Amazon SES账号遭冒用发信，配置DMARC/DKIM/SPF更换密钥仍未解决求助

紧急止损操作 #

• 立刻冻结当前亚马逊SES账号的所有发送权限，临时切换至备用邮件服务保障正常业务发送，避免域名发信信誉持续被垃圾邮件损耗。
• 将DMARC DNS记录的策略调整为p=reject，所有未通过SPF、DKIM校验的伪造邮件会直接被接收方拒收，从收件侧拦截冒用邮件的投递。
• 全量删除SES控制台内所有SMTP凭证、关联的IAM访问密钥、发送授权规则，再重新生成仅内部使用的最小权限凭证，避免攻击者持有遗留的未被发现的泄露密钥。

入侵根因排查 #

• 首先核查日志中标注的源IP 185.29.10.120 是否为你方所属资产：
  • 若属于你方服务器，立即登陆该服务器排查异常进程、ssh登陆日志、本地存储的密钥文件，确认是否服务器被入侵植入了发信木马，所有存储在该服务器的密钥全部作废更换。
  • 若不属于你方资产，直接提交安全工单给AWS官方，附上该日志作为证据要求协助核查，要求AWS侧拦截所有非你方信任IP的SES调用请求。
• 全量扫描内部所有代码仓库、配置文件，排查是否存在硬编码的SES密钥被提交到公开仓库的情况，核查所有有权限操作SES账号的员工账号，是否有未注销的离职账号、权限溢出的测试账号。

长期加固方案 #

• 在SES控制台配置发送IP白名单，仅允许你方业务服务器的固定IP段调用SMTP/API接口，非白名单IP的请求直接被AWS侧拦截。
• 开启SES发送配置集规则，强制所有发信请求必须携带你方预设的专属请求头/标签，无合法标签的发信请求直接拦截，同时开启全量发信日志存储到私有存储桶，定期审计发送行为。
• 所有SES密钥统一存储到加密密钥管理服务，禁止硬编码在代码/配置文件中，设置密钥每月自动轮换规则，从根源避免密钥泄露风险。

内容的提问来源于stack exchange，提问作者Jan