Terminera en EC2-instans och rotdisken följer med. Varje volym som kopplats på efter start blir kvar, och AWS dokumenterar standardvärdet rakt ut: DeleteOnTermination är true för rotvolymen och false för påkopplade volymer. Ingen valde det för ditt bestånd; det är vad kontot gör när frågan aldrig ställs. Dina ingenjörer var inte slarviga. Din infrastruktur är större än din dokumentation för att standardvärdena står på kvarlevornas sida.
En inventering av molnresurser som satts ihop ur minnet kommer alltid att vara en delmängd av det som kör och fakturerar. Flexeras 2026 State of the Cloud Report, publicerad den 18 mars 2026 utifrån 753 molnbeslutsfattare, satte spillet i molnutgifterna till 29 procent, den första ökningen på fem år. Det arkiveras som en ekonomisiffra. Säkerhetsversionen av den är värre: en maskin ingen minns att de hyr är en maskin ingen patchar. Den håller fortfarande den autentiseringsuppgift den fick, svarar fortfarande på en port, och ligger utanför omfattningen för ditt nästa penetrationstest, eftersom avgränsningssamtalet utgick från samma lista som du.
Var övergivna molnresurser faktiskt kommer ifrån
Ingenjören som slutade är det renaste exemplet. Någon satte upp ett proof of concept i en region teamet annars inte använder, demade det, och slutade arton månader senare. Instansen kör fortfarande och den finns inte i någons Terraform. Bredvid den ligger det andra kontot: ett projekt som behövde röra sig snabbare än inköpsavdelningen, öppnat på ett privat kort, aldrig återfört till resten. Cisco sätter andelen anställda som använder icke-sanktionerad teknik till 80 procent. Gartner fann att 41 procent skaffade, ändrade eller skapade teknik utanför IT-avdelningens synfält 2022, och lägger 38 procent av teknikinköpen hos verksamhetschefer snarare än hos IT.
Resten är mekanik. Autoskalningen skalade upp inför en lansering och nedskalningspolicyn skrevs aldrig lika aggressivt som uppskalningen, så en grupp som borde ligga på fyra ligger på elva. En lastbalanserare överlever tjänsten den satt framför. Snapshots körs enligt ett schema någon satte 2022 utan utgångstid. Och någonstans i de flesta bestånd blev en stagingmiljö produktion av misstag, för att en kundintegration en gång pekades dit och ingen ville vara den som stängde av den.
En okänd maskin är en opatchad maskin
Verizons 2026 DBIR, publicerad den 20 maj 2026, fann att utnyttjande av sårbarheter hade blivit den enskilt vanligaste initiala angreppsvektorn med 31 procent av intrången, upp från 20 procent året innan. Den sätter mediantiden för att åtgärda en känd utnyttjad sårbarhet till 43 dagar, upp från 32, och finner att bara 26 procent av sårbarheterna på CISA:s lista över kända utnyttjade sårbarheter någonsin åtgärdades helt. De siffrorna beskriver maskinerna du känner till. För de andra är åtgärdstiden aldrig.
En instans som är äldre än dina patchverktyg håller också fortfarande vilken autentiseringsuppgift den än fick sin första dag. Datadogs State of Cloud Security 2025 fann att 59 procent av AWS IAM-användarna har en aktiv åtkomstnyckel som är äldre än ett år, en fjärdedel av alla nycklar äldre än tre år och en av tio äldre än fem. 2026 Cloud Security Report från Cybersecurity Insiders och Fortinet, baserad på 1 163 IT- och säkerhetsutövare, har 69 procent som pekar ut verktygsspridning och luckor i synligheten som den främsta faktorn som begränsar deras molnsäkerhet. Den bortglömda maskinen är där de två fynden möts.
Så ser inaktiva molnutgifter ut rad för rad
Sedan den 1 februari 2024 tar AWS 0,005 dollar i timmen för varje publik IPv4-adress, kopplad eller inte, ungefär 43 dollar om året för en adress som inte gör något. En Application Load Balancer i US East (N. Virginia) kostar 0,0225 dollar i timmen, ungefär 16,43 dollar i månaden, fakturerad oavsett om den dirigerar en enda förfrågan eller inte. Var för sig är de här avrundningsfel, vilket är varför de överlever: ingen post är stor nog att få någon att öppna ett ärende, och ett medelstort bestånd bär hundratals av dem. De tyngre pengarna sitter i resurser som kör korrekt och inte gör något. Datadogs 2024 State of Cloud Costs fann 83 procent av containerkostnaderna kopplade till inaktiva resurser: 54 procent av containerutgifterna är inaktivitet på klusternivå, infrastruktur som provisionerats och som aldrig fått något schemalagt på sig, och 29 procent är inaktivitet på arbetsbelastningsnivå, resursförfrågningar större än vad arbetsbelastningarna behöver.
