วงจรการตอบสนองต่อเหตุการณ์บน AWS

เหตุการณ์ด้านความปลอดภัยคือเหตุการณ์ใด ๆ ที่อาจกระทบต่อความลับ ความถูกต้องสมบูรณ์ หรือความพร้อมใช้งานของทรัพยากรหรือข้อมูล AWS ของคุณ อาจเป็นคีย์การเข้าถึงที่รั่วไหล อินสแตนซ์ที่ติดมัลแวร์ หรือบัคเก็ต S3 ที่เปิดเผยต่อสาธารณะ

การตอบสนองต่อเหตุการณ์ (IR) คือกระบวนการที่มีโครงสร้างสำหรับเตรียมพร้อม ตรวจจับ และกู้คืนจากเหตุการณ์เหล่านี้ บน AWS ระบบคลาวด์มอบความรวดเร็วและระบบอัตโนมัติที่ทีมซึ่งใช้ระบบภายในองค์กรทำได้เพียงฝันถึง

AWS แบ่งการตอบสนองต่อเหตุการณ์ออกเป็นสามระยะกว้าง ๆ โดยแต่ละระยะต่อยอดจากระยะก่อนหน้า:

• การเตรียมพร้อม — จัดเตรียมบุคลากร กระบวนการ และเครื่องมือก่อนที่จะเกิดเหตุการณ์ใด ๆ
• การปฏิบัติการ — ตรวจจับ วิเคราะห์ ควบคุม กำจัด และกู้คืนระหว่างเหตุการณ์ที่กำลังเกิดขึ้น
• หลังเหตุการณ์ — เรียนรู้จากสิ่งที่เกิดขึ้นและปรับปรุง

แนวทางเหล่านี้สอดคล้องอย่างใกล้ชิดกับวงจรชีวิตแบบคลาสสิกของ NIST ที่คาดว่าจะออกสอบ

การเตรียมพร้อมเป็นระยะที่สำคัญที่สุด เพราะเป็นระยะเดียวที่คุณควบคุมได้ก่อนที่แรงกดดันจะเกิดขึ้น ซึ่งรวมถึงการจัดทำคู่มือปฏิบัติงาน การมอบบทบาท IAM ที่เหมาะสมให้ผู้ตอบสนองไว้ล่วงหน้า การเปิดใช้การบันทึกในทุกจุด และการซ้อมด้วยกิจกรรมจำลองสถานการณ์

ทีมที่เตรียมพร้อมสามารถควบคุมเหตุการณ์ได้ภายในไม่กี่นาที ส่วนทีมที่แก้ปัญหาเฉพาะหน้าจะเสียเวลาอันมีค่าไปกับการตัดสินใจว่าใครมีสิทธิ์ดำเนินการ

การตรวจจับเปลี่ยนสัญญาณดิบให้เป็นเหตุการณ์ที่ยืนยันแล้ว บริการอย่าง Amazon GuardDuty, AWS Security Hub และ CloudTrail ช่วยเปิดเผยกิจกรรมที่น่าสงสัย

การวิเคราะห์จะตอบคำถามสำคัญต่อไปว่า ทรัพยากรใดได้รับผลกระทบ ผู้โจมตีเข้ามาได้อย่างไร และขอบเขตความเสียหายมีมากเพียงใด Amazon Detective ช่วยให้คุณเจาะลึกจากการตรวจพบรายการเดียวไปสู่เรื่องราวทั้งหมด

การควบคุมเหตุการณ์ช่วยหยุดความเสียหายโดยไม่ทำลายหลักฐาน คุณอาจแยกอินสแตนซ์ EC2 (คลาวด์คอมพิวติ้งแบบยืดหยุ่น) ด้วยกลุ่มความปลอดภัยที่จำกัดการเข้าถึง เพิกถอนเซสชันของบทบาทที่ถูกโจมตี หรือปิดใช้งานคีย์การเข้าถึง

เป้าหมายคือจำกัดความเสียหายพร้อมรักษาสถานะที่จำเป็นต่อการตรวจพิสูจน์หลักฐาน การดำเนินการรุนแรงเกินไปอาจลบเบาะแสสำคัญที่การสืบสวนต้องอาศัย

การกำจัด คือการลบผู้โจมตีและต้นเหตุของการโจมตีออกไป เช่น การแก้ไขช่องโหว่ การลบประตูลับ หรือการเปลี่ยนข้อมูลลับที่ถูกเปิดเผยทั้งหมด

การกู้คืน คือการทำให้การดำเนินงานกลับมาเป็นปกติ โดยสร้างอินสแตนซ์ใหม่ที่สะอาดจากอิมเมจที่เชื่อถือได้ กู้คืนข้อมูลจากข้อมูลสำรอง และยืนยันว่าภัยคุกคามหายไปจริงก่อนเชื่อมต่อระบบกลับเข้าสู่ระบบจริง

