Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Informatica forense

Nel contesto dell'AWS SRA, utilizziamo la seguente definizione di analisi forense fornita dal National Institute of Standards and Technology (NIST): "l'applicazione della scienza all'identificazione, alla raccolta, all'esame e all'analisi dei dati, preservando l'integrità delle informazioni e mantenendo una rigorosa catena di custodia dei dati" (fonte: NIST Special Publication 800-86 — Guide to Integrating Forensic Techniques into Incident Response).

L'analisi forense nel contesto della risposta agli incidenti di sicurezza

Le linee guida sulla risposta agli incidenti (IR) contenute in questa sezione vengono fornite solo nel contesto dell'analisi forense e del modo in cui diversi servizi e soluzioni possono migliorare il processo IR.

La guida alla risposta agli incidenti di sicurezza AWS elenca le best practice per rispondere agli incidenti di sicurezza nel cloud AWS, sulla base delle esperienze dell'AWS Customer Incident Response Team (AWS CIRT). Per ulteriori indicazioni su AWS CIRT, consulta i workshop AWS CIRT e le lezioni da AWS CIRT.

Il National Institute of Standards and Technology Cybersecurity Framework (NIST CSF) definisce quattro fasi del ciclo di vita dell'IR: preparazione; rilevamento e analisi; contenimento, eradicazione e ripristino; e attività post-incidente. Questi passaggi possono essere implementati in sequenza. Tuttavia, tale sequenza è spesso ciclica perché alcuni passaggi devono essere ripetuti dopo il passaggio alla fase successiva del ciclo. Ad esempio, dopo il contenimento e l'eradicazione, è necessario eseguire nuovamente l'analisi per confermare che si è riusciti a rimuovere la minaccia dall'ambiente.

Questo ciclo ripetuto di analisi, contenimento, eliminazione e ritorno all'analisi consente di raccogliere più informazioni ogni volta che vengono rilevati nuovi indicatori di compromesso ()IoCs. Questi IoCs sono utili da diversi punti di vista. In primo luogo, forniscono una cronologia dei passi compiuti dalla minaccia per compromettere l'ambiente. In secondo luogo, eseguendo un'adeguata revisione post-incidente, è possibile migliorare le difese e i sistemi di rilevamento in modo da prevenire l'incidente in futuro o rilevare più rapidamente le azioni della minaccia e quindi ridurre l'impatto dell'incidente.

Sebbene questo processo IR non sia l'obiettivo principale dell'analisi forense, molti degli strumenti, delle tecniche e delle best practice sono condivisi con l'IR (in particolare la fase di analisi). Ad esempio, dopo l'individuazione di un incidente, il processo di raccolta forense espleta l'istruzione probatoria. Successivamente, l'esame e l'analisi delle prove possono aiutare a estrarre. IoCs Alla fine, il reporting forense può aiutare nelle attività post-IR.

Consigliamo di automatizzare il processo forense il più possibile per accelerare la risposta e ridurre il carico su coloro che sono interessati dal processo IR. Inoltre, è possibile aggiungere altre analisi automatizzate dopo che il processo di raccolta forense è terminato e le prove sono state archiviate in modo sicuro per evitare la contaminazione. Per ulteriori informazioni, consulta lo schema "Automate incident response and forensics" sul sito web Prontuario AWS.

Account per l'analisi forense

Il diagramma seguente illustra i servizi di sicurezza AWS che possono essere configurati in un account per l'analisi forense dedicato. A titolo di contesto, il diagramma mostra l'account strumenti di sicurezza per rappresentare i servizi AWS utilizzati per fornire rilevamenti o notifiche nell'account per l'analisi forense.

L'account per l'analisi forense è un tipo separato e dedicato di account strumenti di sicurezza che si trova all'interno dell'unità organizzativa di sicurezza. Lo scopo dell'account per l'analisi forense è fornire una camera bianca standard, preconfigurata e ripetibile per consentire al team forense di un'organizzazione di implementare tutte le fasi del processo forense: raccolta, esame, analisi e relazione. Inoltre, in questo account sono inclusi anche il processo di quarantena e isolamento per le risorse pertinenti.

Il contenimento dell'intero processo di analisi forense in un account separato consente di applicare controlli di accesso aggiuntivi ai dati forensi raccolti e archiviati. Consigliamo di separare gli account per l'analisi forense e gli strumenti di sicurezza per i seguenti motivi:

L'account per l'analisi forense dovrebbe includere l'automazione per accelerare l'istruzione probatoria su larga scala, riducendo al minimo l'interazione umana nel processo di raccolta forense. In questo account verrebbe inclusa anche l'automazione per rispondere e mettere in quarantena le risorse per semplificare i meccanismi di tracciamento e segnalazione.

