Avvio delle risorse in prossimità dell'evento
Per i risponditori che non conoscono il cloud, si può avere la tentazione di condurre indagini sul cloud in locale dove si trovano gli strumenti esistenti. In base alla nostra esperienza, i clienti AWS che rispondono agli incidenti utilizzando tecnologie cloud ottengono risultati migliori: gli isolamenti possono essere automatizzati, le copie possono essere create più facilmente, le prove sono pronte per l'analisi prima e l'analisi può essere completata più velocemente.
La best practice è quella di eseguire indagini e indagini forensi nel cloud, dove si trovano i dati, piuttosto che tentare di trasferire i dati a un data center prima di indagare. È possibile utilizzare le funzionalità di calcolo e archiviazione sicuri del cloud praticamente in qualsiasi parte del mondo per eseguire le operazioni di risposta sicura. Molti clienti scelgono di creare in anticipo un account AWS separato pronto per eseguire un'indagine, anche se potrebbero esserci casi in cui si sceglie di eseguire l'analisi nello stesso account AWS. Se si prevede che l'organizzazione conservi i registri per motivi legali e di conformità, potrebbe essere prudente mantenere account separati per l'archiviazione a lungo termine e le attività legali.
È inoltre consigliabile eseguire l'indagine nella stessa regione AWS in cui si è verificato l'evento, piuttosto che replicare i dati in un'altra regione. Consigliamo questa pratica principalmente a causa del tempo aggiuntivo necessario per trasferire i dati tra le regioni. Per ogni regione AWS in cui operi, assicurati che sia il tuo processo di risposta agli incidenti e che i risponditori rispettino le leggi sulla privacy dei dati pertinenti. Se hai bisogno di spostare dati tra regioni, considera le implicazioni legali dello spostamento di dati tra giurisdizioni. È generalmente una best practice conservare i dati all'interno della stessa giurisdizione nazionale.
Se ritieni che un evento di sicurezza stia avendo un impatto sulla sicurezza, l'identità o i sistemi di comunicazione, potresti dover cercare meccanismi e accessi alternativi per indagare e rimediare all'impatto. AWS ti offre la possibilità di avviare rapidamente una nuova infrastruttura che può essere utilizzata per ambienti di lavoro alternativi e sicuri. Ad esempio, durante l'indagine sulla potenziale gravità della situazione, potresti voler creare un nuovo account AWS con gli strumenti sicuri necessari al tuo consulente legale, alle pubbliche relazioni e ai team di sicurezza per comunicare e continuare a lavorare. Servizi come AWS WorkSpaces
