Подготовка учётной записи и набора инструментов для IR

Зрелые организации AWS создают отдельную учетную запись безопасности или реагирования на инциденты. Она изолирована от рабочей среды, поэтому злоумышленник, скомпрометировавший рабочую нагрузку, не сможет получить доступ к инструментам расследования или доказательствам.

В этой учетной записи хранятся ресурсы для судебно-технического анализа, централизованные журналы и роли, которые специалисты по реагированию используют при начале события.

Если бы журналы и инструменты находились в том же аккаунте, что и взломанная среда, злоумышленник мог бы удалить их, чтобы скрыть следы.

Изолированный аккаунт IR, часто дополненный отдельным аккаунтом архива журналов, сохраняет доказательства и возможности вне досягаемости злоумышленника даже при полном взломе рабочей среды.

Определите роли IAM, которые будут принимать специалисты по реагированию, до возникновения инцидента. Роли между аккаунтами позволяют аккаунту IR обращаться к скомпрометированному аккаунту, чтобы создавать снимки дисков или изменять группы безопасности.

Эти роли имеют строго ограниченную область действий, подробное журналирование и оповещения, поэтому расширенный доступ готов немедленно, но не может использоваться незаметно.

Оснастите аккаунт IR готовыми к работе инструментами: защищённым криминалистическим AMI, скриптами для получения и подключения томов в режиме только для чтения, а также документами автоматизации для распространённых действий по сдерживанию угрозы.

Предварительная подготовка позволяет специалистам тратить время на расследование, а не собирать инструменты, пока время неумолимо уходит.

Агрегируйте CloudTrail, журналы потоков VPC и историю Config в аккаунте IR или аккаунте архива журналов.

Централизация даёт следователям единое доверенное место для запросов с помощью Athena и гарантирует сохранность аудиторского следа, даже если отдельные аккаунты будут очищены. Это основа любого расследования в AWS.

Храните собранные доказательства в корзине S3 с включённым блокированием объектов в режиме соответствия требованиям, чтобы даже администратор не мог удалить или перезаписать их в течение заданного срока хранения.

Это гарантирует обоснованную непрерывность хранения доказательств и защищает их от злоумышленников и случайной утраты.

Заранее разверните правила EventBridge, функции Lambda и документы автоматизации SSM, выполняющие изоляцию и сбор данных.

Когда поступает обнаружение GuardDuty, автоматизация может изолировать ресурс за считаные секунды. Предварительная сборка и проверка — вот что отличает быстрое реагирование от неуверенных и запоздалых действий.

Подготовьте автономную связь. Если злоумышленник находится в вашей среде, нельзя доверять внутренней электронной почте или чату, которые могут отслеживаться.

Заранее подготовьте отдельный канал, актуальный список контактов и порядок эскалации. Точное понимание того, кому и как звонить, — часть набора инструментов.

Непроверенный аккаунт IR создаёт ложную уверенность. Проводите учебные дни, отрабатывая принятие ролей между аккаунтами, сбор доказательств и автоматизацию от начала до конца.

Проверка выявляет истёкшие разрешения, неработающие скрипты и пробелы, пока их ещё недорого исправить — задолго до того, как реальный злоумышленник заставит вас столкнуться с проблемой.

Даже специалисты по реагированию соблюдают принцип минимальных привилегий. Роли IR предоставляют ровно те действия, которые необходимы для расследования и сдерживания угрозы, и ничего сверх этого.

Существуют аварийные роли с более широкими полномочиями, но обычно они неактивны, при использовании создают оповещения и после этого проверяются. Постоянно включённый мощный доступ сам по себе представляет риск.

Аккаунт IR приходит в негодность, если им пренебрегать. Разрешения истекают, AMI устаревают, а автоматизация перестаёт соответствовать рабочей среде.

Относитесь к аккаунту как к живой инфраструктуре: управляйте им как кодом, устанавливайте исправления для криминалистического AMI, меняйте все учётные данные и регулярно проверяйте доверие между аккаунтами, чтобы набор инструментов действительно был готов в момент объявления инцидента.

Зачем нужен выделенный аккаунт?

Подготовьте выделенный изолированный аккаунт IR с заранее настроенными ролями между аккаунтами, криминалистическим набором инструментов и централизованным журналированием, сохраняющимся при взломе рабочей среды. Храните доказательства в корзинах с блокированием объектов для обеспечения неизменяемой непрерывности хранения, заранее разверните автоматизацию изоляции и подготовьте автономный канал связи. Соблюдайте принцип минимальных привилегий даже для специалистов по реагированию и регулярно подтверждайте работоспособность всей настройки в ходе учебных дней.