代替アカウントの使用

影響を受けたアカウント内でイベントに対応することが必要な場合もありますが、影響を受けたアカウントの外部でデータを調査するのが理想的です。一部のお客様は、分離された AWS アカウント環境を個別に作成するプロセスを持っており、テンプレートを使用してプロビジョニングが必要なリソースを事前設定しています。これらのテンプレートは、AWS CloudFormation や Terraform などのサービスを通じてデプロイします。Terraform を使用すると、関連する AWS リソースのコレクションを簡単に作成し、整然とした予測可能な方法でプロビジョニングできます。

テンプレート化したメカニズムを使用してこれらのアカウントを事前設定すると、インシデントの初期段階で人的介入を排除できます。また、環境とリソースを繰り返し可能かつ予測可能な方法で準備し、監査によって検証できます。さらに、このメカニズムにより、フォレンジック環境のデータのセキュリティと封じ込めを維持する能力も向上します。

このアプローチでは、クラウドサービスチームやアーキテクトチームと協力して、調査に使用できる適切な AWS アカウントプロセスを決定する必要があります。例えば、クラウドサービスチームは AWS Organizations を使用することで、新しいアカウントを生成し、これらのアカウントをテンプレート化またはスクリプト化した方法で事前設定できます。

このセグメント化の方法は、大規模な組織を潜在的な脅威から切り離しておく必要がある場合に最適です。このセグメント化では、新しい、ほとんど接続されていない AWS アカウントを使用するため、マルチアカウントのドキュメントでセキュリティ組織単位 (OU) とラベル付けされた組織のユーザーは、このアカウント内に移動して、必要なフォレンジックアクティビティを実行し、必要に応じてアカウント全体をリーガルエンティティに引き渡すことができます。このフォレンジックとアトリビューションの方法は、大幅な見直しと計画が必要であり、エンタープライズの GRC ポリシーに沿っている必要があります。この作業は簡単ではありませんが、大規模なアカウントベースを構築する前に行う方がはるかに簡単です。