Adli İnceleme için Birimlerin Anlık Görüntüsünü Alma

Güvenliği ihlal edilmiş bir bulut sunucusuna dokunmadan önce diski yakalayın. EBS anlık görüntüsü, Elastic Block Store biriminin S3'te kalıcı olarak saklanan belirli bir andaki kopyasıdır.

Yakalandığı anda diskin tam durumunu dondurur ve canlı sistem kontrol altına alınırken veya yeniden oluşturulurken araştırmacılara inceleyebilecekleri değişmeyen bir temel sağlar.

EBS anlık görüntüsü blok düzeyinde ve artımlıdır: ilk görüntü kullanılan tüm blokları yakalar, sonraki görüntüler ise yalnızca değişiklikleri saklar. Buna rağmen her anlık görüntü, birimin tamamen geri yüklenebilir bir kopyasıdır.

Dosya sistemini, diskteki kötü amaçlı yazılımları, günlükleri ve yapılandırmayı oldukları gibi korur — bunlar adli incelemenin ham malzemesidir.

Adli incelemenin altın kuralı, asıl kanıtı hiçbir zaman değiştirmemektir. Yalnızca anlık görüntünün kopyaları üzerinde çalışın.

Anlık görüntüden yeni bir birim oluşturun, bunu bir adli inceleme bulut sunucusuna bağlayın ve salt okunur olarak bağlayın; böylece inceleme işlemi yakalanan durumun tek bir baytını bile değiştiremez.

Disk anlık görüntüleri yalnızca RAM'de bulunanları — dosyasız kötü amaçlı yazılımları, şifre çözme anahtarlarını ve etkin ağ bağlantılarını — kaçırır.

Adli inceleme araçlarınız destekliyorsa bulut sunucusunun belleğini de dökün. Disk anlık görüntüsü ve bellek imajı birlikte, güvenlik ihlalinin mümkün olan en eksiksiz görünümünü sunar.

Her anlık görüntüyü kaynak bulut sunucusu, olay kimliği ve yakalama zamanıyla etiketleyin. Açık etiketler yanlışlıkla silinmeyi önler ve kanıtları düzenli tutar.

Neyi, kimin ve ne zaman yakaladığını belgeleyin. Bulguların hukuki veya düzenleyici bir işlemi desteklemesi durumunda savunulabilir bir zimmet zinciri önem taşır.

Anlık görüntüyü yalıtılmış adli inceleme veya IR hesabınıza kopyalayın; böylece kanıtlar, güvenliği ihlal edilmiş hesapta hâlâ etkin olan bir saldırganın erişemeyeceği bir yerde bulunur.

Anlık görüntülerde hesaplar arasında paylaşım ve kopyalama, EBS'nin yerleşik bir özelliğidir; yalnızca KMS anahtarı izinlerinin hedef hesabın şifrelenmiş anlık görüntülerini kullanmasına izin verdiğinden emin olun.

Adli inceleme anlık görüntülerini KMS (Anahtar Yönetimi Hizmeti) ile şifreleyin; böylece içerdikleri hassas veriler depolama sırasında korunur.

Erişimi anahtar politikası üzerinden denetleyin: yalnızca yetkili araştırmacılar kanıtların şifresini çözebilmelidir. Bu, mağdur verilerini korur ve işlemlerinizin uyumlu kalmasını sağlar.

Uzun vadede kanıtları değiştirilemeyen depolama alanına aktarın veya burada saklayın. Object Lock özelliğine sahip ve uyumluluk modunda çalışan bir S3 klasörü, belirli bir saklama süresi boyunca silme veya üzerine yazmayı önler.

Bu özellik kanıtları hem saldırganlara hem de yanlışlıkla oluşabilecek kayıplara karşı koruyarak incelemenizin bütünlüğünü güçlendirir.

Hızla ilerleyen bir olayda elle anlık görüntüsü almak darboğaz oluşturur. GuardDuty bulgusuyla tetiklenen bir Lambda işlevi, tehdit algılanır algılanmaz bağlı tüm birimlerin anlık görüntülerini otomatik olarak alabilir.

Otomatik edinim, mümkün olan en güncel durumu yakalar ve müdahale ekiplerinin analize odaklanmasını sağlar.

Salt okunur bir kopya adli inceleme bulut sunucusuna bağlandığında araştırmacılar güvenlik ihlali göstergelerini arar: şüpheli dosyalar, değiştirilmiş ikili dosyalar, beklenmeyen cron işleri ve günlük girdileri.

Çalışma yalıtılmış bir kopya üzerinde gerçekleştiği için üretim ortamına veya asıl kanıtın bütünlüğüne yönelik herhangi bir risk olmadan kapsamlı inceleme yapabilirsiniz.

İnceleme kapandığında anlık görüntünün akıbetine politikaya göre karar verin. Hukuki veya düzenleyici konularla ilişkili kanıtların Object Lock altında uzun süre saklanması gerekebilir.

Aksi durumda, yakalanan hassas verilerin birikmesini önlemek için adli inceleme anlık görüntülerini belirlenmiş bir takvime göre silin. Her iki durumda da kararı kaydedin; böylece zimmet zinciri yakalamadan imhaya kadar bozulmadan kalır.

Kanıtları doğru şekilde koruyun.

Herhangi bir değişiklik yapmadan önce her birimin EBS anlık görüntüsünü alarak adli inceleme kanıtlarını yakalayın; yalnızca RAM'de bulunanlar için belleği de dökün. Her zaman salt okunur kopyalarla çalışın, zimmet zinciri için her şeyi etiketleyin ve şifrelenmiş anlık görüntüyü yalıtılmış bir IR hesabına kopyalayın. KMS ve S3 Object Lock ile koruyun, GuardDuty bulgularından edinimi otomatikleştirin ve kopyaları güçlendirilmiş bir adli inceleme bulut sunucusunda analiz edin.