunięcia wynosi nigdy.
Instancja starsza niż Twoje narzędzia do łatania wciąż trzyma też poświadczenie, które wręczono jej pierwszego dnia. Datadog State of Cloud Security 2025 wykazał, że 59 procent użytkowników AWS IAM ma aktywny klucz dostępu starszy niż rok, jedna czwarta wszystkich kluczy jest starsza niż trzy lata, a jeden na dziesięć starszy niż pięć. W raporcie 2026 Cloud Security Report od Cybersecurity Insiders i Fortinet, opartym na odpowiedziach 1163 specjalistów IT i bezpieczeństwa, 69 procent wskazuje rozrost narzędzi i luki w widoczności jako główny czynnik ograniczający ich bezpieczeństwo w cloud. Zapomniana maszyna to miejsce, w którym te dwa wyniki się spotykają.
Jak bezczynne wydatki na cloud wyglądają pozycja po pozycji
Od 1 lutego 2024 AWS pobiera 0,005 USD za godzinę za każdy publiczny adres IPv4, podpięty czy nie - około 43 USD rocznie za adres, który nic nie robi. Application Load Balancer w US East (N. Virginia) kosztuje 0,0225 USD za godzinę, mniej więcej 16,43 USD miesięcznie, naliczane niezależnie od tego, czy przekieruje choć jeden request. Pojedynczo są to błędy zaokrągleń i właśnie dlatego przeżywają: żadna pozycja nie jest na tyle duża, żeby ktokolwiek założył zgłoszenie, a średniej wielkości majątek nosi ich setki. Cięższe pieniądze leżą w zasobach, które działają poprawnie i nie robią nic. Datadog 2024 State of Cloud Costs wykazał 83 procent kosztów kontenerów powiązanych z bezczynnymi zasobami: 54 procent wydatków na kontenery to bezczynność klastra, czyli infrastruktura wystawiona, na którą nigdy nic nie zaplanowano, a 29 procent to bezczynność workloadów, czyli żądania zasobów większe, niż workloady potrzebują.
Jak prowadzić discovery na kontach, których nie zakładałeś
Zacznij od pieniędzy i tożsamości, nie od konsol. Każde konto jest podpięte do instrumentu płatniczego, więc dwanaście miesięcy wyciągów z karty i z banku jest lepszym źródłem discovery niż jakiekolwiek API dostawcy; potem Twój dostawca tożsamości i Twoje strefy DNS, bo konto, którego nikt nie pamięta, wciąż rozwiązuje nazwę, którą ktoś zarejestrował.
Wewnątrz konta narzędzia dostawcy pomagają, a jednocześnie kłamią przez przemilczenie. AWS Resource Explorer buduje jeden indeks na region, pozwala mieć dokładnie jeden i wymaga wypromowania jednego z nich na agregator, zanim wyszukiwanie między regionami w ogóle zadziała - więc region, którego nigdy nie zaindeksowałeś, nie wnosi nic do wyników, które wyglądają na kompletne. Otagowane zasoby pojawiają się w kilka minut, a nieotagowane potrzebują nawet dwóch godzin albo dłużej, więc najsłabiej udokumentowane zasoby wyłaniają się najwolniej. Uruchom to dwa razy, w odstępie doby, zanim w to uwierzysz.
U wielu dostawców całą pracą jest scalanie i ręcznie nigdy się nie kończy, bo każdy eksport ma własne pojęcie tego, co liczy się jako zasób, i żadne dwa nie nazywają regionów tak samo. Sencai robi to scalanie jako produkt: podłączasz konto z poświadczeniami ograniczonymi zakresem, a jego istniejące instancje, sieci, storage i DNS trafiają na jedną listę - obok maszyn we własnych rackach, do których dociera agent hosta, i nic z tego nie jest migrowane ani odtwarzane. Promocja do zarządzania odbywa się po jednym zasobie, więc zobaczenie czegoś nie jest zgodą na prowadzenie tego.
