Wie unterscheidet sich die Untersuchung eines Incidents in einer Cloud-Umgebung von On-Premises?

Die Control Plane wird zum primären Tatort. Statt Disk und Memory auf einem festen Host ist dein bester Beweis das API-Audit-Log: welche Identität hat was aufgerufen, von wo, mit welchen Credentials. Instanzen sind flüchtig, snapshotte also vor dem Terminieren. Identity ist der Perimeter, verfolg also Rollen, temporäre Credentials und Pfade zur Rechteausweitung statt der Netzwerkposition, und erwarte, dass Shared Responsibility einen Teil der Telemetrie begrenzt.

Die größte Verschiebung ist, dass der Incident tatsächlich in der Control Plane passiert. On-Premises würde ich Memory und Disk von einem Host ziehen. In der Cloud ist mein erster Zug das API-Audit-Log, denn es sagt mir, welche Identität welche Aktion von welcher Quelladresse aufgerufen hat und ob sie einen langlebigen Key oder eine assumte Rolle mit temporären Credentials genutzt hat. Flüchtigkeit ist der zweite Unterschied: eine Instanz kann weg sein, bevor ich sie erreiche, meine erste Eindämmungsmaßnahme ist also, das Volume zu snapshotten und, wenn das Tooling es erlaubt, Memory zu sichern, dann mit einer restriktiven Security Group zu isolieren statt zu terminieren, denn Terminieren zerstört meine Beweise. Drittens sehen Eskalationspfade anders aus. Ich jage Role Trust Policies, zu großzügige Identity Policies und Zugriff auf Instance Metadata statt Domain-Administrator. Und ich bleibe bei der Grenze ehrlich: unterhalb des Hypervisors bekomme ich keine Telemetrie, wenn ich sie brauche, muss ich sie über einen formalen Providerprozess anfragen, und der ist langsam, also plane ich darum herum.