侵害されたEC2への初動対応 隔離と証拠保全の手順を押さえる

この記事は SCS-C02 を目指す方に向けて、インスタンスが侵害された疑いがあるときの初動を整理します。試験では「まず何をするか」「証拠を壊さずにどう調べるか」という順序を、要件から選ばせる問題が出ます。

覚え方は3つの観点です。止めずに隔離する・証拠を保全する・原因と影響範囲を追う。この順番を崩さないことが最大のポイントです。

止めずに隔離する

最初にやりたくなるのはインスタンスの停止ですが、停止するとメモリ上の証拠が消えます。正しい初動は、すべての通信を許可しない専用のセキュリティグループへ差し替えることです。実行中のまま外部との通信だけを断てるため、攻撃者のセッションを切りつつメモリを保持できます。あわせてインスタンスプロファイルのIAMロールを権限のないロールへ差し替えるか、ロールのポリシーに全拒否を追加し、盗まれた一時認証情報がAPIを叩けない状態にします。Auto Scaling グループ配下ならスタンバイ状態にして、置き換えられないようにします。

証拠を保全する

EBSスナップショットを取得し、調査用アカウントへ共有します。実務では調査専用アカウントにコピーしてから読み取り専用でマウントするのが定石です。メモリダンプが必要な場合は、Systems Manager の Run Command を使えばSSHログインなしで取得コマンドを流せます。取得物にはタグで事案IDと取得時刻を付け、追跡できるようにします。

原因と影響範囲を追う

GuardDuty の検出結果を起点に、Detective で関連するAPIコールや通信先を時系列でたどります。CloudTrail では盗まれたロールのセッション名で絞り込み、他リソースへ手を広げていないかを確認します。VPCフローログで外部への大量送信がないかも見ます。

チェックリスト

• 停止ではなくセキュリティグループ差し替えで隔離する理由を説明できる
• インスタンスプロファイルの権限を無効化する方法を2つ挙げられる
• EBSスナップショットを調査用アカウントへ渡す流れを説明できる
• GuardDutyとDetectiveとCloudTrailの役割の違いを言える
• 封じ込めから復旧までの順序を口頭で再現できる

まとめ

初動は隔離、次に保全、最後に調査です。この順序と、それぞれで使うAWSの機能を対応づけておけば、初動対応の設問はほぼ落としません。

理解を確かめるにはクイズで腕試しを、最新の出題範囲はAWS認定 公式ページで必ず確認してください。