AWS 上的事件响应生命周期

安全事件是指任何可能危及 AWS 资源或数据的机密性、完整性或可用性的事件。它可能是泄露的访问密钥、感染恶意软件的实例，或暴露在外的 S3 存储桶。

事件响应（IR）是为这些事件进行准备、检测和恢复的结构化流程。在 AWS 上，云服务提供的速度和自动化能力，是本地部署团队难以企及的。

AWS 将事件响应划分为三个大致阶段，每个阶段都建立在前一阶段之上：

• 准备 — 在任何事情发生之前，配置人员、流程和工具。
• 运营 — 在事件活动期间进行检测、分析、遏制、根除和恢复。
• 事后处理 — 从已发生的事情中吸取经验并加以改进。

这些阶段与经典的 NIST 生命周期高度对应，也是考试要求您掌握的内容。

准备是最重要的阶段，因为在压力出现之前，只有这个阶段完全由您控制。准备工作包括编写运行手册、提前为响应人员授予适当的 IAM 角色、在所有位置启用日志记录，以及通过演练日进行实战演习。

做好准备的团队可以在几分钟内遏制事件。临时应对的团队则会在确认谁有权采取行动时浪费宝贵时间。

检测会将原始信号转化为已确认的事件。Amazon GuardDuty、AWS 安全中心和 CloudTrail 等服务可以呈现可疑活动。

分析随后回答几个关键问题：受影响的资源是什么？攻击者是如何进入的？影响范围有多大？Amazon 侦探调查服务可以帮助您从单个调查结果切换到完整事件。

遏制会在不破坏证据的前提下止住损害。您可以使用限制性安全组隔离 EC2（弹性计算云）实例、撤销遭入侵的角色会话，或停用访问密钥。

目标是在保留取证所需状态的同时限制损害。行动过于激进可能会抹去调查所依赖的关键线索。

根除会移除攻击者及其根本原因——修补漏洞、删除后门，或轮换所有已暴露的机密信息。

恢复会将系统恢复到正常运行状态：使用可信映像重建干净的实例、从备份恢复数据，并在将系统重新接入生产环境前确认威胁确实已经消失。

尘埃落定后，请召开一次不追究个人责任的事后复盘。记录时间线、哪些措施有效、哪些措施失败，以及具体的改进方案。

更新操作手册，添加本可以更早发现问题的检测控制措施，并将原本手动执行的步骤自动化。每次事件都是让下一次响应更快速、更从容的机会。

云重新定义了事件响应。借助 API，您可以在几秒内通过一次调用创建磁盘快照、修改安全组或隔离角色。基础设施即代码则让您能够按需重建干净的环境。

这意味着您可以优先选择重新部署而不是修复——用全新的实例替换已遭入侵的实例，通常比清理它更快、更安全。

明确的负责人可以避免混乱。请定义谁负责宣布事件、谁负责与利益相关者沟通，以及谁负责实际执行操作。

预先创建响应人员需要承担的 IAM 角色，确保访问权限已准备就绪且受到审计。共同责任模型仍然适用：AWS 负责保护云，但响应您账户中的事件是您的职责。

您不希望第一次真实事件成为自己有史以来的第一次事件。演练日是模拟事件，团队可以在其中端到端地练习操作手册。

在风险较低时，演练可以暴露缺口——缺少的权限、过时的联系人列表、未经测试的自动化流程。定期排练可以将书面计划变成肌肉记忆。

将服务映射到各个阶段，以便您知道该使用什么工具：

• 检测：GuardDuty、安全中心、CloudWatch 警报。
• 分析：Detective、CloudTrail、Athena。
• 遏制：安全组、IAM、AWS 系统管理。
• 恢复：备份、AMI（亚马逊机器映像）、CloudFormation。

测试您对生命周期的掌握程度。

AWS 上的事件响应包括准备、检测与分析、遏制、根除、恢复以及事后复盘。准备阶段是您可以完全控制的阶段，而演练日有助于保持准备状态。云可以让您通过 API 在几秒内完成遏制和重建，因此应优先重新部署而不是修复。请谨慎遏制，以便证据得以保留，然后根除根本原因，并从可信来源恢复。