Klargøring af en IR-konto og et værktøjssæt

Modne AWS-organisationer opretter en separat sikkerheds- eller hændelseshåndteringskonto. Den er isoleret fra produktionen, så en angriber, der kompromitterer en arbejdsbelastning, ikke kan få adgang til dine undersøgelsesværktøjer eller beviser.

Denne konto indeholder retsmedicinske ressourcer, centraliserede logfiler og de roller, indsatsstyrken påtager sig, når en hændelse begynder.

Hvis logfiler og værktøjer lå på den samme konto som bruddet, kunne angriberen slette dem for at skjule sine spor.

En isoleret IR-konto, ofte sammen med en separat konto til logarkivering, holder beviser og funktioner uden for angriberens rækkevidde, selv under et fuldstændigt kompromis af produktionsmiljøet.

Definer de IAM-roller, som beredskabet skal påtage sig, før en hændelse opstår. Roller på tværs af konti lader din IR-konto få adgang til en kompromitteret konto for at tage øjebliksbilleder af diske eller ændre sikkerhedsgrupper.

Disse roller har et stramt afgrænset omfang, logges grundigt, og der udløses alarmer ved brug af dem, så udvidet adgang er klar med det samme uden nogensinde at blive misbrugt i det skjulte.

Udstyr IR-kontoen med værktøjer, der er klar til brug: en hærdet retsmedicinsk AMI, scripts til at indsamle og montere diskenheder skrivebeskyttet samt automatiseringsdokumenter til almindelige inddæmningsskridt.

Hvis du bygger dette på forhånd, kan beredskabet bruge tiden på at undersøge i stedet for at samle værktøjer, mens tiden løber.

Saml CloudTrail, VPC Flow Logs og Config-historik i IR-kontoen eller kontoen til logarkivering.

Centralisering giver efterforskerne ét sted, de kan stole på, til forespørgsler med Athena, og sikrer, at revisionssporet overlever, selv hvis individuelle konti slettes. Det er rygraden i enhver AWS-undersøgelse.

Gem indsamlede beviser i en S3-bucket med Object Lock i overensstemmelsestilstand, så selv en administrator ikke kan slette eller overskrive dem i en fastsat opbevaringsperiode.

Det garanterer en dokumenterbar beviskæde og beskytter beviserne mod både angribere og hændeligt tab.

Implementer på forhånd de EventBridge-regler, Lambda-funktioner og SSM Automation-dokumenter, der udfører isolering og indsamling.

Når en GuardDuty-finding indtræffer, kan automatiseringen sætte ressourcen i karantæne på få sekunder. At have bygget og testet det på forhånd er forskellen på en hurtig og en kluntet reaktion.

Forbered kommunikation uden for det berørte miljø. Hvis angriberen befinder sig i dit miljø, kan du ikke stole på intern mail eller chat, som måske overvåges.

Hav en separat kanal, en opdateret kontaktliste og en eskaleringsvej klar. At vide præcis, hvem du skal ringe til, og hvordan du gør det, er en del af værktøjssættet.

En uprøvet IR-konto giver en falsk tryghed. Gennemfør øvelsesdage, der afprøver antagelse af roller på tværs af konti, indsamling af beviser og automatiseringen fra ende til anden.

Test afslører udløbne tilladelser, ødelagte scripts og mangler, mens det er billigt at rette dem — længe før en virkelig angriber tvinger dig til at håndtere problemet.

Selv beredskabet følger princippet om mindst mulige privilegier. IR-roller giver præcis de handlinger, der er nødvendige for undersøgelse og inddæmning, og ikke mere.

Nødroller med bredere beføjelser findes, men forbliver inaktive, udløser alarmer, når de bruges, og gennemgås bagefter. Kraftig adgang, der altid er aktiveret, er i sig selv en risiko.

En IR-konto forringes, hvis den forsømmes. Tilladelser udløber, AMI'er bliver forældede, og automatiseringen afviger fra det aktive miljø.

Behandl kontoen som levende infrastruktur: administrer den som kode, opdater den retsmedicinske AMI, udskift eventuelle legitimationsoplysninger, og gennemgå tilliden på tværs af konti regelmæssigt, så værktøjssættet reelt er klar, i samme øjeblik en hændelse erklæres.

Forbered en dedikeret, isoleret IR-konto med klargjorte roller på tværs af konti, et retsmedicinsk værktøjssæt og centraliseret logning, der overlever et kompromis af produktionsmiljøet. Gem beviser i Object Lock-bucketer for at sikre en uforanderlig beviskæde, implementer isoleringsautomatisering på forhånd, og hav en kommunikationsvej uden for det berørte miljø klar. Anvend princippet om mindst mulige privilegier, også for beredskabet, og bevis gennem regelmæssige øvelsesdage, at hele opsætningen fungerer.