İhlal Edilmiş EC2 Bulut Sunucusunu Karantinaya Alma

GuardDuty veya izleme sisteminiz bir EC2 bulut sunucusunun kötü amaçlı dış bağlantılar kurduğunu, kripto para madenciliği yaptığını ya da ağınızı taradığını gösteriyorsa bulut sunucusu karantinaya alınmalıdır.

Karantina, bulut sunucusunu diğer her şeyden yalıtarak daha fazla zarar vermesini önler; aynı zamanda kanıtları silmek yerine inceleme için çalışır durumda tutar.

En temiz karantina yöntemi, bulut sunucusunun güvenlik gruplarını, gelen bağlantı kuralı olmayan ve ideal olarak giden bağlantı kuralı da bulunmayan tek bir adli inceleme grubuyla değiştirmektir.

Güvenlik grupları durum bilgisi tuttuğu ve bulut sunucusuna bağlı olduğu için bu işlem, alt ağdaki başka hiçbir şeye dokunmadan neredeyse tüm yeni bağlantıları hemen keser.

Bulut sunucusunu durdurmak veya sonlandırmak, kötü amaçlı yazılımların çoğunun bulunduğu RAM'i temizler ve saldırgana ait izleri yok edebilir.

Karantina, bulut sunucusunu çalışır durumda ancak yalıtılmış tutar; böylece diskin anlık görüntüsünü alabilir, belleği dökebilir ve davranışı gözlemleyebilirsiniz. Ortadan kaldırma işlemini yalnızca kanıtları güvenle aldıktan sonra yapın.

Güvenliği ihlal edilmiş bir bulut sunucusu, çoğu zaman bulut sunucusu profili aracılığıyla bir IAM rolü taşır ve saldırgan bu geçici kimlik bilgilerini başka yerlerde kullanmak üzere dışarı aktarıyor olabilir.

Rolü değiştirin veya kaldırın ve etkin oturumları iptal edin; böylece çalınan kimlik bilgileri yalnızca bulut sunucusunda değil, tüm AWS hizmetlerinde çalışmayı bırakır.

Diski dondurmak için bağlı tüm EBS birimlerinin hemen anlık görüntüsünü alın ve kullandığınız araçlar izin veriyorsa belleği de yakalayın.

Bu öğeleri karantina kanıtı olarak etiketleyin. Anlık görüntü kopyalarını ayrı bir adli inceleme bulut sunucusuna salt okunur olarak bağlamak, asılları değiştirmeden veya yeniden bulaşma riski oluşturmadan inceleme yapmanızı sağlar.

Ek bir katman olarak, alt ağın ağ ACL'ine bulut sunucusunun özel IP adresi için bir reddetme kuralı ekleyebilirsiniz.

NACL'ler durum bilgisi tutmaz ve alt ağ sınırında uygulanır; bu nedenle güvenlik grubu değişikliğinin gözden kaçırabileceği yolları da yakalar. Bunu birincil denetim olarak değil, ek koruma olarak kullanın.

Bulut sunucusu bir Elastic Load Balancer'ın arkasındaysa veya bir Auto Scaling grubundaysa, trafiğin ona yönelmesini durdurmak için kaydını silin.

Auto Scaling bulut sunucusunu beklemeye alın veya gruptan ayırın; böylece grup sağlıksız olduğunu düşündüğü ana makineyi değiştirerek kanıtlarınızı yok etmez.

Büyük ölçekte elle yapılan adımlar çok yavaştır. Yaygın bir düzen şöyledir: GuardDuty bulgusu, EventBridge kuralı ve Lambda; Lambda güvenlik grubunu değiştirir, birimlerin anlık görüntülerini alır, rolü kaldırır ve bulut sunucusunu etiketler.

Bu sayede çok adımlı bir yanıt, tespit edildikten birkaç saniye içinde çalışan tek bir otomatik eyleme dönüşür.

Karantina, saldırganın nasıl içeri girdiğini sormanız için zaman kazandırır. Giriş noktasını bulmak üzere CloudTrail'i, VPC Flow Logs'u ve ana makinedeki günlükleri inceleyin — açık bir bağlantı noktası, güncellenmemiş bir güvenlik açığı veya çalınmış bir kimlik bilgisi olabilir.

Kök neden bulunmazsa yeniden oluşturulan bir bulut sunucusunun güvenliği aynı şekilde yeniden ihlal edilebilir.

Kanıtlar alındıktan ve kök neden anlaşıldıktan sonra, bulaşmış olanı temizlemek yerine bulut sunucusunu temiz ve güncellenmiş bir AMI üzerinden değiştirin.

Bir arka kapının tamamen kaldırıldığını nadiren garanti edebilirsiniz. Güvenilir bir imajdan yeniden dağıtım yapmak, güvenliği ihlal edilmiş bir ana makineyi temizlemekten daha hızlı ve çok daha güvenilirdir.

Karantinaya alınan bulut sunucusunu ve anlık görüntülerini Status=Quarantine ile olay kimliği gibi açık etiketlerle işaretleyin; böylece hiçbir otomasyon veya operatör onu yanlışlıkla hizmete döndürmez ya da kanıtları silmez.

Hem tehdidin kontrol altına alındığını hem de adli inceleme öğelerinin korunduğunu doğrulayarak sürecin kapanışına kadar olay kaydınızda izleyin.

Doğru kimlik bilgisi adımını seçin.

Güvenliği ihlal edilmiş bir EC2 bulut sunucusunu çalışır durumda tutarken tüm trafiği reddeden bir güvenlik grubuyla değiştirerek karantinaya alın; ardından herhangi bir şeyi değiştirmeden önce EBS birimlerinin anlık görüntülerini alın ve belleği yakalayın. Bulut sunucusu profili rolünü kaldırın ve etkin oturumları iptal ederek çalınan kimlik bilgilerini geçersiz kılın; bulut sunucusunu yük dengeleyicilerden ve Auto Scaling'den ayırın ve NACL ile ek koruma sağlayın. Tüm akışı GuardDuty üzerinden otomatikleştirin, kök nedeni araştırın ve güvenilir bir AMI'dan yeniden oluşturun.