Colocando uma Instância EC2 Comprometida em Quarentena

Se o GuardDuty ou seu monitoramento mostrar que uma instância do EC2 está fazendo conexões externas maliciosas, minerando criptomoedas ou examinando sua rede, ela precisa ser colocada em quarentena.

A quarentena isola a instância de todo o restante para que ela não possa causar mais danos, mantendo-a ativa para investigação em vez de apagar as evidências.

A forma mais limpa de colocar uma instância em quarentena é substituir os grupos de segurança por um único grupo forense sem regras de entrada e, idealmente, sem regras de saída.

Como os grupos de segurança mantêm estado e são associados à instância, isso interrompe imediatamente praticamente todas as novas conexões sem afetar qualquer outro recurso da sub-rede.

Interromper ou encerrar a instância limpa a memória RAM, onde muitos tipos de malware residem, e pode destruir artefatos deixados pelo invasor.

A quarentena mantém a instância em execução, mas isolada, para que o senhor possa criar uma cópia do disco, descarregar a memória e observar o comportamento. Só elimine a ameaça depois que as evidências forem capturadas com segurança.

Uma instância comprometida frequentemente possui uma função do IAM por meio do seu perfil de instância, e o invasor pode estar exfiltrando essas credenciais temporárias para usá-las em outro lugar.

Substitua ou remova a função e revogue as sessões ativas para que as credenciais roubadas parem de funcionar em todos os serviços da AWS, não apenas na própria instância.

Crie imediatamente uma cópia de cada volume EBS anexado para congelar o disco e capture a memória, se suas ferramentas permitirem.

Marque esses artefatos como evidências da quarentena. Montar cópias das cópias de segurança em modo somente leitura em uma instância forense separada permite investigar sem alterar os originais ou correr o risco de reinfecção.

Como camada extra, o senhor pode adicionar uma regra de negação na ACL de rede da sub-rede para o IP privado da instância.

As NACLs não mantêm estado e são aplicadas no limite da sub-rede, portanto capturam qualquer caminho que uma alteração no grupo de segurança possa não bloquear. Use-as como proteção adicional, não como controle principal.

Se a instância estiver atrás de um balanceador de carga elástico ou em um grupo de escalabilidade automática, remova o registro dela para que o tráfego deixe de ser encaminhado.

Coloque a instância de escalabilidade automática em espera ou desanexe-a para que o grupo não elimine suas evidências ao substituir o que considera um host não íntegro.

Em grande escala, as etapas manuais são lentas demais. Um padrão comum é: descoberta do GuardDuty para uma regra do EventBridge e, em seguida, uma função do Lambda que troca o grupo de segurança, cria cópias dos volumes, remove a função e marca a instância.

Isso transforma uma resposta com várias etapas em uma única ação automatizada, executada poucos segundos após a detecção.

A quarentena dá tempo para descobrir como o invasor entrou. Analise o CloudTrail, os registros de fluxo da VPC e os registros no host para encontrar o ponto de entrada — uma porta exposta, uma vulnerabilidade sem correção ou uma credencial roubada.

Sem a causa raiz, uma instância reconstruída pode ser comprometida exatamente da mesma forma.

Depois de capturar as evidências e compreender a causa raiz, substitua a instância usando uma AMI limpa e corrigida, em vez de limpar a instância infectada.

Raramente é possível garantir que uma porta dos fundos tenha sido totalmente removida. Reimplantar a partir de uma imagem confiável é mais rápido e muito mais seguro do que limpar um host comprometido.

Marque a instância em quarentena e suas cópias de segurança com identificadores claros, como Status=Quarantine e o ID do incidente, para que nenhuma automação ou operador a devolva acidentalmente ao serviço nem exclua as evidências.

Acompanhe-a até o encerramento no registro do incidente, confirmando tanto que a ameaça está contida quanto que os artefatos forenses foram preservados.

Escolha a etapa correta para a credencial.

Coloque uma instância do EC2 comprometida em quarentena substituindo seu grupo de segurança por um grupo que negue todo o tráfego, mantendo-a em execução; em seguida, crie cópias dos volumes EBS e capture a memória antes de alterar qualquer coisa. Remova a função do perfil de instância e revogue as sessões ativas para invalidar as credenciais roubadas, desanexe a instância dos balanceadores de carga e da escalabilidade automática e adicione uma proteção com NACL. Automatize todo o fluxo a partir do GuardDuty, investigue a causa raiz e reconstrua a instância usando uma AMI confiável.