Kwarantanna przejętej instancji EC2

Jeśli GuardDuty lub system monitorowania wykryje, że instancja EC2 nawiązuje złośliwe połączenia wychodzące, kopie kryptowaluty lub skanuje sieć, należy ją odizolować.

Izolacja odcina instancję od wszystkiego innego, aby nie mogła wyrządzić dalszych szkód, ale pozostawia ją uruchomioną na potrzeby dochodzenia, zamiast usuwać dowody.

Najczystszą metodą izolacji jest zastąpienie grup zabezpieczeń instancji jedną grupą kryminalistyczną, która nie ma reguł ruchu przychodzącego, a najlepiej również wychodzącego.

Ponieważ grupy zabezpieczeń są stanowne i przypisane do instancji, natychmiast odcina to zasadniczo wszystkie nowe połączenia bez ingerencji w cokolwiek innego w podsieci.

Zatrzymanie lub zakończenie instancji opróżnia pamięć RAM, w której często znajduje się złośliwe oprogramowanie, i może zniszczyć artefakty pozostawione przez atakującego.

Izolacja pozostawia instancję uruchomioną, ale odizolowaną, dzięki czemu można wykonać migawkę dysku, zrzut pamięci i obserwować jej zachowanie. Usunięcie zagrożenia należy przeprowadzić dopiero po bezpiecznym zabezpieczeniu dowodów.

Przejęta instancja często korzysta z roli IAM za pośrednictwem swojego profilu instancji, a atakujący może wykradać tymczasowe dane uwierzytelniające, aby używać ich w innych miejscach.

Należy zastąpić lub usunąć rolę oraz unieważnić aktywne sesje, aby skradzione dane uwierzytelniające przestały działać we wszystkich usługach AWS, a nie tylko na samej instancji.

Należy natychmiast wykonać migawkę każdego dołączonego woluminu EBS, aby utrwalić stan dysku, oraz przechwycić pamięć, jeśli używane narzędzia na to pozwalają.

Te artefakty należy oznaczyć jako dowody z izolacji. Zamontowanie kopii migawek w trybie tylko do odczytu na oddzielnej instancji kryminalistycznej umożliwia dochodzenie bez modyfikowania oryginałów i bez ryzyka ponownego zainfekowania.

Aby dodać dodatkową warstwę ochrony, można dodać regułę odrzucającą w podsieciowej sieciowej liście ACL dla prywatnego adresu IP instancji.

Listy NACL są bezstanowe i działają na granicy podsieci, dzięki czemu przechwytują każdą ścieżkę, którą mogłaby pominąć zmiana grupy zabezpieczeń. Należy używać ich jako zabezpieczenia dodatkowego, a nie głównego mechanizmu kontroli.

Jeśli instancja znajduje się za Elastic Load Balancerem lub w grupie Auto Scaling, należy wyrejestrować ją, aby ruch przestał do niej trafiać.

Instancję Auto Scaling należy przełączyć w tryb standby lub odłączyć ją, aby grupa nie usunęła dowodów, zastępując hosta, który uzna za niesprawny.

Przy dużej skali ręczne czynności są zbyt wolne. Typowy schemat wygląda następująco: wykrycie GuardDuty prowadzi do reguły EventBridge, a ta uruchamia Lambda, która zmienia grupę zabezpieczeń, wykonuje migawki woluminów, usuwa rolę i oznacza instancję.

W ten sposób wieloetapowa reakcja staje się pojedynczą zautomatyzowaną czynnością wykonywaną w ciągu kilku sekund od wykrycia.

Izolacja daje czas na ustalenie, w jaki sposób atakujący uzyskał dostęp. Należy przeanalizować CloudTrail, VPC Flow Logs i dzienniki na hoście, aby znaleźć punkt wejścia — odsłonięty port, niezałataną lukę lub skradzione dane uwierzytelniające.

Bez poznania przyczyny źródłowej odbudowana instancja może zostać zaatakowana dokładnie w ten sam sposób.

Po zabezpieczeniu dowodów i poznaniu przyczyny źródłowej należy zastąpić instancję przy użyciu czystego, załatanego AMI, zamiast oczyszczać zainfekowaną instancję.

Rzadko można zagwarantować całkowite usunięcie tylnego wejścia. Ponowne wdrożenie z zaufanego obrazu jest szybsze i znacznie bardziej niezawodne niż oczyszczanie przejętego hosta.

Należy oznaczyć odizolowaną instancję i jej migawki czytelnymi tagami, takimi jak Status=Quarantine oraz identyfikator incydentu, aby żadna automatyzacja ani operator nie przywrócił jej przypadkowo do działania ani nie usunął dowodów.

Należy śledzić jej stan aż do zamknięcia sprawy w rejestrze incydentu, potwierdzając zarówno opanowanie zagrożenia, jak i zachowanie artefaktów kryminalistycznych.

Proszę wybrać właściwy krok dotyczący danych uwierzytelniających.

Aby odizolować przejętą instancję EC2, należy podmienić jej grupę zabezpieczeń na grupę odrzucającą cały ruch, pozostawiając instancję uruchomioną, a następnie przed wprowadzeniem zmian wykonać migawki woluminów EBS i przechwycić pamięć. Należy usunąć rolę profilu instancji i unieważnić aktywne sesje, aby skradzione dane uwierzytelniające przestały działać, odłączyć instancję od modułów równoważenia obciążenia i Auto Scaling oraz dodać zabezpieczenie w postaci NACL. Cały proces należy zautomatyzować na podstawie wykryć GuardDuty, zbadać przyczynę źródłową i odbudować instancję z zaufanego AMI.