50 lines
3.5 KiB
Markdown
50 lines
3.5 KiB
Markdown
### 云产品的应急思路
|
||
|
||
**1. 明确责任边界**
|
||
|
||
你需要清楚地知道哪些安全责任由云服务提供商（如 AWS、Azure、GCP）承担，哪些由你承担
|
||
|
||
- **云厂商（如阿里云、腾讯云）**：负责底层基础设施（物理服务器、网络、数据中心）的安全
|
||
- **客户（你）**：负责云上租户内的安全，包括云服务器（ECS/CVM）、云数据库、应用系统、数据安全以及**身份与访问管理（IAM）**
|
||
|
||
在接到告警或发现异常时，第一步是判断问题是否属于你的责任范畴。例如，如果你的 ECS 实例被挖矿病毒入侵，这是你的责任；但如果云厂商的控制台出现大面积无法访问，那通常是云厂商的责任
|
||
|
||
**2. 身份与访问管理（IAM）优先**
|
||
|
||
在云环境中，**API 密钥泄露**是导致大规模入侵事件的常见原因。一个高权限的 AccessKey 被盗，攻击者可以利用它来创建新的云主机、删除数据、修改安全组规则，甚至进行横向移动
|
||
|
||
- **应急响应操作（以阿里云为例）**：
|
||
- **立即禁用**或**删除**可疑的 RAM 用户或 AccessKey
|
||
- **排查操作日志**：在**云审计（CloudTrail）**中，通过日志分析攻击者执行了哪些操作，例如 `RunInstances`、`DeleteObject` 等
|
||
- **强制 MFA**：对所有高权限用户强制开启多因素认证
|
||
|
||
**3. 利用云原生安全和监控产品**
|
||
|
||
云厂商提供了强大的日志和监控服务，它们是应急响应的“黑匣子”，能提供详细的事件时间线和攻击路径
|
||
|
||
- **阿里云**：
|
||
- **云审计（ActionTrail）**：记录所有 API 调用，是分析攻击者行为的核心日志
|
||
- **日志服务 SLS**：收集各类日志，如 ECS 的操作系统日志、VPC 流日志等，为分析提供基础
|
||
- **态势感知**：对云上资产进行安全评估和威胁检测，可以发现恶意文件、异常登录等
|
||
- **腾讯云**：
|
||
- **云审计（CloudAudit）**：记录账户下的所有 API 操作
|
||
- **日志服务 CLS**：提供日志收集和分析能力
|
||
- **云防火墙/安全组**：监控并阻断恶意流量
|
||
- **华为云**：
|
||
- **云审计服务（CTS）**：记录云服务的操作事件
|
||
- **网络流量分析（NTA）**：分析网络流量，发现异常行为
|
||
|
||
**4. 隔离与遏制**
|
||
|
||
快速遏制是防止损害扩大的关键。在云上，隔离的操作更加灵活和高效
|
||
|
||
- **修改安全组/网络 ACL**：通过修改安全组或网络 ACL 规则，可以快速阻断恶意 IP 地址或端口的流量
|
||
- **断开云主机网络**：直接将受感染的云主机从 VPC 网络中隔离。在阿里云中，可以通过修改 ECS 的安全组使其无法访问任何网络
|
||
- **创建快照**：在执行任何破坏性操作前，为受感染的云主机创建快照。这个快照是进行**取证分析**的重要依据，可以让你在后续分析中还原当时的环境状态
|
||
|
||
**5. 自动化与编排**
|
||
|
||
手动应急响应在面对大规模入侵时会非常缓慢。利用云厂商提供的自动化工具，可以大大提升效率
|
||
|
||
- **Serverless 函数（阿里云 FC、腾讯云 SCF）**：编写函数，在收到告警（如威胁情报告警）时，自动执行响应操作，例如修改安全组、禁用 AccessKey
|
||
- **基础设施即代码（IaC）**：使用 **Terraform** 或 **ROS（阿里云）** 等工具，可以快速部署一个干净、已加固的新环境，然后将应用切换过去，这比修复一个受感染的云主机要快得多 |