Contener sin romper nada

La contención se ordena por reversibilidad. Primero se quitan los permisos de la credencial que el atacante tiene: se revocan las sesiones del rol. Después se corta lo que la máquina puede hacer con la red cambiando su grupo de seguridad, sin apagarla. Solo cuando la evidencia está a salvo y la causa se entiende se piensa en terminar o reemplazar la instancia.

El motivo es práctico: una instancia encendida y aislada conserva su disco, su memoria y su historial para la investigación, y permite volver atrás si la guardia se equivocó. Una instancia terminada ya no se puede interrogar.

Las credenciales temporales de un rol no se «rotan»: caducan solas, y mientras no lo hacen sirven. Para invalidarlas antes, AWS permite revocar las sesiones del rol: adjunta al rol una política en línea llamada AWSRevokeOlderSessions, que deniega todas las acciones a quien haya asumido el rol antes de una hora determinada, usando la condición aws:TokenIssueTime. Quien asuma el rol después de esa hora, no se ve afectado.

Es una acción segura porque no borra el rol, no cambia sus permisos permanentes y es reversible. La hora que fija es el límite: todo lo emitido antes queda sin permisos.

Lee el estado del rol y apunta el valor de la condición.

Aislar una instancia es cambiarle los grupos de seguridad por uno de aislamiento: sin reglas de entrada ni de salida hacia cualquier dirección (0.0.0.0/0), y solo con el acceso mínimo que necesita quien investiga, desde una estación concreta. La instancia sigue encendida, y por eso conserva la memoria y el estado de ejecución. Hay un detalle que se olvida: las conexiones ya establecidas no se cortan al cambiar el grupo; solo el tráfico nuevo queda bloqueado.

La instancia pasa a tener únicamente el grupo de aislamiento y se le retiran los demás. Comprobarlo es leer su estado, no suponerlo.

Rotar es cambiar un secreto por otro nuevo y dejar el viejo sin valor. Se rota lo que estaba guardado en la máquina comprometida, porque quien la controló pudo copiarlo: claves de bases de datos, claves de API de terceros, tokens. No tiene sentido rotar lo que ya caducó o lo que ya se revocó, pero sí hacer el inventario completo de lo que había, y no solo de lo que se recuerda.

Después de rotar hay que actualizar a quien usaba el secreto viejo, o se cae el servicio. Por eso se coordina con el dueño del servicio.