إنشاء لقطات لوحدات التخزين للتحليل الجنائي

قبل لمس مثيلة مخترقة، التقطوا قرصها. لقطة EBS هي نسخة في نقطة زمنية محددة من وحدة تخزين Elastic Block Store، وتُخزَّن بشكل دائم في S3.

إنها تثبّت حالة القرص بدقة لحظة التقاطها، مما يمنح المحققين خط أساس ثابتًا لتحليله حتى أثناء احتواء النظام المباشر أو إعادة بنائه.

لقطة EBS قائمة على مستوى الكتل وتزايدية: تلتقط الأولى جميع الكتل المستخدمة، بينما تخزّن اللقطات اللاحقة التغييرات فقط. ومع ذلك، تمثل كل لقطة نسخة كاملة قابلة للاستعادة من وحدة التخزين.

تحافظ اللقطة على نظام الملفات والبرمجيات الخبيثة الموجودة على القرص والسجلات والإعدادات تمامًا كما كانت — وهي المادة الخام للتحقيق الجنائي.

القاعدة الذهبية في التحليل الجنائي هي عدم تعديل الدليل الأصلي مطلقًا. اعملوا فقط من نسخ اللقطة.

أنشئوا وحدة تخزين جديدة من اللقطة، وأرفقوها بمثيلة جنائية، وقوموا بتركيبها للقراءة فقط حتى لا يؤدي التحقيق إلى تغيير بايت واحد من الحالة الملتقطة.

لا تلتقط لقطات القرص ما يوجد في RAM فقط — مثل البرمجيات الخبيثة التي لا تترك ملفات، ومفاتيح فك التشفير، واتصالات الشبكة النشطة.

إذا كانت أدواتكم الجنائية تدعم ذلك، فافرغوا ذاكرة المثيلة أيضًا. توفر لقطة القرص وصورة الذاكرة معًا أكمل صورة ممكنة للاختراق.

ضعوا على كل لقطة علامات تتضمن المثيلة المصدر ومعرّف الحادثة ووقت الالتقاط. تمنع العلامات الواضحة الحذف العرضي وتحافظ على تنظيم الأدلة.

وثّقوا من التقط ماذا ومتى. وتكتسب سلسلة حيازة الأدلة القابلة للدفاع عنها أهمية إذا دعمت النتائج يومًا إجراءً قانونيًا أو تنظيميًا.

انسخوا اللقطة إلى حساب التحليل الجنائي أو الاستجابة للحوادث المعزول، حتى تبقى الأدلة بعيدة عن متناول مهاجم لا يزال نشطًا في الحساب المخترق.

تُعد مشاركة اللقطات ونسخها عبر الحسابات قدرة مضمّنة في EBS؛ لكن احرصوا على أن تسمح أذونات مفتاح KMS للحساب الوجهة باستخدام اللقطات المشفّرة.

شفّروا اللقطات الجنائية باستخدام KMS (خدمة إدارة المفاتيح)، حتى تظل البيانات الحساسة التي تحتوي عليها محمية أثناء التخزين.

تحكموا في الوصول عبر سياسة المفتاح: يجب ألا يتمكن من فك تشفير الأدلة إلا المحققون المصرّح لهم. يحمي ذلك بيانات الضحايا ويحافظ على الامتثال في عملية المعالجة.

على المدى الطويل، صدّروا الأدلة أو احتفظوا بها في وحدة تخزين لا يمكن تعديلها. تمنع حاوية S3 التي تستخدم Object Lock في وضع الامتثال الحذف أو الاستبدال خلال فترة احتفاظ محددة.

يحمي ذلك الأدلة من المهاجمين ومن الفقدان العرضي، ويعزز سلامة التحقيق.

في الحوادث سريعة التطور، تصبح اللقطات اليدوية عنق زجاجة. ويمكن لدالة Lambda تُشغَّل عند العثور على تهديد بواسطة GuardDuty أن تأخذ لقطات لجميع وحدات التخزين المتصلة تلقائيًا لحظة اكتشاف التهديد.

يلتقط الجمع الآلي أحدث حالة ممكنة، ويتيح للمستجيبين التركيز على التحليل.

مع تركيب نسخة للقراءة فقط على مثيلة جنائية، يبحث المحققون عن مؤشرات الاختراق: ملفات مشبوهة، وملفات تنفيذية معدّلة، ومهام cron غير متوقعة، وإدخالات في السجلات.

وبما أن العمل يجري على نسخة معزولة، يمكنكم إجراء فحص مكثف من دون أي خطر على الإنتاج أو على سلامة الدليل الأصلي.

عند انتهاء التحقيق، حدّدوا مصير اللقطة وفقًا للسياسة. فقد تتطلب الأدلة المرتبطة بمسائل قانونية أو تنظيمية فترة احتفاظ طويلة باستخدام Object Lock.

وإلا، فاحذفوا اللقطات الجنائية وفق جدول محدد حتى لا تتراكم البيانات الحساسة الملتقطة. وفي كلتا الحالتين، سجّلوا القرار حتى تظل سلسلة حيازة الأدلة سليمة من الالتقاط إلى التخلص.

اجمعوا الأدلة الجنائية بأخذ لقطة EBS لكل وحدة تخزين قبل تغيير المثيلة، وأفرغوا الذاكرة لالتقاط ما يوجد في RAM فقط. اعملوا دائمًا من نسخ للقراءة فقط، وضعوا علامات على كل شيء لحفظ سلسلة حيازة الأدلة، وانسخوا اللقطة المشفّرة إلى حساب الاستجابة للحوادث المعزول. احموها باستخدام KMS وObject Lock في S3، وأتمتوا الجمع انطلاقًا من العثور على التهديدات بواسطة GuardDuty، ثم حلّلوا النسخ على مثيلة جنائية محصّنة.