Sätt en komprometterad EC2-instans i karantän

Om GuardDuty eller er övervakning visar att en EC2-instans upprättar skadliga utgående anslutningar, utvinner kryptovaluta eller skannar ert nätverk måste den sättas i karantän.

Karantän isolerar instansen från allt annat så att den inte kan orsaka mer skada, samtidigt som den hålls igång för utredning i stället för att bevisen raderas.

Den renaste karantänsåtgärden är att ersätta instansens säkerhetsgrupper med en enda forensisk grupp som saknar inkommande regler och helst även utgående regler.

Eftersom säkerhetsgrupper är tillståndsbevarande och kopplade till instansen bryter detta omedelbart i princip alla nya anslutningar utan att påverka något annat i undernätet.

Om ni stoppar eller avslutar instansen töms RAM-minnet, där mycket skadlig kod finns, och angriparens artefakter kan förstöras.

Karantän håller instansen igång men isolerad, så att ni kan ta en ögonblicksbild av disken, dumpa minnet och observera beteendet. Eliminera hotet först när bevisen har säkrats.

En komprometterad instans har ofta en IAM-roll via sin instansprofil, och angriparen kan exfiltrera dessa tillfälliga autentiseringsuppgifter för att använda dem någon annanstans.

Ersätt eller ta bort rollen och återkalla aktiva sessioner så att de stulna autentiseringsuppgifterna slutar fungera i alla AWS-tjänster, inte bara på själva instansen.

Ta omedelbart en ögonblicksbild av varje ansluten EBS-volym för att frysa disken och samla in minnet om era verktyg tillåter det.

Tagga dessa artefakter som bevismaterial från karantänen. Om ni monterar kopior av ögonblicksbilderna skrivskyddat på en separat forensisk instans kan ni utreda utan att ändra originalen eller riskera återinfektion.

Som ett extra skydd kan ni lägga till en deny-regel i undernätets nätverks-ACL för instansens privata IP-adress.

NACL:er är tillståndslösa och gäller vid undernätets gräns, så detta fångar upp vägar som en ändring av säkerhetsgruppen kan missa. Använd det som ett extra skydd, inte som den primära kontrollen.

Om instansen ligger bakom en Elastic Load Balancer eller ingår i en Auto Scaling-grupp ska ni avregistrera den så att ingen trafik längre skickas till den.

Placera Auto Scaling-instansen i standby eller koppla bort den så att gruppen inte förstör era bevis genom att ersätta det som den anser vara en ohälsosam värd.

I stor skala går manuella steg för långsamt. Ett vanligt mönster är: GuardDuty-fynd till EventBridge-regel till Lambda, som byter säkerhetsgrupp, tar ögonblicksbilder av volymer, tar bort rollen och taggar instansen.

Detta omvandlar en åtgärd i flera steg till en enda automatiserad åtgärd som körs inom några sekunder efter upptäckten.

Karantän ger er tid att ta reda på hur angriparen tog sig in. Granska CloudTrail, VPC Flow Logs och loggar på värden för att hitta ingångspunkten – en exponerad port, en ouppdaterad sårbarhet eller en stulen autentiseringsuppgift.

Utan grundorsaken kan en återskapad instans komprometteras på exakt samma sätt.

När bevisen har samlats in och grundorsaken har förståtts ska ni ersätta instansen med en ren, uppdaterad AMI i stället för att rensa den infekterade instansen.

Det går sällan att garantera att en bakdörr har tagits bort helt. Det är snabbare och betydligt mer tillförlitligt att distribuera om från en betrodd avbild än att rensa en komprometterad värd.

Märk den instans som satts i karantän och dess ögonblicksbilder med tydliga taggar som Status=Quarantine och incident-ID:t, så att ingen automatisering eller operatör av misstag återför den till drift eller tar bort bevisen.

Följ den tills incidenten är avslutad i er incidentjournal och bekräfta både att hotet är begränsat och att de forensiska artefakterna är bevarade.

Sätt en komprometterad EC2-instans i karantän genom att ersätta säkerhetsgruppen med en säkerhetsgrupp som nekar all trafik, samtidigt som instansen hålls igång. Ta sedan ögonblicksbilder av EBS-volymerna och samla in minnet innan ni ändrar något. Ta bort rollen i instansprofilen och återkalla aktiva sessioner så att stulna autentiseringsuppgifter slutar fungera, koppla bort instansen från lastbalanserare och Auto Scaling och lägg till ett NACL-skydd. Automatisera hela flödet från GuardDuty, utred grundorsaken och återskapa från en betrodd AMI.