क्लाउड माहौल में किसी incident की जांच on premises से कैसे अलग होती है?

control plane ही मुख्य घटनास्थल बन जाता है। किसी तय host की disk और memory के बजाय आपका सबसे अच्छा सबूत API का audit log है: किस identity ने कहां से किन credentials के साथ क्या call किया। instance क्षणभंगुर हैं, इसलिए terminate करने से पहले snapshot लें। identity ही परिधि है, इसलिए नेटवर्क की स्थिति के बजाय role, अस्थायी credentials और privilege बढ़ाने के रास्ते पकड़ें, और उम्मीद रखें कि shared responsibility कुछ telemetry सीमित कर देगी।

सबसे बड़ा बदलाव यह है कि incident असल में control plane पर होता है। on premises मैं किसी host से memory और disk उठाता। क्लाउड में मेरी पहली खींच API का audit log है, क्योंकि वह बताता है कि किस identity ने किस source address से कौन सा action call किया, और यह कि उसने लंबी अवधि की key इस्तेमाल की या अस्थायी credentials वाला assumed role। क्षणभंगुरता दूसरा फर्क है: कोई instance मेरे पहुंचने से पहले ही जा सकता है, इसलिए मेरा पहला रोकथाम वाला कदम है volume का snapshot लेना और अगर टूलिंग इजाजत दे तो memory पकड़ना, फिर terminate करने के बजाय किसी सख्त security group से अलग कर देना, क्योंकि terminate करने से मेरा सबूत नष्ट हो जाता है। तीसरा, बढ़ने के रास्ते अलग दिखते हैं। मैं domain administrator के बजाय role की trust policy, हद से ज्यादा खुली identity policy और instance metadata तक पहुंच के पीछे होता हूं। और मैं सीमा को लेकर ईमानदार रहता हूं: hypervisor के नीचे मुझे कोई telemetry नहीं मिलती, तो अगर वह चाहिए तो मुझे provider की औपचारिक प्रक्रिया से मांगनी पड़ती है, जो धीमी है, और मैं उसी हिसाब से योजना बनाता हूं।