IR-tilin ja työkalupakin valmistelu

Kehittyneet AWS-organisaatiot luovat erillisen turvallisuus- tai häiriötilanteisiin reagoinnin tilin. Se on eristetty tuotannosta, joten työkuorman vaarantava hyökkääjä ei pääse käsiksi tutkintatyökaluihinne tai todisteisiinne.

Tili sisältää rikostekniset resurssit, keskitetyt lokit ja roolit, joita reagoijat käyttävät tapahtuman alkaessa.

Jos lokit ja työkalut olisivat samassa tilissä kuin tietomurto, hyökkääjä voisi poistaa ne jälkiensä peittämiseksi.

Eristetty IR-tili, johon liittyy usein erillinen lokien arkistointitili, pitää todisteet ja toimintamahdollisuudet hyökkääjän ulottumattomissa myös silloin, kun tuotantoympäristö on täysin vaarantunut.

Määritä roolit, joita vastaajat käyttävät, ennen tietoturvapoikkeamaa. Tilien väliset roolit mahdollistavat sen, että IR-tili voi käyttää vaarantunutta tiliä esimerkiksi levyjen tilannevedosten luomiseen tai suojausryhmien muuttamiseen.

Näiden roolien käyttöoikeudet on rajattu tarkasti, niiden käyttö kirjataan kattavasti ja siitä luodaan hälytykset. Näin laajennetut käyttöoikeudet ovat heti käytettävissä, mutta niitä ei voi käyttää huomaamatta väärin.

Varusta IR-tili valmiiksi käytettävillä työkaluilla: suojatulla forensiikan AMI-levykuvalla, skripteillä levyjen hankkimiseen ja liittämiseen vain luku -tilassa sekä yleisten eristystoimien automaatioasiakirjoilla.

Kun nämä rakennetaan etukäteen, vastaajat voivat keskittyä tutkimiseen sen sijaan, että he kokoaisivat työkaluja ajan kuluessa.

Kokoa CloudTrail-, VPC Flow Logs- ja Config-historia IR-tiliin tai lokien arkistointitiliin.

Keskittäminen tarjoaa tutkijoille yhden luotettavan paikan kyselyille Athenalla ja varmistaa, että auditointijälki säilyy, vaikka yksittäiset tilit tyhjennettäisiin. Se on jokaisen AWS-tutkinnan perusta.

Tallenna kerätyt todisteet S3-säilöön, jossa Object Lock on käytössä compliance-tilassa. Tällöin edes järjestelmänvalvoja ei voi poistaa tai korvata niitä määritetyn säilytysajan aikana.

Tämä takaa aukottomasti perusteltavan todisteiden hallintaketjun ja suojaa todisteita sekä hyökkääjiltä että tahattomalta katoamiselta.

Ota etukäteen käyttöön EventBridge-säännöt, Lambda-funktiot ja SSM Automation -asiakirjat, jotka suorittavat eristyksen ja tiedon hankinnan.

Kun GuardDuty-havainto saapuu, automaatio voi eristää resurssin sekunneissa. Etukäteen rakennettu ja testattu ratkaisu erottaa nopean reagoinnin haparoivasta toiminnasta.

Valmistele ympäristön ulkopuolinen viestintä. Jos hyökkääjä on ympäristössänne, sisäiseen sähköpostiin tai keskustelukanavaan ei voi luottaa, sillä niitä saatetaan valvoa.

Varmista, että käytettävissä on erillinen kanava, ajan tasalla oleva yhteystietoluettelo ja valmis eskalointipolku. Se, että tiedätte tarkasti, kenelle ja miten soitetaan, on osa työkalupakkia.

Testaamaton IR-tili luo väärää luottamusta. Järjestäkää harjoituksia, joissa käydään läpi tilien välisten roolien käyttö, todisteiden hankinta ja automaatio alusta loppuun.

Testaus paljastaa vanhentuneet käyttöoikeudet, rikkoutuneet skriptit ja puutteet silloin, kun niiden korjaaminen on vielä edullista — kauan ennen kuin todellinen hyökkääjä pakottaa asian eteenne.

Myös vastaajat noudattavat vähimpien käyttöoikeuksien periaatetta. IR-roolit sallivat täsmälleen tutkintaan ja eristämiseen tarvittavat toimet, eivät enempää.

Laajemmat hätäroolit ovat olemassa, mutta ne pysyvät oletusarvoisesti käyttämättöminä, niiden käytöstä luodaan hälytykset ja käyttö tarkistetaan jälkikäteen. Jatkuvasti käytössä olevat laajat käyttöoikeudet ovat itsessään riski.

IR-tili rappeutuu, jos se jätetään huomiotta. Käyttöoikeudet vanhenevat, AMI-levykuvat vanhenevat ja automaatio erkanee käytössä olevasta ympäristöstä.

Käsittele tiliä elävänä infrastruktuurina: hallitse sitä koodina, päivitä forensiikan AMI-levykuva, kierrätä tunnistetiedot ja tarkista tilien välinen luottamus säännöllisesti. Näin työkalupakki on aidosti valmis heti, kun poikkeama julistetaan.

Valmistelkaa erillinen ja eristetty IR-tili, jossa on ennalta määritetyt tilien väliset roolit, forensiikan työkalupakki ja keskitetty lokitus, joka säilyy tuotantoympäristön vaarantuessa. Tallentakaa todisteet Object Lock -säilöihin muuttumattoman hallintaketjun varmistamiseksi, ottakaa eristysautomaatio käyttöön etukäteen ja pitäkää ympäristön ulkopuolinen viestintäkanava valmiina. Noudattakaa vähimpien käyttöoikeuksien periaatetta myös vastaajien kohdalla ja varmistakaa säännöllisillä harjoituksilla, että koko kokoonpano toimii.