عزل مورد لأغراض التحليل الجنائي

عندما تتعرض نسخة EC2 للاختراق، قد تكون غريزتكم هي إيقاف تشغيلها. قاوموا ذلك. فإيقاف التشغيل يؤدي إلى فقدان الذاكرة المتطايرة وقد ينبه المهاجم.

يقطع العزل اتصال المورد بالشبكة والأنظمة الأخرى مع إبقائه قيد التشغيل وسليمًا للتحليل. أوقفوا انتشار الهجوم من دون محو الأدلة.

أسرع طريقة لعزل نسخة هي إرفاق مجموعة أمان فارغة تمنع جميع الاتصالات. وبما أن مجموعات الأمان ذات حالة وتُطبّق مباشرةً على النسخة، فإن استبدالها بمجموعة لا تحتوي على قواعد يوقف فعليًا كل حركة المرور الجديدة.

تحتفظ بعض الفرق بمجموعة أمان جاهزة للعزل الجنائي، بحيث يصبح الاحتواء استدعاء API واحدًا.

قبل تغيير أي شيء آخر، التقطوا حالة النظام. أنشئوا لقطة EBS (Elastic Block Store) لكل وحدة تخزين مرفقة لتثبيت حالة القرص.

إذا كانت أدواتكم تدعم ذلك، فافرغوا ذاكرة النسخة أيضًا، إذ إن البرمجيات الخبيثة غالبًا ما توجد في RAM فقط. وتصبح هذه العناصر أدلة ثابتة تعملون انطلاقًا منها أثناء التحقيق.

أضيفوا علامات واضحة إلى النسخة المعزولة ولقطاتها — مثل Status=Quarantine — حتى لا يعيد أحد استخدامها أو ينهيها عن طريق الخطأ.

سجّلوا التسلسل الزمني: متى اكتشفتم الحادثة، ومتى عزلتموها، وما الذي غيّرتموه. فسلامة سلسلة حيازة الأدلة مهمة إذا أُدرجت النتائج لاحقًا ضمن إجراء قانوني أو متعلق بالامتثال.

غالبًا ما تحمل النسخة المتأثرة دور IAM من خلال ملف تعريف النسخة، وقد يكون المهاجم يستخدم بيانات الاعتماد تلك.

أزيلوا الدور أو قيّدوه، واستخدموا إجراء IAM revoke active sessions لإبطال بيانات الاعتماد المؤقتة التي أُصدرت بالفعل. ويمنع ذلك المهاجم من الانتقال إلى خدمات أخرى باستخدام هوية النسخة.

لتحقيق احتواء أعمق، يمكنكم تعديل جداول التوجيه أو ACL للشبكة لقطع الاتصال عن الشبكة الفرعية، أو نقل النسخة إلى شبكة فرعية مخصصة للحجر لا تحتوي على مسار صادر.

هذا الإجراء أكثر تشددًا من تبديل مجموعة الأمان، لكنه مفيد عندما تشتبهون في أن المهاجم يتحكم في إعدادات النسخة نفسها.

استخرجوا السجلات ذات الصلة قبل تدويرها. يعرض CloudTrail استدعاءات API المنفذة باستخدام دور النسخة، وتعرض VPC Flow Logs اتصالاتها الشبكية، بينما توضح أي سجلات للتطبيق سلوكها على المضيف.

يضمن التسجيل المركزي بقاء هذه الأدلة حتى إذا مُسحت النسخة لاحقًا أو أُعيد بناؤها.

لا تحللوا قرصًا مشتبهًا فيه على نظام إنتاج. أرفقوا نسخة من لقطة EBS بـ نسخة جنائية محصّنة في بيئة معزولة.

ثبّتوا وحدة التخزين للقراءة فقط حتى لا يؤدي التحقيق إلى تغيير الأدلة. اعملوا على النسخ، وليس على الأصول مطلقًا.

يكون العزل اليدوي بطيئًا في الثالثة صباحًا. اربطوا العثور على التهديدات في GuardDuty بـ EventBridge ودالة Lambda تطبق مجموعة الأمان الجنائي تلقائيًا، وتنشئ لقطات لوحدات التخزين، وتضيف علامات إلى النسخة.

تقلص الأتمتة الفترة التي يملكها المهاجم بين الكشف والاحتواء من دقائق إلى ثوانٍ.

بعد التقاط الأدلة، فضّلوا إعادة البناء من AMI موثوقة بدلًا من تنظيف المضيف المتأثر. فمن النادر أن تتمكنوا من التأكد تمامًا من زوال باب خلفي.

تبقى النسخة المعزولة ولقطاتها في الحجر لأغراض التحقيق، بينما تتولى نسخة جديدة ومصححة مهام الإنتاج.

خلال عملية العزل، احتفظوا بسجل دقيق: متى اتُخذ كل إجراء، ومن اتخذه، ولماذا. يلتقط CloudTrail استدعاءات API، لكن أضيفوا إليها السياق البشري.

يُعد هذا التسلسل الزمني ضروريًا للمراجعة اللاحقة للحادثة ولأي متابعة قانونية أو متعلقة بالامتثال، إذ يحوّل الاستجابة المحمومة إلى أدلة قابلة للدفاع عنها والتدقيق فيها.

اختاروا إجراء الاحتواء الأكثر أمانًا.

لعزل مورد متأثر، أبقوه قيد التشغيل لكن اقطعوا اتصاله بالشبكة باستخدام مجموعة أمان تمنع جميع الاتصالات، ثم أنشئوا لقطات لوحدات تخزين EBS والتقطوا الذاكرة قبل تغيير أي شيء. أَبطلوا دور النسخة وجلساته النشطة، وأضيفوا علامة الحجر إلى كل شيء، واستخرجوا CloudTrail وFlow Logs مبكرًا. حلّلوا النسخ على نسخة جنائية للقراءة فقط، وأتمتوا الخطوات باستخدام EventBridge وLambda، وأعيدوا البناء من AMI موثوقة بدلًا من الإصلاح.