การเตรียมบัญชีและชุดเครื่องมือ IR

องค์กร AWS ที่มีความพร้อมจะสร้าง บัญชีด้านความปลอดภัยหรือบัญชีตอบสนองต่อเหตุการณ์แยกต่างหาก บัญชีนี้แยกจากระบบจริง เพื่อให้ผู้โจมตีที่บุกรุกเวิร์กโหลดไม่สามารถเข้าถึงเครื่องมือสืบสวนหรือหลักฐานของคุณได้

บัญชีนี้เก็บทรัพยากรสำหรับพิสูจน์หลักฐาน บันทึกแบบรวมศูนย์ และบทบาทที่ผู้ตอบสนองจะใช้เมื่อเริ่มเกิดเหตุการณ์

หากบันทึกและเครื่องมืออยู่ในบัญชีเดียวกับที่ถูกเจาะ ผู้โจมตีอาจลบสิ่งเหล่านั้นเพื่อกลบร่องรอยได้

บัญชี IR ที่แยกออกมา ซึ่งมักใช้คู่กับ บัญชีจัดเก็บบันทึก แยกต่างหาก จะเก็บหลักฐานและความสามารถต่าง ๆ ไว้นอกขอบเขตของผู้โจมตี แม้สภาพแวดล้อมการผลิตจะถูกยึดครองทั้งหมด

กำหนดบทบาท IAM ที่ผู้ตอบสนองจะใช้ ก่อน เกิดเหตุการณ์ บทบาทข้ามบัญชีช่วยให้บัญชี IR เข้าถึงบัญชีที่ถูกเจาะเพื่อสร้างภาพสแนปช็อตของดิสก์หรือเปลี่ยนกลุ่มความปลอดภัยได้

บทบาทเหล่านี้กำหนดขอบเขตไว้อย่างรัดกุม มีการบันทึกอย่างละเอียด และมีการแจ้งเตือน ดังนั้นสิทธิ์ระดับสูงจึงพร้อมใช้งานทันที แต่จะไม่มีใครใช้ในทางที่ผิดอย่างเงียบ ๆ

เตรียมบัญชี IR ให้มีเครื่องมือพร้อมใช้ ได้แก่ AMI สำหรับพิสูจน์หลักฐานที่เสริมความปลอดภัยแล้ว สคริปต์สำหรับเก็บและเมานต์โวลุมแบบอ่านอย่างเดียว และเอกสารระบบอัตโนมัติสำหรับขั้นตอนควบคุมเหตุการณ์ที่พบบ่อย

การสร้างสิ่งเหล่านี้ไว้ล่วงหน้าช่วยให้ผู้ตอบสนองใช้เวลาไปกับการสืบสวน แทนที่จะต้องประกอบเครื่องมือขณะที่เวลายังคงเดินอยู่

รวบรวม CloudTrail, บันทึกการไหลของ VPC และประวัติ Config ไว้ในบัญชี IR หรือบัญชีจัดเก็บบันทึก

การรวมศูนย์ทำให้นักสืบสวนมีแหล่งข้อมูลที่เชื่อถือได้เพียงแห่งเดียวสำหรับสืบค้นด้วย Athena และช่วยให้เส้นทางการตรวจสอบยังคงอยู่ แม้บัญชีแต่ละบัญชีจะถูกล้างข้อมูล นี่คือโครงสร้างหลักของการสืบสวน AWS ทุกครั้ง

จัดเก็บหลักฐานที่รวบรวมไว้ในบักเก็ต S3 ซึ่งเปิดใช้ Object Lock ในโหมดการปฏิบัติตามข้อกำหนด เพื่อให้แม้แต่ผู้ดูแลระบบก็ไม่สามารถลบหรือเขียนทับได้ตลอดระยะเวลาเก็บรักษาที่กำหนด

วิธีนี้รับรองลำดับการครอบครองหลักฐานที่ตรวจสอบได้ และปกป้องหลักฐานจากทั้งผู้โจมตีและการสูญหายโดยไม่ตั้งใจ

ติดตั้งกฎ EventBridge, ฟังก์ชัน Lambda และเอกสารระบบอัตโนมัติของ SSM ไว้ล่วงหน้า เพื่อดำเนินการแยกทรัพยากรและเก็บหลักฐาน

