Termină o instanță EC2 și discul ei root pleacă odată cu ea. Orice volum atașat după pornire rămâne pe loc, iar AWS documentează default-ul fără ocolișuri: DeleteOnTermination este true pentru volumul root și false pentru volumele atașate. Nimeni n-a ales asta pentru infrastructura ta; e ce face contul atunci când întrebarea nu se pune niciodată. Inginerii tăi n-au fost neglijenți. Infrastructura ta e mai mare decât documentația ta pentru că default-urile stau de partea rămășițelor.
Un inventar de resurse cloud asamblat din memorie va fi mereu o submulțime a ce rulează și se facturează. Raportul Flexera 2026 State of the Cloud, publicat pe 18 martie 2026 pe baza a 753 de decidenți din zona cloud, pune cheltuiala cloud risipită la 29 la sută, prima creștere din ultimii cinci ani. Asta trece drept o cifră de finanțe. Varianta ei de securitate e mai rea: o mașină pe care nimeni nu-și amintește s-o fi închiriat e o mașină pe care nimeni n-o peticește. Ține în continuare credențiala care i-a fost emisă, răspunde în continuare pe un port și e în afara scopului următorului tău test de penetrare, pentru că apelul de definire a scopului a pornit de la aceeași listă de la care ai pornit și tu.
De unde vin de fapt resursele cloud orfane
Inginerul care a plecat e exemplul cel mai curat. Cineva a ridicat un proof of concept într-o regiune pe care echipa n-o mai folosește altfel, l-a arătat într-un demo și a plecat optsprezece luni mai târziu. Instanța rulează în continuare și nu e în Terraform-ul nimănui. Lângă ea stă al doilea cont: un proiect care trebuia să se miște mai repede decât achizițiile, deschis pe un card personal, niciodată readus înăuntru. Cisco pune ponderea angajaților care folosesc tehnologie neaprobată la 80 la sută. Gartner a constatat că 41 la sută au achiziționat, modificat sau creat tehnologie în afara vizibilității IT-ului în 2022 și pune 38 la sută dintre achizițiile de tehnologie în seama liderilor de business, nu a IT-ului.
Restul e mecanic. Autoscaling-ul a crescut pentru un lansament, iar politica de scădere n-a fost niciodată scrisă la fel de agresiv ca cea de creștere, deci un grup care ar trebui să stea la patru stă la unsprezece. Un load balancer supraviețuiește serviciului pe care îl deservea. Snapshot-urile rulează pe un program setat de cineva în 2022, fără expirare. Și undeva, în majoritatea infrastructurilor, un mediu de staging a devenit producție din greșeală, pentru că o integrare cu un client a fost îndreptată spre el o dată și nimeni n-a vrut să fie cel care îl oprește.
O mașină necunoscută e o mașină nepeticită
DBIR 2026 al Verizon, publicat pe 20 mai 2026, a constatat că exploatarea vulnerabilităților a devenit cel mai frecvent vector de acces inițial, cu 31 la sută dintre breșe, în creștere de la 20 la sută în anul precedent. Situează timpul median de remediere a unei vulnerabilități despre care se știe că e exploatată la 43 de zile, în creștere de la 32, și constată că doar 26 la sută dintre vulnerabilitățile de pe lista CISA a celor exploatate cunoscute au fost vreodată complet remediate. Cifrele astea descriu mașinile despre care știi. Pentru celelalte, timpul de remediere este niciodată.
O instanță mai veche decât uneltele tale de patching ține în continuare orice credențială i-a fost dată în prima zi. State of Cloud Security 2025 al Datadog a constatat că 59 la sută dintre utilizatorii AWS IAM au o cheie de acces activă mai veche de un an, un sfert din toate cheile mai vechi de trei ani și una din zece mai veche de cinci. Cloud Security Report 2026, de la Cybersecurity Insiders și Fortinet, bazat pe 1.163 de practicieni din IT și securitate, arată că 69 la sută numesc proliferarea uneltelor și golurile de vizibilitate drept principalul factor care le limitează securitatea cloud. Mașina uitată e locul unde se întâlnesc cele două constatări.
Cum arată, linie cu linie, cheltuiala cloud pe resurse inactive
Din 1 februarie 2024, AWS percepe 0,005 dolari pe oră pentru fiecare adresă IPv4 publică, atașată sau nu, adică vreo 43 de dolari pe an pentru o adresă care nu face nimic. Un Application Load Balancer în US East (N. Virginia) costă 0,0225 dolari pe oră, aproximativ 16,43 dolari pe lună, facturat indiferent dacă rutează sau nu vreo singură cerere. Individual, astea sunt erori de rotunjire, motiv pentru care supraviețuiesc: nicio linie nu e destul de mare cât să facă pe cineva să deschidă un tichet, iar o infrastructură de dimensiune medie duce cu ea sute. Banii mai grei stau în resurse care rulează corect și nu fac nimic. State of Cloud Costs 2024 al Datadog a constatat că 83 la sută din costurile de containere sunt asociate cu resurse inactive: 54 la sută din cheltuiala pe containere e inactivitate de cluster, infrastructură provizionată pe care nu s-a programat niciodată nimic, iar 29 la sută e inactivitate de workload, cereri de resurse mai mari decât au nevoie workload-urile.
