Изоляция ресурса для криминалистического анализа

Когда экземпляр EC2 скомпрометирован, первым побуждением может быть его отключение. Не делайте этого. Выключение уничтожает содержимое энергозависимой памяти и может выдать себя злоумышленнику.

Изоляция отключает ресурс от сети и других систем, сохраняя его работающим и неизмененным для анализа. Остановите распространение угрозы, не уничтожая доказательства.

Самый быстрый способ изолировать экземпляр — подключить пустую группу безопасности, запрещающую весь трафик. Поскольку группы безопасности являются stateful и применяются непосредственно к экземпляру, замена группы на не содержащую правил практически полностью прекращает новый трафик.

Некоторые команды заранее подготавливают группу безопасности для судебно-технической изоляции, чтобы сдерживание выполнялось одним вызовом API.

Прежде чем менять что-либо еще, зафиксируйте состояние. Создайте снимок EBS (Elastic Block Store) каждого подключенного тома, чтобы сохранить состояние диска.

Если ваши инструменты это поддерживают, также выгрузите память экземпляра, поскольку вредоносная программа часто существует только в RAM. Эти артефакты становятся неизменяемыми доказательствами, на которых строится расследование.

Понятно пометьте изолированный экземпляр и его снимки — например, Status=Quarantine, — чтобы никто случайно не использовал их повторно и не удалил.

Зафиксируйте временную шкалу: когда вы обнаружили проблему, когда изолировали ресурс и что изменили. Надежная цепочка хранения важна, если результаты расследования будут использоваться в юридическом или контрольном процессе.

Скомпрометированный экземпляр часто получает роль IAM через профиль экземпляра, и злоумышленник может использовать эти учетные данные.

Удалите роль или ограничьте ее, а также используйте действие IAM revoke active sessions, чтобы сделать недействительными уже выданные временные учетные данные. Это не позволит злоумышленнику перейти к другим сервисам, используя идентичность экземпляра.

Для более глубокого сдерживания угрозы можно изменить таблицы маршрутизации или сетевой ACL, отключив подсеть, либо переместить экземпляр в выделенную изолированную подсеть без исходящего маршрута.

Это более жесткий подход, чем замена группы безопасности, но он полезен, если вы подозреваете, что злоумышленник контролирует конфигурацию самого экземпляра.

Получите нужные журналы до их перезаписи. CloudTrail показывает вызовы API, выполненные с ролью экземпляра, журналы потоков VPC показывают его сетевые соединения, а журналы приложений — поведение на узле.

Централизованное журналирование сохраняет эти доказательства, даже если позднее экземпляр будет очищен или пересоздан.

Никогда не анализируйте подозрительный диск в рабочей системе. Подключите копию снимка EBS к укрепленному экземпляру для судебно-технического анализа в изолированной среде.

Подключите том только для чтения, чтобы расследование не могло изменить доказательства. Работайте с копиями, а не с оригиналами.

Ручная изоляция в три часа ночи выполняется медленно. Настройте передачу результатов обнаружения GuardDuty в EventBridge и функцию Lambda, которая автоматически применяет группу безопасности для судебно-технической изоляции, создает снимки томов и добавляет метки экземпляру.

Автоматизация сокращает промежуток между обнаружением и сдерживанием угрозы с минут до секунд.

После сбора доказательств предпочтительно пересоздать систему из доверенного AMI, а не очищать скомпрометированный узел. Редко можно быть полностью уверенным, что бэкдор устранен.

Изолированный экземпляр и его снимки остаются в карантине для расследования, пока новый экземпляр с установленными исправлениями не возьмет на себя рабочую нагрузку.

На протяжении всей изоляции ведите точную запись: когда было выполнено каждое действие, кем и почему. CloudTrail фиксирует вызовы API, но дополнительно укажите человеческий контекст.

Эта временная шкала необходима для разбора после инцидента и любых последующих юридических или контрольных процедур: она превращает хаотичное реагирование в обоснованные доказательства, пригодные для аудита.

Выберите самое безопасное действие для сдерживания угрозы.

Чтобы изолировать скомпрометированный ресурс, оставьте его работающим, но отключите сеть с помощью группы безопасности, запрещающей весь трафик, затем создайте снимки томов EBS и сохраните содержимое памяти до любых изменений. Отзовите роль экземпляра и его активные сеансы, пометьте все ресурсы как находящиеся в карантине и заранее соберите CloudTrail и журналы потоков. Анализируйте копии на экземпляре для судебно-технического анализа в режиме только для чтения, автоматизируйте шаги с помощью EventBridge и Lambda и пересоздайте систему из доверенного AMI вместо восстановления.