Klargjøre en IR-konto og et verktøysett

Modne AWS-organisasjoner oppretter en separat sikkerhetskonto eller konto for hendelseshåndtering. Den er isolert fra produksjonen, slik at en angriper som kompromitterer en arbeidsbelastning, ikke kan få tilgang til undersøkelsesverktøyene eller bevisene Deres.

Denne kontoen inneholder rettsmedisinske ressurser, sentraliserte logger og rollene innsatspersonellet antar når en hendelse oppstår.

Hvis logger og verktøy lå i samme konto som sikkerhetsbruddet, kunne angriperen ha slettet dem for å skjule sporene sine.

En isolert IR-konto, ofte kombinert med en separat loggarkivkonto, holder bevis og funksjoner utenfor angriperens rekkevidde, selv ved full kompromittering av produksjonsmiljøet.

Definer IAM-rollene som hendelseshåndterere skal anta før en hendelse oppstår. Roller på tvers av kontoer lar IR-kontoen få tilgang til en kompromittert konto for å ta øyeblikksbilder av disker eller endre sikkerhetsgrupper.

Disse rollene har et strengt avgrenset omfang, omfattende logging og varsling, slik at utvidet tilgang er klar umiddelbart, men aldri kan misbrukes ubemerket.

Utstyr IR-kontoen med verktøy som er klare til bruk: en herdet rettsmedisinsk AMI, skript for å hente inn og montere volumer skrivebeskyttet, samt automatiseringsdokumenter for vanlige inneslutningstiltak.

Når dette er bygget på forhånd, kan hendelseshåndtererne bruke tiden på etterforskning i stedet for å sette sammen verktøy mens tiden løper ut.

Samle CloudTrail, VPC Flow Logs og Config-historikk i IR-kontoen eller loggarkivkontoen.

Sentralisering gir etterforskerne ett pålitelig sted å gjøre spørringer med Athena og sikrer at revisjonssporet overlever selv om enkeltkontoer slettes. Dette er ryggraden i enhver AWS-etterforskning.

Lagre innsamlede bevis i en S3-bøtte med Object Lock i samsvarsmodus, slik at selv en administrator ikke kan slette eller overskrive dem i en angitt oppbevaringsperiode.

Dette garanterer en etterprøvbar beviskjede og beskytter bevisene mot både angripere og utilsiktet tap.

Forhåndsdistribuer EventBridge-reglene, Lambda-funksjonene og SSM Automation-dokumentene som utfører isolering og innsamling.

Når et GuardDuty-funn registreres, kan automatiseringen sette ressursen i karantene på sekunder. At dette er bygget og testet på forhånd, er forskjellen mellom en rask og en klønete respons.

Forbered kommunikasjon utenfor båndet. Hvis angriperen befinner seg i miljøet Deres, kan De ikke stole på intern e-post eller chat som kan være overvåket.

Ha en separat kanal, en oppdatert kontaktliste og en eskaleringsvei klar. Å vite nøyaktig hvem De skal ringe, og hvordan, er en del av verktøysettet.

En uprøvd IR-konto gir falsk trygghet. Gjennomfør øvelser som tester antakelse av roller på tvers av kontoer, innsamling av bevis og automatisering fra ende til ende.

Testing avdekker utløpte tillatelser, ødelagte skript og mangler mens det fortsatt er billig å rette dem – lenge før en virkelig angriper tvinger frem en løsning.

Selv hendelseshåndterere følger prinsippet om minste privilegium. IR-roller gir nøyaktig de handlingene som trengs for etterforskning og inneslutning, og ikke mer.

Nødroller med bredere tilgang finnes, men holdes inaktive, genererer varsler når de brukes og gjennomgås i etterkant. Kraftig tilgang som alltid er aktiv, er i seg selv en risiko.

En IR-konto forringes hvis den blir ignorert. Tillatelser utløper, AMI-er blir utdaterte, og automatiseringen avviker fra det aktive miljøet.

Behandle kontoen som levende infrastruktur: administrer den som kode, oppdater den rettsmedisinske AMI-en, roter eventuelle legitimasjonsopplysninger og gjennomgå tillit på tvers av kontoer regelmessig, slik at verktøysettet faktisk er klart i det øyeblikket en hendelse erklæres.

Forbered en dedikert, isolert IR-konto med forhåndsprovisionerte roller på tvers av kontoer, et rettsmedisinsk verktøysett og sentralisert logging som overlever en kompromittering av produksjonsmiljøet. Lagre bevis i Object Lock-bøtter for en uforanderlig beviskjede, forhåndsdistribuer automatisering for isolering, og ha en kommunikasjonskanal utenfor båndet klar. Bruk minste privilegium også for hendelseshåndterere, og bevis gjennom regelmessige øvelser at hele oppsettet fungerer.