killvxk 云事件响应（Cloud Incident Response）
适用场景
- 云安全态势管理（CSPM）告警提示未授权资源变更
- CloudTrail、Azure 活动日志或 GCP 审计日志显示可疑 API 调用
- 疑似云访问密钥或服务主体（Service Principal）凭据受攻陷
- 检测到未授权的计算实例、存储桶或 IAM 变更
- 云托管应用遭受攻陷且攻击者活动跨越多个云服务
不适用于无云组件的纯本地事件；此类情况请使用标准企业 IR 流程。
前置条件
- 云原生日志已启用并集中管理：AWS CloudTrail（所有区域）、Azure 活动/登录日志、GCP Cloud Audit Logs
- 预先配置具有只读取证访问权限的 IR 专用云 IAM 角色
- 用于证据保全的隔离取证账号/订阅/项目
- 针对每个云服务商的云事件响应运行手册
- 云原生安全工具：AWS GuardDuty、Azure Defender for Cloud、GCP Security Command Center
- 网络流量日志：VPC Flow Logs（AWS/GCP）、NSG Flow Logs（Azure）
工作流程
步骤 1：检测并确认云事件
识别受攻陷的范围和性质：
AWS 指标：
待调查的 CloudTrail 可疑事件：
- 来自异常地理位置或 IP 的 ConsoleLogin（控制台登录）
- 为现有 IAM 用户创建 CreateAccessKey（持久化）
- 启动用于挖矿的 RunInstances（大型实例类型）
- PutBucketPolicy 使 S3 存储桶公开
- AssumeRole 切换至跨账号角色
- DeleteTrail 或 StopLogging（防御规避）
- CreateUser 或 AttachUserPolicy（权限提升）
Azure 指标：
待调查的 Azure 活动日志事件：
- 来自匿名 IP 或 TOR 出口节点的登录
- 添加服务主体凭据
- 角色分配变更（添加 Owner、Contributor）
- 在异常区域创建虚拟机
- 存储账号访问密钥重新生成
- 条件访问策略被修改或删除
- 用户账号 MFA 被禁用
GCP 指标：
待调查的 GCP 审计日志事件：
- SetIamPolicy 变更授予宽泛访问权限
- 为现有服务账号创建 CreateServiceAccountKey
- 在意外区域 InsertInstance
- SetBucketIamPolicy 设置 allUsers
- DeleteLog 或 UpdateSink（日志篡改）
步骤 2：遏制云身份受攻陷
云遏制主要是身份操作：
AWS 遏制：
# 禁用受攻陷的 IAM 访问密钥
aws iam update-access-key --user-name compromised-user \
--access-key-id AKIA... --status Inactive
# 为受攻陷用户附加全拒绝策略
aws iam attach-user-policy --user-name compromised-user \
--policy-arn arn:aws:iam::aws:policy/AWSDenyAll
# 撤销受攻陷 IAM 角色的所有活跃会话
aws iam put-role-policy --role-name compromised-role \
--policy-name RevokeOlderSessions --policy-document '{
"Version":"2012-10-17",
"Statement":[{
"Effect":"Deny",
"Action":"*",
"Resource":"*",
"Condition":{"DateLessThan":
{"aws:TokenIssueTime":"2025-11-15T15:00:00Z"}}
}]
}'
# 隔离受攻陷的 EC2 实例
aws ec2 modify-instance-attribute --instance-id i-0abc123 \
--groups sg-isolate-forensic
Azure 遏制：
# 禁用受攻陷用户
Set-AzureADUser -ObjectId "user@tenant.onmicrosoft.com" -AccountEnabled $false
# 撤销所有会话
Revoke-AzureADUserAllRefreshToken -ObjectId "user-object-id"
