Supplement · AWS
Security, detection và incident response
Prevent, detect, respond và recover phải được thiết kế trước incident, với log/evidence nằm ngoài blast radius của workload.
Detection stack
- CloudTrail ghi API activity; organization trail, multi-Region, log validation và protected destination là baseline.
- Config theo dõi resource configuration/compliance; GuardDuty phân tích threat signals; Security Hub tổng hợp findings/standards; Inspector đánh giá vulnerability/exposure tùy resource.
- Macie hỗ trợ discovery dữ liệu nhạy cảm S3; Detective hỗ trợ investigation graph. Mỗi finding cần routing, severity mapping, owner và SLA.
Response
Chuẩn bị forensic account, clean-room role, snapshot/copy procedure, isolation SG và automation có safety guard. Containment không đồng nghĩa xóa instance: bảo toàn evidence, chặn credential/session, giới hạn egress và đánh giá persistence. Rotate secret/key theo dependency order; tránh phá recovery channel. Root user/MFA/break-glass phải được test và giám sát.
Tabletop: compromised role → xác định scope CloudTrail → revoke session/modify trust → isolate resource → preserve evidence → eradicate → restore → lessons/actions.