การสร้างสแนปช็อตวอลุ่มเพื่อการพิสูจน์หลักฐาน

ก่อนแตะต้องอินสแตนซ์ที่ถูกเจาะ ให้บันทึกข้อมูลดิสก์ของอินสแตนซ์นั้น ภาพข้อมูล EBS คือสำเนา ณ เวลาใดเวลาหนึ่งของโวลุ่ม Elastic Block Store ซึ่งจัดเก็บอย่างคงทนใน S3

ภาพข้อมูลจะตรึงสถานะที่แน่นอนของดิสก์ ณ เวลาที่บันทึกไว้ ทำให้นักตรวจสอบมีข้อมูลพื้นฐานที่ไม่เปลี่ยนแปลงสำหรับวิเคราะห์ แม้ระบบที่กำลังทำงานจะถูกควบคุมหรือสร้างขึ้นใหม่

ภาพข้อมูล EBS ทำงานในระดับบล็อกและเป็นแบบเพิ่มเฉพาะส่วน: ครั้งแรกจะบันทึกบล็อกที่ใช้งานทั้งหมด ส่วนครั้งถัดไปจะจัดเก็บเฉพาะการเปลี่ยนแปลง ถึงอย่างนั้น ภาพข้อมูลแต่ละภาพก็เป็นสำเนาโวลุ่มที่สมบูรณ์และกู้คืนได้

ภาพข้อมูลจะรักษาระบบไฟล์ มัลแวร์บนดิสก์ บันทึก และการกำหนดค่าไว้ตรงตามเดิม ซึ่งเป็นวัตถุดิบสำคัญของการตรวจพิสูจน์หลักฐาน

กฎทองของการตรวจพิสูจน์หลักฐานคือห้ามแก้ไขหลักฐานต้นฉบับโดยเด็ดขาด ให้ทำงานจากสำเนาของภาพข้อมูลเท่านั้น

สร้างโวลุ่มใหม่จากภาพข้อมูล เชื่อมต่อเข้ากับอินสแตนซ์สำหรับตรวจพิสูจน์หลักฐาน และเมานต์แบบอ่านอย่างเดียว เพื่อไม่ให้การตรวจสอบเปลี่ยนแปลงแม้แต่ไบต์เดียวของสถานะที่บันทึกไว้

ภาพข้อมูลดิสก์จะไม่ครอบคลุมสิ่งที่อยู่เฉพาะใน RAM เช่น มัลแวร์ที่ไม่ทิ้งไฟล์ คีย์ถอดรหัส และการเชื่อมต่อเครือข่ายที่กำลังทำงาน

หากเครื่องมือสำหรับตรวจพิสูจน์หลักฐานรองรับ ให้สำรองข้อมูลหน่วยความจำของอินสแตนซ์ด้วย ภาพข้อมูลดิสก์และภาพหน่วยความจำร่วมกันจะให้ภาพรวมของการถูกเจาะได้ครบถ้วนที่สุด

ติดป้ายกำกับภาพข้อมูลทุกภาพด้วยอินสแตนซ์ต้นทาง รหัสเหตุการณ์ และเวลาที่บันทึก ป้ายกำกับที่ชัดเจนช่วยป้องกันการลบโดยไม่ตั้งใจและจัดระเบียบหลักฐาน

บันทึกว่าใครเป็นผู้เก็บหลักฐานอะไรและเมื่อใด ห่วงโซ่การครอบครองหลักฐานที่ตรวจสอบยืนยันได้มีความสำคัญ หากผลการตรวจสอบต้องนำไปใช้สนับสนุนการดำเนินการทางกฎหมายหรือข้อบังคับ

คัดลอกภาพข้อมูลไปยังบัญชีสำหรับตรวจพิสูจน์หลักฐานหรือ IR ที่แยกออกมา เพื่อให้หลักฐานอยู่นอกขอบเขตที่ผู้โจมตีซึ่งยังทำงานอยู่ในบัญชีที่ถูกเจาะจะเข้าถึงได้

การแชร์และคัดลอกภาพข้อมูลข้ามบัญชีเป็นความสามารถในตัวของ EBS เพียงตรวจสอบให้แน่ใจว่าสิทธิ์ของคีย์ KMS อนุญาตให้บัญชีปลายทางใช้ภาพข้อมูลที่เข้ารหัส

เข้ารหัสภาพข้อมูลสำหรับตรวจพิสูจน์หลักฐานด้วย KMS (บริการจัดการคีย์) เพื่อให้ข้อมูลละเอียดอ่อนที่อยู่ภายในได้รับการปกป้องขณะจัดเก็บ

