Volumes für die Forensik als Snapshot sichern

Sichern Sie den Datenträger, bevor Sie eine kompromittierte Instance verändern. Ein EBS-Snapshot ist eine zeitpunktbezogene Kopie eines Elastic Block Store-Volumes, die dauerhaft in S3 gespeichert wird.

Er friert den genauen Zustand des Datenträgers zum Zeitpunkt der Erstellung ein und bietet Ermittlern damit eine unveränderliche Grundlage für die Analyse, selbst wenn das aktive System isoliert oder neu erstellt wird.

Ein EBS-Snapshot ist blockbasiert und inkrementell: Der erste Snapshot erfasst alle verwendeten Blöcke, spätere speichern nur Änderungen. Trotzdem ist jeder Snapshot eine vollständige, wiederherstellbare Kopie des Volumes.

Er bewahrt das Dateisystem, Malware auf dem Datenträger, Logs und die Konfiguration exakt in ihrem ursprünglichen Zustand – das Rohmaterial einer forensischen Untersuchung.

Die wichtigste Regel der Forensik lautet, die ursprünglichen Beweise niemals zu verändern. Arbeiten Sie ausschließlich mit Kopien des Snapshots.

Erstellen Sie aus dem Snapshot ein neues Volume, binden Sie es in eine forensische Instance ein und mounten Sie es schreibgeschützt, damit die Untersuchung kein einziges Byte des erfassten Zustands verändern kann.

Datenträger-Snapshots erfassen nicht, was ausschließlich im Arbeitsspeicher vorhanden ist – etwa dateilose Malware, Entschlüsselungsschlüssel und aktive Netzwerkverbindungen.

Erstellen Sie auch einen Speicherauszug der Instance, sofern Ihre forensischen Werkzeuge dies unterstützen. Zusammen liefern der Datenträger-Snapshot und das Speicherabbild das vollständigste mögliche Bild der Kompromittierung.

Versehen Sie jeden Snapshot mit der Quell-Instance, der Incident-ID und dem Erfassungszeitpunkt. Eindeutige Tags verhindern versehentliches Löschen und sorgen für eine geordnete Beweisverwaltung.

Dokumentieren Sie, wer was wann erfasst hat. Eine belastbare Beweiskette ist wichtig, falls die Ergebnisse später rechtliche oder regulatorische Maßnahmen unterstützen.

Kopieren Sie den Snapshot in Ihr isoliertes Forensik- oder IR-Konto, damit die Beweise außerhalb der Reichweite eines Angreifers liegen, der im kompromittierten Konto noch aktiv ist.

Das kontoübergreifende Freigeben und Kopieren von Snapshots ist eine integrierte EBS-Funktion. Stellen Sie lediglich sicher, dass die Berechtigungen des KMS-Schlüssels dem Zielkonto die Verwendung verschlüsselter Snapshots erlauben.

Verschlüsseln Sie forensische Snapshots mit KMS (Key Management Service), damit die darin enthaltenen sensiblen Daten im Ruhezustand geschützt bleiben.

Steuern Sie den Zugriff über die Schlüsselrichtlinie: Nur autorisierte Ermittler sollten die Beweise entschlüsseln können. So schützen Sie Daten der Betroffenen und erfüllen Ihre Compliance-Anforderungen.

Exportieren oder bewahren Sie Beweise langfristig in einem Speicher auf, der nicht verändert werden kann. Ein S3-Bucket mit Object Lock im Compliance-Modus verhindert während eines festgelegten Aufbewahrungszeitraums das Löschen oder Überschreiben.

Dies schützt die Beweise sowohl vor Angreifern als auch vor versehentlichem Verlust und stärkt die Integrität Ihrer Untersuchung.

Bei einem sich schnell entwickelnden Incident sind manuelle Snapshots ein Engpass. Eine durch ein GuardDuty-Finding ausgelöste Lambda-Funktion kann im Moment der Erkennung einer Bedrohung automatisch Snapshots aller angeschlossenen Volumes erstellen.

Die automatisierte Erfassung sichert den aktuellsten möglichen Zustand und gibt den Einsatzkräften Zeit, sich auf die Analyse zu konzentrieren.

Wenn eine schreibgeschützte Kopie auf einer forensischen Instance eingebunden ist, suchen Ermittler nach Kompromittierungsindikatoren: verdächtigen Dateien, veränderten Binärdateien, unerwarteten Cron-Jobs und Logeinträgen.

Da die Arbeit auf einer isolierten Kopie stattfindet, können Sie umfassend untersuchen, ohne die Produktion oder die Integrität der ursprünglichen Beweise zu gefährden.

Entscheiden Sie nach Abschluss der Untersuchung gemäß den Richtlinien über das weitere Schicksal des Snapshots. Beweise im Zusammenhang mit rechtlichen oder regulatorischen Angelegenheiten müssen möglicherweise lange unter Object Lock aufbewahrt werden.

Löschen Sie forensische Snapshots andernfalls nach einem festgelegten Zeitplan, damit sich keine sensiblen erfassten Daten ansammeln. Halten Sie die Entscheidung in jedem Fall fest, damit die Beweiskette von der Erfassung bis zur Löschung lückenlos bleibt.

Schützen Sie die Beweise ordnungsgemäß.

Erfassen Sie forensische Beweise, indem Sie vor jeder Änderung an der Instance von jedem Volume einen EBS-Snapshot erstellen und den Arbeitsspeicher für ausschließlich dort vorhandene Daten auslesen. Arbeiten Sie immer mit schreibgeschützten Kopien, versehen Sie alles für die Beweiskette mit Tags und kopieren Sie den verschlüsselten Snapshot in ein isoliertes IR-Konto. Schützen Sie ihn mit KMS und S3-Object Lock, automatisieren Sie die Erfassung ausgehend von GuardDuty-Findings und analysieren Sie Kopien auf einer gehärteten forensischen Instance.