# 移除角色分配
Remove-AzRoleAssignment -ObjectId "sp-object-id" -RoleDefinitionName "Contributor"
# 使用 NSG 全拒绝规则隔离虚拟机
$nsg = New-AzNetworkSecurityGroup -Name "isolate-nsg" -ResourceGroupName "rg" -Location "eastus"
$nsg | Add-AzNetworkSecurityRuleConfig -Name "DenyAll" -Priority 100 -Direction Inbound `
-Access Deny -Protocol * -SourceAddressPrefix * -SourcePortRange * `
-DestinationAddressPrefix * -DestinationPortRange *
步骤 3：保全云证据
在临时资源终止或日志轮转前采集证据：
AWS 证据采集：
- 将 CloudTrail 事件导出到取证账号的 S3 存储桶
- 对受攻陷 EC2 实例的 EBS 卷创建快照
- 复制 S3 访问日志和对象版本
- 导出受影响 VPC 的 VPC Flow Logs
- 采集 IAM 凭据报告和访问顾问数据
Azure 证据采集：
- 导出 Azure 活动日志和登录日志（默认保留 90 天）
- 对受攻陷虚拟机的托管磁盘创建快照
- 导出 Azure AD 审计日志
- 采集 NSG 流日志
- 导出条件访问登录详情
GCP 证据采集：
- 将 Cloud Audit Logs 导出到取证存储桶
- 对受攻陷虚拟机的持久磁盘创建快照
- 导出 VPC Flow Logs
- 采集 IAM 策略快照
步骤 4：调查云特有攻击模式
分析日志以识别常见云攻击技术：
常见云攻击模式：
━━━━━━━━━━━━━━━━━━━━━━━━━━━━
1. 凭据受攻陷 → IAM 权限提升 → 资源滥用
2. 公开 S3/Blob → 数据外泄
3. Web 应用 SSRF → IMDS 令牌窃取 → 横向移动
4. CI/CD 流水线受攻陷 → 恶意部署
5. 跨账号角色滥用 → 多账号跳转
6. Lambda/Function 滥用 → 挖矿或数据处理
IMDS 令牌窃取调查（AWS）：
# 在 CloudTrail 中搜索使用来自外部 IP 的实例角色凭据的 API 调用
aws cloudtrail lookup-events --lookup-attributes \
AttributeKey=EventSource,AttributeValue=ec2.amazonaws.com \
--start-time 2025-11-14 --end-time 2025-11-16 \
| jq '.Events[] | select(.CloudTrailEvent | fromjson | .sourceIPAddress != "internal")'
步骤 5：根除并恢复
移除对手访问权限并恢复安全状态：
- 轮换所有受攻陷凭据（访问密钥、密码、服务主体密钥）
- 移除攻击者创建的未授权 IAM 用户、角色、策略和访问密钥
- 终止未授权计算实例（挖矿程序、C2 服务器）
- 将修改过的 S3 存储桶策略和存储访问策略恢复到事件前状态
- 重新启用被禁用的安全控制（CloudTrail、GuardDuty、Defender for Cloud）
- 审查并恢复条件访问策略和 MFA 配置
步骤 6：事件后云加固
实施控制措施以防止再次发生：
- 为所有 IAM 用户启用 MFA，并要求对敏感 API 调用强制 MFA
- 实施 SCP（AWS）或 Azure Policy 以防止禁用日志记录
- 启用 GuardDuty / Defender for Cloud / Security Command Center 并配置自动修复
- 利用访问分析器数据实施最小权限 IAM 策略
- 在所有 EC2 实例上启用 IMDSv2（需要令牌）以防止基于 SSRF 的令牌窃取
- 配置预算告警以检测挖矿导致的费用突增
核心概念
| 术语 | 定义 |
|---|---|
| IMDS（Instance Metadata Service，实例元数据服务） | 提供可从虚拟机内部访问的实例凭据的云服务；SSRF 攻击以 IMDS 为目标窃取令牌 |
| CloudTrail | 记录 AWS 账号中所有 API 调用的 AWS 服务；AWS 事件响应的主要证据来源 |
