Livscyklussen for incident response på AWS

En sikkerhedshændelse er enhver begivenhed, der kan kompromittere fortroligheden, integriteten eller tilgængeligheden af dine AWS-ressourcer eller -data. Det kan være en lækket adgangsnøgle, en instans inficeret med malware eller en eksponeret S3-bucket.

Hændelsesreaktion (IR) er den strukturerede proces, hvor du forbereder dig på, opdager og gendanner efter disse begivenheder. I AWS giver skyen dig en hastighed og automatisering, som lokale teams kun kan drømme om.

AWS opdeler hændelsesreaktion i tre overordnede faser, hvor hver fase bygger videre på den foregående:

• Forberedelse — opret personer, processer og værktøjer, før noget sker.
• Drift — registrer, analysér, inddæm, fjern og genopret under en aktiv hændelse.
• Efter hændelsen — lær af det, der skete, og bliv bedre.

Disse faser svarer tæt til den klassiske NIST-livscyklus, som du forventes at kende til eksamen.

Forberedelse er den vigtigste fase, fordi det er den eneste, du kan styre, før presset opstår. Den omfatter udarbejdelse af runbooks, tildeling af de korrekte IAM-roller til indsatspersonalet på forhånd, aktivering af logning overalt og øvelser med beredskabsdage.

Et team, der forbereder sig, kan inddæmme en hændelse på få minutter. Et team, der improviserer, mister værdifuld tid på at beslutte, hvem der overhovedet har tilladelse til at handle.

Registrering omdanner rå signaler til en bekræftet hændelse. Tjenester som Amazon GuardDuty, AWS Security Hub og CloudTrail viser mistænkelig aktivitet.

Analyse besvarer derefter de vigtigste spørgsmål: Hvilken ressource er påvirket, hvordan kom angriberen ind, og hvad er skadeomfanget? Amazon Detective hjælper dig med at pivotere fra et enkelt fund til den fulde historie.

Inddæmning stopper blødningen uden at ødelægge evidensen. Du kan f.eks. isolere en EC2 (Elastic Compute Cloud)-instans med en begrænsende sikkerhedsgruppe, tilbagekalde en kompromitteret rollesession eller deaktivere en adgangsnøgle.

Målet er at begrænse skaden og samtidig bevare den tilstand, der er nødvendig for retsmedicinsk analyse. Hvis du handler for aggressivt, kan du slette netop de spor, som undersøgelsen afhænger af.

Udrensning fjerner angriberen og den grundlæggende årsag – ved at patche sårbarheden, slette bagdøre eller rotere alle eksponerede hemmeligheder.

Gendannelse bringer den normale drift tilbage: genopbygning af rene instanser fra betroede images, gendannelse af data fra sikkerhedskopier og bekræftelse af, at truslen virkelig er væk, før systemerne forbindes til produktionen igen.

Når støvet har lagt sig, skal du afholde en evaluering efter hændelsen uden at placere skyld. Dokumentér tidslinjen, hvad der virkede, hvad der mislykkedes, og konkrete forbedringer.

Opdatér driftsvejledninger, tilføj detektionskontroller, der ville have opdaget hændelsen tidligere, og automatisér trin, der blev udført manuelt. Hver hændelse er en mulighed for at gøre den næste indsats hurtigere og mere rolig.

Cloud ændrer IR. API'er giver dig mulighed for at tage et snapshot af en disk, ændre en sikkerhedsgruppe eller sætte en rolle i karantæne på få sekunder med ét kald. Infrastructure as code giver dig mulighed for at genopbygge rene miljøer efter behov.

Det betyder, at du kan foretrække ny udrulning frem for reparation – det er ofte hurtigere og sikrere at erstatte en kompromitteret instans med en ny end at rense den.

Klart ejerskab forebygger kaos. Definér, hvem der erklærer en hændelse, hvem der kommunikerer med interessenter, og hvem der sidder ved tastaturet.

Opret de IAM-roller på forhånd, som indsatsstyrken skal påtage sig, så adgangen er klar og kan auditeres. Modellen med delt ansvar gælder stadig: AWS sikrer cloudmiljøet, men det er dit ansvar at reagere på hændelser i dine konti.

Du ønsker ikke, at din første virkelige hændelse også skal være din første hændelse nogensinde. Beredskabsøvelser er simulerede hændelser, hvor teamet gennemgår driftsvejledningen fra start til slut.

De afslører mangler – manglende tilladelser, forældede kontaktlister og utestet automatisering – mens indsatsen er begrænset. Regelmæssig øvelse gør en skriftlig plan til indlærte rutiner.

Knyt tjenester til faser, så du ved, hvad du skal gribe til:

• Registrering: GuardDuty, Security Hub, CloudWatch-alarmer.
• Analyse: Detective, CloudTrail, Athena.
• Inddæmning: sikkerhedsgrupper, IAM, AWS Systems Manager.
• Gendannelse: sikkerhedskopier, AMI'er (Amazon Machine Images), CloudFormation.

Hændelseshåndtering på AWS omfatter forberedelse, registrering og analyse, inddæmning, udrensning, gendannelse og en gennemgang efter hændelsen. Forberedelse er den fase, du har fuld kontrol over, og beredskabsøvelser holder den skarp. Cloud giver dig mulighed for at inddæmme og genopbygge via API'er på få sekunder, så du kan foretrække ny udrulning frem for reparation. Inddæm omhyggeligt, så beviserne bevares, fjern derefter den grundlæggende årsag, og gendan fra betroede kilder.