عزل مثيلة EC2 المخترقة

إذا أظهر GuardDuty أو نظام المراقبة أن إحدى مثيلات EC2 تجري اتصالات صادرة خبيثة، أو تعدينًا للعملات المشفرة، أو فحصًا لشبكتك، فيجب عزلها.

يعزل العزلُ المثيلةَ عن كل ما حولها حتى لا تتمكن من إحداث مزيد من الضرر، مع إبقائها قيد التشغيل للتحقيق بدلًا من محو الأدلة.

أنظف طريقة للعزل هي استبدال مجموعات الأمان الخاصة بالمثيلة بمجموعة جنائية واحدة لا تحتوي على قواعد واردة، ويفضّل ألا تحتوي على قواعد صادرة أيضًا.

نظرًا إلى أن مجموعات الأمان تتبع الحالة وترتبط بالمثيلة، فإن ذلك يقطع فورًا جميع الاتصالات الجديدة تقريبًا من دون المساس بأي شيء آخر في الشبكة الفرعية.

يؤدي إيقاف المثيلة أو إنهاؤها إلى مسح ذاكرة RAM، حيث توجد برمجيات خبيثة كثيرة، وقد يؤدي إلى إتلاف آثار المهاجم.

يحافظ العزل على المثيلة قيد التشغيل ولكن معزولة، بحيث يمكنكم أخذ لقطة للقرص وتفريغ الذاكرة ومراقبة السلوك. ولا تُجرى الإزالة إلا بعد التقاط الأدلة بأمان.

غالبًا ما تحمل المثيلة المخترقة دور IAM عبر ملف تعريف المثيلة، وقد يكون المهاجم بصدد استخراج بيانات الاعتماد المؤقتة هذه لاستخدامها في مكان آخر.

استبدلوا الدور أو أزيلوه، وأبطلوا الجلسات النشطة، حتى تتوقف بيانات الاعتماد المسروقة عن العمل عبر جميع خدمات AWS، وليس على المثيلة نفسها فقط.

خذوا فورًا لقطة لكل وحدة تخزين EBS متصلة لتثبيت حالة القرص، والتقطوا الذاكرة إذا كانت أدواتكم تتيح ذلك.

ضعوا علامات على هذه العناصر باعتبارها أدلة عزل. يتيح تركيب نسخ اللقطات للقراءة فقط على مثيلة جنائية منفصلة التحقيق من دون تغيير النسخ الأصلية أو المخاطرة بإعادة الإصابة.

لإضافة طبقة حماية، يمكنكم إضافة قاعدة رفض في قائمة ACL للشبكة الخاصة بالشبكة الفرعية لعنوان IP الخاص بالمثيلة.

تعمل قوائم NACL من دون الاحتفاظ بالحالة وتُطبّق عند حدود الشبكة الفرعية، ولذلك فإنها تلتقط أي مسار قد يفوّته تغيير مجموعة الأمان. استخدموها كإجراء احتياطي، لا كوسيلة التحكم الأساسية.

إذا كانت المثيلة خلف Elastic Load Balancer أو ضمن مجموعة Auto Scaling، فألغوا تسجيلها لإيقاف توجيه حركة المرور إليها.

ضعوا مثيلة Auto Scaling في حالة standby أو افصلوها، حتى لا تنهي المجموعة أدلتكم باستبدال المضيف الذي تعتبره غير سليم.

عند التعامل مع نطاق واسع، تكون الخطوات اليدوية بطيئة جدًا. ومن الأنماط الشائعة: العثور على GuardDuty، ثم قاعدة EventBridge، ثم Lambda التي تبدّل مجموعة الأمان، وتأخذ لقطات لوحدات التخزين، وتزيل الدور، وتضع علامات على المثيلة.

يحوّل ذلك الاستجابة متعددة الخطوات إلى إجراء آلي واحد يُنفَّذ خلال ثوانٍ من اكتشاف التهديد.

يمنحكم العزل وقتًا لمعرفة كيفية دخول المهاجم. راجعوا CloudTrail وVPC Flow Logs والسجلات الموجودة على المضيف للعثور على نقطة الدخول — مثل منفذ مكشوف أو ثغرة لم تُرقّع أو بيانات اعتماد مسروقة.

من دون معرفة السبب الجذري، يمكن اختراق مثيلة أُعيد إنشاؤها بالطريقة نفسها تمامًا.

بعد التقاط الأدلة وفهم السبب الجذري، استبدلوا المثيلة انطلاقًا من AMI نظيفة ومصححة بدلًا من تنظيف المثيلة المصابة.

من النادر أن تتمكنوا من ضمان إزالة باب خلفي بالكامل. إن إعادة النشر من صورة موثوقة أسرع وأكثر اعتمادية بكثير من تنظيف مضيف مخترق.

ضعوا على المثيلة المعزولة ولقطاتها علامات واضحة مثل Status=Quarantine ومعرّف الحادثة، حتى لا تعيدها أي أتمتة أو مشغّل إلى الخدمة عن طريق الخطأ أو يحذف الأدلة.

تابعوها حتى الإغلاق في سجل الحادثة، مع التأكد من احتواء التهديد والحفاظ على العناصر الجنائية.

اختروا خطوة بيانات الاعتماد الصحيحة.

اعزلوا مثيلة EC2 مخترقة باستبدال مجموعة أمان ترفض كل الاتصالات مع إبقائها قيد التشغيل، ثم خذوا لقطات لوحدات تخزين EBS والتقطوا الذاكرة قبل تغيير أي شيء. أزيلوا دور ملف تعريف المثيلة وأبطلوا الجلسات النشطة حتى تتوقف بيانات الاعتماد المسروقة، وافصلوا المثيلة عن موازنات التحميل وAuto Scaling، وأضيفوا دعمًا احتياطيًا باستخدام NACL. أتمتوا التدفق بالكامل انطلاقًا من GuardDuty، وحققوا في السبب الجذري، ثم أعيدوا البناء من AMI موثوقة.