Mengasingkan Sumber untuk Forensik

Apabila tika EC2 telah terjejas, naluri anda mungkin menyuruh anda mematikannya. Jangan lakukan demikian. Mematikan kuasa memusnahkan memori mudah meruap dan mungkin memberi amaran kepada penyerang.

Pengasingan memutuskan sumber daripada rangkaian dan sistem lain sambil memastikan sumber itu terus berjalan dan kekal utuh untuk dianalisis. Hentikan penyebaran tanpa memadamkan bukti.

Cara terpantas untuk mengasingkan tika ialah melampirkan kumpulan keselamatan kosong yang menafikan semua trafik. Oleh sebab kumpulan keselamatan bersifat berkeadaan dan digunakan terus pada tika, menggantikannya dengan kumpulan tanpa peraturan pada asasnya menghentikan semua trafik baharu.

Sesetengah pasukan menyediakan kumpulan keselamatan pengasingan forensik lebih awal supaya pembendungan boleh dilakukan dengan satu panggilan API.

Sebelum mengubah perkara lain, tangkap keadaan semasa. Ambil petikan EBS (Elastic Block Store) bagi setiap volum yang dilampirkan untuk membekukan keadaan cakera.

Jika alat anda menyokongnya, buang salinan memori tika juga kerana perisian hasad selalunya hanya berada dalam RAM. Artifak ini menjadi bukti tidak berubah yang digunakan sebagai asas penyiasatan anda.

Tag tika yang diasingkan dan petikannya dengan jelas — contohnya Status=Quarantine — supaya tiada sesiapa menggunakannya semula atau menamatkannya secara tidak sengaja.

Catat garis masa: bila anda mengesannya, bila anda mengasingkannya dan perkara yang anda ubah. Rantaian jagaan yang lengkap penting jika penemuan akhirnya digunakan dalam proses undang-undang atau pematuhan.

Tika yang telah terjejas selalunya membawa peranan IAM melalui profil tika, dan penyerang mungkin sedang menggunakan kelayakan tersebut.

Buang atau hadkan peranan itu, kemudian gunakan tindakan IAM batalkan sesi aktif untuk membatalkan kelayakan sementara yang telah dikeluarkan. Ini menghalang penyerang daripada beralih ke perkhidmatan lain menggunakan identiti tika tersebut.

Untuk pembendungan yang lebih menyeluruh, anda boleh melaraskan jadual laluan atau ACL rangkaian bagi memutuskan akses subrangkaian, atau memindahkan tika ke subrangkaian kuarantin khusus yang tiada laluan keluar.

Kaedah ini lebih drastik daripada menukar kumpulan keselamatan, tetapi berguna apabila anda mengesyaki penyerang mengawal konfigurasi tika itu sendiri.

Dapatkan log yang berkaitan sebelum log tersebut digantikan. CloudTrail menunjukkan panggilan API yang dibuat menggunakan peranan tika, Log Aliran VPC menunjukkan sambungan rangkaiannya dan sebarang log aplikasi menunjukkan tingkah laku pada hos.

Pembalakan berpusat bermakna bukti ini kekal walaupun tika itu kemudiannya dipadam atau dibina semula.

Jangan sekali-kali menganalisis cakera yang disyaki terjejas pada sistem pengeluaran. Lampirkan salinan petikan EBS kepada tika forensik yang diperketatkan dalam persekitaran terpencil.

Pasang volum dalam mod baca sahaja supaya proses penyiasatan tidak dapat mengubah bukti. Gunakan salinan, bukan yang asal.

Pengasingan manual mengambil masa pada pukul 3 pagi. Sambungkan penemuan GuardDuty kepada EventBridge dan fungsi Lambda yang menggunakan kumpulan keselamatan forensik secara automatik, mengambil petikan volum dan menag tika tersebut.

Automasi memendekkan tempoh antara pengesanan dan pembendungan yang tersedia kepada penyerang daripada beberapa minit kepada beberapa saat.

Selepas bukti ditangkap, utamakan pembinaan semula daripada AMI yang dipercayai berbanding membersihkan hos yang telah terjejas. Anda jarang dapat memastikan sepenuhnya bahawa pintu belakang telah tiada.

Tika yang diasingkan dan petikannya kekal dalam kuarantin untuk penyiasatan, sementara tika baharu yang telah ditampal mengambil alih tugas pengeluaran.

Sepanjang proses pengasingan, simpan rekod yang tepat: bila setiap tindakan diambil, oleh siapa dan sebabnya. CloudTrail menangkap panggilan API, tetapi tambahkan konteks manusia di atasnya.

Garis masa ini penting untuk semakan selepas insiden dan sebarang tindakan susulan undang-undang atau pematuhan, kerana ia menukarkan tindak balas yang kelam-kabut kepada bukti yang kukuh dan boleh diaudit.

Untuk mengasingkan sumber yang telah terjejas, biarkan sumber itu terus berjalan tetapi putuskan rangkaiannya dengan kumpulan keselamatan yang menafikan semua trafik, kemudian ambil petikan volum EBS dan tangkap memori sebelum sebarang perubahan dibuat. Batalkan peranan tika dan sesi aktifnya, tag semuanya sebagai kuarantin, serta dapatkan CloudTrail dan Log Aliran lebih awal. Analisis salinan pada tika forensik baca sahaja, automatikkan langkah menggunakan EventBridge dan Lambda, dan bina semula daripada AMI yang dipercayai berbanding membaikinya.