Mengisolasi Sumber Daya untuk Forensik

Saat instans EC2 disusupi, naluri Anda mungkin menyuruh Anda mematikannya. Jangan lakukan itu. Mematikan daya akan menghilangkan memori volatil dan dapat memberi tahu penyerang.

Isolasi memutus sumber daya dari jaringan dan sistem lain sambil menjaganya tetap berjalan dan utuh untuk dianalisis. Hentikan penyebaran tanpa menghapus bukti.

Cara tercepat untuk mengisolasi instans adalah memasangkan grup keamanan kosong yang menolak semua lalu lintas. Karena grup keamanan bersifat stateful dan diterapkan langsung pada instans, menggantinya dengan grup tanpa aturan pada dasarnya menghentikan semua lalu lintas baru.

Beberapa tim menyiapkan grup keamanan isolasi forensik terlebih dahulu agar pembendungan cukup dilakukan dengan satu panggilan API.

Sebelum mengubah hal lain, ambil kondisi saat ini. Ambil snapshot EBS (Elastic Block Store) dari setiap volume yang terpasang untuk membekukan isi disk.

Jika alat Anda mendukungnya, ambil juga dump memori instans karena perangkat lunak berbahaya sering kali hanya berada di RAM. Artefak ini menjadi bukti yang tidak dapat diubah dan menjadi dasar penyelidikan Anda.

Beri tag yang jelas pada instans terisolasi dan snapshot-nya—misalnya Status=Karantina—agar tidak ada yang secara tidak sengaja menggunakannya kembali atau menghentikannya.

Catat linimasa: kapan Anda mendeteksinya, kapan Anda mengisolasinya, dan apa yang Anda ubah. Rantai penguasaan bukti yang rapi penting jika temuan nantinya digunakan dalam proses hukum atau kepatuhan.

Instans yang disusupi sering kali memiliki peran IAM melalui profil instansnya, dan penyerang mungkin sedang menggunakan kredensial tersebut.

Hapus atau batasi peran tersebut, lalu gunakan tindakan IAM cabut sesi aktif untuk membatalkan kredensial sementara yang sudah diterbitkan. Ini menghentikan penyerang berpindah ke layanan lain menggunakan identitas instans.

Untuk pembendungan yang lebih menyeluruh, Anda dapat menyesuaikan tabel rute atau ACL jaringan untuk memutus subnet, atau memindahkan instans ke subnet karantina khusus tanpa jalur keluar.

Langkah ini lebih drastis daripada mengganti grup keamanan, tetapi berguna saat Anda menduga penyerang mengendalikan konfigurasi instans itu sendiri.

Ambil log yang relevan sebelum log tersebut tertimpa. CloudTrail menampilkan panggilan API yang dilakukan dengan peran instans, VPC Flow Logs menampilkan koneksi jaringannya, dan log aplikasi apa pun menampilkan perilaku pada host.

Pencatatan log terpusat memastikan bukti ini tetap tersedia meskipun instans nantinya dihapus atau dibangun ulang.

Jangan pernah menganalisis disk yang dicurigai pada sistem produksi. Pasang salinan snapshot EBS ke instans forensik yang diperkuat dalam lingkungan terisolasi.

Pasang volume dalam mode hanya-baca agar proses penyelidikan tidak mengubah bukti. Selalu gunakan salinan, bukan sumber aslinya.

Isolasi manual berjalan lambat pada pukul 3 pagi. Hubungkan temuan GuardDuty ke EventBridge dan fungsi Lambda yang secara otomatis menerapkan grup keamanan forensik, mengambil snapshot volume, dan memberi tag pada instans.

Otomatisasi memperkecil jangka waktu yang dimiliki penyerang antara deteksi dan pembendungan, dari hitungan menit menjadi detik.

Setelah bukti diambil, utamakan membangun ulang dari AMI tepercaya daripada membersihkan host yang telah disusupi. Anda hampir tidak pernah dapat benar-benar yakin bahwa pintu belakang telah hilang.

Instans yang diisolasi dan snapshot-nya tetap berada dalam karantina untuk penyelidikan, sementara instans baru yang telah ditambal mengambil alih tugas produksi.

Selama isolasi, simpan catatan yang tepat: kapan setiap tindakan dilakukan, oleh siapa, dan mengapa. CloudTrail merekam panggilan API, tetapi tambahkan konteks manusia di atasnya.

Linimasa ini penting untuk tinjauan pascainsiden serta tindak lanjut hukum atau kepatuhan, karena mengubah respons yang kacau menjadi bukti yang dapat dipertanggungjawabkan dan diaudit.

Pilih tindakan pembendungan yang paling aman.

Untuk mengisolasi sumber daya yang disusupi, biarkan sumber daya tetap berjalan tetapi putuskan jaringannya dengan grup keamanan yang menolak semua lalu lintas, kemudian ambil snapshot volume EBS dan memori sebelum terjadi perubahan apa pun. Cabut peran instans beserta sesi aktifnya, beri tag karantina pada semuanya, lalu ambil CloudTrail dan Flow Logs sejak awal. Analisis salinan pada instans forensik hanya-baca, otomatisasikan langkah-langkah tersebut dengan EventBridge dan Lambda, dan bangun ulang dari AMI tepercaya alih-alih memperbaikinya.