เมื่อมีผลการตรวจพบจาก GuardDuty ระบบอัตโนมัติสามารถกักกันทรัพยากรได้ภายในไม่กี่วินาที การสร้างและทดสอบไว้ล่วงหน้าคือความแตกต่างระหว่างการตอบสนองที่รวดเร็วกับการตอบสนองที่สับสนล่าช้า

เตรียมช่องทางการสื่อสารนอกระบบ หากผู้โจมตีอยู่ในสภาพแวดล้อมของคุณ คุณจะไม่สามารถไว้วางใจอีเมลหรือแชตภายในที่อาจถูกตรวจสอบได้

เตรียมช่องทางแยกต่างหาก รายชื่อผู้ติดต่อที่เป็นปัจจุบัน และลำดับการยกระดับปัญหาให้พร้อม การรู้ว่าจะต้องติดต่อใครและติดต่ออย่างไรคือส่วนหนึ่งของชุดเครื่องมือ

บัญชี IR ที่ไม่เคยทดสอบจะสร้างความมั่นใจที่ผิดพลาด จัดการฝึกซ้อมสถานการณ์ให้ครอบคลุมการใช้บทบาทข้ามบัญชี การเก็บหลักฐาน และระบบอัตโนมัติตั้งแต่ต้นจนจบ

การทดสอบจะเผยให้เห็นสิทธิ์ที่หมดอายุ สคริปต์ที่เสีย และช่องว่างต่าง ๆ ในช่วงที่แก้ไขได้ง่ายและมีค่าใช้จ่ายต่ำ ซึ่งเร็วกว่าการรอให้ผู้โจมตีจริงบังคับให้ต้องแก้ปัญหา

แม้แต่ผู้ตอบสนองก็ต้องปฏิบัติตามหลักสิทธิ์น้อยที่สุด บทบาท IR ให้สิทธิ์เฉพาะการดำเนินการที่จำเป็นต่อการสืบสวนและควบคุมเหตุการณ์เท่านั้น

มีบทบาทฉุกเฉินที่มีอำนาจกว้างกว่าได้ แต่บทบาทเหล่านี้ต้องปิดใช้งานไว้ สร้างการแจ้งเตือนเมื่อถูกใช้ และได้รับการตรวจสอบภายหลัง การมีสิทธิ์ที่ทรงพลังเปิดใช้งานอยู่เสมอถือเป็นความเสี่ยงในตัวเอง

บัญชี IR จะเสื่อมสภาพหากถูกละเลย สิทธิ์จะหมดอายุ AMI จะล้าสมัย และระบบอัตโนมัติจะค่อย ๆ แตกต่างจากสภาพแวดล้อมที่ใช้งานจริง

ดูแลบัญชีนี้เสมือนเป็นโครงสร้างพื้นฐานที่มีการเปลี่ยนแปลงอยู่ตลอด จัดการด้วยโค้ด อัปเดต AMI สำหรับพิสูจน์หลักฐาน หมุนเวียนข้อมูลรับรอง และตรวจสอบความไว้วางใจข้ามบัญชีเป็นประจำ เพื่อให้ชุดเครื่องมือพร้อมใช้งานจริงทันทีที่ประกาศว่าเกิดเหตุการณ์

เหตุใดจึงต้องใช้บัญชีเฉพาะ

เตรียม บัญชี IR เฉพาะที่แยกออกมา พร้อมบทบาทข้ามบัญชีที่เตรียมสิทธิ์ไว้ล่วงหน้า ชุดเครื่องมือพิสูจน์หลักฐาน และการบันทึกจากศูนย์กลางที่ยังคงอยู่แม้สภาพแวดล้อมการผลิตจะถูกเจาะ เก็บหลักฐานไว้ในบักเก็ตที่ใช้ Object Lock เพื่อสร้างลำดับการครอบครองหลักฐานที่แก้ไขไม่ได้ ติดตั้งระบบอัตโนมัติสำหรับแยกทรัพยากรไว้ล่วงหน้า และเตรียมช่องทางการสื่อสารนอกระบบให้พร้อม ใช้หลักสิทธิ์น้อยที่สุดแม้กับผู้ตอบสนอง และพิสูจน์ว่าการตั้งค่าทั้งหมดทำงานได้ด้วยการฝึกซ้อมสถานการณ์เป็นประจำ