Создание снимков томов для криминалистического анализа

Прежде чем взаимодействовать со скомпрометированным экземпляром, сохраните его диск. Снимок EBS — это копия тома Elastic Block Store на определенный момент времени, надежно хранящаяся в S3.

Он фиксирует точное состояние диска в момент создания, предоставляя специалистам неизменную исходную точку для анализа, даже если работающая система изолируется или пересоздается.

Снимок EBS создается на уровне блоков и является инкрементным: первый снимок содержит все используемые блоки, а последующие сохраняют только изменения. Несмотря на это, каждый снимок представляет собой полную копию тома, которую можно восстановить.

Он сохраняет файловую систему, вредоносное ПО на диске, журналы и конфигурацию в точности в том виде, в каком они находились, — это исходные материалы криминалистического расследования.

Золотое правило криминалистики — никогда не изменять исходные доказательства. Работайте только с копиями снимка.

Создайте новый том из снимка, подключите его к экземпляру для криминалистического анализа и смонтируйте его в режиме только для чтения, чтобы расследование не изменило ни одного байта зафиксированного состояния.

Снимки диска не содержат того, что существует только в оперативной памяти: безфайлового вредоносного ПО, ключей расшифровки и активных сетевых соединений.

Если ваши инструменты криминалистического анализа это поддерживают, сохраните также содержимое памяти экземпляра. Вместе снимок диска и образ памяти дают наиболее полную картину компрометации.

Пометьте каждый снимок исходным экземпляром, идентификатором инцидента и временем создания. Понятные метки предотвращают случайное удаление и помогают организовать доказательства.

Документируйте, кто, что и когда захватил. Обоснованная цепочка хранения доказательств важна, если результаты когда-либо станут основанием для судебных или регулирующих мер.

Скопируйте снимок в изолированную учетную запись для криминалистического анализа или IR, чтобы доказательства находились вне досягаемости злоумышленника, который все еще действует в скомпрометированной учетной записи.

Общий доступ и копирование снимков между учетными записями — встроенная возможность EBS; просто убедитесь, что разрешения ключа KMS позволяют целевой учетной записи использовать зашифрованные снимки.

Шифруйте снимки для криминалистического анализа с помощью KMS (службы управления ключами), чтобы содержащиеся в них конфиденциальные данные оставались защищенными при хранении.

Контролируйте доступ с помощью политики ключа: расшифровывать доказательства должны иметь возможность только уполномоченные специалисты. Это защищает данные пострадавших и помогает соблюдать требования.

Для долгосрочного хранения экспортируйте доказательства или сохраняйте их в хранилище, содержимое которого нельзя изменить. Бакет S3 с функцией Object Lock в режиме соответствия требованиям предотвращает удаление или перезапись в течение заданного срока хранения.

Это защищает доказательства как от злоумышленников, так и от случайной утраты, повышая надежность расследования.

Во время быстро развивающегося инцидента ручное создание снимков становится узким местом. Функция Lambda, запущенная обнаружением GuardDuty, может автоматически создать снимки всех подключенных томов сразу после обнаружения угрозы.

Автоматизированный сбор фиксирует максимально актуальное состояние и позволяет специалистам сосредоточиться на анализе.

Подключив копию в режиме только для чтения к экземпляру для криминалистического анализа, специалисты ищут признаки компрометации: подозрительные файлы, измененные двоичные файлы, неожиданные задания cron и записи в журналах.

Поскольку работа выполняется в изолированной копии, можно проводить активное исследование без риска для рабочей среды и целостности исходных доказательств.

После завершения расследования определите судьбу снимка согласно политике. Доказательства, связанные с судебными или регулирующими вопросами, может потребоваться хранить длительное время с помощью Object Lock.

В остальных случаях удаляйте снимки для криминалистического анализа по установленному расписанию, чтобы конфиденциальные захваченные данные не накапливались. В любом случае зафиксируйте решение, чтобы цепочка хранения оставалась непрерывной от сбора до удаления.

Правильно защитите доказательства.

Собирайте криминалистические доказательства, создавая снимок EBS каждого тома до изменения экземпляра, и сохраняйте содержимое памяти для данных, существующих только в оперативной памяти. Всегда работайте с копиями только для чтения, помечайте все материалы для ведения цепочки хранения и копируйте зашифрованный снимок в изолированную учетную запись IR. Защитите его с помощью KMS и Object Lock в S3, автоматизируйте сбор на основе обнаружений GuardDuty и анализируйте копии на защищенном экземпляре для криминалистического анализа.