¿En qué se diferencia investigar un incidente en un entorno de nube frente a uno on premise?

El plano de control se convierte en la escena del crimen principal. En vez de disco y memoria en un host fijo, tu mejor evidencia es el log de auditoría de la API: qué identidad llamó a qué, desde dónde y con qué credenciales. Las instancias son efímeras, así que haz snapshot antes de terminarlas. La identidad es el perímetro, así que rastrea roles, credenciales temporales y rutas de escalada de privilegios en vez de la posición de red, y espera que la responsabilidad compartida te limite parte de la telemetría.

El mayor cambio es que el plano de control es donde ocurre de verdad el incidente. On premise cogería memoria y disco de un host. En la nube lo primero que saco es el log de auditoría de la API, porque me dice qué identidad llamó a qué acción desde qué dirección de origen, y si usó una clave de larga duración o un rol asumido con credenciales temporales. Lo efímero es la segunda diferencia: una instancia puede haber desaparecido antes de que yo llegue, así que mi primera acción de contención es hacer snapshot del volumen y capturar memoria si la herramienta lo permite, y luego aislar con un grupo de seguridad restrictivo en vez de terminar, porque terminar destruye mi evidencia. Tercero, las rutas de escalada son distintas. Persigo políticas de confianza de roles, políticas de identidad demasiado permisivas y acceso a los metadatos de la instancia, no al administrador de dominio. Y soy honesto con el límite: por debajo del hipervisor no tengo telemetría, así que si la necesito hay que pedirla por un proceso formal del proveedor, que es lento, y planifico contando con eso.