本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

网络取证

在此背景下 AWSSRA，我们使用美国国家标准与技术研究所 (NIST) 提供的以下取证定义：“将科学应用于识别、收集、检查和分析数据，同时保持信息的完整性并对数据保持严格的保管链”（来源：NIST特别出版物800-86——将法医技术整合到事件响应中的指南）。

安全事件响应上下文中的取证

本节中的事件响应（IR）指南仅在取证以及不同的服务和解决方案如何改进 IR 流程的上下文中提供。

《AWS安全事件响应指南》根据AWS客户事件响应团队的经验，列出了响应AWS云端安全事件的最佳实践（AWSCIRT）。如需其他指导 AWSCIRT，请参阅AWSCIRT研讨会和教训AWSCIRT。

美国国家标准与技术研究院网络安全框架 (NISTCSF) 定义了红外生命周期中的四个步骤：准备；检测和分析；遏制、根除和恢复；以及事后活动。这些步骤可以按顺序实施。但是，该顺序通常是周期性的，因为某些步骤在进入循环的下一步之后必须重复。例如，在遏制和根除之后，您需要再次进行分析，以确认您已成功将攻击者从环境中移除。

这种重复的分析、遏制、根除和再次返回分析的循环使您每次检测到新的危害指标 (IoCs) 时都能收集更多信息。从许多角度来看，这些 IoCs 都是有用的。它们可让您了解攻击者为了破坏您的环境而采取的步骤。此外，通过进行适当的事后审查，您可以提高防御和检测能力，以便防止将来发生事件，或者更快地检测到攻击者的行动，从而减少事件的影响。

虽然这个 IR 流程不是取证的主要目标，但许多工具、技术和最佳实践都与 IR 共享（尤其是分析步骤）。例如，在检测到事件后，取证收集过程会收集证据。接下来，证据检查和分析可以帮助提取 IoCs。最后，取证报告可以为 IR 后的活动提供帮助。

我们建议您尽可能自动化取证过程，以加快响应速度并减轻 IR 利益相关者的负担。此外，在取证收集过程完成并且证据已安全存储以避免污染之后，您可以添加更多自动化分析。有关更多信息，请参阅 “AWS规范性指导” 网站上的 “自动事件响应和取证” 模式。

取证账户

下图说明了可以在专用取证账户中配置AWS的安全服务。为了便于上下文，该图显示了安全工具帐户，用于描述用于在 Forensics 帐户中提供检测或通知的AWS服务。

取证账户是一种单独的专用安全工具账户，位于安全 OU 中。取证账户的目的是提供一个标准、预先配置且可重复的洁净室，让组织的取证团队能够实施取证过程的所有阶段：收集、检查、分析和报告。另外，此账户还包括对范围内资源的隔离和分离流程。

将整个取证过程包含在单独的账户中，您便可对收集和存储的取证数据应用额外的访问控制。我们建议您将取证和安全工具账户分开，原因如下：

取证账户应包括自动化功能，以加快大规模证据收集，同时最大限度地减少取证收集过程中的人际互动。此账户还将包括自动响应和隔离资源，以简化跟踪和报告机制。

本节中描述的取证功能应部署到每个可用AWS区域，即使您的组织没有积极使用这些功能。如果您不打算使用特定AWS区域，则应应用服务控制策略 (SCP) 来限制配置AWS资源。此外，在同一区域内对取证构件进行调查和存储，有助于避免数据驻留和所有权监管环境不断变化的问题。

本指南使用前面概述的日志存档帐户来记录环境中通过执行的操作 AWSAPIs，包括您在Forensics帐户中运行的操作。APIs拥有此类日志可以帮助避免有人指控构件处理不当或被篡改。根据您启用的详细程度（请参阅AWS CloudTrail 文档中的日志管理事件和记录数据事件），日志可以包含有关用于收集对象的帐户、收集工件的时间以及收集数据所采取的步骤的信息。通过将构件存储在 Amazon S3 中，您还可以使用高级访问控制并记录有关谁有权访问对象的信息。其他人可以稍后根据需要使用详细的操作日志重复该过程（假设范围内的资源仍然可用）。

Amazon GuardDuty

Amazon GuardDuty 是一项检测服务，可持续监控恶意活动和未经授权的行为，以保护您的AWS账户和工作负载。有关一般AWSSRA指导，请参阅 Amazon GuardDuty 的 “安全工具账户” 部分。

您可以使用 GuardDuty 调查结果来启动取证工作流程，捕获可能受感染的EC2实例的磁盘和内存映像。这减少了人际互动，并可显著提高取证数据的收集速度。您可以 GuardDuty 与 Amazon 集成 EventBridge ，自动回复新 GuardDuty 发现。

