Adquisición en la nube, instantáneas, registros y límites

Una instantánea de volumen es una copia de los bloques del volumen en un instante. Es muy útil y barata, pero tiene límites que conviene saber antes de apoyarse en ella. Normalmente es coherente ante caídas: equivale a cortar la corriente en ese momento, de modo que lo que estaba a medio escribir queda a medias. No incluye la memoria de la instancia. Y solo cubre volúmenes persistentes: lo que vive en almacenamiento local de la instancia no está en ninguna instantánea.

La memoria de una instancia de nube la entrega el proveedor en muy pocos casos. Si se quiere capturar, se hace desde dentro de la instancia, con la misma consideración de huella que en un equipo físico, o se acepta no tenerla y se escribe como limitación.

Detener o terminar una instancia es una acción de nube que parece inocente y no lo es: el almacenamiento local de la instancia se pierde al detenerla. Por eso, antes de cualquier cambio de estado, se hace el inventario de los almacenamientos de la instancia y se mira cuáles tienen instantánea y cuáles no. Lo que no tiene, se decide aparte: o se captura desde dentro con la instancia viva o se asume que se pierde y se anota.

Abre la ficha de la instancia en el laboratorio y mira la columna de instantáneas de cada almacenamiento.

El registro de actividad de la cuenta (quién entró, qué cambió) tiene una retención: pasado cierto número de días, lo más antiguo sale de la consola. Si el primer evento sospechoso es de hace casi esos días, ese evento está a punto de desaparecer, y con él el comienzo de la historia. La exportación a un almacén propio, fuera de la cuenta comprometida, es lo que corta ese reloj; si no está configurada, hay que hacerla ya.

El cálculo es una resta de fechas: los días que han pasado desde el primer evento sospechoso, contra los que dura la retención.

El registro de actividad de la cuenta cubre acciones de administración. Leer objetos de un depósito de almacenamiento suele ser otra categoría de eventos, que muchas veces no está activada por defecto. Si el registro de lecturas de un depósito no estaba habilitado cuando pasó el incidente, nadie puede saber después qué se leyó: ni el atacante lo dejó escrito ni el proveedor lo guardó. Es un límite de la adquisición, y se declara como tal.

Revisa en la configuración qué depósitos registran lecturas, y fíjate en cuál de ellos guarda datos de clientes.

Las instantáneas se copian a una cuenta de análisis separada para no depender de la cuenta comprometida. Pero si los volúmenes están cifrados con una clave de la cuenta de origen, la cuenta de análisis necesita permiso para usarla; sin él, la copia no se puede abrir ni leer. Pedir ese permiso al propietario de la clave y anotarlo en la custodia es parte de la adquisición. Y mientras tanto, no se elimina ni se cambia la clave: sin ella, las instantáneas dejan de servir.

La copia que no se puede usar es una copia que no existe.