Iniciar recursos próximos ao evento
Para a equipe de resposta que é nova na nuvem, pode ser tentador tentar conduzir investigações de nuvem no local onde suas ferramentas existentes estão localizadas. Em nossa experiência, os clientes da AWS que respondem a incidentes usando tecnologias de nuvem obtêm melhores resultados. Os isolamentos podem ser automatizados, as cópias podem ser feitas com mais facilidade, as evidências ficam prontas para análise mais cedo e a análise pode ser realizada mais rapidamente.
A prática recomendada é realizar investigações e análises forenses na nuvem, onde os dados estão, em vez de tentar transferir os dados para um datacenter antes de investigar. Você pode usar os recursos seguros de computação e armazenamento da nuvem praticamente em qualquer lugar do mundo para realizar as operações de resposta segura. Muitos clientes optam por pré-criar uma conta separada da AWS que está pronta para realizar uma investigação, embora possa haver casos em que você opte por realizar sua análise na mesma conta da AWS. Se for esperado que sua organização retenha registros por motivos legais e de conformidade, pode ser prudente manter contas separadas para armazenamento de longo prazo e atividades legais.
Também é uma prática recomendada realizar a investigação na mesma região da AWS em que ocorreu o evento, em vez de replicar os dados para outra região. Recomendamos essa prática principalmente devido ao tempo adicional necessário para transferir os dados entre regiões. Para cada região da AWS em que você opera, garanta que o processo de resposta a incidentes e a equipe de resposta cumpram as leis de privacidade de dados pertinentes. Se você precisar mover dados entre regiões, pense nas implicações legais da movimentação de dados entre jurisdições. Geralmente, é uma prática recomendada manter os dados na mesma jurisdição nacional.
Se você acredita que um evento de segurança está afetando seus sistemas de segurança, identidade ou comunicação, talvez seja necessário buscar mecanismos e acesso alternativos para investigar e remediar o impacto. A AWS oferece a capacidade de iniciar rapidamente uma nova infraestrutura que pode ser usada para ambientes de trabalho alternativos e seguros. Por exemplo, enquanto você investiga a possível gravidade da situação, convém criar uma conta da AWS com as ferramentas seguras necessárias para que seus consultores jurídicos, relações públicas e equipes de segurança se comuniquem e continuem trabalhando. Serviços como AWS WorkSpaces
