Estoy tratando de compilar una lista de áreas que se deben tener en cuenta al realizar Respuesta ante incidentes en entornos de nube pública, por ejemplo. una nube pública híbrida, donde algunos servicios se aprovisionan en un centro de datos local, mientras están en la nube.
Algunos pensamientos:
- La extracción de RAM para realizar análisis forenses de memoria será difícil, si no imposible, en SAAS, PAAS o un servicio similar.
- En la mayoría de los casos, el acceso físico a los dispositivos será imposible. Si tiene que obtener el disco físico que almacena material ilegal, lo más probable es que no tenga suerte.
- El servicio que está utilizando puede ser limitado, alterado o de otra manera diferente de lo que normalmente usa. P.ej. Azure SQL como servicio, no tiene una base de datos completa como solía hacerlo. Plan para esto
Algunas inquietudes que no se ven afectadas directamente por el Manejo de incidentes, pero es posible que suceda:
- Aislamiento vs. Multi-tenancy. De alguna manera, vas a compartir recursos. Su servicio en la nube puede hacer que otros clientes lo arruinen para sus sistemas.
- Lo anterior también puede aplicarse a la seguridad. El compromiso de un cliente SAAS, puede llevar al compromiso de otros si el proveedor no está configurado correctamente.
- VM Escape es una posibilidad temida. Un compromiso en el hipervisor subyacente puede comprometer a todos los hosts.
- Si no está familiarizado con las ACL del servicio en la nube, es posible que esté exponiendo los servicios en la Internet abierta sin sospechar que, de lo contrario, pensaba que solo era interno.
- El proveedor de la nube puede no ser tan inteligente como usted cuando se trata de limitar el acceso físico. #BadUSB
- Sus datos pueden ser susceptibles de descubrimiento electrónico, incluso si no tuvo nada que ver con el incidente.
¿Alguien tiene alguna otra idea o inquietud sobre cómo una nube pública puede afectar nuestro manejo de incidentes? Preferiblemente podríamos tener en cuenta las 6 fases también:
- preparación
- Identificación / Análisis
- Contención
- erradicación
- recuperación
- Lección aprendida