イベントの近くでリソースを起動
クラウドを初めて使用する対応者は、既存のツールがあるオンプレミスでクラウド調査を実施したくなるかもしれません。AWS の経験によると、インシデント対応にクラウドテクノロジーを使用している AWS のお客様の方がより良い成果を達成しています。クラウドでは、隔離の自動化、コピーの容易化、証拠の早期分析、分析の早期完了が可能です。
ベストプラクティスは、データが存在するクラウド内で調査とフォレンジックを実行することです。調査の前にデータをデータセンターに転送する必要はありません。クラウドの安全なコンピューティングおよびストレージ機能は、世界中のほぼどこででも使用でき、安全な対応業務を実行できます。多くのお客様は、調査用に別個の AWS アカウントを事前に作成していますが、同じ AWS アカウントで分析を実行することもできます。コンプライアンスや法的な理由で組織が記録を保持する必要がある場合は、長期保管と法的業務用に別々のアカウントを保持することが適切な場合があります。
また、データを別の AWS リージョンにレプリケートせずに、イベントが発生したのと同じ AWS リージョンで調査を実施するのもベストプラクティスです。この方法をお勧めする主な理由は、リージョン間でのデータ転送には余分な時間がかかるためです。運用する AWS リージョンごとに、インシデント対応プロセスと対応者の両方が該当するデータプライバシー法に準拠していることを確認してください。リージョン間でデータを移動する必要がある場合は、管轄区域間でのデータ移動に伴う法的な影響を考慮してください。一般的には、同じ管轄区域内にデータを保持することがベストプラクティスです。
セキュリティイベントがセキュリティ、アイデンティティ、または通信システムに影響を与えていると思われる場合は、代替のメカニズムやアクセス権を通じてその影響を調査して修正することが必要になる場合があります。AWS では、新しいインフラストラクチャを迅速に立ち上げて、安全な代替作業環境で使用できるようにします。例えば、状況の潜在的な重要度を調査するときに、新しい AWS アカウントを作成して安全なツールを準備し、弁護士、広報、セキュリティチームが相互にコミュニケーションを取りながら作業を続行できるようにすることができます。AWS WorkSpaces
