Een gecompromitteerde EC2-instance in quarantaine plaatsen

Als GuardDuty of je monitoring laat zien dat een EC2-instantie kwaadaardige uitgaande verbindingen maakt, cryptovaluta mineert of je netwerk scant, moet je deze isoleren.

Door de isolatie wordt de instantie van al het andere afgescheiden, zodat deze geen verdere schade kan aanrichten. Tegelijkertijd blijft de instantie actief voor onderzoek, in plaats van dat je het bewijsmateriaal wist.

De meest geschikte isolatie bestaat uit het vervangen van de beveiligingsgroepen van de instantie door één forensische groep zonder inkomende regels en, idealiter, zonder uitgaande regels.

Omdat beveiligingsgroepen stateful zijn en aan instanties gekoppeld worden, verbreekt dit onmiddellijk vrijwel alle nieuwe verbindingen zonder iets anders in het subnet aan te raken.

Als je de instantie stopt of beëindigt, wordt het RAM-geheugen geleegd, terwijl daar veel malware actief is, en kunnen artefacten van de aanvaller verloren gaan.

Door de instantie actief maar geïsoleerd te houden, kun je een momentopname van de schijf maken, het geheugen uitlezen en het gedrag observeren. Verwijder de malware pas nadat je het bewijsmateriaal veilig hebt vastgelegd.

Een gecompromitteerde instantie heeft vaak een IAM-rol via zijn instance profile, en de aanvaller kan deze tijdelijke inloggegevens buitmaken om ze elders te gebruiken.

Vervang of verwijder de rol en trek actieve sessies in, zodat de gestolen inloggegevens niet meer werken in alle AWS-services, niet alleen op de instantie zelf.

Maak onmiddellijk een momentopname van elk gekoppeld EBS-volume om de schijf vast te leggen en leg ook het geheugen vast als je hulpmiddelen dat toestaan.

Voorzie deze artefacten van tags om ze als quarantain bewijs te markeren. Door kopieën van momentopnamen alleen-lezen te koppelen aan een afzonderlijke forensische instantie, kun je onderzoek doen zonder de originelen te wijzigen of herinfectie te riskeren.

Voor een extra beveiligingslaag kun je een weigeringsregel toevoegen aan de netwerk-ACL van het subnet voor het private IP-adres van de instantie.

NACL's zijn stateless en worden toegepast aan de grens van het subnet, zodat ze elk pad onderscheppen dat een wijziging van de beveiligingsgroep mogelijk mist. Gebruik dit als vangnet, niet als primaire maatregel.

Als de instantie achter een Elastic Load Balancer staat of deel uitmaakt van een Auto Scaling-groep, deregistreer je deze zodat er geen verkeer meer naartoe wordt gestuurd.

Zet de Auto Scaling-instantie op stand-by of koppel deze los, zodat de groep je bewijsmateriaal niet vernietigt door de instantie te vervangen die volgens de groep een ongezonde host is.

Op grote schaal zijn handmatige stappen te traag. Een veelgebruikt patroon is: een GuardDuty-vondst naar een EventBridge-regel naar Lambda, die de beveiligingsgroep wisselt, momentopnamen van volumes maakt, de rol verwijdert en de instantie van tags voorziet.

Zo wordt een reactie met meerdere stappen één geautomatiseerde actie die binnen enkele seconden na detectie wordt uitgevoerd.

Door de isolatie krijg je tijd om te onderzoeken hoe de aanvaller is binnengedrongen. Controleer CloudTrail, VPC Flow Logs en logboeken op de host om het toegangspunt te vinden — een blootgestelde poort, een niet-gepatchte kwetsbaarheid of een gestolen inloggegeven.

Zonder de hoofdoorzaak kan een opnieuw gebouwde instantie op precies dezelfde manier opnieuw worden gecompromitteerd.

Nadat je het bewijsmateriaal hebt vastgelegd en de hoofdoorzaak begrijpt, vervang je de instantie door een schone, gepatchte AMI in plaats van de geïnfecteerde instantie schoon te maken.

Je kunt zelden garanderen dat een achterdeur volledig is verwijderd. Opnieuw implementeren vanuit een vertrouwde image is sneller en veel betrouwbaarder dan een gecompromitteerde host grondig opschonen.

Markeer de geïsoleerde instantie en de momentopnamen met duidelijke tags zoals Status=Quarantine en de incident-ID, zodat geen enkele automatisering of operator deze per ongeluk opnieuw in gebruik neemt of het bewijsmateriaal verwijdert.

Volg de instantie tot aan de afsluiting in je incidentregistratie en bevestig zowel dat de dreiging is ingedamd als dat de forensische artefacten bewaard zijn.

Isoleer een gecompromitteerde EC2-instantie door een beveiligingsgroep die alles weigert te activeren terwijl je de instantie actief houdt. Maak daarna momentopnamen van EBS-volumes en leg het geheugen vast voordat je iets wijzigt. Verwijder de rol uit het instance profile en trek actieve sessies in, zodat gestolen inloggegevens ongeldig worden. Koppel de instantie los van load balancers en Auto Scaling en voeg een NACL-vangnet toe. Automatiseer de volledige stroom vanuit GuardDuty, onderzoek de hoofdoorzaak en bouw de instantie opnieuw vanuit een vertrouwde AMI.