Creare snapshot dei volumi per l'analisi forense

Prima di intervenire su un'istanza compromessa, acquisisca il suo disco. Uno snapshot EBS è una copia point-in-time di un volume Elastic Block Store, archiviata in modo duraturo in S3.

Congela lo stato esatto del disco al momento dell'acquisizione, fornendo agli investigatori una base immutabile da analizzare anche mentre il sistema live viene contenuto o ricostruito.

Uno snapshot EBS è incrementale e a livello di blocco: il primo acquisisce tutti i blocchi utilizzati, mentre quelli successivi memorizzano solo le modifiche. Nonostante ciò, ogni snapshot è una copia completa del volume, che può essere ripristinata.

Conserva il file system, il malware sul disco, i log e la configurazione esattamente come si trovavano: il materiale grezzo di un'indagine forense.

La regola d'oro dell'analisi forense è non modificare mai la prova originale. Lavori esclusivamente su copie dello snapshot.

Crei un nuovo volume dallo snapshot, lo colleghi a un'istanza forense e lo monti in sola lettura, così l'indagine non potrà modificare nemmeno un byte dello stato acquisito.

Gli snapshot del disco non acquisiscono ciò che esiste solo nella RAM: malware fileless, chiavi di decrittografia e connessioni di rete attive.

Se gli strumenti forensi lo supportano, acquisisca anche un dump della memoria dell'istanza. Insieme, lo snapshot del disco e l'immagine della memoria offrono il quadro più completo possibile della compromissione.

Applichi a ogni snapshot tag con l'istanza di origine, l'ID dell'incidente e l'ora di acquisizione. Tag chiari evitano eliminazioni accidentali e mantengono le prove organizzate.

Documenti chi ha acquisito cosa e quando. Una catena di custodia adeguatamente documentata è importante se i risultati dovessero sostenere un'azione legale o normativa.

Copi lo snapshot nel suo account forense o di IR isolato, in modo che le prove rimangano fuori dalla portata di un attaccante ancora attivo nell'account compromesso.

La condivisione e la copia di snapshot tra account sono funzionalità EBS integrate; si assicuri soltanto che le autorizzazioni della chiave KMS consentano all'account di destinazione di utilizzare gli snapshot crittografati.

Crittografi gli snapshot forensi con KMS (Key Management Service), così i dati sensibili che contengono resteranno protetti quando sono inattivi.

Controlli l'accesso tramite la policy della chiave: solo gli investigatori autorizzati devono poter decrittografare le prove. In questo modo protegge i dati delle vittime e mantiene la gestione conforme ai requisiti.

A lungo termine, esporti o conservi le prove in uno storage che non possa essere modificato. Un bucket S3 con Object Lock in modalità compliance impedisce l'eliminazione o la sovrascrittura per un periodo di conservazione definito.

Questo protegge le prove sia dagli attaccanti sia dalle perdite accidentali, rafforzando l'integrità dell'indagine.

Durante un incidente in rapida evoluzione, la creazione manuale di snapshot è un collo di bottiglia. Una funzione Lambda attivata da un finding di GuardDuty può creare automaticamente uno snapshot di tutti i volumi collegati non appena viene rilevata una minaccia.

L'acquisizione automatizzata registra lo stato più aggiornato possibile e consente ai responsabili della risposta di concentrarsi sull'analisi.

Con una copia in sola lettura montata su un'istanza forense, gli investigatori cercano indicatori di compromissione: file sospetti, binari modificati, job cron imprevisti e voci nei log.

Poiché l'attività viene svolta su una copia isolata, è possibile eseguire verifiche approfondite senza rischi per la produzione o per l'integrità della prova originale.

Al termine dell'indagine, decida il destino dello snapshot in base alle policy. Le prove associate a questioni legali o normative potrebbero dover essere conservate a lungo tramite Object Lock.

In caso contrario, elimini gli snapshot forensi secondo una pianificazione definita, in modo che i dati sensibili acquisiti non si accumulino. In ogni caso, registri la decisione affinché la catena di custodia rimanga integra dall'acquisizione allo smaltimento.

Protegga correttamente le prove.

Acquisisca le prove forensi creando uno snapshot EBS di ogni volume prima di modificare l'istanza e acquisisca un dump della memoria per ciò che risiede solo nella RAM. Lavori sempre su copie in sola lettura, applichi tag a tutto per la catena di custodia e copi lo snapshot crittografato in un account IR isolato. Lo protegga con KMS e S3 Object Lock, automatizzi l'acquisizione dai finding di GuardDuty e analizzi le copie su un'istanza forense rafforzata.