Eine Ressource für die Forensik isolieren

Wenn eine EC2-Instanz kompromittiert wurde, möchten Sie sie möglicherweise sofort herunterfahren. Widerstehen Sie diesem Impuls. Das Ausschalten zerstört den flüchtigen Arbeitsspeicher und kann den Angreifer alarmieren.

Isolation trennt die Ressource vom Netzwerk und von anderen Systemen, während sie für die Analyse weiterläuft und unverändert bleibt. Stoppen Sie die Ausbreitung, ohne die Beweise zu löschen.

Am schnellsten isolieren Sie eine Instanz, indem Sie eine leere Security Group anhängen, die sämtlichen Datenverkehr verweigert. Da Security Groups zustandsbehaftet sind und direkt auf die Instanz angewendet werden, stoppt das Austauschen gegen eine Gruppe ohne Regeln praktisch den gesamten neuen Datenverkehr.

Manche Teams halten eine vorbereitete Security Group für die forensische Isolation bereit, sodass die Eindämmung mit einem einzigen API-Aufruf möglich ist.

Erfassen Sie den Zustand, bevor Sie etwas anderes ändern. Erstellen Sie für jedes angehängte Volume einen EBS-(Elastic Block Store-)Snapshot, um den Datenträger einzufrieren.

Wenn Ihre Tools dies unterstützen, sichern Sie zusätzlich den Arbeitsspeicher der Instanz, da sich Malware häufig ausschließlich im RAM befindet. Diese Artefakte bilden die unveränderlichen Beweise, auf denen Ihre Untersuchung aufbaut.

Markieren Sie die isolierte Instanz und ihre Snapshots eindeutig – beispielsweise mit Status=Quarantine –, damit sie niemand versehentlich wiederverwendet oder beendet.

Dokumentieren Sie den zeitlichen Ablauf: wann Sie den Vorfall entdeckt und isoliert haben und was Sie geändert haben. Eine lückenlose Beweiskette ist wichtig, wenn Erkenntnisse später in rechtliche oder Compliance-Prozesse einfließen.

Eine kompromittierte Instanz verfügt häufig über ihr Instance Profile über eine IAM-Rolle, deren Anmeldedaten der Angreifer möglicherweise verwendet.

Entfernen oder beschränken Sie die Rolle und verwenden Sie die IAM-Aktion revoke active sessions, um bereits ausgegebene temporäre Anmeldedaten ungültig zu machen. Dadurch verhindern Sie, dass der Angreifer mit der Identität der Instanz auf andere Services ausweicht.

Für eine weitergehende Eindämmung können Sie Routingtabellen oder eine Network ACL anpassen, um das Subnetz abzutrennen, oder die Instanz in ein dediziertes Quarantäne-Subnetz ohne ausgehenden Pfad verschieben.

Dies ist weitreichender als das Austauschen einer Security Group, aber hilfreich, wenn Sie vermuten, dass der Angreifer die Konfiguration der Instanz selbst kontrolliert.

Rufen Sie die relevanten Logs ab, bevor sie überschrieben werden. CloudTrail zeigt API-Aufrufe, die mit der Rolle der Instanz ausgeführt wurden, VPC Flow Logs zeigen ihre Netzwerkverbindungen und Anwendungslogs geben Aufschluss über Aktivitäten auf dem Host.

Zentralisierte Protokollierung stellt sicher, dass diese Beweise erhalten bleiben, selbst wenn die Instanz später gelöscht oder neu aufgebaut wird.

Analysieren Sie einen verdächtigen Datenträger niemals auf einem Produktionssystem. Hängen Sie die Kopie des EBS-Snapshots an eine gehärtete forensische Instanz in einer isolierten Umgebung an.

Hängen Sie das Volume schreibgeschützt ein, damit die Untersuchung selbst die Beweise nicht verändern kann. Arbeiten Sie mit Kopien, niemals mit den Originalen.

Eine manuelle Isolation dauert um drei Uhr morgens zu lange. Verknüpfen Sie GuardDuty-Funde mit EventBridge und einer Lambda-Funktion, die automatisch die forensische Security Group anwendet, Volumes als Snapshots sichert und die Instanz markiert.

Automatisierung verkürzt das Zeitfenster zwischen Erkennung und Eindämmung, in dem ein Angreifer handeln kann, von Minuten auf Sekunden.

Sobald die Beweise gesichert sind, sollten Sie den kompromittierten Host bevorzugt aus einer vertrauenswürdigen AMI neu aufbauen, statt ihn zu bereinigen. Sie können nur selten mit vollständiger Sicherheit feststellen, dass eine Backdoor entfernt wurde.

Die isolierte Instanz und ihre Snapshots bleiben zur Untersuchung unter Quarantäne, während eine frische, gepatchte Instanz die Aufgaben in der Produktion übernimmt.

Führen Sie während der gesamten Isolation ein genaues Protokoll: wann welche Aktion von wem und warum durchgeführt wurde. CloudTrail erfasst die API-Aufrufe, aber ergänzen Sie diese um den menschlichen Kontext.

Dieser Zeitablauf ist für die Nachbereitung des Incidents sowie für rechtliche oder Compliance-bezogene Nacharbeiten unerlässlich. Er macht aus einer hektischen Reaktion belastbare, auditierbare Beweise.

Wählen Sie die sicherste Maßnahme zur Eindämmung.

Um eine kompromittierte Ressource zu isolieren, lassen Sie sie weiterlaufen, trennen sie aber mit einer Security Group, die sämtlichen Datenverkehr verweigert, vom Netzwerk. Erstellen Sie anschließend Snapshots der EBS-Volumes und sichern Sie den Arbeitsspeicher, bevor sich etwas ändert. Entziehen Sie der Instanz ihre Rolle und deren aktive Sitzungen, markieren Sie alles als Quarantäne und sichern Sie CloudTrail- und Flow-Logs frühzeitig. Analysieren Sie Kopien auf einer schreibgeschützten forensischen Instanz, automatisieren Sie die Schritte mit EventBridge und Lambda und bauen Sie die Umgebung aus einer vertrauenswürdigen AMI neu auf, statt sie zu reparieren.