Ta øyeblikksbilder av volumer for etterforskning

Før De gjør noe med en kompromittert instans, må De ta en kopi av disken. Et EBS-øyeblikksbilde er en kopi på et bestemt tidspunkt av et Elastic Block Store-volum, lagret varig i S3.

Det fryser diskens nøyaktige tilstand på opptakstidspunktet og gir etterforskere et uforanderlig grunnlag å analysere, selv mens det aktive systemet settes i karantene eller bygges opp på nytt.

Et EBS-øyeblikksbilde er blokkbasert og inkrementelt: Det første tar med alle blokker som er i bruk, mens senere bilder bare lagrer endringer. Likevel er hvert øyeblikksbilde en komplett kopi av volumet som kan gjenopprettes.

Det bevarer filsystemet, skadevare på disken, logger og konfigurasjon nøyaktig slik de var – råmaterialet for en rettsteknisk undersøkelse.

Den viktigste regelen i rettsteknisk arbeid er å aldri endre originalbeviset. Arbeid bare fra kopier av øyeblikksbildet.

Opprett et nytt volum fra øyeblikksbildet, koble det til en rettsteknisk instans, og monter det skrivebeskyttet slik at undersøkelsen ikke kan endre én eneste byte av den registrerte tilstanden.

Diskøyeblikksbilder fanger ikke opp det som bare finnes i RAM – filløs skadevare, dekrypteringsnøkler og aktive nettverksforbindelser.

Hvis de rettstekniske verktøyene Deres støtter det, bør De også dumpe instansens minne. Sammen gir diskøyeblikksbildet og minneavbildningen det mest fullstendige bildet av kompromitteringen.

Merk hvert øyeblikksbilde med kildeinstansen, hendelses-ID-en og tidspunktet det ble tatt. Tydelige tagger hindrer utilsiktet sletting og holder bevisene organisert.

Dokumenter hvem som tok hva, og når. En etterprøvbar beviskjede er viktig hvis funnene senere brukes i en juridisk eller regulatorisk sak.

Kopier øyeblikksbildet til den isolerte rettstekniske kontoen eller IR-kontoen Deres, slik at bevisene ligger utenfor rekkevidden til en angriper som fortsatt er aktiv i den kompromitterte kontoen.

Deling og kopiering av øyeblikksbilder på tvers av kontoer er innebygd EBS-funksjonalitet. Sørg bare for at KMS-nøkkelens tillatelser lar målkontoen bruke krypterte øyeblikksbilder.

Krypter rettstekniske øyeblikksbilder med KMS (Key Management Service), slik at de sensitive dataene de inneholder, forblir beskyttet når de lagres.

Styr tilgangen gjennom nøkkelpolicyen: Bare autoriserte etterforskere skal kunne dekryptere bevisene. Dette beskytter offerdata og sørger for at håndteringen er i samsvar med kravene.

På lang sikt bør De eksportere eller oppbevare bevis i lagring som ikke kan endres. En S3-bøtte med Object Lock i samsvarsmodus hindrer sletting eller overskriving i en fast oppbevaringsperiode.

Dette beskytter bevisene mot både angripere og utilsiktet tap, og styrker integriteten til undersøkelsen.

Ved en raskt utviklende hendelse blir manuelle øyeblikksbilder en flaskehals. En Lambda-funksjon som utløses av et GuardDuty-funn, kan automatisk ta øyeblikksbilder av alle tilknyttede volumer i det øyeblikket en trussel oppdages.

Automatisert innsamling registrerer den ferskeste mulige tilstanden og lar de som håndterer hendelsen, konsentrere seg om analysen.

Med en skrivebeskyttet kopi montert på en rettsteknisk instans leter etterforskerne etter tegn på kompromittering: mistenkelige filer, endrede binærfiler, uventede cron-jobber og loggoppføringer.

Fordi arbeidet skjer på en isolert kopi, kan De undersøke grundig uten risiko for produksjonen eller for integriteten til originalbeviset.

Når undersøkelsen avsluttes, må De avgjøre hva som skal skje med øyeblikksbildet i henhold til policyen. Bevis knyttet til juridiske eller regulatoriske forhold kan måtte oppbevares lenge under Object Lock.

Ellers bør De slette rettstekniske øyeblikksbilder etter en fastsatt plan, slik at sensitive innsamlede data ikke hoper seg opp. Uansett må De dokumentere avgjørelsen, slik at beviskjeden forblir intakt fra innsamling til sletting.

Samle inn rettstekniske bevis ved å ta et EBS-øyeblikksbilde av hvert volum før De endrer instansen, og dump minnet for det som bare finnes i RAM. Arbeid alltid fra skrivebeskyttede kopier, merk alt for beviskjeden, og kopier det krypterte øyeblikksbildet til en isolert IR-konto. Beskytt det med KMS og S3 Object Lock, automatiser innsamlingen fra GuardDuty-funn, og analyser kopier på en sikret rettsteknisk instans.