Membuat Snapshot Volume untuk Forensik

Sebelum menyentuh instans yang telah disusupi, ambil salinan disknya. Snapshot EBS adalah salinan volume Elastic Block Store pada titik waktu tertentu yang disimpan secara tahan lama di S3.

Snapshot membekukan kondisi disk secara tepat pada saat pengambilan, sehingga penyelidik memiliki dasar yang tidak berubah untuk dianalisis meskipun sistem aktif sedang dikendalikan atau dibangun ulang.

Snapshot EBS bekerja pada tingkat blok dan bersifat inkremental: snapshot pertama mengambil semua blok yang digunakan, sedangkan snapshot berikutnya hanya menyimpan perubahan. Meskipun demikian, setiap snapshot merupakan salinan volume yang lengkap dan dapat dipulihkan.

Snapshot mempertahankan sistem berkas, perangkat lunak berbahaya di disk, log, dan konfigurasi persis seperti kondisi semula—bahan mentah untuk penyelidikan forensik.

Aturan utama forensik adalah jangan pernah mengubah bukti asli. Kerjakan semuanya hanya dari salinan snapshot.

Buat volume baru dari snapshot, pasang volume tersebut ke instans forensik, lalu pasang sebagai hanya-baca agar proses penyelidikan tidak dapat mengubah satu byte pun dari kondisi yang telah diambil.

Snapshot disk tidak menangkap hal-hal yang hanya berada di RAM—perangkat lunak berbahaya tanpa berkas, kunci dekripsi, dan koneksi jaringan aktif.

Jika alat forensik Anda mendukungnya, buang juga isi memori instans. Secara bersama-sama, snapshot disk dan citra memori memberikan gambaran selengkap mungkin tentang penyusupan tersebut.

Beri setiap snapshot tag yang mencantumkan instans sumber, ID insiden, dan waktu pengambilan. Tag yang jelas mencegah penghapusan secara tidak sengaja dan menjaga bukti tetap terorganisasi.

Dokumentasikan siapa yang mengambil apa dan kapan. Rantai pengawasan bukti yang dapat dipertanggungjawabkan menjadi penting jika temuan tersebut nantinya mendukung tindakan hukum atau regulasi.

Salin snapshot ke dalam akun forensik atau akun IR yang terisolasi agar bukti berada di luar jangkauan penyerang yang masih aktif di akun yang telah disusupi.

Berbagi dan menyalin snapshot lintas akun merupakan kemampuan bawaan EBS; pastikan saja izin kunci KMS mengizinkan akun tujuan menggunakan snapshot terenkripsi.

Enkripsikan snapshot forensik dengan KMS (Key Management Service) agar data sensitif yang terkandung di dalamnya tetap terlindungi saat disimpan.

Kelola akses melalui kebijakan kunci: hanya penyelidik yang berwenang yang boleh mendekripsi bukti. Hal ini melindungi data korban dan memastikan penanganan Anda tetap sesuai ketentuan.

Untuk jangka panjang, ekspor atau simpan bukti dalam penyimpanan yang tidak dapat diubah. Bucket S3 dengan Object Lock dalam mode kepatuhan mencegah penghapusan atau penimpaan selama periode retensi yang ditetapkan.

Hal ini melindungi bukti dari penyerang maupun kehilangan yang tidak disengaja, sekaligus memperkuat integritas penyelidikan Anda.

Dalam insiden yang bergerak cepat, pembuatan snapshot secara manual menjadi hambatan. Fungsi Lambda yang dipicu oleh temuan GuardDuty dapat secara otomatis membuat snapshot semua volume yang terpasang segera setelah ancaman terdeteksi.

Pengambilan otomatis merekam kondisi terbaru yang mungkin diperoleh dan membebaskan tim respons untuk berfokus pada analisis.

Dengan salinan hanya-baca yang dipasang pada instans forensik, penyelidik mencari indikator penyusupan: berkas mencurigakan, biner yang diubah, tugas cron yang tidak terduga, dan entri log.

Karena pekerjaan dilakukan pada salinan yang terisolasi, Anda dapat menyelidikinya secara menyeluruh tanpa risiko terhadap produksi atau integritas bukti asli.

Setelah penyelidikan selesai, tentukan nasib snapshot berdasarkan kebijakan. Bukti yang terkait dengan masalah hukum atau regulasi mungkin perlu disimpan dalam waktu lama menggunakan Object Lock.

Jika tidak, hapus snapshot forensik sesuai jadwal yang ditetapkan agar data sensitif yang diambil tidak menumpuk. Apa pun pilihannya, catat keputusan tersebut agar rantai pengawasan bukti tetap utuh sejak pengambilan hingga pemusnahan.

Lindungi bukti dengan benar.

Ambil bukti forensik dengan membuat snapshot EBS dari setiap volume sebelum mengubah instans, dan buang isi memori untuk menangkap hal-hal yang hanya berada di RAM. Selalu bekerja dari salinan hanya-baca, beri tag pada semuanya untuk menjaga rantai pengawasan bukti, dan salin snapshot terenkripsi ke dalam akun IR yang terisolasi. Lindungi snapshot dengan KMS dan Object Lock S3, otomatisasi pengambilan dari temuan GuardDuty, lalu analisis salinannya pada instans forensik yang diperkuat.