Taltion luominen forensiikkaa varten

Ennen kuin käsittelette vaarantunutta instanssia, tallentakaa sen levy. EBS-tilannevedos on tiettynä ajanhetkenä otettu kopio Elastic Block Store -taltiosta, joka tallennetaan pysyvästi S3:een.

Se jäädyttää levyn täsmällisen tilan tallennushetkellä ja antaa tutkijoille muuttumattoman lähtökohdan analyysiin, vaikka aktiivista järjestelmää eristettäisiin tai rakennettaisiin uudelleen.

EBS-tilannevedos on lohkotason ja inkrementaalinen: ensimmäinen tilannevedos sisältää kaikki käytetyt lohkot ja myöhemmät vain muutokset. Tästä huolimatta jokainen tilannevedos on täydellinen, palautettavissa oleva kopio taltiosta.

Se säilyttää tiedostojärjestelmän, levyllä olevan haittaohjelman, lokit ja määritykset täsmälleen sellaisina kuin ne olivat — rikosteknisen tutkimuksen raaka-aineena.

Rikosteknisen tutkinnan kultainen sääntö on, ettei alkuperäisiä todisteita saa koskaan muuttaa. Työskennelkää vain tilannevedoksen kopioilla.

Luokaa tilannevedoksesta uusi taltio, liittäkää se rikostekniseen instanssiin ja liittäkää se vain luku -tilassa, jotta tutkiminen ei voi muuttaa yhtäkään tallennetun tilan tavua.

Levytilannevedokset eivät sisällä sitä, mikä on vain RAM-muistissa — tiedostottomia haittaohjelmia, salauksen purkuavaimia ja aktiivisia verkkoyhteyksiä.

Vedostakaa myös instanssin muisti, jos rikostekniset työkalunne tukevat sitä. Levytilannevedos ja muistikuva yhdessä antavat mahdollisimman täydellisen kuvan vaarantumisesta.

Merkitkää jokaiseen tilannevedokseen lähdeinstanssi, tapahtuman tunnus ja tallennusaika. Selkeät tunnisteet estävät tahattoman poistamisen ja pitävät todisteet järjestyksessä.

Dokumentoikaa, kuka tallensi mitä ja milloin. Luotettavasti osoitettavissa oleva säilytysketju on tärkeä, jos havaintoja käytetään myöhemmin oikeudellisissa tai sääntelyyn liittyvissä toimissa.

Kopioikaa tilannevedos eristettyyn rikostekniseen tai IR-tiliin, jotta todisteet ovat sellaisen hyökkääjän ulottumattomissa, joka toimii edelleen vaarantuneessa tilissä.

Tilannevedosten jakaminen ja kopioiminen tilien välillä on EBS:n sisäänrakennettu ominaisuus. Varmistakaa vain, että KMS-avaimen käyttöoikeudet sallivat kohdetilin käyttää salattuja tilannevedoksia.

Salatkaa rikostekniset tilannevedokset KMS:n (Key Management Service) avulla, jotta niiden sisältämät arkaluonteiset tiedot pysyvät suojattuina levossa.

Hallinnoikaa käyttöoikeuksia avainkäytännön avulla: vain valtuutettujen tutkijoiden tulee voida purkaa todisteiden salaus. Näin suojaatte uhrien tiedot ja huolehditte vaatimustenmukaisuudesta.

Vie tai säilytä todisteet pitkällä aikavälillä tallennuksessa, jota ei voi muuttaa. Object Lock -toiminnolla varustetun S3-säilön compliance-tila estää poistamisen tai päällekirjoittamisen määrätyn säilytysajan ajan.

Tämä suojaa todisteita sekä hyökkääjiltä että tahattomalta häviämiseltä ja vahvistaa tutkimuksen eheyttä.

Nopeasti etenevässä tapahtumassa manuaaliset tilannevedokset muodostavat pullonkaulan. GuardDuty-havainnon käynnistämä Lambda-funktio voi ottaa kaikista liitetyistä taltioista tilannevedokset automaattisesti heti uhan havaitsemisen jälkeen.

Automatisoitu hankinta tallentaa mahdollisimman tuoreen tilan ja vapauttaa vastaajat keskittymään analyysiin.

Kun vain luku -tilassa oleva kopio on liitetty rikostekniseen instanssiin, tutkijat etsivät vaarantumisen merkkejä: epäilyttäviä tiedostoja, muokattuja binäärejä, odottamattomia cron-tehtäviä ja lokimerkintöjä.

Koska työ tehdään eristetyllä kopiolla, voitte tutkia sitä perusteellisesti vaarantamatta tuotantoa tai alkuperäisten todisteiden eheyttä.

Kun tutkimus päättyy, päättäkää tilannevedoksen kohtalo käytännön mukaisesti. Oikeudellisiin tai sääntelyyn liittyviin asioihin yhdistettyjä todisteita voi olla tarpeen säilyttää pitkään Object Lockin avulla.

Muussa tapauksessa poistakaa rikostekniset tilannevedokset määritetyn aikataulun mukaisesti, jotta arkaluonteisia tallennettuja tietoja ei kerry. Kirjatkaa päätös joka tapauksessa, jotta säilytysketju pysyy aukottomana tallennuksesta hävittämiseen.

Tallentakaa rikostekniset todisteet ottamalla jokaisesta taltiosta EBS-tilannevedos ennen instanssin muuttamista ja vedostamalla muisti RAM-muistissa olevan tiedon tallentamiseksi. Työskennelkää aina vain luku -tilassa olevilla kopioilla, merkitkää kaikki säilytysketjua varten ja kopioikaa salattu tilannevedos eristettyyn IR-tiliin. Suojatkaa se KMS:n ja S3:n Object Lock -toiminnon avulla, automatisoikaa hankinta GuardDuty-havaintojen perusteella ja analysoikaa kopiot suojatulla rikosteknisellä instanssilla.