Cum rulezi descoperirea pe conturi pe care nu tu le-ai deschis
Pornește de la bani și de la identitate, nu de la console. Orice cont e legat de un instrument de plată, deci douăsprezece luni de extrase de card și de bancă sunt o sursă de descoperire mai bună decât orice API de furnizor; după aceea furnizorul tău de identitate și zonele tale DNS, pentru că un cont de care nu-și amintește nimeni rezolvă în continuare un nume pe care l-a înregistrat cineva.
În interiorul unui cont, uneltele furnizorului ajută și totodată mint prin omisiune. AWS Resource Explorer construiește câte un index per regiune, permite exact unul și are nevoie de unul promovat ca agregator ca să funcționeze căutarea între regiuni, deci o regiune pe care n-ai indexat-o niciodată nu contribuie cu nimic la rezultate care arată complete. Resursele cu tag apar în câteva minute, iar cele fără tag durează până la două ore sau mai mult, deci exact resursele cel mai puțin documentate apar cel mai încet. Rulează-l de două ori, la o zi distanță, înainte să-l crezi.
Între furnizori, îmbinarea e toată munca, iar manual nu se termină niciodată, pentru că fiecare export are propria idee despre ce contează drept resursă și nu există două care să numească regiunile la fel. Sencai face acea îmbinare ca produs: conectezi un cont cu credențiale limitate ca domeniu, iar instanțele, rețelele, storage-ul și DNS-ul lui existente sosesc într-o singură listă, alături de mașinile din propriile tale rack-uri la care poate ajunge un agent gazdă, fără ca nimic să fie migrat sau reconstruit. Promovarea în management se face câte o resursă odată, deci a vedea ceva nu înseamnă a fi de acord să-l operezi.
Triază după blast radius, nu după costul lunar
Prima trecere întoarce mai mult decât poate duce la capăt orice echipă. O foaie cu vreo mie de descoperiri sortată după costul lunar pune un disc de 9 dolari deasupra unei instanțe expuse la internet cu o cheie de acces veche de trei ani pe ea. State of Cloud Risk 2026 al Wiz a constatat că doar 9 la sută dintre descoperiri sunt execuție de cod la distanță; problemele de expunere și de acces domină ce devine incident. Ordonează în schimb după ce câștigă un atacator: mai întâi orice e accesibil din internet și ține o credențială, apoi orice ține date, apoi cheile și rolurile care aparțin resurselor nerevendicate. Adresele neatașate și load balancer-ele inactive merg ultimele, oricât de ușor ar fi de reparat. Să greșești în privința uneia dintre ele costă 43 de dolari.
Ștergerea e prima acțiune greșită pentru orice resursă nerevendicată. Oprește-o și urmărește, în schimb. O instanță care stă oprită treizeci de zile fără ca o singură persoană să observe se poate elimina în siguranță; una care produce un tichet de suport în patru ore tocmai și-a identificat proprietarul. Fă snapshot la orice are un disc înainte s-o atingi. Singura greșeală ireversibilă disponibilă aici e ștergerea storage-ului unui lucru care s-a dovedit portant, iar orice echipă care a făcut-o o dată respectă apoi pentru totdeauna așteptarea de treizeci de zile.
Un inventar cu linie de sosire nu mai valorează nimic peste șase săptămâni
O foaie de calcul e exactă în după-amiaza în care e produsă și se degradează din aceeași seară. Tot ce a produs golul rulează în continuare: default-urile nu s-au schimbat, iar termenul care a justificat al doilea cont revine în martie. Articolul 21(2)(i) din NIS2 enumeră managementul activelor printre cele zece măsuri minime de management al riscului pe care entitățile aflate în scop trebuie să le implementeze, alături de analiza riscului de la 21(2)(a) și de igiena cibernetică de la 21(2)(g), iar niciun document nu satisface vreuna dintre ele. Termenul de transpunere a fost 17 octombrie 2024; pe 8 iulie 2026, Comisia a sesizat Curtea de Justiție cu privire la Irlanda, Spania, Franța și Țările de Jos pentru transpunere incompletă, cerând penalități zilnice.
Descoperirea continuă e altceva decât un proiect și e singura variantă care supraviețuiește unei infrastructuri reale. Configurația gratuită Sencai, un utilizator și o organizație cu cinci resurse gestionate, va rula o trecere de descoperire pe un cont real și îți va arăta lista înainte să promovezi ceva în management. Fii lucid în privința limitei: managementul live la furnizor e adânc, nu larg - DNS la cinci furnizori, firewalluri la doi și rețele la unul - deci multe dintre lucrurile pe care le găsești le vei schimba tot în consola furnizorului. Orice ai folosi, ia-ți cel mai vechi cont, enumeră fiecare regiune, inclusiv cele două despre care ești sigur că sunt goale, și sortează ce vine înapoi după dacă se poate ajunge la el din internet, nu după cât costă. Prima resursă căreia nimeni nu-i poate pune un nume e locul unde începe munca.