Realizando Procedimentos de Contenção de Incidentes na Nuvem

Visão Geral

A contenção de incidentes na nuvem exige abordagens nativas da nuvem que diferem significativamente da resposta tradicional em ambientes on-premises. Os procedimentos de contenção devem alavancar controles específicos da plataforma, incluindo grupos de segurança, políticas de IAM, ACLs de rede e isolamento em nível de serviço para restringir recursos comprometidos, ao mesmo tempo em que preservam evidências forenses. De acordo com o Relatório Global de Resposta a Incidentes da Unit 42 de 2025, a resposta a incidentes na nuvem requer o entendimento de modelos de responsabilidade compartilhada, infraestrutura efêmera e operações orientadas por API. A contenção eficaz envolve revogação de credenciais, isolamento de recursos, criação de snapshots de evidências e execução automatizada de playbooks de resposta.

Quando Usar

• Ao realizar avaliações de segurança que envolvam a execução de procedimentos de contenção de incidentes na nuvem
• Ao seguir procedimentos de resposta a incidentes para eventos de segurança relacionados
• Ao realizar atividades programadas de testes de segurança ou auditoria
• Ao validar controles de segurança por meio de testes práticos

Pré-requisitos

• Familiaridade com conceitos e ferramentas de resposta a incidentes
• Acesso a um ambiente de teste ou laboratório para execução segura
• Python 3.8+ com as dependências necessárias instaladas
• Autorização apropriada para quaisquer atividades de teste

Procedimentos de Contenção na AWS

1. Contenção de Comprometimento de Credenciais

# Disable compromised IAM user access keys
aws iam update-access-key --user-name compromised-user \
  --access-key-id AKIA... --status Inactive

# List and disable all access keys for user
aws iam list-access-keys --user-name compromised-user
aws iam delete-access-key --user-name compromised-user --access-key-id AKIA...

# Attach deny-all policy to compromised user
aws iam put-user-policy --user-name compromised-user \
  --policy-name DenyAll \
  --policy-document '{
    "Version": "2012-10-17",
    "Statement": [{
      "Effect": "Deny",
      "Action": "*",
      "Resource": "*"
    }]
  }'

# Revoke all active sessions for IAM role
aws iam put-role-policy --role-name compromised-role \
  --policy-name RevokeOldSessions \
  --policy-document '{
    "Version": "2012-10-17",
    "Statement": [{
      "Effect": "Deny",
      "Action": "*",
      "Resource": "*",
      "Condition": {
        "DateLessThan": {"aws:TokenIssueTime": "'$(date -u +%Y-%m-%dT%H:%M:%SZ)'"}
      }
    }]
  }'

# Invalidate temporary credentials by updating role trust policy
aws iam update-assume-role-policy --role-name compromised-role \
  --policy-document '{"Version":"2012-10-17","Statement":[]}'

2. Isolamento de Instância EC2

# Create quarantine security group (no inbound, no outbound)
aws ec2 create-security-group --group-name quarantine-sg \
  --description "Quarantine - No traffic allowed" --vpc-id vpc-xxxxx

# Remove all rules from quarantine SG (default allows outbound)
aws ec2 revoke-security-group-egress --group-id sg-quarantine \
  --ip-permissions '[{"IpProtocol":"-1","FromPort":-1,"ToPort":-1,"IpRanges":[{"CidrIp":"0.0.0.0/0"}]}]'

# Take forensic snapshot BEFORE containment
aws ec2 create-snapshot --volume-id vol-xxxxx \
  --description "Forensic snapshot - IR Case 2025-001" \
  --tag-specifications 'ResourceType=snapshot,Tags=[{Key=IR-Case,Value=2025-001}]'

# Apply quarantine security group to compromised instance
aws ec2 modify-instance-attribute --instance-id i-xxxxx \
  --groups sg-quarantine

# Tag instance as compromised
aws ec2 create-tags --resources i-xxxxx \
  --tags Key=IR-Status,Value=Contained Key=IR-Case,Value=2025-001

# Capture memory (if SSM agent available)
aws ssm send-command --instance-ids i-xxxxx \
  --document-name "AWS-RunShellScript" \
  --parameters 'commands=["dd if=/dev/mem of=/tmp/memory.dump bs=1M"]'

3. Contenção de Bucket S3

# Bloquear todo o acesso público
aws s3api put-public-access-block --bucket bucket-comprometido \
  --public-access-block-configuration \
  BlockPublicAcls=true,IgnorePublicAcls=true,BlockPublicPolicy=true,RestrictPublicBuckets=true

# Aplicar política de negação ao bucket
aws s3api put-bucket-policy --bucket bucket-comprometido \
  --policy '{
    "Version": "2012-10-17",
    "Statement": [{
      "Sid": "DenyAllExceptForensics",
      "Effect": "Deny",
      "NotPrincipal": {"AWS": "arn:aws:iam::CONTA:role/IR-Forensics"},
      "Action": "s3:*",
      "Resource": ["arn:aws:s3:::bucket-comprometido","arn:aws:s3:::bucket-comprometido/*"]
    }]
  }'

# Habilitar versionamento para preservar evidências

…