为取证创建卷快照

在接触遭到入侵的实例之前，请先捕获其磁盘状态。EBS 快照是 Elastic Block Store 卷在某一时间点的副本，会持久存储在 S3 中。

它会冻结捕获时磁盘的确切状态，为调查人员提供不变的基线，即使实时系统正在被隔离或重建，也可以据此进行分析。

EBS 快照基于块并采用增量方式：第一个快照会捕获所有已使用的块，后续快照只存储发生更改的部分。尽管如此，每个快照都是完整且可恢复的卷副本。

它会准确保留文件系统、磁盘上的恶意软件、日志和配置，这些都是取证调查所需的原始材料。

取证的黄金法则是绝不修改原始证据。请只对快照的副本进行操作。

请从快照创建新卷，将其附加到取证实例，并以只读方式挂载，以确保调查过程不会改变捕获状态中的任何一个字节。

磁盘快照无法捕获仅存在于 RAM 中的内容，例如无文件恶意软件、解密密钥和活跃的网络连接。

如果您的取证工具支持，请同时转储实例内存。磁盘快照与内存映像结合起来，才能尽可能完整地呈现入侵情况。

请为每个快照添加源实例、事件 ID 和捕获时间等标签。清晰的标签可以防止误删，并帮助整理证据。

请记录由谁在何时捕获了哪些内容。如果调查结果最终用于法律或监管行动，具备可辩护性的监管链就十分重要。

请将快照复制到隔离的取证或 IR 账户中，使证据位于仍活跃于遭入侵账户中的攻击者无法触及的位置。

跨账户共享和复制快照是 EBS 的内置功能；只需确保 KMS 密钥权限允许目标账户使用加密快照。

请使用KMS（密钥管理服务）加密取证快照，确保其中包含的敏感数据在静态存储时受到保护。

请通过密钥策略控制访问：只有获得授权的调查人员才能解密证据。这样可以保护受害者数据，并确保您的处理方式符合要求。

从长期来看，请将证据导出或保留在无法修改的存储中。启用Object Lock合规模式的 S3 存储桶，可以在固定保留期限内禁止删除或覆盖。

这既能防范攻击者，也能避免意外丢失，从而进一步维护调查的完整性。

在快速发展的事件中，手动创建快照会成为瓶颈。由 GuardDuty 调查结果触发的 Lambda 函数，可以在检测到威胁的瞬间自动为所有已附加卷创建快照。

自动获取可以捕获尽可能最新的状态，并让响应人员专注于分析工作。

在取证实例上挂载只读副本后，调查人员可以查找入侵迹象：可疑文件、遭修改的二进制文件、异常的 cron 作业以及日志条目。

由于所有操作都在隔离副本上进行，您可以积极探查，而不必担心影响生产环境或破坏原始证据的完整性。

调查结束后，请根据策略决定快照的处理方式。与法律或监管事项相关的证据，可能需要在 Object Lock 下长期保留。

否则，请按既定计划删除取证快照，避免敏感的捕获数据不断累积。无论采取哪种方式，都请记录该决定，确保监管链从捕获到处置始终完整。

请正确保护证据。

在更改实例之前，为每个卷创建EBS 快照以捕获取证证据，并转储仅存在于 RAM 中的内容。始终使用只读副本进行操作，为所有内容添加标签以维护监管链，并将加密快照复制到隔离的IR 账户。使用 KMS 和 S3 Object Lock保护证据，通过 GuardDuty 调查结果自动获取证据，并在经过加固的取证实例上分析副本。