Il ciclo di risposta agli incidenti su AWS

Un incidente di sicurezza è qualsiasi evento che possa compromettere la riservatezza, l'integrità o la disponibilità delle risorse o dei dati AWS. Può trattarsi di una chiave di accesso divulgata, di un'istanza infettata da malware o di un bucket S3 esposto.

La risposta agli incidenti (IR) è il processo strutturato di preparazione, rilevamento e ripristino da questi eventi. In AWS, il cloud offre una rapidità e un'automazione che i team on-premises possono soltanto immaginare.

AWS suddivide la risposta agli incidenti in tre fasi generali, ciascuna delle quali si basa sulla precedente:

• Preparazione — configurare persone, processi e strumenti prima che accada qualcosa.
• Operazioni — rilevare, analizzare, contenere, eliminare la minaccia e ripristinare l'ambiente durante un evento attivo.
• Post-incidente — imparare da quanto accaduto e migliorare.

Queste fasi corrispondono in larga misura al classico ciclo di vita NIST che l'esame richiede di conoscere.

La preparazione è la fase più importante perché è l'unica che si può controllare prima che inizi la pressione. Include la creazione di runbook, l'assegnazione anticipata ai responsabili della risposta dei ruoli IAM appropriati, l'abilitazione della registrazione in ogni punto e le esercitazioni tramite game day.

Un team preparato può contenere un incidente in pochi minuti. Un team che improvvisa perde tempo prezioso per decidere persino chi è autorizzato ad agire.

Il rilevamento trasforma i segnali grezzi in un incidente confermato. Servizi come Amazon GuardDuty, AWS Security Hub e CloudTrail evidenziano le attività sospette.

L'analisi risponde quindi alle domande fondamentali: quale risorsa è interessata, come ha fatto l'attaccante a entrare e qual è la portata dell'attacco? Amazon Detective aiuta a eseguire il pivot da un singolo rilevamento all'intera sequenza di eventi.

Il contenimento arresta l'emorragia senza distruggere le evidenze. È possibile isolare un'istanza EC2 (Elastic Compute Cloud) con un security group restrittivo, revocare la sessione di un ruolo compromesso o disabilitare una chiave di accesso.

L'obiettivo è limitare i danni preservando lo stato necessario all'analisi forense. Agire in modo eccessivamente aggressivo può cancellare proprio gli indizi da cui dipende l'indagine.

Eradicazione rimuove l'attaccante e la causa principale: applicando patch alla vulnerabilità, eliminando le backdoor o ruotando ogni segreto esposto.

Il ripristino riporta le operazioni alla normalità: ricreando istanze pulite da immagini affidabili, ripristinando i dati dai backup e verificando che la minaccia sia davvero scomparsa prima di riconnettere i sistemi alla produzione.

Quando la situazione si è stabilizzata, svolgete un post-mortem senza attribuire colpe. Documentate la cronologia, ciò che ha funzionato, ciò che non ha funzionato e miglioramenti concreti.

Aggiornate i runbook, aggiungete controlli di rilevamento che avrebbero permesso di individuare prima il problema e automatizzate le operazioni eseguite manualmente. Ogni incidente è un'opportunità per rendere la risposta successiva più rapida e più ordinata.

Il cloud trasforma l'IR. Le API consentono di creare lo snapshot di un disco, modificare un security group o mettere in quarantena un ruolo in pochi secondi con una singola chiamata. L'infrastructure as code permette di ricreare ambienti puliti su richiesta.

Questo significa che potete preferire il redeploy alla riparazione: sostituire un'istanza compromessa con una nuova è spesso più rapido e sicuro che ripulirla.

Una titolarità chiara previene il caos. Definite chi dichiara un incidente, chi comunica con gli stakeholder e chi opera direttamente sulla tastiera.

Pre-create i ruoli IAM che gli addetti alla risposta devono assumere, in modo che l'accesso sia pronto e sottoposto ad audit. Il modello di responsabilità condivisa continua ad applicarsi: AWS protegge il cloud, ma rispondere agli eventi nei vostri account è compito vostro.

Non volete che il vostro primo incidente reale sia anche il vostro primo incidente in assoluto. I Game Day sono eventi simulati durante i quali il team si esercita a seguire il runbook dall'inizio alla fine.

Fanno emergere lacune — permessi mancanti, elenchi di contatti obsoleti, automazioni non testate — quando la posta in gioco è bassa. Le esercitazioni regolari trasformano un piano scritto in una risposta automatica e consolidata.

Associate i servizi alle diverse fasi, così saprete subito quali utilizzare:

• Rilevamento: GuardDuty, Security Hub, allarmi CloudWatch.
• Analisi: Detective, CloudTrail, Athena.
• Contenimento: security group, IAM, AWS Systems Manager.
• Ripristino: backup, AMI (Amazon Machine Images), CloudFormation.

La risposta agli incidenti su AWS comprende preparazione, rilevamento e analisi, contenimento, eradicazione, ripristino e revisione post-incidente. La preparazione è la fase che potete controllare completamente, e i Game Day vi aiutano a mantenerla efficace. Il cloud consente di contenere e ricreare le risorse tramite API in pochi secondi, privilegiando il redeploy alla riparazione. Contenete con attenzione affinché le prove restino disponibili, quindi eliminate la causa principale e ripristinate da fonti affidabili.