AWS EC2 データ転送費について

Question

状況

・想定外の課金に悩んでいます。明細の Data Transfer の項目が上がって来てしまいました。

・AWSでEC2(1インスタンス)/ECS/ALB/S3 でWEBサービスを無料枠で構築して運用しています。

・アクセスは非常に少なく、月間で１００程度です。

・にも関わらず下記の項目で請求が上がってきてしまいました。
regional data transfer - in/out/between EC2 AZs or using elastic IPs or ELB

・明細を調べると下記の部分が課金されている事がわかりました。（この例は0.6GBですが、このようなモノが大量に存在しており、今月はすでに合算で60GBほどに、、）
AmazonEC2 PublicIP-In DataTransfer-Regional-Bytes 08/04/18 04:00:00 08/04/18 05:00:00 623956169

・サポートに確認したところ、DataTransfer-Regional-Bytes は下記ページの「同一 AWS リージョンでのデータ転送」に当たるとのことでした。
https://aws.amazon.com/jp/ec2/pricing/on-demand/

・しかしEC2は1インスタンスのみで構成されているので同リージョン内でデータ転送が発生しようがないと思います、、

試したこと

・EC2のセキュリティグループ設定が全開放になっていたのでALBからのみアクセス可能としました。
・ALBのセキュリティグループも全開放になっていたのでINはHTTP,HTTPSのみとしました。
＊いずれも効果ありませんでした、、

以上ですが、、

上記では情報不足な点やココをチェックした方が良い、などありましたらご教示願います！
どうぞよろしくお願い致します！

Answer 1

ひところよくあったのが、AWSのSSHキーをどこかにアップロードしてしまい、そこから漏れて不正アクセスされ、仮想マシンを不正使用される、というものですが、その可能性はないでしょうか。

AWSのコンソールログインパスワード、EC2のSSHキーなど、変更しておく、２段階パスワードにするなどしてはどうでしょうか。

Comments

[okamok]

SSHキー思い当たる節がゼロではありません、、、
アドバイスいただいた通りまずはコンソールのパスワードとSSHキーの変更を行おうと思います。
また経過をここで追記させて頂きます。コメント頂き、ありがとうございます！

[y_waiwai]

変なコード仕込まれてませんか。マイニングのコード仕込まれてるとか。
異常アクセスが止まらないなら、一度インスタンスを削除、再構築したほうがいいかもしれません

[okamok]

仰る通り、その可能性もありそうですね、、、
怪しいファイルがどこにあるかの調べ方が今思いつきませんがトライしてみます！

[okamok]

当面、コンソールのPASSを変更してEC2インスタンスも再作成しました。
こちらで様子みてまた報告致します！

[namda]

公式が不正アクセス時にすべきとしている手順はこれですね
https://aws.amazon.com/jp/premiumsupport/knowledge-center/potential-account-compromise/

[okamok]

＞コンソールのPASSを変更してEC2インスタンスも再作成しました。
現状、こちら効果なく課金が続いております、、

namdaさま
ありがとうございます！

・不審なリソース(EC2インスタンスやRDBなど)がない事を確認
・IAMのアクセスキーを変更

こちら2点実行したので経過を見たいと思います。
またこちらで報告致します！

[okamok]

こちらで課金が止まりました！
（IAMのアクセスキーは一時的にでもクラウドにアップしてないので謎は残りますが、、、）
非常に助かりました。ありがとうございました！