Instantáneas y aislamiento

En AWS, aislar una instancia suele hacerse cambiando sus grupos de seguridad por uno de cuarentena, sin reglas de entrada ni de salida, para cortar el tráfico sin apagarla. La instancia sigue encendida, de modo que su memoria y sus procesos permanecen y pueden estudiarse.

Detener o terminar una instancia pierde lo que solo vive en memoria y, si se termina, puede borrar los volúmenes cuya opción de eliminación al terminar esté activada.

Cada acción de contención queda en CloudTrail, y la lectura de esas filas da el orden de lo hecho: primero se crea un grupo de seguridad sin reglas, después se reemplaza el de la instancia y por último se toman las copias. El identificador del grupo de cuarentena es el que hay que anotar en el informe.

Una instancia puede tener varios volúmenes, y una instantánea cubre uno. Para decir que la evidencia está preservada hay que cruzar volúmenes con instantáneas, no fiarse de que «se hizo una».

Aquí la instancia tiene dos volúmenes montados y una de las instantáneas es una copia semanal de rutina, no de la contención.

Las instantáneas se etiquetan con el identificador del caso para que quien llegue después las distinga de las copias de rutina y para que nadie las borre por limpieza. La etiqueta de la tabla no es la de las copias semanales.