GuardDuty 发现类型的列表越来越多。您应该考虑哪些查找类型（例如 Amazon EC2、Amazon EKS、恶意软件防护等）应启动取证工作流程。

您可以完全自动地将控制和取证数据收集过程与调查 GuardDuty 结果集成，以捕获对磁盘和内存故障以及隔离EC2实例的调查。例如，如果从安全组中删除了所有入口和出口规则，则可以应用网络ACL来中断现有连接，并附加拒绝所有请求的IAM策略。

AWS Security Hub

AWSSec@@ urity Hub 可让您全面了解自己的安全状况，AWS并帮助您根据安全行业标准和最佳实践检查您的环境。Security Hub 从AWS集成服务、支持的第三方产品以及您可能使用的其他自定义安全产品中收集安全数据。它可以帮助您持续监控和分析安全趋势，并确定最高优先级的安全问题。有关一般AWSSRA指导，请参阅 “AWS安全工具帐户” 部分中的 Security Hub。

除了监控您的安全状况外，Security Hub 还支持与 Amazon 集成， EventBridge 以自动修复特定发现。例如，您可以定义自定义操作，这些操作可以编程为运行 AWS Lambda 函数或 AWS Step Functions 工作流程来实现取证流程。

Security Hub 自定义操作为授权的安全分析师或资源提供一种标准化机制，以实现遏制和取证自动化。这样可减少在遏制和取证证据捕获过程中的人际互动。您可以在自动化过程中添加手动检查点，以确认是否确实需要进行取证收集。

Amazon EventBridge

Amazon EventBridge 是一项无服务器事件总线服务，可以直接将您的应用程序与来自各种来源的数据连接起来。它经常用于安全自动化。有关一般AWSSRA指导，请参阅 Amazon EventBridge 的 “安全工具账户” 部分。

例如，您可以 EventBridge 将其用作在 Step Functions 中启动取证工作流程的机制，以根据安全监控工具（例如）的检测结果捕获磁盘和内存映像。 GuardDuty或者你可以用更手动的方式使用它： EventBridge可以检测中的标签更改事件 CloudTrail，这可以在 Step Functions 中启动取证工作流程。

AWS Step Functions

AWSSt ep Functions 是一项无服务器编排服务，您可以将其与 Lamb AWSda 函数和其他AWS服务集成，以构建关键业务应用程序。在 Step Functions 图形控制台上，您可以将应用程序的工作流视为一系列事件驱动的步骤。Step Functions 基于状态机和任务。在 Step Functions 中，工作流被称为状态机，是一系列由事件驱动的步骤。工作流中的每个步骤都称为状态。任务状态表示其他AWS服务（例如 Lambda）执行的工作单元。任务状态可以调用任何AWS服务或API. 您可以使用 Step Functions 中的内置控件来检查工作流中每个步骤的状态，确保每个步骤都如预期按正确顺序运行。根据您的用例，您可以让 Step Functions 调用AWS服务（例如 Lambda）来执行任务。您还可以为需要人为交互的应用程序创建长时间运行的自动化工作流。

Step Functions 非常适合与取证流程一起使用，因为它支持一组可重复的、自动化的预定义步骤，可以通过AWS日志进行验证。这可以帮助您排除任何人为参与，并避免在取证过程中出现错误。

AWSLambda

使用 AWSLambda，您无需预置或管理服务器即可运行代码。您只需按使用的计算时间付费。代码不运行时不会产生任何费用。Lambda 在可用性高的计算基础设施上运行您的代码，并管理所有计算资源，包括服务器和操作系统维护、容量预置和自动扩展以及日志记录。您可以使用 Lambda 支持的其中一种语言运行时系统提供代码，然后将您的代码整理到 Lambda 函数中。Lambda 服务仅在需要时运行函数并自动扩展。

在取证调查的上下文中，使用 Lambda 函数可帮助您通过 Lambda 代码中定义的可重复、自动和预定义的步骤获得稳定结果。当 Lambda 函数运行时，它会创建一个日志，帮助您验证是否实施了正确的流程。

AWS KMS

AWS密钥管理服务 (AWSKMS) 可帮助您创建和管理加密密钥，并控制其在各种AWS服务和应用程序中的使用。有关一般AWSSRA指导，请参阅 AWSKMS“安全工具帐户” 部分。

作为取证过程的一部分，数据收集和调查应在隔离的环境中进行，以最大限度地减少对业务的影响。在此过程中，数据的安全性和完整性不会受到损害，因此需要制定一个流程，以允许在可能遭到入侵的账户和取证账户之间共享加密资源，例如快照和磁盘卷。为了实现这一目标，您的组织必须确保相关的AWSKMS资源策略支持读取加密数据，并通过使用取证帐户中的AWSKMS密钥重新加密数据来保护数据。