Triage według promienia rażenia, a nie miesięcznego kosztu
Pierwszy przebieg zwraca więcej, niż jakikolwiek zespół jest w stanie obsłużyć. Arkusz z tysiącem z okładem znalezisk posortowany według kosztu miesięcznego stawia dysk za 9 USD nad instancją wystawioną do internetu z trzyletnim kluczem dostępu. Wiz State of Cloud Risk 2026 wykazał, że tylko 9 procent znalezisk to zdalne wykonanie kodu; to ekspozycja i problemy z dostępem dominują wśród tego, co zamienia się w incydent. Ustaw kolejność inaczej - według tego, co zyskuje atakujący: najpierw wszystko osiągalne z internetu, co trzyma poświadczenie, potem wszystko, co trzyma dane, potem klucze i role należące do zasobów bez właściciela. Niepodpięte adresy i bezczynne load balancery idą na koniec, choćby były najłatwiejsze do naprawienia. Pomyłka przy jednym z nich kosztuje 43 USD.
Usunięcie to zły pierwszy ruch wobec czegokolwiek bez właściciela. Zamiast tego zatrzymaj i obserwuj. Instancja, która stoi zatrzymana przez trzydzieści dni i nikt tego nie zauważy, nadaje się do skasowania; ta, która w ciągu czterech godzin generuje zgłoszenie do wsparcia, właśnie wskazała swojego właściciela. Zrób snapshot wszystkiego, co ma dysk, zanim tego dotkniesz. Jedyny nieodwracalny błąd dostępny w tej pracy to skasowanie storage czegoś, co okazało się nośne - i każdy zespół, który zrobił to raz, odtąd zawsze odczekuje te trzydzieści dni.
Inwentarz z linią mety jest bezwartościowy po sześciu tygodniach
Arkusz kalkulacyjny jest dokładny w popołudnie, w którym powstał, i psuje się od tego samego wieczora. Wszystko, co wyprodukowało tę lukę, wciąż działa: domyślne ustawienia się nie zmieniły, a termin, który uzasadnił drugie konto, wraca znowu w marcu. Artykuł 21 ust. 2 lit. i dyrektywy NIS2 wymienia zarządzanie zasobami wśród dziesięciu minimalnych środków zarządzania ryzykiem, które muszą wdrożyć podmioty objęte zakresem, obok analizy ryzyka z 21 ust. 2 lit. a i cyberhigieny z 21 ust. 2 lit. g - i żaden dokument nie spełnia żadnego z nich. Termin transpozycji minął 17 października 2024; 8 lipca 2026 Komisja skierowała Irlandię, Hiszpanię, Francję i Holandię do Trybunału Sprawiedliwości z powodu niepełnej transpozycji, wnosząc o kary dzienne.
Ciągłe discovery to co innego niż projekt i jedyna wersja, która przeżywa prawdziwy majątek. Darmowa konfiguracja Sencai - jeden użytkownik i jedna organizacja z pięcioma zarządzanymi zasobami - przepuści przebieg discovery przez prawdziwe konto i pokaże Ci listę, zanim cokolwiek wypromujesz do zarządzania. Miej jasność co do ograniczenia: żywe zarządzanie u dostawcy jest raczej głębokie niż szerokie - DNS u pięciu dostawców, firewalle u dwóch, sieci u jednego - więc sporo z tego, co znajdziesz, i tak będziesz zmieniać w konsoli dostawcy. Czegokolwiek użyjesz, weź swoje najstarsze konto, wylicz każdy region, łącznie z tymi dwoma, co do których masz pewność, że są puste, i posortuj to, co wróci, według tego, czy da się do tego dotrzeć z internetu, a nie według tego, ile kosztuje. Pierwszy zasób, do którego nikt nie potrafi przypisać nazwy, jest miejscem, gdzie zaczyna się praca.