ควบคุมการเข้าถึงผ่านนโยบายคีย์ โดยให้เฉพาะผู้ตรวจสอบที่ได้รับอนุญาตถอดรหัสหลักฐานได้ วิธีนี้ช่วยปกป้องข้อมูลของผู้เสียหายและทำให้การจัดการข้อมูลเป็นไปตามข้อกำหนด

ในระยะยาว ให้ส่งออกหรือเก็บรักษาหลักฐานไว้ในพื้นที่จัดเก็บที่ไม่สามารถแก้ไขได้ บักเก็ต S3 ที่ใช้Object Lock ในโหมดปฏิบัติตามข้อกำหนดจะป้องกันการลบหรือเขียนทับตลอดระยะเวลาเก็บรักษาที่กำหนด

วิธีนี้ปกป้องหลักฐานจากทั้งผู้โจมตีและการสูญหายโดยไม่ตั้งใจ พร้อมเสริมความถูกต้องครบถ้วนของการตรวจสอบ

ในเหตุการณ์ที่ดำเนินไปอย่างรวดเร็ว การสร้างภาพข้อมูลด้วยตนเองเป็นคอขวด ฟังก์ชัน Lambda ที่ถูกเรียกจากผลการตรวจพบของ GuardDuty สามารถสร้างภาพข้อมูลของโวลุ่มที่เชื่อมต่ออยู่ทั้งหมดโดยอัตโนมัติทันทีที่ตรวจพบภัยคุกคาม

การเก็บหลักฐานอัตโนมัติจะบันทึกสถานะที่ใหม่ที่สุดเท่าที่เป็นไปได้ และเปิดโอกาสให้ผู้ตอบสนองมุ่งเน้นไปที่การวิเคราะห์

เมื่อติดตั้งสำเนาแบบอ่านอย่างเดียวบนอินสแตนซ์สำหรับตรวจพิสูจน์หลักฐานแล้ว ผู้ตรวจสอบจะค้นหาตัวบ่งชี้การถูกเจาะ เช่น ไฟล์น่าสงสัย ไบนารีที่ถูกแก้ไข งาน cron ที่ไม่คาดคิด และรายการในบันทึก

เนื่องจากงานทั้งหมดทำบนสำเนาที่แยกออกมา คุณจึงตรวจสอบได้อย่างเต็มที่โดยไม่เสี่ยงต่อระบบจริงหรือความถูกต้องของหลักฐานต้นฉบับ

เมื่อการตรวจสอบสิ้นสุดลง ให้ตัดสินชะตาของภาพข้อมูลตามนโยบาย หลักฐานที่เกี่ยวข้องกับเรื่องทางกฎหมายหรือข้อบังคับอาจต้องเก็บไว้นานภายใต้ Object Lock

หากไม่ใช่ ให้ลบภาพข้อมูลสำหรับตรวจพิสูจน์หลักฐานตามกำหนดเวลาที่ชัดเจน เพื่อไม่ให้ข้อมูลละเอียดอ่อนที่บันทึกไว้สะสม ไม่ว่าจะเลือกทางใด ให้บันทึกการตัดสินใจไว้ เพื่อให้ห่วงโซ่การครอบครองหลักฐานสมบูรณ์ตั้งแต่การเก็บจนถึงการลบทิ้ง

ปกป้องหลักฐานให้ถูกต้อง

เก็บหลักฐานสำหรับตรวจพิสูจน์หลักฐานด้วยการสร้างภาพข้อมูล EBSของทุกโวลุ่มก่อนเปลี่ยนแปลงอินสแตนซ์ และสำรองข้อมูลหน่วยความจำสำหรับสิ่งที่อยู่เฉพาะใน RAM ทำงานจากสำเนาแบบอ่านอย่างเดียวเสมอ ติดป้ายกำกับทุกอย่างเพื่อรักษาห่วงโซ่การครอบครองหลักฐาน และคัดลอกภาพข้อมูลที่เข้ารหัสไปยังบัญชี IR ที่แยกออกมา ปกป้องภาพข้อมูลด้วย KMS และ S3 Object Lock ทำการเก็บหลักฐานโดยอัตโนมัติจากผลการตรวจพบของ GuardDuty และวิเคราะห์สำเนาบนอินสแตนซ์สำหรับตรวจพิสูจน์หลักฐานที่ได้รับการเสริมความปลอดภัย