Att köra upptäckt över konton du inte öppnade
Börja från pengarna och identiteten, inte från konsolerna. Varje konto är kopplat till ett betalningsmedel, så tolv månaders kort- och kontoutdrag är en bättre källa för upptäckt än något leverantörs-API; därefter din identitetsleverantör och dina DNS-zoner, eftersom ett konto ingen minns fortfarande slår upp ett namn någon registrerade.
Inne i ett konto hjälper leverantörens verktyg och ljuger samtidigt genom att utelämna. AWS Resource Explorer bygger ett index per region, tillåter exakt ett, och kräver att ett av dem befordras till aggregator innan sökning över regioner fungerar överhuvudtaget, så en region du aldrig indexerade bidrar med ingenting till resultat som ser fullständiga ut. Taggade resurser dyker upp på minuter och otaggade tar upp till två timmar eller längre, så de sämst dokumenterade resurserna är de långsammaste att synas. Kör det två gånger, med en dag emellan, innan du tror på det.
Över flera leverantörer är sammanslagningen själva arbetet, och för hand blir den aldrig färdig, eftersom varje export har sin egen uppfattning om vad som räknas som en resurs och inga två namnger regioner likadant. Sencai gör den sammanslagningen till produkten: anslut ett konto med avgränsade autentiseringsuppgifter så kommer dess befintliga instanser, nätverk, lagring och DNS i en enda lista, bredvid maskinerna i dina egna rack som en värdagent når, utan att något migrerats eller byggts om. Att lyfta in något i hanteringen sker en resurs i taget, så att se något är inte detsamma som att gå med på att driva det.
Triagera efter blast radius, inte efter månadskostnad
Första passet ger tillbaka mer än något team kan agera på. Ett kalkylblad med drygt tusen fynd sorterade efter månadskostnad sätter en disk för 9 dollar över en internetexponerad instans med en tre år gammal åtkomstnyckel på sig. Wiz State of Cloud Risk 2026 fann att bara 9 procent av fynden är fjärrkörning av kod; exponerings- och åtkomstproblem dominerar det som blir en incident. Sortera efter vad en angripare får ut i stället: allt som går att nå från internet och håller en autentiseringsuppgift först, sedan allt som håller data, sedan nycklarna och rollerna som hör till resurser ingen vill kännas vid. Obundna adresser och inaktiva lastbalanserare kommer sist, hur lätta de än är att åtgärda. Att ha fel om en av dem kostar 43 dollar.
Radering är fel första åtgärd för allt som ingen vill kännas vid. Stoppa det och håll utkik i stället. En instans som står stoppad i trettio dagar utan att en enda person märker det är säker att ta bort; en som ger ett supportärende inom fyra timmar har just identifierat sin ägare. Ta en snapshot av allt med en disk innan du rör det. Det enda oåterkalleliga misstaget som finns att göra här är att radera lagringen för något som visade sig vara bärande, och varje team som gjort det en gång utför trettiodagarsväntan för alltid efteråt.
En inventering med en mållinje är värdelös om sex veckor
Ett kalkylblad är korrekt den eftermiddag det tas fram och förfaller från och med den kvällen. Allt som skapade gapet kör fortfarande: standardvärdena har inte ändrats, och deadlinen som motiverade det andra kontot kommer tillbaka i mars. Artikel 21(2)(i) i NIS2 listar tillgångshantering bland de tio minimiåtgärder för riskhantering som aktörer inom tillämpningsområdet måste införa, vid sidan av riskanalys enligt 21(2)(a) och cyberhygien enligt 21(2)(g), och inget dokument uppfyller någon av dem. Fristen för införlivande var den 17 oktober 2024; den 8 juli 2026 hänsköt kommissionen Irland, Spanien, Frankrike och Nederländerna till EU-domstolen för ofullständigt införlivande, med begäran om löpande vite.
Kontinuerlig upptäckt är något annat än ett projekt, och den enda varianten som överlever ett verkligt bestånd. Sencais kostnadsfria konfiguration, en användare och en organisation med fem hanterade resurser, kör ett upptäcktspass mot ett riktigt konto och visar dig listan innan du lyfter in något i hanteringen. Var klarsynt om gränsen: live-hantering hos leverantören är djup snarare än bred, DNS hos fem leverantörer, brandväggar hos två och nätverk hos en, så mycket av det du hittar kommer du fortfarande att ändra i leverantörens konsol. Vad du än använder: ta ditt äldsta konto, räkna upp varje region inklusive de två du är säker på är tomma, och sortera det som kommer tillbaka efter om det går att nå från internet, inte efter vad det kostar. Den första resursen ingen kan sätta ett namn på är där arbetet börjar.