AWS:n tietoturvapoikkeaman käsittelyn elinkaari

Tietoturvatapahtuma on mikä tahansa tapahtuma, joka voi vaarantaa AWS-resurssiesi tai tietojesi luottamuksellisuuden, eheyden tai saatavuuden. Se voi olla vuotanut käyttöavain, haittaohjelman saastuttama instanssi tai paljastunut S3-säilö.

Incident response (IR) eli tapahtumiin reagointi on jäsennelty prosessi, jossa näihin tapahtumiin varaudutaan, ne havaitaan ja niistä palaudutaan. AWS:ssä pilvi tarjoaa nopeutta ja automaatiota, josta paikallisia ympäristöjä hallinnoivat tiimit voivat vain haaveilla.

AWS jakaa tapahtumiin reagoinnin kolmeen laajaan vaiheeseen, joista jokainen rakentuu edellisen päälle:

• Valmistautuminen — määritä henkilöt, prosessit ja työkalut ennen tapahtumia.
• Toiminta — havaitse, analysoi, rajoita, poista uhka ja palauta toiminta aktiivisen tapahtuman aikana.
• Tapahtuman jälkeiset toimet — opi tapahtuneesta ja kehitä toimintaa.

Nämä vastaavat pitkälti klassista NIST-elinkaarta, joka sinun odotetaan tuntevan kokeessa.

Valmistautuminen on tärkein vaihe, koska se on ainoa, johon voit vaikuttaa ennen paineen alkamista. Siihen kuuluvat toimintaohjeiden laatiminen, oikeiden IAM-roolien myöntäminen reagoijille etukäteen, lokituksen ottaminen käyttöön kaikkialla ja harjoittelu pelipäivien avulla.

Valmistautunut tiimi voi rajoittaa tapahtuman minuuteissa. Improvisoiva tiimi menettää arvokasta aikaa pohtiessaan, kenellä ylipäätään on oikeus toimia.

Havaitseminen muuttaa raakasignaalit vahvistetuksi tapahtumaksi. Amazon GuardDuty, AWS Security Hub ja CloudTrail kaltaiset palvelut tuovat epäilyttävän toiminnan esiin.

Analysointi vastaa sitten tärkeisiin kysymyksiin: mihin resurssiin vaikutus kohdistuu, miten hyökkääjä pääsi sisään ja mikä on vaikutusalue? Amazon Detective auttaa siirtymään yksittäisestä havainnosta koko tapahtumaketjuun.

Rajoittaminen pysäyttää vahinkojen leviämisen tuhoamatta näyttöä. Voit esimerkiksi eristää EC2 (Elastic Compute Cloud) -instanssin rajoittavalla suojausryhmällä, peruuttaa vaarantuneen rooli-istunnon tai poistaa käyttöavaimen käytöstä.

Tavoitteena on rajoittaa vahinkoja ja säilyttää samalla rikosteknistä tutkintaa varten tarvittava tila. Liian aggressiiviset toimet voivat hävittää juuri ne johtolangat, joista tutkinta riippuu.

Hävittäminen poistaa hyökkääjän ja ongelman perimmäisen syyn — haavoittuvuus paikataan, takaovet poistetaan ja kaikki paljastuneet salaisuudet vaihdetaan.

Palautuminen palauttaa normaalin toiminnan: puhtaat instanssit rakennetaan uudelleen luotettavista näköistiedostoista, tiedot palautetaan varmuuskopioista ja varmistetaan, että uhka on todella poistunut, ennen kuin järjestelmät yhdistetään takaisin tuotantoon.

Kun tilanne on rauhoittunut, pitäkää syyllisiä etsimätön jälkianalyysi. Dokumentoikaa aikajana, se mikä toimi, se mikä epäonnistui sekä konkreettiset parannukset.

Päivittäkää toimintakäsikirjat, lisätkää havainnointikontrolleja, jotka olisivat havainneet tilanteen aiemmin, ja automatisoikaa käsin tehdyt vaiheet. Jokainen häiriötilanne tarjoaa mahdollisuuden tehdä seuraavasta reagoinnista nopeampaa ja rauhallisempaa.

Pilvi muuttaa häiriötilanteisiin reagointia. API-rajapintojen avulla voitte ottaa levystä tilannevedoksen, muuttaa suojausryhmää tai eristää roolin sekunneissa yhdellä kutsulla. Infrastructure as code -menetelmän avulla voitte rakentaa puhtaita ympäristöjä tarvittaessa.

Tämän ansiosta voitte suosia uudelleenkäyttöönottoa korjaamisen sijaan — vaarantuneen instanssin korvaaminen uudella on usein nopeampaa ja turvallisempaa kuin sen puhdistaminen.

Selkeä vastuunjako ehkäisee kaaosta. Määritelkää, kuka ilmoittaa häiriötilanteesta, kuka viestii sidosryhmille ja kuka käyttää näppäimistöä.

Luokaa etukäteen IAM-roolit, joita reagoijat käyttävät, jotta käyttöoikeudet ovat valmiina ja niiden käyttö voidaan auditoida. Jaetun vastuun malli on edelleen voimassa: AWS suojaa pilven, mutta omissa tileissänne tapahtumiin reagoiminen on teidän tehtävänne.

Ette halua, että ensimmäinen todellinen häiriötilanteenne on samalla ensimmäinen kerta, kun käsittelette häiriötilannetta. Game Day -harjoitukset ovat simuloituja tapahtumia, joissa tiimi harjoittelee toimintakäsikirjan läpikäyntiä alusta loppuun.

Ne paljastavat puutteet — puuttuvat käyttöoikeudet, vanhentuneet yhteystietolistat ja testaamattoman automaation — kun panokset ovat vielä pienet. Säännöllinen harjoittelu muuttaa kirjallisen suunnitelman selkäytimen toiminnaksi.

Yhdistäkää palvelut vaiheisiin, jotta tiedätte, mihin tarttua:

• Havaitseminen: GuardDuty, Security Hub, CloudWatch-hälytykset.
• Analysointi: Detective, CloudTrail, Athena.
• Rajaaminen: suojausryhmät, IAM, AWS Systems Manager.
• Palautuminen: varmuuskopiot, AMI:t (Amazon Machine Images), CloudFormation.

AWS:n häiriötilanteisiin reagointi etenee vaiheiden valmistelu, havaitseminen ja analysointi, rajaaminen, hävittäminen, palautuminen sekä häiriötilanteen jälkeinen tarkastelu kautta. Valmistelu on vaihe, jota hallitsette täysin, ja Game Day -harjoitukset pitävät taidot terävinä. Pilven avulla voitte rajata tilanteen ja rakentaa ympäristön uudelleen API-rajapinnoilla sekunneissa, mikä suosii uudelleenkäyttöönottoa korjaamisen sijaan. Rajatkaa tilanne huolellisesti, jotta todisteet säilyvät, poistakaa sitten perimmäinen syy ja palautukaa luotettavista lähteistä.