เมื่อสถานการณ์สงบลงแล้ว ให้จัดทำ การทบทวนหลังเหตุการณ์โดยไม่กล่าวโทษใคร บันทึกลำดับเวลา สิ่งที่ได้ผล สิ่งที่ล้มเหลว และการปรับปรุงที่เป็นรูปธรรม

ปรับปรุงคู่มือปฏิบัติงาน เพิ่มการควบคุมเพื่อตรวจจับที่น่าจะช่วยพบเหตุการณ์ได้เร็วกว่านี้ และทำขั้นตอนที่เคยทำด้วยมือให้เป็นอัตโนมัติ ทุกเหตุการณ์คือโอกาสที่จะทำให้การตอบสนองครั้งต่อไปเร็วขึ้นและมีความตึงเครียดน้อยลง

คลาวด์ปรับเปลี่ยนการตอบสนองต่อเหตุการณ์ (IR) API ช่วยให้คุณสร้างสแนปช็อตดิสก์ เปลี่ยนกลุ่มความปลอดภัย หรือกักกันบทบาทได้ภายในไม่กี่วินาทีด้วยการเรียกเพียงครั้งเดียว แนวคิดโครงสร้างพื้นฐานเป็นโค้ดช่วยให้สร้างสภาพแวดล้อมที่สะอาดขึ้นใหม่ได้ตามต้องการ

ดังนั้นคุณจึงควรเลือก นำระบบใหม่มาแทนการซ่อมแซม — การแทนที่อินสแตนซ์ที่ถูกบุกรุกด้วยอินสแตนซ์ใหม่มักเร็วและปลอดภัยกว่าการทำความสะอาด

การกำหนดผู้รับผิดชอบอย่างชัดเจนช่วยป้องกันความสับสน กำหนดว่าใครเป็นผู้ประกาศเหตุการณ์ ใครสื่อสารกับผู้มีส่วนได้ส่วนเสีย และใครเป็นผู้ลงมือดำเนินการ

สร้างบทบาท IAM ที่ผู้ตอบสนองจะใช้ไว้ล่วงหน้า เพื่อให้สิทธิ์พร้อมใช้งานและมีการตรวจสอบ บทบาทความรับผิดชอบร่วมยังคงใช้ได้: AWS ดูแลความปลอดภัยของคลาวด์ แต่การตอบสนองต่อเหตุการณ์ในบัญชี ของคุณเป็นหน้าที่ของคุณ

คุณคงไม่อยากให้เหตุการณ์จริงครั้งแรกเป็นเหตุการณ์แรกที่ทีมเคยรับมือ วันจำลองเหตุการณ์คือเหตุการณ์จำลองที่ทีมใช้ฝึกปฏิบัติตามคู่มือปฏิบัติงานตั้งแต่ต้นจนจบ

การฝึกนี้ช่วยเปิดเผยช่องโหว่ เช่น สิทธิ์ที่ขาดหาย รายชื่อผู้ติดต่อที่ล้าสมัย หรือระบบอัตโนมัติที่ยังไม่ผ่านการทดสอบ ขณะที่ผลกระทบยังอยู่ในระดับต่ำ การซ้อมอย่างสม่ำเสมอจะเปลี่ยนแผนที่เขียนไว้ให้กลายเป็นความเคยชิน

จับคู่บริการกับแต่ละระยะ เพื่อให้ทราบว่าควรใช้เครื่องมือใด:

• ตรวจจับ: GuardDuty, Security Hub, การแจ้งเตือนของ CloudWatch
• วิเคราะห์: Detective, CloudTrail, Athena
• ควบคุมการแพร่กระจาย: กลุ่มความปลอดภัย, IAM, AWS Systems Manager
• กู้คืน: ข้อมูลสำรอง, AMI (อิมเมจเครื่องของ Amazon), CloudFormation

การตอบสนองต่อเหตุการณ์บน AWS ครอบคลุม การเตรียมพร้อม การตรวจจับและวิเคราะห์ การควบคุมการแพร่กระจาย การกำจัด การกู้คืน และการทบทวนหลังเหตุการณ์ การเตรียมพร้อมเป็นระยะที่คุณควบคุมได้อย่างเต็มที่ และวันจำลองเหตุการณ์ช่วยรักษาความพร้อมนั้นไว้ คลาวด์ช่วยให้คุณควบคุมการแพร่กระจายและสร้างระบบขึ้นใหม่ผ่าน API ได้ภายในไม่กี่วินาที โดยเลือกนำระบบใหม่มาแทนการซ่อมแซม ควบคุมการแพร่กระจายอย่างระมัดระวังเพื่อรักษาหลักฐาน จากนั้นกำจัดต้นเหตุและกู้คืนจากแหล่งที่เชื่อถือได้