การแยกทรัพยากรเพื่อการพิสูจน์หลักฐาน

เมื่ออินสแตนซ์ EC2 ถูกบุกรุก สัญชาตญาณของคุณอาจบอกให้ปิดเครื่อง อย่าทำเช่นนั้น การปิดเครื่องจะทำลายข้อมูลในหน่วยความจำที่เปลี่ยนแปลงได้ และอาจทำให้ผู้โจมตีรู้ตัว

การแยกออกจะตัดทรัพยากรออกจากเครือข่ายและระบบอื่น ๆ โดยยังคงให้ระบบทำงานและรักษาสภาพเดิมไว้เพื่อการวิเคราะห์ หยุดการแพร่กระจายโดยไม่ลบหลักฐาน

วิธีที่เร็วที่สุดในการแยกอินสแตนซ์คือแนบ กลุ่มความปลอดภัยว่างที่ปฏิเสธการรับส่งข้อมูลทั้งหมด เนื่องจากกลุ่มความปลอดภัยมีสถานะและใช้กับอินสแตนซ์โดยตรง การสลับไปใช้กลุ่มที่ไม่มีกฎจะหยุดการรับส่งข้อมูลใหม่แทบทั้งหมด

บางทีมเตรียมกลุ่มความปลอดภัยสำหรับการแยกเพื่อพิสูจน์หลักฐานไว้ล่วงหน้า ทำให้การควบคุมการแพร่กระจายทำได้ด้วยการเรียก API เพียงครั้งเดียว

ก่อนเปลี่ยนแปลงสิ่งอื่น ให้เก็บสถานะไว้ก่อน สร้างสแนปช็อต EBS (Elastic Block Store) ของวอลุ่มที่แนบอยู่ทุกตัวเพื่อหยุดสภาพของดิสก์ไว้

หากเครื่องมือของคุณรองรับ ให้ดัมป์ข้อมูลหน่วยความจำของอินสแตนซ์ด้วย เนื่องจากมัลแวร์มักอยู่เฉพาะใน RAM สิ่งที่เก็บได้เหล่านี้จะกลายเป็นหลักฐานที่แก้ไขไม่ได้ซึ่งใช้เป็นฐานในการสืบสวน

ติดแท็กอินสแตนซ์ที่แยกออกและสแนปช็อตของมันให้ชัดเจน เช่น สถานะ=กักกัน เพื่อไม่ให้ใครนำไปใช้ซ้ำหรือยุติโดยไม่ตั้งใจ

บันทึกลำดับเวลา: ตรวจพบเมื่อใด แยกออกเมื่อใด และเปลี่ยนแปลงอะไรบ้าง การรักษาลำดับการครอบครองหลักฐานที่ชัดเจนมีความสำคัญ หากผลการค้นพบถูกนำไปใช้ในกระบวนการทางกฎหมายหรือการปฏิบัติตามข้อกำหนด

อินสแตนซ์ที่ถูกบุกรุกมักมีบทบาท IAM ผ่านโปรไฟล์อินสแตนซ์ และผู้โจมตีอาจกำลังใช้ข้อมูลประจำตัวเหล่านั้น

นำบทบาทออกหรือจำกัดบทบาท และใช้การดำเนินการ เพิกถอนเซสชันที่ใช้งานอยู่ของ IAM เพื่อทำให้ข้อมูลประจำตัวชั่วคราวที่ออกไปแล้วใช้ไม่ได้ วิธีนี้จะหยุดผู้โจมตีไม่ให้ขยับไปยังบริการอื่นโดยใช้ข้อมูลประจำตัวของอินสแตนซ์

เพื่อควบคุมการแพร่กระจายให้ลึกยิ่งขึ้น คุณสามารถปรับตารางเส้นทางหรือ ACL เครือข่ายเพื่อตัดซับเน็ตออก หรือย้ายอินสแตนซ์ไปยังซับเน็ตกักกันเฉพาะที่ไม่มีเส้นทางขาออก

วิธีนี้รุนแรงกว่าการสลับกลุ่มความปลอดภัย แต่มีประโยชน์เมื่อสงสัยว่าผู้โจมตีควบคุมการกำหนดค่าของอินสแตนซ์เอง

