Isolando um Recurso para Análise Forense

Quando uma instância do EC2 é comprometida, seu instinto pode ser desligá-la. Resista. Desligar a instância destrói a memória volátil e pode alertar o invasor.

Isolar desconecta o recurso da rede e de outros sistemas, mantendo-o em execução e intacto para análise. Interrompa a propagação sem apagar as evidências.

A maneira mais rápida de isolar uma instância é associar a ela um grupo de segurança vazio que negue todo o tráfego. Como os grupos de segurança mantêm o estado e se aplicam diretamente à instância, substituí-lo por um grupo sem regras interrompe praticamente todo o tráfego novo.

Algumas equipes mantêm pronto um grupo de segurança de isolamento forense, para que a contenção seja feita com uma única chamada de API.

Antes de alterar qualquer outra coisa, capture o estado. Crie um snapshot do EBS (Elastic Block Store) de cada volume anexado para congelar o conteúdo do disco.

Se suas ferramentas oferecerem suporte, capture também a memória da instância, pois o malware frequentemente existe apenas na RAM. Esses artefatos se tornam as evidências imutáveis nas quais sua investigação se baseará.

Identifique claramente a instância isolada e seus snapshots — por exemplo, Status=Quarantine — para que ninguém os reutilize ou encerre por acidente.

Registre a linha do tempo: quando você detectou o problema, quando o isolou e o que alterou. Uma cadeia de custódia íntegra é importante caso as descobertas algum dia sejam usadas em um processo jurídico ou de conformidade.

Uma instância comprometida geralmente possui uma função do IAM por meio de seu perfil de instância, e o invasor pode estar usando essas credenciais.

Remova ou restrinja a função e use a ação do IAM revoke active sessions para invalidar as credenciais temporárias já emitidas. Isso impede que o invasor avance para outros serviços usando a identidade da instância.

Para uma contenção mais profunda, você pode ajustar as tabelas de rotas ou uma ACL de rede para cortar o acesso à sub-rede, ou mover a instância para uma sub-rede de quarentena dedicada, sem caminho de saída.

Essa medida é mais drástica do que trocar o grupo de segurança, mas é útil quando você suspeita que o invasor controla a própria configuração da instância.

Obtenha os registros relevantes antes que sejam substituídos. O CloudTrail mostra as chamadas de API feitas com a função da instância, os registros de fluxo da VPC mostram as conexões de rede e os registros da aplicação mostram o comportamento no host.

O registro centralizado garante que essas evidências sobrevivam mesmo que a instância seja apagada ou recriada posteriormente.

Nunca analise um disco suspeito em um sistema de produção. Anexe a cópia do snapshot do EBS a uma instância forense protegida em um ambiente isolado.

Monte o volume como somente leitura, para que a investigação não altere as evidências. Trabalhe com cópias, nunca com os originais.

O isolamento manual é lento às 3 da manhã. Conecte as descobertas do GuardDuty ao EventBridge e a uma função do Lambda que aplique automaticamente o grupo de segurança forense, crie snapshots dos volumes e identifique a instância.

A automação reduz de minutos para segundos o intervalo que o invasor tem entre a detecção e a contenção.

Depois de capturar as evidências, prefira recriar a partir de uma AMI confiável em vez de limpar o host comprometido. Raramente é possível ter certeza absoluta de que um backdoor desapareceu.

A instância isolada e seus snapshots permanecem em quarentena para investigação, enquanto uma instância nova e corrigida assume as funções de produção.

Durante todo o isolamento, mantenha um registro preciso: quando cada ação foi tomada, por quem e por quê. O CloudTrail captura as chamadas de API, mas acrescente o contexto humano.

Essa linha do tempo é essencial para a revisão pós-incidente e para qualquer acompanhamento jurídico ou de conformidade, transformando uma resposta frenética em evidências defensáveis e auditáveis.

Escolha a ação de contenção mais segura.

Para isolar um recurso comprometido, mantenha-o em execução, mas bloqueie a rede com um grupo de segurança que negue todo o tráfego; depois, crie snapshots dos volumes EBS e capture a memória antes que qualquer coisa seja alterada. Revogue a função da instância e suas sessões ativas, identifique tudo como quarentena e obtenha cedo os registros do CloudTrail e os registros de fluxo. Analise cópias em uma instância forense somente leitura, automatize as etapas com EventBridge e Lambda e recrie o ambiente a partir de uma AMI confiável em vez de repará-lo.