Le funzionalità forensi descritte in questa sezione devono essere implementate in ogni regione AWS disponibile, anche se l'organizzazione non le utilizza attivamente. Se non si prevede di utilizzare Regioni AWS specifiche, è necessario applicare una policy di controllo dei servizi (SCP) per limitare il provisioning delle risorse AWS. Inoltre, il mantenimento delle indagini e dell'archiviazione degli artefatti forensi all'interno della stessa Regione aiuta a evitare problemi in relazione al mutevole panorama normativo in materia di proprietà e residenza dei dati.

Questa guida utilizza l'account archivio di log come descritto in precedenza per registrare le azioni intraprese nell'ambiente tramite le API AWS, incluse le API eseguite nell'account analisi forensi. La presenza di tali log può aiutare a evitare accuse di cattiva gestione o manomissione degli artefatti. A seconda del livello di dettaglio abilitato (vedi Logging management events e Logging data events nella CloudTrail documentazione AWS), i log possono includere informazioni sull'account utilizzato per raccogliere gli artefatti, l'ora in cui gli artefatti sono stati raccolti e le fasi adottate per raccogliere i dati. Archiviando gli artefatti in Amazon S3, è possibile anche utilizzare controlli di accesso avanzati e registrare informazioni su chi aveva accesso agli oggetti. Un log dettagliato delle azioni compiute consente ad altri di ripetere il processo in un secondo momento, se necessario (supponendo che le risorse in questione siano ancora disponibili).

Amazon GuardDuty

Amazon GuardDuty è un servizio di rilevamento che monitora continuamente attività dannose e comportamenti non autorizzati per proteggere gli account e i carichi di lavoro AWS. Per una guida generale su AWS SRA, consulta Amazon GuardDuty nella sezione Account Security Tooling.

Puoi utilizzare GuardDuty i risultati per avviare il flusso di lavoro forense che acquisisce immagini di disco e memoria di istanze EC2 potenzialmente compromesse. Ciò riduce l'interazione umana e può aumentare notevolmente la velocità di raccolta dei dati forensi. Puoi integrarti GuardDuty con Amazon EventBridge per automatizzare le risposte a nuove GuardDuty scoperte.

L'elenco dei tipi di GuardDuty risultati è in crescita. Pertanto, bisogna considerare quali tipi di esiti (ad esempio Amazon EC2, Amazon EKS, protezione da malware e così via) dovrebbero avviare il flusso di lavoro forense.

Puoi automatizzare completamente l'integrazione del processo di contenimento e raccolta dei dati forensi con i GuardDuty risultati per analizzare gli artefatti del disco e della memoria e mettere in quarantena le istanze EC2. Ad esempio, se tutte le regole di ingresso e uscita vengono rimosse da un gruppo di sicurezza, è possibile applicare un ACL di rete per interrompere la connessione esistente e allegare una policy IAM per rifiutare tutte le richieste.

Centrale di sicurezza AWS

Centrale di sicurezza AWS fornisce una visione completa della posizione di sicurezza in AWS e aiuta a controllare l'ambiente rispetto agli standard di sicurezza del settore e alle best practice. Centrale di sicurezza raccoglie i dati di sicurezza dai servizi integrati di AWS, dai prodotti supportati da terzi e da altri prodotti di sicurezza personalizzati che l'utente potrebbe utilizzare. Aiuta a monitorare e analizzare costantemente le tendenze di sicurezza e a identificare i problemi di sicurezza più importanti. Per linee guida generali su AWS SRA, consulta Centrale di sicurezza AWS nella sezione account strumenti di sicurezza.

Oltre a monitorare il livello di sicurezza, Security Hub supporta l'integrazione con Amazon EventBridge per automatizzare la correzione di problemi specifici. Ad esempio, è possibile definire azioni personalizzate che possono essere programmate per eseguire una funzione AWS Lambda o un flusso di lavoro AWS Step Functions per implementare un processo forense.

Le azioni personalizzate di Centrale di sicurezza forniscono un meccanismo standardizzato per consentire agli analisti o alle risorse di sicurezza autorizzati di implementare il contenimento e l'automazione forense. Ciò riduce le interazioni umane nel contenimento e nell'acquisizione delle prove forensi. È possibile aggiungere un checkpoint manuale nel processo automatizzato per confermare che sia effettivamente necessaria una raccolta forense.

