Preparare un account e un kit per l'IR

Le organizzazioni AWS mature creano un account di sicurezza o di risposta agli incidenti separato. È isolato dalla produzione, così un attaccante che compromette un workload non può raggiungere gli strumenti d'indagine o le prove.

Questo account contiene risorse forensi, log centralizzati e i ruoli che gli addetti alla risposta assumono all'inizio di un evento.

Se i log e gli strumenti si trovassero nello stesso account della compromissione, l'attaccante potrebbe eliminarli per cancellare le proprie tracce.

Un account IR isolato, spesso affiancato da un account di archiviazione dei log separato, mantiene le prove e le funzionalità fuori dalla portata dell'attaccante anche in caso di compromissione completa dell'ambiente di produzione.

Definisca i ruoli IAM che gli addetti alla risposta agli incidenti assumeranno prima che si verifichi un incidente. I ruoli tra account consentono all'account IR di accedere a un account compromesso per creare snapshot dei dischi o modificare i security group.

Questi ruoli hanno autorizzazioni strettamente limitate, vengono registrati in modo dettagliato e sono soggetti ad avvisi, così l'accesso elevato è immediatamente disponibile senza poter essere utilizzato illecitamente in modo inosservato.

Equipaggi l'account IR con strumenti pronti all'uso: una AMI forense hardened, script per acquisire e montare i volumi in sola lettura e documenti di automazione per le comuni procedure di contenimento.

Predisporre tutto in anticipo consente agli addetti alla risposta di dedicare il proprio tempo alle indagini, invece di assemblare gli strumenti mentre il tempo stringe.

Agregue CloudTrail, VPC Flow Logs e la cronologia di Config nell'account IR o nell'account di archiviazione dei log.

La centralizzazione offre agli investigatori un unico luogo affidabile in cui eseguire query con Athena e garantisce che la traccia di audit sopravviva anche se i singoli account vengono cancellati. È la spina dorsale di ogni indagine AWS.

Conservi le prove raccolte in un bucket S3 con Object Lock in modalità compliance, così che neppure un amministratore possa eliminarle o sovrascriverle durante un periodo di conservazione prestabilito.

In questo modo garantisce una catena di custodia difendibile e protegge le prove sia dagli attaccanti sia dalle perdite accidentali.

Preinstalli le regole EventBridge, le funzioni Lambda e i documenti SSM Automation che eseguono l'isolamento e l'acquisizione.

Quando arriva un finding di GuardDuty, l'automazione può mettere in quarantena la risorsa in pochi secondi. Averla creata e testata in anticipo fa la differenza tra una risposta rapida e una risposta improvvisata.

Predisponga una comunicazione fuori banda. Se l'attaccante si trova nel vostro ambiente, non può fidarsi dell'e-mail o della chat interne, che potrebbero essere monitorate.

Predisponga un canale separato, un elenco di contatti aggiornato e un percorso di escalation. Sapere esattamente chi chiamare e come farlo fa parte del kit di strumenti.

Un account IR non testato dà una falsa sensazione di sicurezza. Organizzi esercitazioni che verifichino da un capo all'altro l'assunzione dei ruoli tra account, l'acquisizione delle prove e l'automazione.

I test rivelano autorizzazioni scadute, script non funzionanti e lacune quando correggerli è ancora economico, molto prima che un attaccante reale renda il problema urgente.

Anche gli addetti alla risposta seguono il principio del privilegio minimo. I ruoli IR concedono esattamente le azioni necessarie per le indagini e il contenimento, nulla di più.

Esistono ruoli break-glass con autorizzazioni più ampie, ma rimangono inattivi, generano avvisi quando vengono utilizzati e vengono riesaminati in seguito. Un accesso potente sempre attivo è di per sé una responsabilità.

Un account IR si deteriora se viene trascurato. Le autorizzazioni scadono, le AMI diventano obsolete e l'automazione si discosta dall'ambiente reale.

Tratti l'account come un'infrastruttura viva: lo gestisca come codice, aggiorni la AMI forense, ruoti le eventuali credenziali e riesamini regolarmente l'attendibilità tra account, così il kit di strumenti è davvero pronto nel momento stesso in cui viene dichiarato un incidente.

Perché un account dedicato?

Predisponga un account IR dedicato e isolato con ruoli tra account configurati in anticipo, un kit di strumenti forensi e una registrazione centralizzata che sopravviva alla compromissione dell'ambiente di produzione. Conservi le prove in bucket con Object Lock per ottenere una catena di custodia immutabile, predisponga l'automazione dell'isolamento e mantenga pronto un canale di comunicazione fuori banda. Applichi il principio del privilegio minimo anche agli addetti alla risposta e dimostri che l'intera configurazione funziona attraverso esercitazioni regolari.