Cykl reagowania na incydenty w AWS

Incydent bezpieczeństwa to każde zdarzenie, które może naruszyć poufność, integralność lub dostępność zasobów AWS albo danych. Może to być ujawniony klucz dostępu, zainfekowana złośliwym oprogramowaniem instancja lub publicznie dostępny bucket S3.

Reagowanie na incydenty (IR) to uporządkowany proces przygotowywania się na takie zdarzenia, ich wykrywania i przywracania stanu po ich wystąpieniu. Chmura AWS zapewnia szybkość i automatyzację, o których zespoły korzystające z infrastruktury lokalnej mogą tylko marzyć.

AWS dzieli reagowanie na incydenty na trzy ogólne fazy, z których każda opiera się na poprzedniej:

• Przygotowanie — skonfigurowanie ludzi, procesów i narzędzi, zanim cokolwiek się wydarzy.
• Działania operacyjne — wykrywanie, analiza, powstrzymywanie, usuwanie zagrożenia i przywracanie działania podczas aktywnego zdarzenia.
• Działania po incydencie — wyciąganie wniosków z tego, co się wydarzyło, i wprowadzanie usprawnień.

Fazy te są bardzo zbliżone do klasycznego cyklu życia NIST, który należy znać na egzaminie.

Przygotowanie to najważniejsza faza, ponieważ jest jedyną, nad którą można sprawować kontrolę, zanim pojawi się presja. Obejmuje tworzenie procedur operacyjnych, wcześniejsze nadawanie osobom reagującym odpowiednich ról IAM, włączenie logowania wszędzie oraz ćwiczenia w ramach symulacji incydentów.

Zespół, który jest przygotowany, może powstrzymać incydent w ciągu kilku minut. Zespół działający improwizacyjnie traci cenny czas na ustalanie, kto w ogóle może podjąć działanie.

Wykrywanie przekształca surowe sygnały w potwierdzony incydent. Usługi takie jak Amazon GuardDuty, AWS Security Hub i CloudTrail ujawniają podejrzaną aktywność.

Analiza odpowiada następnie na najważniejsze pytania: jaki zasób został dotknięty, w jaki sposób atakujący uzyskał dostęp i jaki jest promień rażenia? Amazon Detective pomaga przejść od pojedynczego ustalenia do pełnego obrazu sytuacji.

Powstrzymywanie zatrzymuje rozwój zagrożenia bez niszczenia dowodów. Można na przykład odizolować instancję EC2 (Elastic Compute Cloud) za pomocą restrykcyjnej grupy zabezpieczeń, unieważnić sesję przejętej roli lub wyłączyć klucz dostępu.

Celem jest ograniczenie szkód przy jednoczesnym zachowaniu stanu potrzebnego do analizy śledczej. Zbyt agresywne działanie może usunąć właśnie te ślady, od których zależy dochodzenie.

Usuwanie zagrożenia polega na usunięciu atakującego i przyczyny źródłowej — załataniu luki, usunięciu tylnych furtek lub zmianie wszystkich ujawnionych sekretów.

Przywracanie działania przywraca normalne funkcjonowanie: obejmuje odtworzenie czystych instancji z zaufanych obrazów, przywrócenie danych z kopii zapasowych oraz potwierdzenie, że zagrożenie rzeczywiście zniknęło, zanim systemy zostaną ponownie podłączone do środowiska produkcyjnego.

Gdy sytuacja się uspokoi, przeprowadź bezszkodową analizę post-mortem. Udokumentuj oś czasu, to, co zadziałało, to, co zawiodło, oraz konkretne usprawnienia.

Zaktualizuj runbooki, dodaj mechanizmy detekcji, które wykryłyby problem wcześniej, i zautomatyzuj czynności wykonywane ręcznie. Każdy incydent to szansa, aby kolejna reakcja była szybsza i spokojniejsza.

Chmura zmienia sposób reagowania na incydenty. Interfejsy API pozwalają w kilka sekund wykonać pojedynczym wywołaniem migawkę dysku, zmienić grupę zabezpieczeń lub odizolować rolę. Infrastructure as code umożliwia odtwarzanie czystych środowisk na żądanie.

Oznacza to, że można preferować ponowne wdrożenie zamiast naprawy — zastąpienie zaatakowanej instancji nową jest często szybsze i bezpieczniejsze niż jej czyszczenie.

Jasny podział odpowiedzialności zapobiega chaosowi. Określ, kto ogłasza incydent, kto komunikuje się z interesariuszami i kto bezpośrednio wykonuje działania.

Utwórz wcześniej role IAM, które będą przyjmować osoby reagujące na incydent, aby dostęp był gotowy i objęty audytem. Model współdzielonej odpowiedzialności nadal ma zastosowanie: AWS zabezpiecza chmurę, ale reagowanie na zdarzenia na Państwa kontach należy do Państwa.

Nie chcą Państwo, aby pierwszy prawdziwy incydent był jednocześnie pierwszym incydentem w historii zespołu. Game days to symulowane zdarzenia, podczas których zespół ćwiczy cały runbook od początku do końca.

Ujawniają one braki — brakujące uprawnienia, nieaktualne listy kontaktów, nieprzetestowaną automatyzację — gdy stawka jest niska. Regularne ćwiczenia zamieniają pisemny plan w pamięć mięśniową.

Przypisz usługi do etapów, aby wiedzieć, po co sięgnąć:

• Wykrywanie: GuardDuty, Security Hub, alarmy CloudWatch.
• Analiza: Detective, CloudTrail, Athena.
• Ograniczanie: grupy zabezpieczeń, IAM, AWS Systems Manager.
• Przywracanie: kopie zapasowe, AMI (Amazon Machine Images), CloudFormation.

Sprawdź znajomość cyklu życia.

Reagowanie na incydenty w AWS obejmuje przygotowanie, wykrywanie i analizę, ograniczanie, usuwanie zagrożenia, przywracanie działania oraz przegląd po incydencie. Przygotowanie to etap, nad którym mają Państwo pełną kontrolę, a Game Days pomagają utrzymać gotowość. Chmura pozwala w ciągu kilku sekund ograniczać skutki i odtwarzać środowiska za pomocą interfejsów API, preferując ponowne wdrożenie zamiast naprawy. Należy ostrożnie ograniczyć skutki, aby zachować dowody, a następnie usunąć przyczynę źródłową i przywrócić działanie z zaufanych źródeł.