Isolering af en ressource til retsmedicinsk analyse

Når en EC2-instans er kompromitteret, kan din første indskydelse være at lukke den ned. Lad være. Hvis du slukker den, ødelægger du den flygtige hukommelse og kan advare angriberen.

Isolering afskærer ressourcen fra netværket og andre systemer, mens den forbliver kørende og intakt til analyse. Stop spredningen uden at slette beviserne.

Den hurtigste måde at isolere en instans på er at tilknytte en tom sikkerhedsgruppe, der afviser al trafik. Da sikkerhedsgrupper er tilstandsbevarende og gælder direkte for instansen, stopper udskiftning med en gruppe uden regler stort set al ny trafik.

Nogle teams har en forudoprettet sikkerhedsgruppe til retsmedicinsk isolering klar, så inddæmningen kræver ét API-kald.

Indfang tilstanden, før du ændrer noget andet. Tag et EBS-snapshot (Elastic Block Store) af alle tilknyttede diskenheder for at fastfryse disken.

Hvis dine værktøjer understøtter det, skal du også dumpe instansens hukommelse, da malware ofte kun findes i RAM. Disse artefakter bliver de uforanderlige beviser, som din undersøgelse bygger på.

Mærk den isolerede instans og dens snapshots tydeligt – for eksempel Status=Quarantine – så ingen ved et uheld genbruger eller afslutter dem.

Registrér tidslinjen: hvornår du opdagede hændelsen, hvornår du isolerede den, og hvad du ændrede. En ubrudt beviskæde er vigtig, hvis resultaterne senere indgår i en juridisk eller compliance-relateret proces.

En kompromitteret instans har ofte en IAM-rolle via sin instansprofil, og angriberen bruger muligvis disse legitimationsoplysninger.

Fjern eller begræns rollen, og brug IAM-handlingen revoke active sessions til at ugyldiggøre midlertidige legitimationsoplysninger, der allerede er udstedt. Det forhindrer angriberen i at bevæge sig videre til andre tjenester med instansens identitet.

Hvis du vil opnå dybere inddæmning, kan du justere rutetabeller eller en netværks-ACL for at afskære subnettet, eller flytte instansen til et dedikeret karantænesubnet uden udgående rute.

Det er mere vidtgående end at udskifte en sikkerhedsgruppe, men nyttigt, når du har mistanke om, at angriberen selv kontrollerer instansens konfiguration.

Hent de relevante logfiler, før de bliver overskrevet. CloudTrail viser API-kald foretaget med instansens rolle, VPC Flow Logs viser dens netværksforbindelser, og eventuelle applikationslogfiler viser adfærd på værten.

Centraliseret logning betyder, at disse beviser overlever, selv hvis instansen senere slettes eller genopbygges.

Analysér aldrig en mistænkelig disk på et produktionssystem. Tilknyt kopien af EBS-snapshot'et til en hærdet retsmedicinsk instans i et isoleret miljø.

Montér disken skrivebeskyttet, så selve undersøgelsen ikke kan ændre beviserne. Arbejd ud fra kopier, aldrig originalerne.

Manuel isolering er langsom klokken tre om natten. Forbind GuardDuty-fund med EventBridge og en Lambda-funktion, der automatisk anvender den retsmedicinske sikkerhedsgruppe, tager snapshots af diskenheder og mærker instansen.

Automatisering forkorter det tidsrum, en angriber har mellem registrering og inddæmning, fra minutter til sekunder.

Når beviserne er indsamlet, skal du foretrække at genopbygge fra en betroet AMI frem for at rense den kompromitterede vært. Du kan sjældent være helt sikker på, at en bagdør er væk.

Den isolerede instans og dens snapshots forbliver i karantæne til undersøgelse, mens en ny, patchet instans overtager produktionsopgaverne.

Før en præcis registrering under hele isoleringen: hvornår hver handling blev udført, af hvem og hvorfor. CloudTrail registrerer API-kaldene, men du skal supplere med den menneskelige kontekst.

Denne tidslinje er afgørende for gennemgangen efter hændelsen og for enhver juridisk eller compliance-relateret opfølgning. Den omdanner en hektisk indsats til dokumenterbare og auditerbare beviser.

Hvis du vil isolere en kompromitteret ressource, skal du lade den køre, men afskære netværket med en sikkerhedsgruppe, der afviser al trafik. Tag derefter snapshots af EBS-diskenheder, og indfang hukommelsen, før noget ændres. Tilbagekald instansens rolle og dens aktive sessioner, mærk alt som karantæne, og hent CloudTrail og Flow Logs tidligt. Analysér kopier på en skrivebeskyttet retsmedicinsk instans, automatisér trinnene med EventBridge og Lambda, og genopbyg fra en betroet AMI i stedet for at reparere.