Adli İnceleme için Kaynağı Yalıtma

Bir EC2 bulut sunucusunun güvenliği ihlal edildiğinde içgüdünüz onu kapatmak olabilir. Buna direnin. Gücü kesmek geçici belleği yok eder ve saldırganı uyarabilir.

İzolasyon, kaynağı çalışır ve analiz için bütünlüğü korunmuş hâlde tutarken ağdan ve diğer sistemlerden ayırır. Kanıtları silmeden yayılmayı durdurun.

Bir bulut sunucusunu izole etmenin en hızlı yolu, boş ve tüm trafiği reddeden bir güvenlik grubu bağlamaktır. Güvenlik grupları durum bilgili olduğundan ve doğrudan bulut sunucusuna uygulandığından, hiç kuralı olmayan bir grupla değiştirmek neredeyse tüm yeni trafiği durdurur.

Bazı ekipler, sınırlamayı tek bir API çağrısına indirmek için önceden hazırlanmış adli izolasyon güvenlik grubunu hazır tutar.

Başka bir şeyi değiştirmeden önce durumu kaydedin. Diski sabitlemek için bağlı her bir birimin EBS (Elastic Block Store) anlık görüntüsünü alın.

Kullandığınız araçlar destekliyorsa bulut sunucusunun belleğini de dökün; kötü amaçlı yazılımlar çoğu zaman yalnızca RAM'de bulunur. Bu yapılar, incelemenizin temelini oluşturan değiştirilemez kanıtlara dönüşür.

İzole edilen bulut sunucusunu ve anlık görüntülerini açıkça etiketleyin — örneğin Status=Quarantine — böylece kimse bunları yanlışlıkla yeniden kullanmaz veya sonlandırmaz.

Zaman çizelgesini kaydedin: olayı ne zaman tespit ettiğinizi, ne zaman izole ettiğinizi ve neyi değiştirdiğinizi yazın. Bulguların ileride hukuki veya uyumluluk sürecine dâhil olması durumunda, kanıtların koruma zincirinin düzgün olması önemlidir.

Güvenliği ihlal edilmiş bir bulut sunucusu, bulut sunucusu profili aracılığıyla çoğu zaman bir IAM rolü taşır ve saldırgan bu kimlik bilgilerini kullanıyor olabilir.

Rolü kaldırın veya kısıtlayın ve daha önce verilmiş geçici kimlik bilgilerini geçersiz kılmak için IAM'in etkin oturumları iptal et eylemini kullanın. Bu, saldırganın bulut sunucusunun kimliğiyle diğer hizmetlere sıçramasını engeller.

Daha kapsamlı bir sınırlama için yönlendirme tablolarını veya bir ağ ACL'sini ayarlayarak alt ağı bağlantıdan çıkarabilir ya da bulut sunucusunu dışarıya giden yolu olmayan özel bir karantina alt ağına taşıyabilirsiniz.

Bu yöntem, güvenlik grubunu değiştirmekten daha serttir; ancak saldırganın bulut sunucusunun yapılandırmasını kontrol ettiğinden şüpheleniyorsanız yararlıdır.

İlgili günlükleri süreleri dolmadan alın. CloudTrail, bulut sunucusu rolüyle yapılan API çağrılarını gösterir; VPC Flow Logs ağ bağlantılarını, uygulama günlükleri de bulut sunucusundaki davranışları gösterir.

Merkezi günlükleme, bulut sunucusu daha sonra silinse veya yeniden oluşturulsa bile bu kanıtların varlığını sürdürmesini sağlar.

Şüpheli bir diski hiçbir zaman üretim sisteminde analiz etmeyin. EBS anlık görüntüsünün kopyasını izole bir ortamdaki güçlendirilmiş bir adli inceleme bulut sunucusuna bağlayın.

İnceleme işleminin kanıtları değiştirememesi için birimi yalnızca okunabilir olarak bağlayın. Her zaman kopyalar üzerinde çalışın; asıllar üzerinde değil.

Elle izolasyon sabah saat 3'te yavaştır. GuardDuty bulgularını EventBridge'e ve adli inceleme güvenlik grubunu otomatik olarak uygulayan, birimlerin anlık görüntülerini alan ve bulut sunucusunu etiketleyen bir Lambda işlevine bağlayın.

Otomasyon, saldırganın tespit ile sınırlama arasındaki fırsat aralığını dakikalardan saniyelere indirir.

Kanıtlar alındıktan sonra güvenliği ihlal edilmiş sistemi temizlemek yerine güvenilir bir AMI'den yeniden oluşturmayı tercih edin. Bir arka kapının ortadan kalktığından nadiren tamamen emin olabilirsiniz.

İzole edilmiş bulut sunucusu ve anlık görüntüleri inceleme için karantinada kalırken, yeni yamalanmış bir bulut sunucusu üretim görevlerini devralır.

İzolasyon boyunca kesin bir kayıt tutun: her eylemin ne zaman, kim tarafından ve neden gerçekleştirildiğini yazın. CloudTrail API çağrılarını kaydeder; ancak bunun üzerine insan tarafından sağlanan bağlamı da ekleyin.

Bu zaman çizelgesi, olay sonrası inceleme ve olası hukuki veya uyumluluk takibi için gereklidir; telaşlı bir müdahaleyi savunulabilir ve denetlenebilir kanıtlara dönüştürür.

En güvenli sınırlama eylemini seçin.

Güvenliği ihlal edilmiş bir kaynağı izole etmek için onu çalışır durumda tutun, ancak tüm trafiği reddeden bir güvenlik grubuyla ağ bağlantısını kesin; ardından herhangi bir değişiklik yapmadan önce EBS birimlerinin anlık görüntülerini alın ve belleği kaydedin. Bulut sunucusu rolünü ve etkin oturumlarını iptal edin, her şeyi karantina olarak etiketleyin ve CloudTrail ile Flow Logs verilerini erkenden alın. Kopyaları yalnızca okunabilir bir adli inceleme bulut sunucusunda analiz edin, adımları EventBridge ve Lambda ile otomatikleştirin ve onarmak yerine güvenilir bir AMI'den yeniden oluşturun.