Puesta en cuarentena de una instancia EC2 comprometida

Si GuardDuty o su sistema de monitorización muestra que una instancia de EC2 realiza conexiones salientes maliciosas, mina criptomonedas o analiza su red, debe ponerse en cuarentena.

La cuarentena aísla la instancia de todo lo demás para que no pueda causar más daños, pero la mantiene activa para investigarla en lugar de eliminar las pruebas.

La forma más limpia de poner una instancia en cuarentena es reemplazar sus grupos de seguridad por un único grupo forense sin reglas de entrada y, preferiblemente, sin reglas de salida.

Como los grupos de seguridad tienen estado y están asociados a la instancia, esto corta de inmediato prácticamente todas las conexiones nuevas sin afectar a nada más de la subred.

Detener o terminar la instancia vacía la RAM, donde suele residir gran parte del malware, y puede destruir artefactos del atacante.

La cuarentena mantiene la instancia activa, pero aislada, para que pueda crear una instantánea del disco, volcar la memoria y observar su comportamiento. Erradique la amenaza solo después de capturar las pruebas de forma segura.

Una instancia comprometida suele tener un rol de IAM mediante su perfil de instancia, y el atacante puede estar exfiltrando esas credenciales temporales para utilizarlas en otros lugares.

Reemplace o elimine el rol y revoque las sesiones activas para que las credenciales robadas dejen de funcionar en todos los servicios de AWS, no solo en la propia instancia.

Cree inmediatamente una instantánea de cada volumen EBS asociado para congelar el disco y capture la memoria si sus herramientas lo permiten.

Etiquete estos artefactos como pruebas de cuarentena. Montar copias de las instantáneas en modo de solo lectura en una instancia forense independiente le permite investigar sin modificar los originales ni arriesgarse a una reinfección.

Como capa adicional, puede añadir una regla de denegación en la ACL de red de la subred para la IP privada de la instancia.

Las NACL no tienen estado y se aplican en el límite de la subred, por lo que detectan cualquier ruta que un cambio en el grupo de seguridad pudiera pasar por alto. Úsela como refuerzo, no como control principal.

Si la instancia se encuentra detrás de un Elastic Load Balancer o pertenece a un grupo de Auto Scaling, anule su registro para detener el tráfico que recibe.

Ponga la instancia de Auto Scaling en standby o sepárela para que el grupo no destruya sus pruebas al reemplazar lo que considera un host en mal estado.

A escala, los pasos manuales son demasiado lentos. Un patrón habitual es: hallazgo de GuardDuty, regla de EventBridge y Lambda, que cambia el grupo de seguridad, crea instantáneas de los volúmenes, elimina el rol y etiqueta la instancia.

Esto convierte una respuesta de varios pasos en una única acción automatizada que se ejecuta en cuestión de segundos desde la detección.

La cuarentena le da tiempo para averiguar cómo entró el atacante. Revise CloudTrail, VPC Flow Logs y los registros del host para encontrar el punto de entrada: un puerto expuesto, una vulnerabilidad sin parchear o una credencial robada.

Sin conocer la causa raíz, una instancia reconstruida puede verse comprometida exactamente de la misma manera.

Después de capturar las pruebas y comprender la causa raíz, sustituya la instancia por una AMI limpia y parcheada en lugar de limpiar la infectada.

Rara vez se puede garantizar que una puerta trasera se haya eliminado por completo. Volver a desplegar desde una imagen de confianza es más rápido y mucho más fiable que limpiar un host comprometido.

Marque la instancia en cuarentena y sus instantáneas con etiquetas claras como Status=Quarantine y el ID del incidente, para que ninguna automatización ni ningún operador la devuelva accidentalmente al servicio o elimine las pruebas.

Supervise el proceso hasta su cierre en el registro del incidente y confirme tanto que la amenaza está contenida como que los artefactos forenses se han conservado.

Elija el paso correcto relacionado con las credenciales.

Ponga en cuarentena una instancia de EC2 comprometida sustituyendo su grupo de seguridad por uno que deniegue todo mientras la mantiene activa; después, cree instantáneas de los volúmenes EBS y capture la memoria antes de cambiar nada. Elimine el rol del perfil de instancia y revoque las sesiones activas para inutilizar las credenciales robadas, sepárela de los balanceadores de carga y de Auto Scaling, y añada un refuerzo con una NACL. Automatice todo el flujo desde GuardDuty, investigue la causa raíz y reconstruya la instancia a partir de una AMI de confianza.