ดึงบันทึกที่เกี่ยวข้องก่อนที่บันทึกจะถูกเขียนทับ CloudTrail แสดงการเรียก API ที่ทำโดยใช้บทบาทของอินสแตนซ์ บันทึกโฟลว์ของ VPC แสดงการเชื่อมต่อเครือข่าย และบันทึกของแอปพลิเคชันแสดงพฤติกรรมบนเครื่อง

การบันทึกแบบรวมศูนย์ทำให้หลักฐานนี้ยังคงอยู่ แม้อินสแตนซ์จะถูกล้างหรือนำมาสร้างใหม่ในภายหลัง

อย่าวิเคราะห์ดิสก์ที่ต้องสงสัยบนระบบจริงโดยเด็ดขาด ให้แนบสำเนาสแนปช็อต EBS เข้ากับ อินสแตนซ์สำหรับพิสูจน์หลักฐานที่เสริมความปลอดภัยแล้วในสภาพแวดล้อมที่แยกออก

เมานต์วอลุ่มแบบอ่านอย่างเดียว เพื่อไม่ให้การสืบสวนเปลี่ยนแปลงหลักฐาน ทำงานจากสำเนา ไม่ใช่ต้นฉบับ

การแยกออกด้วยมือทำได้ช้าเมื่อเกิดเหตุเวลาตีสาม เชื่อมการค้นพบของ GuardDuty เข้ากับ EventBridge และฟังก์ชัน Lambda ที่ใช้กลุ่มความปลอดภัยสำหรับพิสูจน์หลักฐานโดยอัตโนมัติ สร้างสแนปช็อตของวอลุ่ม และติดแท็กอินสแตนซ์

ระบบอัตโนมัติลดช่วงเวลาที่ผู้โจมตีมีอยู่ระหว่างการตรวจจับกับการควบคุมการแพร่กระจายจากระดับนาทีเหลือเพียงไม่กี่วินาที

เมื่อเก็บหลักฐานแล้ว ให้เลือก สร้างใหม่จาก AMI ที่เชื่อถือได้แทนการทำความสะอาดโฮสต์ที่ถูกบุกรุก เพราะแทบเป็นไปไม่ได้ที่จะมั่นใจได้อย่างสมบูรณ์ว่าประตูลับถูกลบไปแล้ว

อินสแตนซ์ที่แยกออกและสแนปช็อตของมันยังคงอยู่ในพื้นที่กักกันเพื่อการสืบสวน ขณะที่อินสแตนซ์ใหม่ที่ติดตั้งแพตช์แล้วเข้ามารับหน้าที่ในระบบจริง

ตลอดกระบวนการแยกออก ให้บันทึกอย่างละเอียดว่าแต่ละการดำเนินการเกิดขึ้นเมื่อใด ใครเป็นผู้ดำเนินการ และเพราะเหตุใด CloudTrail เก็บการเรียก API ไว้ แต่ให้เพิ่มบริบทจากมนุษย์เข้าไปด้วย

ลำดับเวลานี้จำเป็นต่อการทบทวนหลังเหตุการณ์ รวมถึงการติดตามผลด้านกฎหมายหรือการปฏิบัติตามข้อกำหนด เพราะช่วยเปลี่ยนการตอบสนองที่เร่งรีบให้เป็นหลักฐานที่อธิบายได้และตรวจสอบย้อนหลังได้

เลือกการดำเนินการเพื่อควบคุมการแพร่กระจายที่ปลอดภัยที่สุด

ในการแยกทรัพยากรที่ถูกบุกรุก ให้ปล่อยให้ทรัพยากรทำงานต่อแต่ตัดเครือข่ายด้วย กลุ่มความปลอดภัยที่ปฏิเสธทั้งหมด จากนั้นสร้างสแนปช็อตของวอลุ่ม EBS และเก็บข้อมูลหน่วยความจำก่อนมีการเปลี่ยนแปลงใด ๆ เพิกถอนบทบาทของอินสแตนซ์และเซสชันที่ใช้งานอยู่ ติดแท็กทุกอย่างว่าอยู่ในพื้นที่กักกัน และดึง CloudTrail กับบันทึกโฟลว์ตั้งแต่เนิ่น ๆ วิเคราะห์สำเนาบนอินสแตนซ์สำหรับพิสูจน์หลักฐานแบบอ่านอย่างเดียว ทำขั้นตอนต่าง ๆ ให้เป็นอัตโนมัติด้วย EventBridge และ Lambda และสร้างใหม่จาก AMI ที่เชื่อถือได้แทนการซ่อมแซม