0 
0 Se sua empresa migrou para a computação fora do local, há um bônus para os serviços de flexibilidade e escalabilidade que a AWS e o Microsoft 365 podem fornecer. A resposta a incidentes (IR) na nuvem é muito mais simples do que a resposta a incidentes no local.
Há um porém: todas as ferramentas que você precisa para fazer IR residem na plataforma de seus provedores de nuvem favoritos e produtos SaaS, então você precisa fazer algumas configurações iniciais para estar preparado para um incidente.
Centralize seu registro
Os painéis de log padrão na nuvem não são criados para investigações de resposta a incidentes. É por isso que as soluções SIEM , como GCP Chronicle e Azure Sentinel, existem em cada uma das principais plataformas. Mas essas soluções apenas aprimoram os recursos nativos que podem tornar o IR na nuvem simples, se – e somente se – esses recursos estiverem envolvidos.
Aproveitar a resposta a incidentes integrada da nuvem começa com a centralização de todos os seus registros.
Em geral, dois tipos de ações podem ser registrados:
- Uma ação de “ ler ” revela informações sobre o ambiente de nuvem e seus componentes sem modificá-lo
- As ações de “ gravação ” fazem alterações no ambiente, como criar novas contas, adicionar novos usuários e implantar serviços.
Registrar ações de “gravação” que modificam a conta na nuvem é crucial para a detecção. Mas para uma investigação de incidentes, não é suficiente. A resposta completa a incidentes requer a capacidade de ver todo o escopo das ações executadas por um agente de ameaça, eventos de “leitura” e “gravação”.
Configurar o registro totalmente centralizado é crucial, assim como mantê-lo. Isso requer a verificação da integridade e da cobertura do feed.
Muitas vezes descobrimos que o registro foi limitado na solução de registro central para reduzir custos. Enquanto isso, a equipe do cliente pode presumir que teria um conjunto completo de logs, pois o conhecimento dessas limitações foi perdido à medida que as pessoas deixaram a empresa. Se sua organização enfrentar problemas relacionados a custos, recomendamos a implementação de procedimentos para armazenar os logs filtrados em armazenamento a frio, o que permite a ingestão da solução de log centralizado, se necessário.
Você não pode contar com as plataformas
Quase todos os provedores permitem que você baixe ações de um intervalo de tempo específico usando seus portais de log padrão. Mas constatamos que esses portais, embora atualizados constantemente, apresentam limitações na integridade dos downloads por períodos mais longos. E depois de baixá-los, você precisa processar os logs para análise de alguma maneira, o que pode criar um grande obstáculo se você estiver respondendo a um incidente ativo.
Além disso, a maioria dos portais de log em nuvem tem limitação para downloads sob demanda para proteger a disponibilidade geral dos serviços de log para todos os clientes. Isso pode ser um grande problema se você estiver investigando um ambiente de nuvem considerável.
Na melhor das hipóteses, a falta de logs centralizados deixa você com uma hora de atraso — uma hora que pode ser crucial para sua resposta. É por isso que todos os serviços em nuvem ainda precisam de log centralizado.
O registro padrão não é suficiente
Muitas vezes, os serviços que você usa empilhados sobre sua conta na nuvem são onde você sofrerá a maior parte do impacto de um incidente cibernético. Infelizmente, alguns desses serviços também têm o registro ativado por padrão.
O registro dos serviços usados na nuvem também deve ser considerado especificamente. Isso pode exigir que você defina a configuração simples, o que leva tempo. Mas os custos de não configurar o registro nesses serviços podem ser altos.
Considere um caso em que os logs não estão habilitados e um bucket de armazenamento do AWS S3 foi tornado público por engano. Quando um regulador perguntar quem acessou esses dados, você não poderá responder, pois as evidências não existem. Isso pode levar a multas maiores e mais consequências para sua organização.
Marque e mapeie seus ativos
Uma das partes mais difíceis do RI local é o rastreamento de ativos. Isso geralmente dificulta os respondentes, pois eles tentam priorizar quais computadores devem ser protegidos ou investigados primeiro.
Na nuvem, mapear um ambiente também é muito mais fácil do que em uma rede local, e você pode fazer isso de qualquer lugar. A coleta de evidências também é simplificada. Utilizando ferramentas nativas da nuvem em vez de ferramentas de terceiros, as evidências podem ser capturadas no conforto de sua casa/escritório sem precisar enviar alguém para um data center. No entanto, esses instantâneos podem ser quase inúteis se não forem marcados adequadamente para ajudar a equipe de investigação com o contexto em torno desses instantâneos.
No mínimo, os recursos de nuvem devem ser marcados com o centro de custo, pessoa responsável, serviço relevante e função desse recurso de nuvem para o serviço. Sem essas informações, um tempo valioso será perdido tentando derivar o contexto em torno do recurso.
Instantâneos de volume sem marcação adequada, por exemplo, raramente fornecem a evidência necessária para sua investigação. A investigação de um único instantâneo de volume pode rapidamente se tornar uma revisão de todos os instantâneos de volume. E, novamente, o tempo crucial é perdido.
Estabeleça contas de resposta
Mesmo que você tenha todos os logs necessários, sua equipe de segurança pode não conseguir acessá-los. Portanto, você precisa de contas de resposta para seu ambiente de nuvem criadas antes do início de um incidente. Essas contas se tornam críticas se você precisar compartilhar logs com um fornecedor externo para garantia ou suporte de terceiros.
Com acesso indireto — ou somente leitura — essas contas de resposta podem acessar logs e painéis de log e iniciar uma investigação. Essas contas não poderão fazer alterações no ambiente e exigirão contato com os administradores de nuvem para corrigir diretamente o agente da ameaça. No entanto, se sua equipe de segurança entender as implicações diretas de fazer alterações em políticas e redefinir credenciais no ambiente de nuvem, o acesso direto para contas de resposta pode fazer sentido.
Aproveite as vantagens da nuvem
A RI tradicional nasceu na primeira década deste século, quando os sistemas operacionais não foram projetados com a segurança em mente. Isso exigia que os investigadores confiassem em evidências que foram deixadas involuntariamente no sistema.
Com soluções em nuvem, há uma linha de base de dados, esperando para ser investigada. Quando você está examinando um comprometimento da AWS, por exemplo, essa investigação depende quase inteiramente de logs. Normalmente, você não está fazendo perícia digital onde isso envolve a análise de arquivos digitais para descobrir como o comprometimento ocorreu. Isso ocorre porque os agentes de ameaças, como qualquer usuário, são limitados em quais ações podem ocorrer em um ambiente de nuvem. E quase todas as ações estão nos logs. Assim, a investigação conta com uma fonte de dados relativamente completa e fácil de analisar.
Compare isso com o IR local, onde a evidência pode ser irregular e em formatos variados que exigem análise específica – trabalho que pode exigir dias, se não semanas.
Mais cedo ou mais tarde, você sofrerá um comprometimento, e o tempo e os recursos que você economizará preparando sua nuvem para IR mais do que se pagarão. E o arrependimento que vem de não tomar essas medidas pode durar mais do que qualquer incidente.
FONTE: HELPNET SECURITY