CyberGlossary

Криминалистика и реагирование

Облачная криминалистика

Также известно как: Криминалистика облачных инцидентов, Криминалистика SaaS

Определение

Криминалистическое расследование инфраструктуры, приложений и SaaS-сервисов в облаке с использованием API провайдеров, журналов аудита и эфемерных ресурсов.

Облачная криминалистика адаптирует классические принципы к мультиарендным, эластичным и управляемым через API средам. Аналитики опираются на журналы провайдера (AWS CloudTrail, Azure Activity/Sign-in, Google Cloud Audit Logs), события control plane, журналы IdP (Entra ID, Okta), VPC Flow Logs и журналы доступа к хранилищу, дополняя их доказательствами из гостевых ВМ EC2/Compute и узлов Kubernetes. Захват включает снапшоты EBS и управляемых дисков, экспорт объектного хранилища и снятие памяти живых инстансов через SSM/AVML. Сложности — границы общей ответственности, локализация данных, разрывы хранения журналов и быстрое удаление ресурсов. NIST IR 8006, ISO/IEC 27050 и руководства CSA задают воспроизводимые процессы.

Примеры

  • Отслеживание компрометации аккаунта AWS через CloudTrail к украденному IAM-ключу.
  • Снимок диска ВМ Azure и онлайн-сбор памяти через Run Command для анализа.

Связанные термины