Izolowanie zasobu na potrzeby analizy śledczej

Gdy instancja EC2 zostanie przejęta, naturalnym odruchem może być jej wyłączenie. Należy się przed tym powstrzymać. Wyłączenie zasilania niszczy ulotną pamięć i może zaalarmować atakującego.

Izolacja odcina zasób od sieci i innych systemów, pozostawiając go uruchomionym i nienaruszonym do analizy. Powstrzymaj rozprzestrzenianie się zagrożenia bez usuwania dowodów.

Najszybszym sposobem odizolowania instancji jest przypisanie pustej grupy zabezpieczeń blokującej cały ruch. Ponieważ grupy zabezpieczeń są stanowe i mają zastosowanie bezpośrednio do instancji, zastąpienie obecnej grupą bez reguł w praktyce zatrzymuje cały nowy ruch.

Niektóre zespoły utrzymują gotową grupę zabezpieczeń do izolacji kryminalistycznej, dzięki czemu ograniczenie skutków sprowadza się do jednego wywołania API.

Zanim zmienisz cokolwiek innego, zarejestruj stan. Utwórz migawkę EBS (Elastic Block Store) każdego dołączonego woluminu, aby zamrozić stan dysku.

Jeśli używane narzędzia na to pozwalają, zrzutuj również pamięć instancji, ponieważ złośliwe oprogramowanie często znajduje się wyłącznie w pamięci RAM. Artefakty te stają się niezmiennymi dowodami, na których opiera się dochodzenie.

Wyraźnie oznacz odizolowaną instancję i jej migawki — na przykład Status=Quarantine — aby nikt przypadkowo ich nie wykorzystał ponownie ani nie usunął.

Zapisz oś czasu: kiedy wykryto problem, kiedy odizolowano instancję i jakie zmiany wprowadzono. Prawidłowy łańcuch dowodowy ma znaczenie, jeśli ustalenia kiedykolwiek zostaną wykorzystane w postępowaniu prawnym lub związanym ze zgodnością.

Przejęta instancja często ma rolę IAM za pośrednictwem swojego profilu instancji, a atakujący może używać powiązanych z nią poświadczeń.

Usuń lub ogranicz tę rolę i użyj działania IAM revoke active sessions, aby unieważnić już wydane poświadczenia tymczasowe. Uniemożliwi to atakującemu przemieszczanie się do innych usług przy użyciu tożsamości instancji.

Aby zastosować głębszą izolację, można zmienić tablice routingu lub sieciową listę ACL w celu odcięcia podsieci albo przenieść instancję do dedykowanej podsieci kwarantanny bez ścieżki wychodzącej.

To rozwiązanie jest bardziej zdecydowane niż zamiana grupy zabezpieczeń, ale przydatne, gdy istnieje podejrzenie, że atakujący kontroluje samą konfigurację instancji.

Pobierz odpowiednie logi, zanim zostaną nadpisane. CloudTrail pokazuje wywołania API wykonane przy użyciu roli instancji, VPC Flow Logs pokazują jej połączenia sieciowe, a logi aplikacji ujawniają zachowanie na hoście.

Scentralizowane logowanie gwarantuje przetrwanie tych dowodów, nawet jeśli instancja zostanie później wyczyszczona lub odtworzona.

Nigdy nie analizuj podejrzanego dysku w systemie produkcyjnym. Dołącz kopię migawki EBS do wzmocnionej instancji kryminalistycznej w odizolowanym środowisku.

Zamontuj wolumin w trybie tylko do odczytu, aby samo dochodzenie nie mogło zmienić dowodów. Pracuj na kopiach, nigdy na oryginałach.

Ręczna izolacja o 3:00 w nocy przebiega powoli. Połącz ustalenia GuardDuty z EventBridge i funkcją Lambda, która automatycznie przypisze grupę zabezpieczeń do analizy kryminalistycznej, utworzy migawki woluminów i oznaczy instancję.

Automatyzacja skraca z minut do sekund czas, jaki atakujący ma między wykryciem a ograniczeniem skutków.

Po przechwyceniu dowodów preferuj odtworzenie z zaufanego AMI zamiast czyszczenia zaatakowanego hosta. Rzadko można mieć pełną pewność, że tylna furtka została usunięta.

Odizolowana instancja i jej migawki pozostają w kwarantannie na potrzeby dochodzenia, podczas gdy nowa, załatana instancja przejmuje zadania produkcyjne.

Przez cały czas izolacji prowadź dokładny zapis: kiedy wykonano każde działanie, kto je wykonał i dlaczego. CloudTrail rejestruje wywołania API, ale należy uzupełnić je o kontekst działań ludzi.

Ta oś czasu ma kluczowe znaczenie dla przeglądu po incydencie oraz wszelkich dalszych działań prawnych lub związanych ze zgodnością, zamieniając chaotyczną reakcję w możliwe do obrony i skontrolowania dowody.

Wybierz najbezpieczniejsze działanie ograniczające skutki.

Aby odizolować przejęty zasób, pozostaw go uruchomionym, ale odetnij sieć za pomocą grupy zabezpieczeń blokującej cały ruch, a następnie utwórz migawki woluminów EBS i przechwyć pamięć, zanim cokolwiek się zmieni. Odwołaj rolę instancji i jej aktywne sesje, oznacz wszystko jako kwarantannę oraz wcześnie pobierz logi CloudTrail i Flow Logs. Analizuj kopie na instancji kryminalistycznej w trybie tylko do odczytu, automatyzuj kroki za pomocą EventBridge i Lambda, a następnie odtwórz środowisko z zaufanego AMI zamiast je naprawiać.