准备 IR 账户和工具包

成熟的 AWS 组织会创建独立的安全或事件响应账户。该账户与生产环境隔离，因此即使攻击者入侵某个工作负载，也无法访问您的调查工具或证据。

该账户保存取证资源、集中式日志，以及事件开始时响应人员需要承担的角色。

如果日志和工具与遭到入侵的账户位于同一账户中，攻击者就可以删除它们来掩盖踪迹。

隔离的 IR 账户通常还会配合单独的日志存档账户使用，即使生产环境遭到完全入侵，也能让证据和操作能力处于攻击者无法触及的范围之外。

请在事件发生之前定义响应人员将要使用的 IAM 角色。跨账户角色可以让您的 IR 账户访问遭到入侵的账户，以创建磁盘快照或更改安全组。

这些角色具有严格限定的权限，会被全面记录并触发警报，因此提升后的访问权限可以立即使用，同时绝不会在不知情的情况下被滥用。

请为 IR 账户准备好可直接使用的工具：经过加固的 AMI、用于以只读方式获取和挂载卷的脚本，以及用于执行常见遏制步骤的自动化文档。

提前构建这些工具后，响应人员就能把时间用于调查，而不是在争分夺秒时组装工具。

将 CloudTrail、VPC Flow Logs 和 Config 历史记录汇总到 IR 账户或日志存档账户中。

集中化让调查人员拥有一个可信的位置，可使用 Athena 进行查询，并确保即使单个账户被清除，审计轨迹仍然保留。这是任何 AWS 调查的支柱。

将收集的证据存储在启用了对象锁定合规模式的 S3 存储桶中，这样即使管理员也无法在设定的保留期内删除或覆盖证据。

这能确保拥有可辩护性的保管链，并保护证据免受攻击者破坏和意外丢失。

请预先部署执行隔离和取证操作的 EventBridge 规则、Lambda 函数和 SSM Automation 文档。

当 GuardDuty 发现结果到达时，自动化可以在数秒内隔离资源。提前构建并测试好这些内容，是快速响应与仓促应对之间的区别。

请准备带外通信。如果攻击者已进入您的环境，就不能信任可能遭到监控的内部电子邮件或聊天工具。

请准备好单独的通信渠道、最新的联系人列表和升级路径。明确知道该联系谁以及如何联系，也是工具包的一部分。

未经测试的 IR 账户会带来虚假的信心。请开展演练日，端到端地检验跨账户角色使用、证据获取和自动化流程。

测试可以在修复成本较低时发现已过期的权限、损坏的脚本和存在的缺口——远早于真正的攻击者迫使您面对这些问题。

即使是响应人员也必须遵循最小权限原则。IR 角色只授予调查和遏制所需的操作权限，不多授予任何权限。

虽然存在权限更广的紧急授权角色，但它们应保持休眠状态，在使用时触发警报，并在事后接受审查。始终启用的强大访问权限本身就是一种风险。

如果长期无人维护，IR 账户就会逐渐失效。权限会过期，AMI 会过时，自动化也会逐渐偏离实际环境。

请将该账户视为持续运行的基础设施：以代码方式管理它，修补取证 AMI，轮换所有凭证，并定期审查跨账户信任关系，确保事件一经宣布，工具包确实能够立即使用。

为什么要使用专用账户？

准备一个专用且隔离的IR 账户，其中包含预先配置的跨账户角色、取证工具包，以及即使生产环境遭到入侵也能保留的集中式日志记录。将证据存储在启用对象锁定的存储桶中，以形成不可篡改的保管链；预先部署隔离自动化，并准备好带外通信路径。即使对响应人员也要应用最小权限原则，并通过定期演练证明整个设置有效。