Lanzamiento de recursos cerca del evento
Para los agentes de respuesta que sean nuevos en la nube, puede resultar tentador intentar llevar a cabo investigaciones de la nube en las instalaciones donde se encuentran las herramientas existentes. Según nuestra experiencia, los clientes de AWS que responden a los incidentes mediante tecnologías en la nube logran mejores resultados: los aislamientos se pueden automatizar, se pueden hacer copias más fácilmente, las pruebas están listas para su análisis en menos tiempo y el análisis se puede completar más rápido.
La práctica recomendada es realizar las investigaciones y los análisis forenses en la nube, donde están los datos, en lugar de intentar transferirlos a un centro de datos antes de investigar. Puede usar las capacidades de computación y de almacenamiento seguras de la nube en prácticamente cualquier parte del mundo para realizar operaciones de respuesta seguras. Muchos clientes optan por preconfigurar una cuenta de AWS independiente que esté lista para realizar una investigación, aunque puede haber casos en los que elija realizar el análisis en la misma cuenta de AWS. Si se espera que su organización conserve los registros por motivos legales y de cumplimiento, puede ser prudente mantener cuentas separadas para las actividades legales y el almacenamiento a largo plazo.
También se recomienda llevar a cabo la investigación en la misma región de AWS en la que se produjo el evento, en lugar de replicar los datos en otra región. La recomendación de esta práctica se debe principalmente al tiempo adicional que se requiere para transferir los datos entre las regiones. En cada región de AWS en la que opere, asegúrese de que tanto el proceso de respuesta ante incidentes como el personal de respuesta cumplan con las leyes de privacidad de datos relevantes. Si necesita trasladar datos entre las regiones, tenga en cuenta las implicaciones legales de mover datos entre jurisdicciones. En general, la práctica recomendada es mantener los datos dentro de la misma jurisdicción nacional.
Si considera que un evento de seguridad afecta a sus sistemas de seguridad, identidad o comunicación, es posible que deba buscar formas de acceso y mecanismos alternativos para investigar y corregir el impacto. AWS ofrece la posibilidad de lanzar rápidamente infraestructura nueva que se puede utilizar para entornos de trabajo alternativos y seguros. Por ejemplo, mientras investiga la posible gravedad de la situación, puede que quiera crear una cuenta de AWS nueva con las herramientas seguras que necesitan su asesor legal, el departamento de relaciones públicas y los equipos de seguridad para comunicarse y seguir trabajando. Servicios como AWS WorkSpaces
