云计算事件响应优秀实践

云计算如今已经成为一种主流技术，几乎所有组织都在公有云中运行一些资源——无论是SaaS、PaaS还是IaaS。他们的安全团队一直在努力适应云计算环境，随着DevSecOps的日益普及，他们正在与DevOps团队合作，致力于开始保护其云计算系统。

当企业发现保护其云计算投资的最佳方法时，还需要为云计算制定事件响应策略。即使企业的云安全控制措施是完美的，网络攻击还是会发生。安全团队需要知道在网络攻击期间要做什么，并为事件响应做好准备，而事件响应可能是快速控制和解决灾难事件与可能导致数百万美元损失之间的区别。

什么是事件响应?

事件响应使企业能够确保他们了解安全事件，并能够及时响应以限制对其系统的损坏。其目标是阻止网络攻击，并防止将来发生类似的攻击。

研究机构SANS Institute六个步骤的事件响应流程为安全事件提供了一个结构化的框架。这些步骤包括：

(1)准备——制定安全政策，进行风险评估，确定哪些资产是敏感的，并建立一个事件响应团队。

(2)识别——监控系统以检测异常活动、识别真正的安全事件，并调查威胁的严重性和类型。

(3)遏制——执行短期遏制程序以阻止威胁的传播，然后是长期遏制，例如应用临时修复和重新运行干净的系统。

(4)根除——确定事件的根本原因，删除恶意软件，并采取措施防止未来的攻击。

(5)恢复——恢复生产系统，并采取措施防止进一步的网络攻击。最后再测试和监控恢复的系统。

(6)学习——在事件发生后的两周内执行回顾性分析，使用完整的文档评估遏制工作，并确定如何改进事件响应过程。

如何为事件响应准备云平台

企业可以通过多种方式准备事件响应团队和云计算环境，以实现更有效的事件响应：

(1)建立响应目标——与利益相关者、法律顾问和企业领导协商确定事件响应目标。共同目标包括问题控制和缓解、受影响资源的恢复以及存储数据以提供证据和归属。

(2)使用云平台进行响应——确保企业的云计算资源包括响应事件所需的工具和资源。例如，确保企业拥有强大的基于云计算的日志记录和监控系统，并设置基于云计算的备份和灾难恢复，以便可以快速恢复受影响的系统。

(3)确定企业的要求——在集中式云计算帐户中保留日志、快照和其他证据的副本。其应用机制来执行保留策略。使用标签和元数据保持可见性，并将日志和云计算资源连接到企业的单位、项目或公司系统。

(4)使用重新部署机制——如果安全异常是由配置错误引起的，企业应该能够通过使用适当的配置重新部署资源来轻松修复它。确保响应机制可以在必要时多次执行。

(5)利用自动化——在识别重复出现的问题和事件后，尽可能实现自动化并以编程方式对其进行分解，以构建针对常见情况的响应机制。例如，使用AWS公司成熟的AutoScaling服务或Microsoft Azure的基础设施即代码(IaC)功能。这在云平台上比在内部部署数据中心容易得多。企业确保仅对独特的、新的或关键的事件使用人工响应。

云中有效的事件响应

使用以下提示可以提高企业在公有云环境中响应安全事件的能力。

(1)转移注意力

与传统的内部部署环境相比，云计算环境要求企业监控不同的元素。在云中，企业应该关注应用程序、API和用户角色，考虑事件响应者如何在云计算环境中成功运作，以及他们可能需要执行哪些任务。事件响应团队必须对企业的系统具有适当的访问权限和可见性，以便他们能够检测、修复和防止攻击。

(2)集成警报和事件管理工具

安全团队必须能够直接访问支持数据，以对警报进行分类并对事件进行分类。为此，安全警报工具应该与企业使用的任何事件管理工具集成，例如PagerDuty和Slack。这使安全警报能够直接到达企业的团队使用的现有工具和工作流程。响应者不必在不同的工具之间切换来查看正在发生的事情。

构建审计跟踪以捕获对每个警报的响应，这将提供可见性和问责制，并帮助企业改进响应流程。在安全工具中执行的所有操作都必须在相关协作工具中可见，因此企业可以查看谁解除了特定警报，何时解除警报，以及他们做了哪些注释。

(3)与云计算提供商合作

云计算提供商通常拥有一个事件响应团队，但企业不能假设其供应商会在事件期间处理所有事情。需要注意责任共担模型，其中云计算提供商负责保护基础设施，而企业负责数据和工作负载。

确保企业了解其云计算提供商的服务协议以及谁对响应的哪个元素负责。准确了解企业可以从供应商团队那里得到哪些警报，以及它如何为企业的团队提供支持。拥有明确的关系并建立联系点可以在事件发生期间节省关键时间。

(4)保护企业的日志

主要的云计算供应商为其环境提供日志记录功能，包括日志文件或操作指标，以提供对服务操作的洞察。其日志服务可能是免费的，也可能是付费的，范围从基本访问日志到完整的审计和配置日志。大多数云计算日志服务都允许企业将日志存储在云平台之外或内部部署设施，而这样做至关重要。

日志是事件响应调查的有用资源，企业必须确保网络攻击者无法访问它们。网络攻击者可能会破坏企业的云计算系统或服务，但他们无法修改或删除企业的日志。日志是受保护的信息来源，可以帮助企业识别攻击时间线、目标系统和网络攻击者的IP地址。这为调查提供了可靠的起点。

(5)进行网络靶场训练

企业通常依靠演习来训练或测试他们的安全和事件响应能力。如今，云计算环境提供了在受保护环境中模拟企业的生产网络的机会，让企业的安全团队能够在安全的环境中练习对网络上真实攻击的响应。

AWS CloudFormation等工具允许企业快速设计和部署与其实际网络相同的训练网络。企业可以通过限制训练的持续时间来降低成本。这些训练可能是让企业的团队准备好应对现实世界中网络攻击的最佳方式。

这些是安全事件响应的基础知识，为事件响应准备云计算环境以及团队如何在不可避免的网络攻击发生时有效地做出反应。简而言之，重要的是：

(1)专注于重要的事情——在云平台中，这是API、应用程序以及身份和访问管理(IAM)系统。

(2)集成警报和事件管理工具——云平台提供了充足的自动化功能。使用它们自动响应常见异常情况。

(3)与云计算提供商合作——企业在云中并不孤单，其团队需要准确了解云计算提供商将在响应事件时采取哪些措施。

(4)保护企业的日志——如果企业的日志被篡改，将无法检测、调查和响应攻击。需要不惜一切代价保护他们。

(5)进行网络靶场训练——在事件真正发生之前，企业永远不会真正知道对事件做出响应是什么感觉。与其等待真正的网络攻击，不如进行“网络靶场训练”或安全演习，看看每个人如何在攻击场景中协同工作。

企业在为开发人员、操作人员和安全团队制定一个有凝聚力的云安全战略时，需要做好准备。