Conduzindo Resposta a Incidentes na Nuvem

Quando Usar

• Alertas de Gerenciamento de Postura de Segurança na Nuvem (CSPM) sobre alterações não autorizadas de recursos
• CloudTrail, Logs de Atividade do Azure ou Logs de Auditoria do GCP mostram chamadas de API suspeitas
• Chaves de acesso à nuvem ou credenciais de principal de serviço são suspeitas de terem sido comprometidas
• Instâncias de computação não autorizadas, buckets de armazenamento ou alterações de IAM são detectadas
• Um aplicativo hospedado na nuvem foi invadido e a atividade do invasor abrange serviços de nuvem

Não use para incidentes apenas on-premises sem componente de nuvem; use procedimentos padrão de resposta a incidentes corporativos.

Pré-requisitos

• Logs nativos da nuvem ativados e centralizados: AWS CloudTrail (todas as regiões), Logs de Atividade/Login do Azure, Logs de Auditoria do GCP
• Funções de IAM na nuvem específicas para resposta a incidentes pré-provisionadas com acesso forense somente leitura
• Conta/assinatura/projeto forense isolado para preservação de evidências
• Runbooks de resposta a incidentes na nuvem específicos para cada provedor de nuvem
• Ferramentas de segurança nativas da nuvem: AWS GuardDuty, Azure Defender for Cloud, GCP Security Command Center
• Registro de tráfego de rede: VPC Flow Logs (AWS/GCP), NSG Flow Logs (Azure)

Fluxo de Trabalho

Etapa 1: Detectar e Confirmar o Incidente na Nuvem

Identifique o escopo e a natureza do comprometimento:

Indicadores AWS:

CloudTrail suspicious events to investigate:
- ConsoleLogin from unexpected geolocation or IP
- CreateAccessKey for existing IAM user (persistence)
- RunInstances for crypto-mining (large instance types)
- PutBucketPolicy making S3 bucket public
- AssumeRole to cross-account roles
- DeleteTrail or StopLogging (defense evasion)
- CreateUser or AttachUserPolicy (privilege escalation)

Indicadores Azure:

Azure Activity Log events to investigate:
- Sign-in from anonymous IP or TOR exit node
- Service principal credential added
- Role assignment changes (Owner, Contributor added)
- VM created in unusual region
- Storage account access key regenerated
- Conditional Access policy modified or deleted
- MFA disabled for user account

Indicadores GCP:

GCP Audit Log events to investigate:
- SetIamPolicy changes granting broad access
- CreateServiceAccountKey for existing SA
- InsertInstance in unexpected zone
- SetBucketIamPolicy with allUsers
- DeleteLog or UpdateSink (log tampering)

Etapa 2: Conter o Comprometimento de Identidade na Nuvem

A contenção na nuvem é principalmente uma operação de identidade:

Contenção AWS:

# Disable compromised IAM access keys
aws iam update-access-key --user-name compromised-user \
  --access-key-id AKIA... --status Inactive

# Attach deny-all policy to compromised user
aws iam attach-user-policy --user-name compromised-user \
  --policy-arn arn:aws:iam::aws:policy/AWSDenyAll

# Revoke all active sessions for compromised IAM role
aws iam put-role-policy --role-name compromised-role \
  --policy-name RevokeOlderSessions --policy-document '{
    "Version":"2012-10-17",
    "Statement":[{
      "Effect":"Deny",
      "Action":"*",
      "Resource":"*",
      "Condition":{"DateLessThan":
        {"aws:TokenIssueTime":"2025-11-15T15:00:00Z"}}
    }]
  }'

# Isolate compromised EC2 instance
aws ec2 modify-instance-attribute --instance-id i-0abc123 \
  --groups sg-isolate-forensic

Contenção Azure:

# Disable compromised user
Set-AzureADUser -ObjectId "user@tenant.onmicrosoft.com" -AccountEnabled $false

# Revoke all sessions
Revoke-AzureADUserAllRefreshToken -ObjectId "user-object-id"

# Remove role assignments
Remove-AzRoleAssignment -ObjectId "sp-object-id" -RoleDefinitionName "Contributor"

# Isolate VM with NSG deny-all rule
$nsg = New-AzNetworkSecurityGroup -Name "isolate-nsg" -ResourceGroupName "rg" -Location "eastus"
$nsg | Add-AzNetworkSecurityRuleConfig -Name "DenyAll" -Priority 100 -Direction Inbound `
  -Access Deny -Protocol * -SourceAddressPrefix * -SourcePortRange * `
  -DestinationAddressPrefix * -DestinationPortRange *

Etapa 3: Preservar Evidências na Nuvem

Colete evidências antes que recursos efêmeros sejam encerrados ou logs sejam rotacionados:

Coleta de Evidências AWS:

• Exportar eventos do CloudTrail para o S3 na conta forense
• Criar snapshots de volumes EBS de instâncias EC2 comprometidas
• Copiar logs de acesso do S3 e versões de objetos
• Exportar VPC Flow Logs para a VPC afetada
• Capturar relatórios de credenciais do IAM e dados do advisor de acesso

Coleta de Evidências Azure:

• Exportar Logs de Atividade e Logs de Login do Azure (retenção de 90 dias por padrão)
• Criar snapshots de discos gerenciados de VMs comprometidas
• Exportar logs de auditoria do Azure AD
• Capturar NSG flow logs

…