IR Hesabı ve Araç Seti Hazırlama

Olgun AWS kuruluşları ayrı bir güvenlik veya olay müdahalesi hesabı oluşturur. Bu hesap üretim ortamından izole edilir; böylece bir iş yükünü ele geçiren saldırgan inceleme araçlarınıza veya kanıtlarınıza ulaşamaz.

Bu hesapta adli inceleme kaynakları, merkezi günlükler ve bir olay başladığında müdahale ekiplerinin üstleneceği roller bulunur.

Günlükler ve araçlar ihlale uğrayan hesapla aynı hesapta olsaydı saldırgan izlerini örtmek için bunları silebilirdi.

Genellikle ayrı bir günlük arşivi hesabıyla birlikte kullanılan yalıtılmış IR hesabı, üretim ortamı tamamen ele geçirilse bile kanıtları ve yetenekleri saldırganın erişemeyeceği yerde tutar.

Yanıt verenlerin bir olaydan önce üstleneceği IAM rollerini tanımlayın. Hesaplar arası roller, IR hesabınızın ele geçirilmiş bir hesaba girerek disklerin anlık görüntüsünü almasına veya güvenlik gruplarını değiştirmesine olanak tanır.

Bu rollerin kapsamı sıkı biçimde sınırlandırılır, yoğun şekilde günlüğe kaydedilir ve kullanımları için uyarı oluşturulur. Böylece yükseltilmiş erişim anında hazır olur, ancak hiçbir zaman sessizce kötüye kullanılamaz.

IR hesabını kullanıma hazır araçlarla donatın: güçlendirilmiş bir adli inceleme AMI'si, birimleri salt okunur olarak edinip bağlayan betikler ve yaygın sınırlama adımları için otomasyon belgeleri.

Bunları önceden hazırlamak, yanıt verenlerin zamanını saat ilerlerken araçları bir araya getirmek yerine inceleme yapmaya ayırmasını sağlar.

CloudTrail, VPC Flow Logs ve Config geçmişini IR veya günlük arşivi hesabında toplayın.

Merkezileştirme, incelemecilere Athena ile sorgulama yapabilecekleri tek ve güvenilir bir yer sunar; ayrıca tek tek hesaplar silinse bile denetim izinin korunmasını sağlar. Bu, her AWS incelemesinin omurgasıdır.

Toplanan kanıtları, uyumluluk modunda Object Lock etkin olan bir S3 klasöründe saklayın. Böylece bir yönetici bile belirlenen saklama süresi boyunca bunları silemez veya üzerine yazamaz.

Bu, savunulabilir bir emanet zincirini güvence altına alır ve kanıtları hem saldırganlardan hem de kazara kayıptan korur.

Yalıtma ve edinme işlemlerini gerçekleştiren EventBridge kurallarını, Lambda işlevlerini ve SSM Automation belgelerini önceden dağıtın.

Bir GuardDuty bulgusu geldiğinde otomasyon kaynağı saniyeler içinde karantinaya alabilir. Bunların önceden oluşturulup test edilmesi, hızlı bir yanıtla tökezleyen bir yanıt arasındaki farktır.

İşletim dışı iletişime hazırlanın. Saldırgan ortamınızdaysa izleniyor olabilecek kurum içi e-postaya veya sohbete güvenemezsiniz.

Ayrı bir kanal, güncel bir iletişim listesi ve hazır bir yükseltme yolu bulundurun. Kimin aranacağını ve bunun nasıl yapılacağını tam olarak bilmek, araç setinin bir parçasıdır.

Test edilmemiş bir IR hesabı sahte bir güven duygusu verir. Hesaplar arası rol üstlenmeyi, kanıt edinmeyi ve otomasyonu baştan sona uygulayan tatbikat günleri düzenleyin.

Testler, düzeltilmesi ucuzken — gerçek bir saldırgan sorunu zorla ortaya çıkarmadan çok önce — süresi dolmuş izinleri, bozuk betikleri ve eksikleri açığa çıkarır.

Yanıt verenler bile en az ayrıcalık ilkesine uyar. IR rolleri, inceleme ve sınırlama için gereken eylemleri tam olarak verir, daha fazlasını değil.

Daha geniş yetkilere sahip acil durum rolleri bulunur; ancak bunlar etkin değildir, kullanıldıklarında uyarı oluşturur ve sonrasında incelenir. Her zaman açık olan güçlü erişim, başlı başına bir sorumluluktur.

Bir IR hesabı göz ardı edilirse zamanla işlevini yitirir. İzinlerin süresi dolar, AMI'ler güncelliğini kaybeder ve otomasyon canlı ortamdan uzaklaşır.

Hesabı yaşayan bir altyapı olarak ele alın: kod olarak yönetin, adli inceleme AMI'sine yamalar uygulayın, kimlik bilgilerini yenileyin ve araç setinin bir olay ilan edildiği anda gerçekten hazır olması için hesaplar arası güveni düzenli olarak gözden geçirin.

Neden özel bir hesap?

Önceden hazırlanmış hesaplar arası rollere, adli inceleme araç setine ve üretim ortamının ele geçirilmesinden sonra da varlığını sürdüren merkezi günlük kaydına sahip, özel ve yalıtılmış bir IR hesabı hazırlayın. Kanıtları değiştirilemez bir emanet zinciri için Object Lock etkin klasörlerde saklayın, yalıtma otomasyonunu önceden dağıtın ve işletim dışı bir iletişim yolunu hazır tutun. Yanıt verenler için bile en az ayrıcalık ilkesini uygulayın ve düzenli tatbikat günleriyle tüm kurulumun çalıştığını kanıtlayın.