Przygotowanie konta i zestawu narzędzi IR

Dojrzałe organizacje AWS tworzą osobne konto bezpieczeństwa lub reagowania na incydenty. Jest ono odizolowane od środowiska produkcyjnego, dzięki czemu atakujący, który przejmie obciążenie, nie może uzyskać dostępu do narzędzi dochodzeniowych ani dowodów.

Na tym koncie znajdują się zasoby do analizy kryminalistycznej, scentralizowane logi oraz role przyjmowane przez osoby reagujące po rozpoczęciu zdarzenia.

Gdyby logi i narzędzia znajdowały się na tym samym koncie co naruszone zasoby, atakujący mógłby je usunąć, aby zatrzeć ślady.

Odizolowane konto IR, często połączone z oddzielnym kontem archiwum logów, przechowuje dowody i zapewnia dostęp do narzędzi poza zasięgiem atakującego, nawet podczas pełnego przejęcia środowiska produkcyjnego.

Zdefiniuj role IAM, które będą przyjmować osoby reagujące na incydent, zanim dojdzie do incydentu. Role między kontami pozwalają kontu IR uzyskać dostęp do naruszonego konta w celu wykonania migawek dysków lub zmiany grup zabezpieczeń.

Role te mają ściśle określony zakres uprawnień, są intensywnie rejestrowane, a ich użycie generuje alerty. Dzięki temu podwyższony dostęp jest natychmiast dostępny, ale nie może być używany niezauważenie.

Wyposaż konto IR w gotowe do użycia narzędzia: wzmocniony obraz AMI do analizy forensycznej, skrypty do pozyskiwania i montowania woluminów w trybie tylko do odczytu oraz dokumenty automatyzacji dla typowych działań izolacyjnych.

Przygotowanie tego wszystkiego z wyprzedzeniem sprawia, że osoby reagujące na incydent poświęcają czas na analizę, a nie na składanie narzędzi w chwili, gdy liczy się każda minuta.

Agreguj CloudTrail, VPC Flow Logs i historię Config na koncie IR lub koncie archiwum logów.

Centralizacja zapewnia analitykom jedno zaufane miejsce do wykonywania zapytań za pomocą Athena i gwarantuje zachowanie śladu audytowego, nawet jeśli poszczególne konta zostaną wyczyszczone. To fundament każdego dochodzenia w AWS.

Przechowuj zebrane dowody w zasobniku S3 z funkcją Object Lock w trybie compliance, aby nawet administrator nie mógł ich usunąć ani nadpisać przez określony okres przechowywania.

Gwarantuje to możliwy do obrony łańcuch dowodowy i chroni dowody zarówno przed atakującymi, jak i przypadkową utratą.

Wdróż z wyprzedzeniem reguły EventBridge, funkcje Lambda i dokumenty SSM Automation wykonujące izolowanie oraz pozyskiwanie danych.

Gdy pojawi się wynik GuardDuty, automatyzacja może odizolować zasób w ciągu kilku sekund. Przygotowanie i przetestowanie jej wcześniej decyduje o tym, czy reakcja będzie szybka, czy chaotyczna.

Przygotuj komunikację poza głównym kanałem. Jeśli atakujący znajduje się w Twoim środowisku, nie możesz ufać wewnętrznej poczcie ani czatowi, które mogą być monitorowane.

Przygotuj oddzielny kanał, aktualną listę kontaktów oraz ścieżkę eskalacji. Wiedza o tym, dokładnie do kogo i jak zadzwonić, jest częścią zestawu narzędzi.

Nieprzetestowane konto IR daje fałszywe poczucie bezpieczeństwa. Organizuj ćwiczenia, które obejmują przyjmowanie ról między kontami, pozyskiwanie dowodów oraz automatyzację od początku do końca.

Testy ujawniają wygasłe uprawnienia, niedziałające skrypty i braki wtedy, gdy ich naprawa jest tania — na długo przed tym, jak prawdziwy atakujący zmusi Cię do działania.

Nawet osoby reagujące na incydent podlegają zasadzie najmniejszych uprawnień. Role IR przyznają dokładnie te uprawnienia, które są potrzebne do analizy i ograniczenia skutków incydentu — i żadnych więcej.

Istnieją role awaryjne o szerszych uprawnieniach, ale pozostają nieaktywne, generują alerty po użyciu i są później poddawane przeglądowi. Dostęp o dużych uprawnieniach, który jest stale włączony, sam w sobie stanowi zagrożenie.

Konto IR ulega degradacji, jeśli jest ignorowane. Uprawnienia wygasają, obrazy AMI stają się nieaktualne, a automatyzacja zaczyna odbiegać od działającego środowiska.

Traktuj konto jak żywą infrastrukturę: zarządzaj nim jako kodem, aktualizuj obraz AMI do analizy forensycznej, rotuj dane uwierzytelniające i regularnie przeglądaj zaufanie między kontami, aby zestaw narzędzi był naprawdę gotowy w chwili ogłoszenia incydentu.

Dlaczego dedykowane konto?

Przygotuj dedykowane, odizolowane konto IR z wcześniej skonfigurowanymi rolami między kontami, zestawem narzędzi forensics oraz scentralizowanym logowaniem, które przetrwa naruszenie środowiska produkcyjnego. Przechowuj dowody w zasobnikach z funkcją Object Lock, aby zapewnić niezmienialny łańcuch dowodowy, wcześniej wdróż automatyzację izolowania i przygotuj kanał komunikacji poza głównym środowiskiem. Stosuj zasadę najmniejszych uprawnień także wobec osób reagujących na incydent oraz potwierdzaj działanie całej konfiguracji podczas regularnych ćwiczeń.