| 服务主体（Service Principal） | Azure AD 中供应用程序和服务使用的非人类身份；受攻陷后可实现持久 API 访问 |
| SCP（Service Control Policy，服务控制策略） | AWS Organizations 策略，限制账号可用的最大权限；用于设置安全护栏 |
| 临时基础设施（Ephemeral Infrastructure） | 可能在证据采集前终止的云资源（容器、函数、自动扩展实例） |
| 跨账号角色切换（Cross-Account Role Assumption） | AWS 机制允许一个账号临时访问另一个账号的资源；攻击者通过角色切换进行横向移动 |
工具与系统
- AWS CloudTrail / Azure Activity Logs / GCP Audit Logs：提供主要审计跟踪的云原生 API 日志服务
- Cado Response：用于自动从 AWS、Azure 和 GCP 采集证据的云原生取证平台
- Prowler（AWS）/ ScoutSuite（多云）：用于事件后安全态势审查的开源云安全评估工具
- Steampipe：基于 SQL 查询云 API 以调查 IAM 配置和资源状态的开源工具
- Cartography（Lyft）：用于映射云基础设施关系和识别攻击路径的开源工具
常见场景
场景：通过公开 GitHub 仓库泄露的 AWS 访问密钥
背景：AWS GuardDuty 告警显示某 IAM 用户的访问密钥被来自意外 IP 地址的 API 调用使用。该密钥在 4 小时前被意外提交到公开 GitHub 仓库。
处理方法：
- 立即通过 AWS IAM 禁用受攻陷的访问密钥
- 为受影响的 IAM 用户附加 AWSDenyAll 策略
- 查询 CloudTrail 中自密钥泄露以来使用受攻陷密钥发起的所有 API 调用
- 识别攻击者创建或修改的资源（用于挖矿的 EC2 实例、用于持久化的新 IAM 用户）
- 终止未授权资源并移除后门 IAM 实体
- 轮换受攻陷用户有权访问的所有凭据
- 启用 GitHub 密钥扫描以防止未来的凭据泄露
常见陷阱：
- 仅禁用访问密钥而未检查攻击者创建的新访问密钥或 IAM 用户（持久化）
- 未检查所有 AWS 区域是否存在攻击者创建的资源（挖矿程序部署在每个区域）
- 忘记撤销已切换角色的临时凭据（STS 令牌在到期前仍然有效）
- 未为保险索赔计算未授权资源使用的财务影响
输出格式
云事件响应报告
================================
事件： INC-2025-1705
云服务商： AWS（账号：123456789012）
检测日期： 2025-11-15T14:00:00Z
检测来源： GuardDuty - UnauthorizedAccess:IAMUser/InstanceCredentialExfiltration
受攻陷摘要
初始访问： IAM 访问密钥泄露至公开 GitHub 仓库
受影响身份： iam-user: deploy-bot (AKIA...)
攻击者 IP： 203.0.113.42（VPN 出口节点，荷兰）
持续时间： 4 小时（10:00 UTC - 14:00 UTC）
攻击者活动（来自 CloudTrail）
10:15 UTC - DescribeInstances（侦察）
10:18 UTC - RunInstances x 12（c5.4xlarge，所有区域 - 挖矿）
10:22 UTC - CreateUser "backup-admin"（持久化）
10:23 UTC - CreateAccessKey for "backup-admin"
10:25 UTC - AttachUserPolicy - AdministratorAccess to "backup-admin"
10:30 UTC - PutBucketPolicy - s3://data-bucket 设为公开（外泄）
遏制措施
[x] 原始访问密钥已禁用
[x] 用户策略已设为 AWSDenyAll
[x] 后门 IAM 用户 "backup-admin" 已删除
[x] 12 个挖矿实例已终止（所有区域）
[x] S3 存储桶策略已恢复为私有
财务影响
未授权 EC2：$2,847（4 小时 x 12 x c5.4xlarge）
数据传输： $127（S3 公开访问数据出口）
合计： $2,974
事件后加固
1. GitHub 密钥扫描已启用
2. 访问密钥轮换策略已实施
3. 防止 CloudTrail 禁用的 SCP 已部署
4. GuardDuty 自动修复 Lambda 已配置