Amazon EventBridge

Amazon EventBridge è un servizio di bus eventi senza server che semplifica la connessione delle applicazioni con dati provenienti da una varietà di fonti. Viene spesso utilizzato nell'automazione della sicurezza. Per una guida generale su AWS SRA, consulta Amazon EventBridge nella sezione Account Security Tooling.

Ad esempio, è possibile utilizzarlo EventBridge come meccanismo per avviare un flusso di lavoro forense in Step Functions per acquisire immagini del disco e della memoria in base ai rilevamenti effettuati da strumenti di monitoraggio della sicurezza come. GuardDuty Oppure potresti usarlo in un modo più manuale: EventBridge potrebbe rilevare gli eventi di modifica dei tag in CloudTrail, il che potrebbe avviare il flusso di lavoro forense in Step Functions.

AWS Step Functions

AWS Step Functions è un servizio di orchestrazione serverless che si può integrare con le funzioni AWS Lambda e altri servizi AWS per la creazione di applicazioni business-critical. Nella console grafica di Step Functions è possibile vedere il flusso di lavoro dell'applicazione come una serie di passaggi basati sugli eventi. Step Functions si fonda su attività e macchine a stati. In Step Functions, un flusso di lavoro viene chiamato macchina a stati, che consiste in una serie di passaggi basati sugli eventi. Ogni fase di un flusso di lavoro è denominata stato. Uno stato Attività rappresenta un'unità di lavoro svolta da un altro servizio AWS, come Lambda. Uno stato Attività può chiamare qualsiasi servizio o API AWS. Utilizzando i controlli integrati in Step Functions è possibile esaminare lo stato di ogni fase del flusso di lavoro e assicurarsi che ogni passaggio venga eseguito nell'ordine corretto e come previsto. A seconda del caso d'uso, è possibile fare in modo che Step Functions chiami i servizi AWS, come Lambda, per eseguire attività. È possibile anche creare flussi di lavoro automatizzati e di lunga durata per applicazioni che richiedono l'interazione umana.

Step Functions è ideale per l'uso con un processo forense perché supporta un set ripetibile e automatizzato di passaggi predefiniti che possono essere verificati tramite i log di AWS. Questo aiuta a escludere qualsiasi coinvolgimento umano ed evitare errori nel processo forense.

AWS Lambda

Con AWS Lambda è possibile eseguire codice senza effettuare il provisioning o gestire server. I costi saranno calcolati in base al tempo di elaborazione effettivo. Non viene addebitato alcun costo quando il codice non è in esecuzione. Lambda esegue il codice su un'infrastruttura di elaborazione ad alta disponibilità e amministra tutte le risorse di calcolo, compresa la manutenzione del server e del sistema operativo, il provisioning e il dimensionamento automatico della capacità e la registrazione di log. L'utente fornisce il suo codice in uno dei runtime di linguaggio supportati da Lambda e poi organizza il proprio codice in funzioni Lambda. Il servizio Lambda esegue la funzione solo quando necessario e si dimensiona automaticamente.

Nel contesto di un'indagine forense, l'utilizzo delle funzioni Lambda consente di ottenere risultati costanti attraverso passaggi predefiniti, ripetibili e automatizzati che vengono definiti nel codice Lambda. Quando una funzione Lambda viene eseguita, questa crea un log che consente di verificare che sia stato implementato il processo corretto.

AWS KMS

Sistema AWS di gestione delle chiavi (AWS KMS) ti aiuta a creare e gestire chiavi crittografiche e a controllarne l'utilizzo in un'ampia gamma di servizi AWS e nelle tue applicazioni. Per linee guida generali su AWS SRA, consulta AWS KMS nella sezione account strumenti di sicurezza.

Come parte del processo forense, la raccolta dei dati e l'indagine devono essere eseguite in un ambiente isolato per ridurre al minimo l'impatto sull'azienda. Durante questo processo la sicurezza e l'integrità dei dati non possono essere compromesse e sarà necessario mettere in atto un processo per consentire la condivisione di risorse crittografate, come snapshot e volumi del disco, tra l'account potenzialmente compromesso e l'account per l'analisi forense. A tal fine, l'organizzazione dovrà assicurarsi che la policy delle risorse AWS KMS associata supporti la lettura dei dati crittografati e la protezione dei dati ricrittografandoli con una chiave AWS KMS nell'account per l'analisi forense.